Немного пятничной халявы

Несколько полезных ссылок:

• ISACA опубликовала бесплатный пробный тест для претендентов на сертификацию CISA - http://www.isaca.org/Certification/US-DoD-Information/Pages/CISA-Self-Assessment.html

• Бесплатные видео-курсы по хакингу от Offensive Security - http://www.cs.fsu.edu/~redwood/OffensiveSecurity/lectures.html

Публикование информации об инцидентах

Осенью этого года Госдума с подачи сенатора Гаттарова возможно будет обсуждать повышение штрафных санкций за утечку персональных данных.  Все это делается под эгидой приведения нашего законодательства в соответствие с европейскими нормами.  Т.е карать хотят все же не за отсутствие формального соответствия, а за реальные "косяки". 

Но такая система держится в первую очередь на том, что компании будут сообщать о произошедших у них инцидентах.  В Америке это решили просто - в определенных случаях за сокрытие фактов утечки руководителям компании может грозить уголовное наказание. Это отрезвляет.  У нас о подобной мере никто не говорит, так что в случае повышения штрафов становится непонятным каким образом будет обеспечено то, что компании будут сообщать в соответствующие органы об утечке (тем более понимая что получат при этом серьезный штраф).  Если ориентироваться только на случаи, которые будут получать публичный резонанс, то это будет только вершина айсберга, хотя конечно уже что-то. 

Ну и в завершение этого короткого поста в подтверждение моих слов немного статистики из той самой благополучной Европы.  Компания AlienVault провела исследование среди европейских компаний и согласно ему: 

• только 2% компаний готовы сообщать об инциденте публично
• 38% готовы сообщить об инциденте в соответствующие органы
• 31% готовы сообщить об инциденте своим сотрудникам
• 11% готовы поделиться информацией об инциденте с сообществом специалистов по информационной безопасности

Источник:  http://www.net-security.org/secworld.php?id=15485

Вот так вот …  

Хакинг автомобилей

Странно что эта тема у нас в сообществе практически не обсуждается в то время как это однозначно одна из горячих тематик относительно ближайшего будущего (я прям так и вижу антивирусы для автомобилей).  В западных же источниках периодически что-то проскальзывает. Вот, например, интересное видео:

Я, правда, в процессе просмотра все ждал когда они ему сделают срабатывание подушки безопасности на руле для полноты всех ощущений :)  Не случилось

Простые правила безопасности от ЛЕТА

Всем привет после долгого перерыва ! 

К сожалению масса проектов, в которых приходится принимать участие, забирает слишком много времени и поэтому на то, чтобы писать в блоге, его совсем не остается. Ну это так, лирическое вступление. 

Хочу рассказать как раз об одном таком проекте, который компания LETA запускает сегодня. Проект "Так Безопасно !". 

Думаю ни для кого не секрет, что повышение грамотности персонала в вопросах информационной безопасности облегчает решение многих проблем безопасника, но вот как правильно организовать такую программу повышения осведомленности ?    

Именно на этот вопрос мы и поможем найти ответ в рамках проекта "Так Безопасно!".  В качестве первого шага мы приступили к созданию специальной графики, которая может быть использована либо в качестве заставки на компьютерах сотрудников, либо распечатана (изображения сделаны в достаточно высоком разрешении) и развешана по офису. 

Дальше будет больше. Новые плакаты и дополнительные инструменты для повышения осведомленности, так что следите за обновлениями, а лучше регистрируйтесь на странице проекта и будьте всегда в курсе. 

Сделайте первый шаг к безопасности вместе с LETA!

Сайт проекта - http://tb.leta.ru

Отличное видео про экстрасенсов, соцсети и приватность

Тонкая грань между целостностью и доступностью

Сижу, читаю драфт государственного стандарта "Информационные системы и объекты информатизации. Угрозы безопасности информации. Общие положения".  И вот такой пассаж бросился в глаза:

Угрозы нарушения целостности защищаемой информации направлены на ее уничтожение и/ или модификацию.

Угрозы нарушения доступности защищаемой информации направлены на исключение возможности использования этой информации ее обладателем (пользователем), процессом или устройством

На мой взгляд здесь классическая ошибка, связанная с наличием тонкой грани между понятиями свойств "целостности" и "доступности" информации.  

