Не пора ли коллеги что-то менять ? продолжение...

Как известно:  "сказал А, говори Б".  Поэтому не хотелось поднимать в своем блоге другие темы, пока не будет ясности с тем вопросом, который я поднял в предыдущем посте. 

Итак, делюсь первичной информацией.  Что мы имеем ?  В ближайшее время мы ожидаем появление постановлений правительства, которые должны разъяснить нам подходы к обеспечению защиты информации, содержащей персональные данные. Наша задача: вовремя обнаружить проект, проанализировать и если он окажется полной ересью, то начать звонить во все колокола и сделать все, чтобы ересь не прошла. 

Чтобы вовремя обнаружить проекты потребуется мониторить ресурсы ФСТЭК и ФСБ, т.к. эти ведомства публикуют проекты постановлений правительства (я пока не нашел документ, который обязывает их это делать, но пока они эту обязанность соблюдали).  Приглашаю всех, кому не все равно начать мониторить сайты указанных ведомств и как только там что-то засветится, сразу же скопировать (пока не закрыли доступ) и распространить через блоги или форумы. 

Сайт ФСТЭК - http://fstec.ru/_lenta/_lno.htm

Сайт ФСБ - http://www.fsb.ru/fsb/npd/prna.htm

Кстати, на сайте ФСТЭК на днях опубликовали проект постановления правительства, разработанный под закон "О национальной платежной системе". Комментировать его сейчас не буду, тема другого поста. 

Идем дальше, для борьбы с возможной ересью в постановлениях правительства у нас есть целых 2 (как оказывается) вполне правовых метода:

1) Антикоррупицонная экспертиза

Данная экспертиза проводится Минюстом. Как только документ поступит в Минюст они обязаны будут повести его экспертизу о чем заявят на своем сайте (тут).  Для того, чтобы у нас была возможность участвовать в этой экспертизе потребуется пройти аккредитацию как независимого эксперта (порядок аккредитации описан тут).  Стать таким экспертом может любой, дерзайте господа ! 

Вот краткая информация о том, что такое "антикоррупционная экспертиза":  

В соответствии с ФЕДЕРАЛЬНЫМ ЗАКОНОМ от 17 июля 2009 года №172-ФЗ «ОБ АНТИКОРРУПЦИОННОЙ ЭКСПЕРТИЗЕ НОРМАТИВНЫХ ПРАВОВЫХ АКТОВ И ПРОЕКТОВ НОРМАТИВНЫХ ПРАВОВЫХ АКТОВ» экспертиза проектов нормативных правовых актов и иных документов в целях выявления в них положений, способствующих созданию условий для проявления коррупции (далее – экспертиза на коррупциогенность), проводится в отношении:

проектов федеральных законов, указов Президента Российской Федерации, постановлений Правительства Российской Федерации, разрабатываемых федеральными органами исполнительной власти, проектов нормативных правовых актов федеральных органов исполнительной власти, затрагивающих права, свободы и обязанности человека и гражданина, проектов нормативных правовых актов федеральных органов исполнительной власти устанавливающих правовой статус организаций или имеющих межведомственный характер, концепций и проектов технических заданий на разработку проектов федеральных законов, проектов федеральных законов, поступивших для подготовки проектов официальных отзывов и заключений Правительства Российской Федерации на проекты федеральных законов, а также проектов поправок Правительства Российской Федерации к проектам федеральных законов.

Институты гражданского общества и граждане могут в порядке, предусмотренном нормативными правовыми актами Российской Федерации, за счет собственных средств проводить независимую антикоррупционную экспертизу нормативных правовых актов (проектов нормативных правовых актов). Экспертиза на коррупциогенность проводится аккредитованными в установленном порядке Министерством юстиции Российской Федерации юридическими и физическими лицами (независимые эксперты), принявшими решение о ее проведении, в соответствии с методикой проведения экспертизы проектов нормативных правовых актов и иных документов.

Независимая экспертиза на коррупциогенность проводится в инициативном порядке за счет собственных средств.

По результатам независимой экспертизы на коррупциогенность составляется экспертное заключение, которое направляется федеральному органу исполнительной власти – разработчику проекта документа.

В заключении по результатам независимой антикоррупционной экспертизы должны быть указаны выявленные в нормативном правовом акте (проекте нормативного правового акта) коррупциогенные факторы и предложены способы их устранения.

