Не знаете, что посмотреть вечером в субботу?:)

Здравствуйте, дорогие читатели! Если Вы, как и я, не были на 5й международной конференции Роскомнадзора, а узнать, что же там происходило Вам хочется - делюсь найденной ссылкой на видео-трансляцию в Интернет: ссылка на 1 часть, ссылка на 2 часть, ссылка на 3 часть. Есть ли еще части, я не знаю, дальше разберетесь :)

Немножко спойлеров здесь: ссылка.

Хороших выходных и приятного просмотра! Делитесь впечатлениями :)

Страница блога ВКонтакте: http://vk.com/kshudrova.

Это я Вам как эксперт говорю!

Здравствуйте, коллеги! Вечером пятницы хочется поговорить на философские темы. Сегодня я хотела бы обсудить с Вами понятие "эксперт" в контексте информационной безопасности. Вдохновил меня на написание этого поста 22 выпуск Науки 2.0 под названием "Виктор Вахштайн: слово «эксперт» превращается в ругательство" (послушать можно здесь). 

Вообще мне всегда было интересно, когда специалист начинает именовать себя экспертом? Должно пройти n трудовых лет, диссертацию нужно защитить, поучаствовать в k-проектах? Чисто интуитивно понятно, что человек, разбирающийся в каком-либо вопросе достаточно глубоко, имеющий опыт работы, является экспертом. Мне кажется, лучший вариант - когда приставку "эксперт" добавляют к Вашей фамилии другие люди, причем разбирающиеся в вопросе, представители сообщества, возможно профессиональные СМИ. Но как оценить себя самостоятельно? :) 

Может показаться, что вопрос действительно философский и практического смысла обсуждать его нет, однако на экспертных оценках без преувеличения строится вся информационная безопасность. Как создать эффективную систему защиты информации, оценить возможный ущерб, определить актуальные угрозы - точный ответ не даст ни один нормативный акт. Экспертное мнение решает почти все (не стоит забывать про ограниченный бюджет:)). И в то же время к самому эксперту никаких требований не предъявляется, за исключением того, что при приеме на работу с нас в основном требуют наличие образования по специальности и стажа работы (тоже не особо является показателем). 

Для крупных компаний с развитой ИБ-структурой ситуация обстоит не так уж плохо - есть и обучение, и опытные коллеги, которые подскажут "начинающему эксперту", проводятся аттестации и другие проверки знаний. Но есть компании, которые еще вчера ничего не слышали об информационной безопасности, а сегодня у них появился единственный специалист, мнение которого оспорить некому. Когда-то я в такой компании работала, начинала еще студенткой, и честно говоря, мои решения были тогда далеки от идеала, но это я понимаю сейчас, а когда на мои плечи свалилась организация системы защиты информации с нуля, приходилось делать быстро и не всегда правильно. 

Недавно в одном из профессиональных журналов прочитала неплохую статью о том, к чему может привести несоблюдение законодательства в области защиты персональных данных, но финал заметки меня несколько покоробил. Там говорилось, что бухгалтеру очень тяжело изучить все законодательство по ПДн и написать необходимые документы, поэтому авторы предлагают использовать онлайн-сервис разработки таких документов. Вот так мнение бухгалтера может стать экспертным в ЗИ.

Продолжая тему совмещения обязанностей, нельзя не упомянуть про сисадминов-безопасников, кадровиков и юристов-безопасников. Все такие же эксперты. Кстати говоря, еще широко распространено мнение, что защита информации - элементарная вещь (поспрашивайте айтишников, если не верите:)). Здесь я немного мысль потеряла, потому что пришлось чинить зарядное от ноутбука, перегрызенное нашим горячо любимым котом. Этот же кот послужил источником вдохновения для одной из моих статей (Приучение к лотку и защита информации). Можно сделать определенный вывод о том, что кота в лоток ходить научить можно, только он еще что-нибудь придумает :)

Извините, отвлеклась. Проблема экспертов хорошо видна на курсах повышения квалификации. Один раз я была слушателем на замечательных курсах от одной крупной компании, семинар вела женщина, которую представили экспертом в области закона "О персональных данных". Сначала она рассказывала про особенности кадрового учета и об организационных мерах защиты персональных данных и было достаточно интересно, но когда речь пошла о мерах технической защиты - мои глаза стали похожи на блюдца :) Вы бы удивились, как рядовой пользователь представляет себе процедуру создания системы защиты информации. Было забавно, когда она называла ФСТЭК "ФЭЭСТЭКА". Самое печальное заключается в том, что слушатель курса может отличить эксперта от неэксперта только если сам уже хоть немножко "эксперт". Такой вот парадокс.