Разве уничтожение информации (угрозы нарушения целостности согласно первому определению) не приводит к исключению возможности использования этой информации ее обладателем (из второго определения для угроз доступности) ?  Приводит ! 

Поэтому про нарушение целостности можно говорить только тогда, когда в исходную информацию вносятся изменения, которые для пользователя выглядят как абсолютно легитимные.  Если же в результате изменений информация меняется полностью или же нарушается структура данных, то это уже в чистом виде уничтожение информации, т.е нарушение доступности. 

Может быть я конечно говорю банальные вещи, но есть специалисты, которые в этом вопросе по-прежнему путаются. 

В качестве подтверждения давайте посмотрим на определения свойств "целостности" и "доступности" в различных документах: 

- ISO 27001

доступность: свойство, заключающееся в доступности и применимости для авторизованных субъектов, когда потребуется;

целостность: свойство, заключающееся в обеспечении точности и полноты ресурсов.

- ГОСТ Р 50922 2006. Защита информации. Основные термины и определения

целостность: Состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право

доступность информации: [ресурсов информационной системы]: Состояние информации [ресурсов информационной системы], при котором субъекты, имеющие права доступа, могут реализовать их беспрепятственно.

- Базовая модель угроз безопасности ПДн от ФСТЭК (документ от 2008 г.)

целостность информации: состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право.

определения доступности нет. 

- СТО БР ИББС

доступность информационных активов: Свойство ИБ организации банковской системы Российской Федерации, состоящее в том, что информационные активы предоставляются авторизованному пользователю, причем в виде и месте, необходимых пользователю, и в то время, когда они ему необходимы. 

целостность информационных активов: Свойство ИБ организации банковской системы Российской Федерации сохранять неизменность или исправлять обнаруженные изменения в своих информационных активах. 

Можно увидеть, что все определения очень схожи. И это только подтверждает то, что когда мы говорим о целостности, то речь идет именно о внесении несанкционированых изменений. Если же изменения приводят к тому, что исходная информация становится абсолютно неинформативной (уж простите за тафталогию), то тут мы уже имеем дело с нарушением доступности.  

Надеюсь что разработчики ГОСТа в ТК-362 учтут этот момент и внесут соответствующие поправки в документ. 

Скрытая угроза: несанкционированные облака

Компания VMware недавно провела опрос среди более 1,5 тыс. ИТ-руководителей компаний в Европе (http://www.vmwareemeablog.com/belgie/are-there-covert-clouds-hiding-in-your-business-1). Читая краткие итоги опроса, я обратил внимание на следующее наблюдение: 

“ In Europe, 37 percent of IT decision-makers think their staff have bought cloud services outside of the IT department, without getting the necessary permission ”

Т.е переводя на наш могучий: более трети ИТ-руководителей убеждены, что сотрудники тайно используют облачные сервисы,  о чем ИТ-служба (а значит и ИБ-служба) просто не в курсе. 

Мне это напомнило один момент из доклада основателя компании Мегаплан на одной из конференций, посвященных облачным и мобильным технологиям. Он как раз рассказывал про одну крупную компанию, отдел маркетинга которой тайно от ИТ-подразделения начал пользоваться Мегапланом для решения локальных бизнес-задач, просто потому что это было удобно. 

Думаю что такая угроза вполне реальна и по мере роста количества и ассортимента облачных сервисов она будет только возрастать.  Большие компании как правильно не используют публичные облака, а создают собственные приватные. Но где гарантия, что сотрудники не "гнут свою линию" ?

А вы уверены что у вас не завелись несанкционированные облака ?  :)

P.S. Об этом мало говорится в профессиональной ИБ-среде, но похоже что всесторонний анализ сетевого трафика становится все более актуальной дисциплиной. 