Заключение по результатам независимой антикоррупционной экспертизы носит рекомендательный характер и подлежит обязательному рассмотрению органом, организацией или должностным лицом, которым оно направлено, в тридцатидневный срок со дня его получения. По результатам рассмотрения гражданину или организации, проводившим независимую экспертизу, направляется мотивированный ответ, за исключением случаев, когда в заключении отсутствует предложение о способе устранения выявленных коррупциогенных факторов.

2) Оценка регулирующего воздействия

Такое у нас оказывается тоже есть :). Проводится данная оценка Департаментом оценки регулирующего воздействия Министерства Экономического Развития РФ. Причем, чтобы принять в этой оценке участие даже не требуется иметь аккредитацию !  

Вот кстати пример оценки, проведенной недавно в отношении проекта постановления, подготовленного ФСБ, по поводу лицензирования деятельности, связанной с криптографией. 

А вот слова В.В. Путина о данной оценке: "Сам институт оценки регулирующего воздействия (…) рассматривался как своеобразный фильтр против появления в правовых и ведомственных актах разного рода барьеров и ограничений, которые сковывают (или могут сковывать) работу бизнеса, влекут для него дополнительные издержки."  Ну золотые слова, именно то, что надо!

Итого, надо отслеживать появление анонсов о проведении оценки соответствующего постановления правительства на сайте МЭР (вот тут). И далее писать, писать, писать..... самое главное по утвержденной форме :)

Вот пока это все предварительные итоги. Если у вас, уважаемые читатели, есть что дополнить или поправить, оставляйте комментарии. Это действительно важно ! 

Не пора ли, коллеги, что-то менять?!

Одним из топовых постов последних дней в ЖЖ являтся сообщение Татьяны Лазаревой, посвященное ее отношению к тому, что происходит в нашей стране.

Сообщение мне лично очень понравилось, приведу несколько купюр:

.....То есть, типа, тебя не коснулось лично – и не лезь? Моя хата с краю, можно, я тут еще немножечко поиграю? А не кажется никому, что нас просто тупо приучили к тому, чтобы мы не высовывались? Это уже в хребте нашем, и не только нашем – от бабушек и дедушек, через родителей - живет, укрепляясь, не имея сопротивления. А зачем сопротивляться? Ведь все хорошо? Ну а если это все хорошо заканчивается, когда выходишь за пределы своей обставленной квартиры-дачи, отличной машины, оплаченной школы и больницы? Если ты видишь, что вокруг нечеловеческая нищета, нищета моральная, бездушие и беззаконие? Если ты это вдруг замечаешь – то у тебя есть два выхода: сделать вид, что этого ничего нет и вернуться в свою норку под одеяло первого, второго и далее каналов; или сказать себе: тут что-то не так и мне это не нравится......

.....Я сама панически боюсь системы, беспредела и беззакония, меня никогда не учили, не только тому, как с ними бороться, но даже просто тому, как с ними общаться. И я не умею с ними общаться и всячески избегаю. Мой девиз всегда был «Подальше от начальства, поближе к кухне». И это не единственный мой страх, я конечно же боюсь все потерять, я конечно же боюсь за своих детей. Но я не хочу видеть, как они будут жить в таком же страхе, это для меня еще ужаснее......


Рекомендую всем прочитать пост Татьяны полностью.

Я не буду говорить сейчас о политике, хоть этот блог и мой личный, но он все же посвящен вопросам информационной безопасности. Поэтому давайте взглянем на нашу отрасль. Все ведь выходит довольно схоже.  


Те же принципы у многих - моя хата с краю. Тот же страх, который видимо многие из нас впитали вместе с молоком матери (я тоже родился в СССР). То же самое нежелание сопротивляться. Даже когда наши регулирующие и проверяющие органы  нарушают элементарные нормы закона, когда эти самые законы пишутся  в полном противоречии с тем, что уже имеется. Когда существуют двойные стандарты, когда степень маразма зашкаливает порой настолько, что просто тушите свет,  и прочее... прочее.... прочее....

И мне если честно надоело, что все это объясняется простым "ну мы ж в России живем". Так в том то и дело, что здесь живем, и жить дальше нам, и нашим детям (я про своих по крайней мере так могу сказать).  А значит надо что-то менять.

