Вот все у нас так...

Перемен, требую наши сердца,

Перемен, требуют наши глаза....

В. Цой

Вчера смотрел передачу «Какие наши годы» с Леонидом Парфеновым и в ней был один из сюжетов посвященный самиздату конца 60-х, начала 70-х годов. Дело это было довольно опасное (давали 7 лет лагерей), но мне запомнился другой момент. Понятно что тогда принтеров не было и печатали самиздатовскую литературу на печатных машинках. Так вот до Хрущева все машинки подлежали обязательной (!) регистрации (как автомобили или оружие). Сделано это было понятно для того, чтобы всегда можно было вычислить кто что напечатал и упрятать его далеко и надолго.

Так вот...я подумал... как хорошо, что этот маразм не дошел до наших дней, что мы не регистрируем компьютеры или еще что похлеще.... но тут же я вспомнил про наболевший для многих :) вопрос персональных данных. Вспомнилось письмо ФСТЭК в адрес поликлиники по поводу лицензирования, а также многочисленные высказывания представителей данного ведомства на различных конференциях (очень много чего есть в блоге Алексея Лукацкого) по поводу сертификации, аттестации, лицензирования. Вспомнилось недавнее "обязательство" аттестации ИСПДн и текущее обязательство использовать средства защиты "прошедшие в установленном порядке процедуру оценки соответствия". Подумал я и про вопрос с использованием шифровальных средств, на основании которого для защиты персональных данных нужно использовать сертифицированную криптографию....стало грустно конечно же... ведь пока мы берем все ИТ-технологии с запада мы будем использовать их криптографию (банально - WiFi, SSL и др. уже устоявшиеся технологии, работающие на западной криптографии), их программные и аппаратные решения, и в этом нет ничего плохого на мой взгляд, раз мы так от них отстали, значит надо брать передовой опыт с запада, а не изобретать велосипед (вспомним царя Петра I). Я понимаю когда мы говорим про государственный сектор и защиту гос. тайны, но это отдельная область...а частный бизнес ? Отрадно конечно, что многие вендоры решили сертифицировать свои продукты, но по мне так это сродни регистрации печатных машинок, это убьет инновации, а точнее все новые инновационные продукты никогда не будут с сертификатом, потому что это отдельный процесс, в отдельные сроки и за отдельные деньги....

Однако я думаю, что все можно изменить, сейчас все сложнее становится втиснуть общество в жесткие зарегулированные рамки.... все в наших руках.... капля камень точит.... аттестация уже отменена :)

InfoSecurity 2010: впечатления и аудиозаписи

Всем привет ! Вчера побывал на выставке-конференции InfoSecurity. В связи с большой загрузкой на работе попал только на вторую половину дня и только на семинар RISSPA, но тем не менее успел пройтись по павильонам и перекинуться парой слов с коллегами. Впечатления остались очень приятные, очень хорошо была продумана и организация мероприятия (паркинг, регистрация, гардероб для верхней одежды и проч :)) и собственно содержание конференции. В программе стояло много мероприятий разного толка, но какого качества они были сказать не могу, не знаю. Тем не менее чувствовалось движение...чувствовался «конференционный дух» (если можно так выразиться).... С удивлением обнаружил, что некоторые компании проигнорировали эту конференцию (зря на мой взгляд), не было крупных антивирусных вендоров (Лаборатория Касперского, ESET), не было Positive Technologies, Информзащиты....Возможно они решили взять паузу и посмотреть какое из мероприятий привлечет больше народу, но если бы мне пришлось выбирать между Инфобез и InfoSecurity, то я бы выбор сделал в пользу последней. Единственной ложкой дегтя на мой взгляд стали размеры конференционных залов. Они не вмещали всех желающих, а слышимость в них была не самой лучшей из-за общего шума, стоявшего в павильоне, где проходила конференция. С этим в будущем году надо будет однозначно что-то делать.

Теперь по семинару RISSPA, который был посвящен расследованиям компьютерных преступлений. В семинаре приняли участие представители компаний Group IB, Fortinet, eSage Lab, а также сотрудник управления «К» и его австралийский коллега, неплохо говоривший по-русски :) (его выступление было первым). Мне удалось сделать аудиозаписи, но качество из-за шума получилось не очень (первая часть особенно «шумная», другие более-менее разборчивые).

Часть 1 (32 Мб, mp3) - выступление Andre Ross, PricewaterhouseCoopers

Часть 2 (36 Мб, mp3) - выступление Максима Суханова из Group IB

Часть 3 (13 Мб, mp3) - выступление Яна Скасырского из Fortinet

Часть 4 (16 Мб, mp3) - выступление Алисы Шевченко из eSage Lab

Семинар затянулся до 19:20 и мы были последними кто выходил из конференционного павильона... фактически нас просто выгнали :) (оборвали презентацию Алисы Шевченко из eSage Lab).

Материалы (презентации и видео-ролики) думаю должны через некоторое время появится на сайте RISSPA.

Будем ждать новых семинаров RISSPA и новых мероприятий по информационной безопасности.

ROGUCCI: Безопасность подводной кабельной инфраструктуры

На днях участвовал в круглом столе, организованном АНХ и институтом EastWest. EastWest занимается вопросами межгосударственного взаимодействия предоставляя аналитику и рекомендации, которые могут использоваться правительствами, государственными и частными организациями в решении существующих международных проблем. Круглый стол был посвящен вопросам кибербезопасности и защиты критичных систем, но пост мой посвящен не этому.

Одним из примеров работы института EastWest является работа, посвященная описанию текущих угроз безопасности подводной кабельной инфраструктуры. Как известно большая часть коммуникаций между континентами происходит посредством подводных оптических кабелей и зависимость современного общества от их надежности (надежной связи) становится все более и более высокой (особенно финансового сектора). Все думают помнят несколько последних инцидентов, посвященных разрыву кабелей на ближнем востоке, в результате чего несколько стран остались без доступа в сеть Интернет.

Отчет содержит подробное описание того, как устроена современная система подводной связи, какие уязвимости, присущи ее компонентам, с какими существующими техническими и политическими проблемами сталкивается ее эксплуатация.

Работа безусловно интересная и заслуживает внимания если вы хотите получить исчерпывающие понимание того, как устроены «подводные сети». Скачать отчет можно здесь (формат PDF, 53 МБ).   

А какие подкасты слушаете вы ?

Для меня сейчас безусловно одним из основных источников получения информации являются блоги (корпоративные или частные), но в последнее время также большую популярность стали получать подкасты. Я сам лично слушаю подкасты по двум причинам: получение актуальной информации + языковая практика (подтягиваю свой английский, т.к. большинство подкастов западные). Из всего разнообразия мое внимание пока привлекли следующие подкасты:

• 100% Virus Free Podcast — еженедельный подкаст от компании ESET. Спектр освящаемых в подкасте вопросов очень широк и не сводится только к антивирусной тематике.
• Risky Business - австралийский подкаст по информационной безопасности от Patrick Gray.
• Tenable Network Security Podcast – подкаст от компании Tenable (разработчиков Nessus). основными темами как правило являются новые уязвимости и хакерские атаки.
• PaulDotCom - Security Weekly – подкаст от довольно известного эксперта в области ИБ Paul Asadoorian. В подкасте обсуждаются последние новости, уязвимости, исследования в области информационной безопасности.
• Network Security Podcast - блог от Martin McKeay, блоггера из США, специализирующегося на PCI аудитах (хотя в подкасте освящаются самые разные темы).

А какие подкасты слушаете вы ?