38-ой выпуск журнала (IN)SECURE

В свет вышел 38-ой выпуск журнала (IN)SECURE. В номере:

• Becoming a computer forensic examiner 
• UEFI secure boot: Next generation booting or a controversial debate 
• How to detect malicious network behavior 
• What startups can learn from enterprise level data security tactics 
• To hack back or not to hack back? 
• Report: Infosecurity 2013 
• DNS attacks on the rise: Rethink your security posture 
• IT security jobs: What's in demand and how to meet it 
• Remote support and security: What you don't know can hurt you 
• A closer look to HITBSecConf 2013 Amsterdam

Ссылка для скачивания: http://www.net-security.org/dl/insecure/INSECURE-Mag-38.pdf

Отчет Zecurion по утечкам в 2012 году и отношение в России к ПДн

Компания Zecurion на днях опубликовала свой отчет об утечках в 2012 году. 

Ссылка: Отчёт об утечках конфиденциальной информации в 2012 году

Ребята неплохо раскрутили эту тему, о них рассказал и Коммерсант FM и РБК. 

Интересная новость из отчета на мой взгляд очень ярко отражает отношение к защите ПДн в России. 

Министерство внутренних дел: на свалке нашли личные документы

В апреле 2012 года близ Казани инспекторы Центрального территориального управления министерства экологии обнаружили несанкционированную свалку. Среди мусора оказались и личные дела военнослужащих расквартированной неподалёку воинской части МВД пециального назначения. Её бойцы — участники контртеррористических операций на Северном Кавказе. Никаких претензий в части раскрытия персональных данных инспекторы военным не предъявили, зато пообещали привлечь к ответственности за загрязнение окружающей среды.

P.S. Кстати выброс персональных данных на свалку становится уже неким трендом. Только недавно в прессе бурно обсуждался инцидент в Сбербанке, когда анкеты клиентов просто выкинули в помойку.   А ведь это только известные случаи, а сколько проходит мимо прессы ? 

Пара интересных отчетов по безопасности для чтения на выходных

Чисто случайно наткнулся на парочку интересных отчетов по информационной безопасности:

The Global State of Information Security Survey 2013 (ссылка)		Verizon The 2013 Data Breach Investigations Report  (ссылка)

Риск-ориентированность в защите ПДн

Свершилось !

21-ый приказ ФСТЭК зарегистрирован и официально опубликован:

• Ссылка на сайте ФСТЭК - http://fstec.ru/component/attachments/download/562

• Тект в базе Консультанта - http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=146520

Думаю, что многие еще будут писать про этот приказ, Андрей Прозоров (тут и тут) и Сергей Борисов уже опубликовали свои первые комментарии. 

Еще до опубликования этого документа его активно анонсировали на разного рода конференциях, коллеги утверждали что теперь все "как лучших в домах Лондона", в смысле теперь все идет от оценки рисков и проч.  Давайте посмотрим так ли это.  Раскрутим цепочку начиная с текста закона. 

152-ФЗ "О персональных данных"

Статья 19. Меры по обеспечению безопасности персональных данных при их обработке.... 
2. Обеспечение безопасности персональных данных достигается, в частности: ... 
1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных; 

2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных ...

Уже тут мы видим, что с одной стороны есть необходимость в определении угроз (что фактически является оценкой рисков), а с другой стороны нужно применить меры, необходимые для выполнения требований (т.е обязаловка). Идем дальше:

ПП № 1119 и 21-й приказ ФСТЭК

Постановление правительства № 1119 определяет систему уровней защищенности и требований по информационной безопасности, которые должны быть выполнены для каждого из уровней. 

Причем отнесение системы к тому или иному уровню определяется на основании того, какой тип угрозы актуален для данной системы. 

А вот 21-ый приказ по сути переопределяет требования, прописанные в ПП № 1119.  Кто бы что ни говорил, но это так. Скрыто, но так.   Давайте сравним что написано в этих документах для 4-го уровня защищенности.

ПП 1119:

13. Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

а) организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

б) обеспечение сохранности носителей персональных данных;

в) утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

Приказ ФСТЭК № 21. Защитные меры для 4-го уровня защищенности включают в себя:

Идентификация и аутентификация пользователей, являющихся работниками оператора  

Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами

... и еще 25 базовых мер. 

Что-то не сходится. Явно все эти меры излишни если задача просто выполнить требования, прописанные в ПП № 1119.  