Не хочу высказывать призыв о стандартизации и введении ЕГЭ для ИБшников, но проблема определения компетентности существует и ее надо решать. А как думаете Вы, уважаемые эксперты? :)

Проблемы импортозамещения программного обеспечения

Добрый вечер, дорогие читатели! Не так давно я вновь давала комментарий на радио, на этот раз темой обсуждения были проблемы, возникающие при переходе на отечественное программное обеспечение. Все мы знаем, что импортозамещение является на сегодняшний день одной из приоритетных задач, поэтому очень важно понимать, какие подводные камни возникнут при ее выполнении. Тема касается защиты информации достаточно опосредовано, однако, давайте для разнообразия порассуждаем о проблемах информационных технологий.

Я выделила для себя следующие моменты.

1. Обучение работе с определенным набором программ у многих пользователей (возрастом примерно до 35 лет) началось со школьной скамьи. Затем навыки шлифовались в университете, на работу "опытные пользователи" приходят уже убежденными последователями майкрософта. Я не говорю сейчас о специалистах сферы ИТ, которые с легкостью могут работать в опен офисе и в юниксовых системах. Речь идет о специалистах всех остальных сфер деятельности, которые обычно составляют большую часть любой компании. При переходе на отечественное ПО необходимо будет проводить переобучение. Года четыре назад я была свидетелем тому, как бухгалтерия переходила с 1С 7 на 1С 8 - довольно мучительный процесс :)

2. Совместимость форматов. Вспомните официальные мероприятия, в каком формате просят прислать документы? Довольно редко не оговаривается тип файлов, обычно указано конкретно: pdf, doc и т.д. Никто не спорит, что можно написать свой офисный пакет приложений, который будет поддерживать формат майкрософтоских документов. Будут ли такие программы работать эффективнее - вопрос (опен офис тому пример - файлы в формате док весят больше тех же файлов, созданных в ворд).

3. Отсутствие аналогов. Многие программы пока есть только у зарубежных производителей. Должно пройти какое-то время, прежде чем появятся достойные аналоги того ПО, к которому мы привыкли.

4. Дороговизна самописных решений. В каждой конторе есть хотя бы маленькая, но самостоятельно разработанная программка, заточенная под нужды бизнеса. Однако написать полный комплект ПО для себя получится вряд ли - слишком сложная и требующая больших временных и денежных затрат задача.

5. Нестабильная работа "сырого ПО". Любая программа должна пройти испытания реальной работой, а от внедрения до нормального функционирования могут пройти месяцы (или годы).

6. В области защиты информации отечественное ПО крепко держит оборону. И это правильно, т.к. преимущество отдается сертифицированному по требованиям безопасности. При этом отечественные СЗИ выполняют все необходимые функции. Можно сказать, что в этой области особых проблем нет и это радует :) Также стоит отметить качественные продукты в области управления персоналом и бухгалтерии, достойное специализированное ПО для управления технологическими процессами. В остальном по части ОС и офисных продуктов работы у наших программистов предстоит еще много. Мой комментарий можно найти на странице ВК: http://vk.com/kshudrova (аудиофайл - Радио Бизнес ФМ - Собственное ПО).

А как считаете Вы? 

Блог: shudrova.blogspot.ru

Классификация информационных систем персональных данных

Добрый день, коллеги! Сегодня я хочу представить Вам третью статью из цикла "Персональные данные: что было, что будет, на чем сердце успокоится". Статья посвящена классификации ИСПДн по старым и новым требованиям. Как классифицировали системы пять лет назад? Что такое уровень защищенности? Почему класс К1 по Приказу трех не то же самое, что класс К1 по 17 Приказу ФСТЭК? На все эти вопросы ответы можно найти в моей статье. Читатайте, комментируйте. Надеюсь, материал будет Вам полезным.

Статья находится в открытом доступе здесь.

Страница ВКонтакте: http://vk.com/kshudrova
Страница Блога: http://shudrova.blogspot.ru/

О контрольно-кассовой технике и информационной безопасности

Доброе утро, коллеги! 14 июля вышло Постановление Правительства "О проведении в 2014-2015 годах эксперимента по применению контрольно-кассовой техники при осуществлении наличных денежных расчетов и (или) расчетов с использованием платежных карт в целях совершенствования порядка ее регистрации и применения". Текст Постановления можно найти здесь. Вот здесь можно почитать любопытную статью с отзывами экспертов. С 1 августа эксперимент проводится на территории Республики Татарстан, Калужской области, Московской области и г. Москвы и продлится до февраля следующего года. Основная идея эксперимента - опробовать технологию онлайн передачи данных от касс в налоговую. Причем будут передаваться данные как при наличном, так и безналичном расчете. Пока участие в эксперименте добровольное. Цель нововведений - уменьшить нагрузку на предпринимателей в виде проверок налоговых, снизить их затраты на передачу отчетов. Честно говоря, об этом Постановлении я ничего не слышала, пока мне не позвонили с радиостанции Бизнес ФМ Красноярск и не попросили дать комментарий с точки зрения специалиста по информационной безопасности.