Но ведь это еще не все.  21-ый приказ ФСТЭК предполагает не только набор требований, но и определенный алгоритм по их адаптации под конкретику защищаемой системы (алгоритм взять из блога Андрея Прозорова):

• Шаг 2. Определение базового набора мер 

"Определение базового набора мер по обеспечению безопасности ПДн для установленного уровня защищенности ПДн в соответствии с базовыми наборами мер по обеспечению безопасности ПДн перечнем мер, приведенным в приложении к настоящему документу" .

• Шаг 3. Адаптация набора мер 

"Адаптация базового набора мер по обеспечению безопасности ПДн с учетом структурно-функциональных характеристик информационной системы, информационных технологий, особенностей функционирования информационной системы (в том числе исключение из базового набора мер, непосредственно связанных с информационными технологиями, не используемыми в информационной системе оператора, или структурно-функциональными характеристиками, не свойственными информационной системе)."

• Шаг 4. Уточнение перечня мер с учетом актуальных угроз

"Уточнение адаптированного базового набора мер по обеспечению безопасности ПДн с учетом не выбранных ранее мер, приведенных в приложении к настоящему документу, в результате чего определяются меры по обеспечению безопасности ПДн, направленных на нейтрализацию всех актуальных угроз безопасности ПДн для конкретной информационной системы. 

+"10.При невозможности технической реализации отдельных выбранных мер по обеспечению безопасности ПДн , а также с учетом экономической целесообразности на этапах адаптации базвого набора мер и (или) уточнения адаптированного базового набора мер могут разрабатываться иные (компенсирующие) меры, направленные на нейтрализацию актуальных угроз безопасности ПДн". 

+"13. При использовании в информационных системах новых информационных технологий и выявлении дополнительных угроз безопасности ПДн, для которых не определены меры обеспечения их безопасности, должны разрабатываться компенсирующие меры в соответствии с пунктом 10 настоящего документа."

• Шаг 5. Дополнение требований 

"Дополнение уточненного адаптированного базового набора мер по обеспечению безопасности ПДн мерами, обеспечивающими выполнение требований к защите ПДн, установленными иными нормативными правовыми актами в области обеспечения безопасности ПДн и защиты информации."

Я специально выделил Шаг 4. Именно в рамках этого шага может потребоваться полноценная оценка рисков ИБ (моделирование угроз), НО ведь никто же не обязывает выполнять этот шаг. В самом простом случае вы можете сказать, что для системы актуальны только угрозы 3-го типа и их нейтрализация достигается путем реализации базового набора мер защиты, прописанного в 21-м приказе ФСТЭК.  Все. 

В сухом остатке имеем то, что нормы законодательства о персональных данных в настоящий момент позволяют идти двумя путями при обеспечении персональных данных:

Упрощенный режим 

1) Проводим простое моделирование угроз в ходе которого рассматриваем 3 типа угроз, определяем что актуальны только угрозы 3-го типа (моделируем только на уровне типов, не опускаясь в детализацию описаний угроз).

2) С учетом дополнительной информации относим систему к 3-му или 4-му уровню защищенности.

3) Выполняем базовый набор мер для соответствующего уровня защищенности (исключая те, которые не подходят под архитектурные особенности защищаемой системы).

Экспертный (расширенный) режим

1) Проводим полноценное моделирование угроз, рассматриваем все возможные негативные сценарии.  Для актуальных угроз определяем их тип. 

2) С учетом дополнительной информации относим систему к соответствующему уровню защищенности.

3) Реализуем набор защитных мер, состоящий из базовых адаптированных мер, указанных в 21-ом приказе ФСТЭК, а также дополнительных мер, необходимых для нейтрализации угроз, которые определены как актуальные в ходе моделирования угроз. 

Не знаю задумывали ли разработчики наличие двух сценариев действий или оно само так получилось. Хорошо это или плохо покажет время...  По сути такая модель с одной стороны подходит и тем, кто хочет выполнять только то, что требуют (подход от обязаловки), и тем, кто пытается строить реальную защиту с учетом актуальных рисков. 

P.S. И все бы хорошо, если бы не эта нестыковка между требованиями в ПП № 1119 и мерами защиты в приказе ФСТЭК № 21.

Сервис "Google на всякий случай"

Узнал совсем недавно про такой сервис гугла как "Google на всякий случай":

https://www.google.com/settings/u/0/account/inactive

С помощью данного сервиса вы сможете либо 

а) уничтожить информацию из почты, файлов, профиля в Google+ и других приложений Google в случае, если по каким либо причинам вы в течение определенного времени (задается в настройках) не заходите в свой аккаунт. 

б) передать кому-то из своих доверенных лиц (до 10 человек) доступ к своим данным и право распорядиться ими на свое усмотрение.

Интересная опция, которая может использоваться для разных ситуаций (в большинстве случаев конечно же печальных для владельца, но что поделать, это жизнь, в ней всякое бывает).

Бой за криптографию. Бессмысленный и беспощадный.

Данный пост навеян недавней новостью о том, что ФАС решила выступить против обязаловки по оснащению транспортных средств тахографами со встроенными средствами криптографической защиты.

http://www.cnews.ru/top/2013/05/13/fas_reshila_osvobodit_voditeley_i_avtoparki_ot_kriptonapasti_528561

Пока не ясно чем это кончится, но хочется надеяться что разум все же победит, т.к совершенно непонятно с какой стати нужно использовать средство криптографической защиты в приборе, который регистрирует скорость, пробег, периоды труда и отдыха экипажа.  По какой такой модели угроз туда впихнули СКЗИ ?  От кого защищаемся ? 

Нет, если бы речь шла о тахографах на военных автомобилях или каких-нибудь боевых установках, я бы еще понял. Но на гражданских то зачем ? 

Все это на самом деле следствие лоббизма крайне жесткого (и по моему мнению архаичного) регулирования вопросов криптографии в России.  

Я глубоко убежден, что обязательства по лицензированию соответствующей деятельности по разработке и распространению, как и требования по сертификации средств криптографической защиты информации должны применяться исключительно там, где речь идет о защите государственных секретов.  Назовем это условно "военной" криптографией.  

В противовес, в отношении "гражданской" криптографии такие требования должны быть сняты (сделаны добровольными). В гражданском поле выбор того или иного средства защиты должен быть отдан на усмотрение тех кто ведет бизнес как это сказано "на свой страх и риск". 

Я уверен, что попытки ФСБ через жесткое регулирование спасти отечественную криптографию и расширить область ее применения ни к чему не приведут, если даже не навредят. 

Тому есть несколько причин: 

Во-первых, западная криптография уже тут и никуда не денется.  Весь мир работает по американским стандартам (SSL, AES, криптография в электронных транзакциях и проч.). И если Россия продолжит интеграцию в международные процессы, то нам прийдется принимать общие правила игры, никуда не денемся. Перевести весь мир на нашу криптографию мы не сможем. Для этого нам нужно сперва совершить мощный технологический рывок, чтобы остальные страны стали сперва использовать наши ИТ-технологии. Чего к сожалению в обозримом будущем никак не предвидится. И уж запретительная политика ФСБ тут тоже никак не поможет. 

Во-вторых, остановить экспансию западных средств криптографической защиты попросту невозможно.  Буквально несколько примеров:  iPhone/iPad так любимые нашими чиновниками обладают встроенной криптографией, которую никто не выпиливает при ввозе в РФ, добавим к этому WiFi-роутеры, оснащенные криптографией, видео-приставки, SSL-сертификаты на веб-сайтах (вспоминаем nalog.ru и gosuslugi.ru) и проч.  А если еще взглянуть на то, что все большее количество криптографических технологий выполняется в программной форме, а значит нет абсолютно никаких проблем с "ввозом" (пусть даже он и будет полулегальным).  Скачал себе программку и все. Пользуйся на здоровье. 

В-третьих если обязаловка по применению отечественных средств криптографической защиты навязывается в связи с тем, что у ФСБ якобы есть некий "секретный ключ", который позволит при необходимости вскрыть такие алгоритмы, то тут не надо обольщаться. Те, кто захотят скрыть что-то от наших спецслужб спокойно воспользуются иностранной криптографией (может быть даже и не американской) и им никакие запреты не помешают. Более того, вряд ли в гражданской сфере случатся ситуации когда потребуется подключить ФСБ для расшифровки информации за счет их секретных ключей к отечественным криптоалгоритмам. Для этого должна быть очень веская причина. 