На мой взгляд можно выделить следующие уязвимые места:

1. Программа, установленная у пользователя. С точки зрения злоумышленника очень удобно, когда на всех кассах страны будет стоять одно и то же программное обеспечение.

2. Отсутствие средств защиты информации? Коллеги, поправьте меня, но никакой информации об установке модуля защиты я не нашла.

3. Канал передачи данных. Его тоже нужно защищать.

4. Хранилище данных в налоговой. База, которая содержит данные о покупках за наличные интереса не представляет. А вот за безналичные... Номера карточек покупателей будут храниться в общей базе, доступ к которой нужно будет тщательно защищать. Все мы знаем, что в некоторых интернет-магазинах можно рассчитаться просто по номеру карты. 

Размышления достаточно сумбурные, информации в Интернете крайне мало. Мой комментарий (и комментарии других экспертов) Вы можете прослушать в моей группе ВКонтакте: http://vk.com/kshudrova (аудиофайл "О кассах").

Страница Блога: shudrova.blogspot.ru

Зима. Лебяжье. Романов Роман. Источник

Одно интересное интервью и немножко больше информации обо мне

Добрый вечер, дорогие читатели! В пятницу ничего серьезного обсуждать не хочется. Поэтому я Вам просто дам ссылочку на интервью представителя Роскомнадзора. О том, что каждый должен иметь право на забвение, философская вещь :) Как убирать данные из архивов поисковиков я так и не поняла. Может вы разберетесь. 

А еще раздел "Обо мне" обновился и теперь там много всего, можете почитать здесь.

Хороших всем выходных!

Страница Вконтакте: http://vk.com/kshudrova
Блог: http://shudrova.blogspot.ru

BYOD поможет сэкономить?

Добрый вечер, дорогие читатели! Тема сегодняшней заметки - технология BYOD (Bring Your Own Device — “принеси свое собственное устройство”). Ноутбук, планшет, смартфон стали "джентельменским набором" для многих. Некоторые работодатели настроены использовать техническую оснащенность сотрудников в своих интересах. Действительно, зачем покупать стационарные компьютеры, когда пользователи могут принести свои ноутбуки и работать на них? С одной стороны работник чувствует себя практически "как дома" за родным планшетом, с другой стороны - серьезная экономия на технике. 

Естественно актуальными становятся проблемы безопасности:

1. Оборудование периодически оказывается за пределами контролируемой зоны - сотрудники забирают домой свою технику, оно и понятно, частная собственность, как никак.
2. Настройки средств защиты информации могут быть изменены. Здесь речь идет в том числе о психологическом факторе - "это мой ноутбук и я буду настраивать его так как мне удобно".
3. Даже если доступ к информации организован в терминальном режиме, данные могут быть сохранены на жестком диске (хотя бы и в качестве скриншотов), а потом использованы в корыстных целях.

Кроме проблем безопасности есть еще некоторые неприятные моменты:

1. Мобильное устройство обычно подразумевает использование беспроводных сетей. Организации придется организовать точку доступа или раздавать модемы.
2. Возникнет проблема с аудитом - поставить ДЛП систему на домашнее устройство сотрудника вряд ли получится :)
3. Сотруднику тяжело настроиться на рабочий лад, не заходить в социальные сети, блоги, на сайты новостей, когда все к этому так располагает - свое устройство, бесплатный широкополосный доступ в Интернет, отсутствие контроля.
4. Ограничить список внешних устройств тоже не получится. Вряд ли Вам принесут на учет флешки и диски родственников и друзей :)
5. Придется закупать антивирусные программы и другие СЗИ, а потом еще и уговаривать (заставлять) их поставить. Ну и как говорилось выше - настройки могут быть изменены:)
6. Мобильное устройство может быть потеряно вместе с хранящейся на нем коммерческой тайной.

Воот. В защиту BYOD хочу сказать, что для сотрудников, работающих дома, решение хорошее, но это уже не совсем bring :) Ну и для руководителей организации, естественно, удобство в командировках и на встречах как никак, хотя для директоров обычно все-таки покупается служебный ноутбук.

На тему статьи меня натолкнул материал, присланный на отзыв, его можно прочитать здесь, вместе с моим экспертным мнением.

Страница ВК: http://vk.com/kshudrova
Мой блог: http://shudrova.blogspot.ru/

Источник