Ну и наконец зачем нам нужно, чтобы наши алгоритмы были признаны в мире ? Ну допустим получим мы такую поддержку от всех операционных систем, дальше то что ? Все равно на уровне международном в конечном итоге родится какой-то единый стандарт, либо серия стандартов под определенные операции. Если мы хотим, чтобы там были наши наработки, то это вопрос работы в международных институтах стандартизации, вопрос развития нашей математической школы.  А запретительные нормы только монополизируют и замораживают рынок не давая развиваться молодым стартапам и инновациям. 

Нам криптография своя нужна в первую очередь чтобы защищать свои интересы, свою информацию, а для этого совсем не обязательно делать ее публичной и международнопризнанной. 

Так что подводя итог. Пора уже отделить в нашей стране криптографию "гражданскую" от "военной". В гражданской сфере разрешить применение тех технологий, которые продиктованы бизнес-необходимостью, а в сфере государственных интересов применять все соответствующие механизмы лицензирования и сертификации, чтобы в этой сфере защитой занимался определенный круг компаний соответствующей квалификации. 

P.S.  С уверенностью можно сказать, что бой за криптографию в гражданской сфере будет что называется до последнего. Бой бессмысленный и беспощадный, вот только что-то мне подсказывает, что выиграть в нем нашим спецслужбам все же не удастся и может быть будет правильнее сменить парадигму, ведь "лучшая битва та, которой не было".

Хроники кибер-атак

Наткнулся тут на один блог (http://hackmageddon.com/), в котором периодически выкладывается довольно подробный дайджест кибер-атак со всего мира.  Дайджест несколько отстает от текущей даты, видимо требуется время чтобы его составить, но в любом случае статистика интересная. 

Вот, к примеру, данные за период с 16 по 30 апреля:

Оригинал взят отсюда - http://hackmageddon.com/2013/05/05/16-30-april-2013-cyber-attacks-timeline/

Не пора ли завести свой собственный блог ?

Я стараюсь следить за российской ИБ-блогосферой и с сожалением констатирую, что количество "пишущих" практически не растет, а интенсивность появления новых интересных постов скорее сокращается по объективным и субъективным причинам (разбирать их сейчас не буду).

Конечно, отчасти общение стало активно перетекать в соцсети и twitter и некоторые даже рассматривают личный блог скорее как некую архаичную форму. Но на мой взгляд статичность блога имеет и свои плюсы.

Я постараюсь поделиться своими соображениями относительно того, чем может быть полезен личный блог. 

1)  Блог организует голову.  Т.к сообщения в блоге потенциально доступны достаточно широкой аудитории, то это вынуждает серьезно относиться к тому, что пишешь, детальнее прорабатывать тему и подбирать обширный аналитический материал. Кроме того, в процессе написания постов для блога как правило и сам лучше усваиваешь материал, который используешь для написания. 

2)  Блог дает возможность донести свою позицию.  Конечно можно просто высказывать свою позицию в комментариях к чужим сообщениям, но если вы хотите иметь собственную площадку, на которой вы главный, вы определяете правила и вы задаете повестку дня, то этой площадкой  может быть именно личный блог.

3)  Блог помогает налаживать связи.  В современном мире уже не так важно кого знаете вы (хотя это безусловно важно), сколь важно кто знает вас. Личный блог помогает стать более публичной персоной (если конечно писать будете интересно), а это в свою очередь поможет наладить контакты в профессиональной среде (конечно это не единственное средство, но в любом случае довольно действенное).

Ну а что касается общественной пользы, то чем больше будет людей, готовых делиться хорошими идеями, собственным мнением и реальной практикой в собственных блогах, тем активнее будет развиваться наше профессиональное сообщество. 

Так что.... не пора ли завести свой собственный блог ?

P.S.  Возможно коллеги-блоггеры в комментариях поделятся и своими соображениями насчет плюсов ведения собственного блога. 

P.P.S  Прибавление в блогосфере:

Игорь Агурьянов - http://aguryanov.blogspot.ru

Олег Глебов - http://glebovoleg.blogspot.ru