Страшно ли мне ?  Есть немного ! Конечно же на нашем поле не играют по-крупному (огромными деньгами, жизнями и проч.), поэтому не стоит строить из себя тут революционеров. Я не говорю о страхе за жизнь.... у нас все значительно прозаичнее...  многие из нас молчат, потому что боятся подставлять свои компании... боятся за свои карьеры, за хорошие зарплаты...   Я был одним из тех, кто подписывал "письмо пяти" президенту. Поверьте, незаметно это конечно же не прошло (хотя и серьезных последствий все же не было, а это кстати показатель того, что действовать надо!).

Разве мы не хотим работать ?  Хотим ! Разве мы не хотим, чтобы наша отрасль развивалась, а вопросам безопасности уделялось больше внимания на уровне государства и бизнеса ?  Хотим ! Но чтобы это достигалось не теми методами, которые используются сейчас !

Мы слишком долго молчали, летом 2011 г. наконец-то прорвало, но мы проиграли (я про принятие поправок в 152-ФЗ). Проиграли потому что слишком поздно спохватились... эффект был, но реакция была слишком запоздалой (особенно со стороны разного рода сообществ, но это отдельна тема).... и Система выстояла.

Что теперь?  Будем ждать новых документов, в которых "по желанию общественности будет сохранена преемственность с прежними документами" (думаю все понимаю что это значит copy/paste), а потом хвататься за голову, возмущаться... ворчать по блогам ?  Я убежден, что нам необходимо найти механизмы общения с нашими регуляторами и более того .... механизмы ВОЗДЕЙСТВИЯ на регуляторов. Мне почему-то кажется, что они есть.  Причем это должны быть как механизмы разного рода сообществ и партий, так и механизмы индивидуального воздействия широких масс (это я так обозвал методы работы по принципу А. Навального, т.е. писать много, в разные инстанции большим количеством людей).

Пора, коллеги, (господа, товарищи, как изволите) занимать активную позицию. Если вы работаете в отрасли ИТ, то не думайте, что "ваша хата" будет с краю.... не будет.... все в одной лодке. 

Новые блоги по инфобезопасности

Продолжая тематику повышения активности нашей отрасли лично мне очень отрадно, что за последнее время блогосфера инфобезопасности довольно серьезно расширилась.  Вот блоги, которые я добавил в свою ленту за последние несколько месяцев (рекомендую ознакомиться):

• Обзор актуальных проблем информационной безопасности

• Люблю безопасность до безобразности

• Информационная безопасность - АУДИТ, ОЦЕНКА

• ИБ и БС

• Защищаемся вместе и по отдельности

• Безопасность - основа уверенности

А кто не знает, довольно обширный список блогов есть у Тараса Злонова  тут.

Киберпреступность отнесена к одному из ключевых рисков 2012 года

Известная организация The World Economic Forum подготовила доклад под названием Global Risks 2012 (скачать доклад можно здесь). 

В результате проведенных исследований кибер-атаки были отнесены на 1-е место в групппе технологических рисков:

Это, кстати, первый раз за 6 лет (в течение которых публикуются подобные доклады) когда кибер-риски попали в доклад и сразу далеко не на самое последнее место. 

Причина проста - современный мир все больше и больше зависит от коммуникаций, наличие доступа в сеть Интернет в некоторых странах уже собираются отнести к неотъемлемым конституционным правам каждого человека, а это значит что серьезные кибер-атаки способны серьезно повлиять на экономическую и социальную составляющую жизни многих людей. 

А вот кстати как выглядит полная карта мировых рисков (технологические риски слева):

Возвращаясь к кибер-атакам, основной причиной растущих кибер-рисков названа "гиперконнективность" (hypperconnectivity), т.е то, что к глобальной сети подключается все большее количество устройств (к Интернет уже подключают холодильники, системы управления "умными домами" и многое, многое другое....). При этом к основным негативным последствиям отнесены:

• сбои в работе критичных систем (системы электро-, водоснабжения и др. подобные системы), способные привести к технологическим катастрофам и человеческим жертвам;
• взлом и хищение корпоративных секретов/шпионаж (в докладе в качестве примера упоминается хакерская группа Anonymous). 

Понятно, что сам по себе документ расчитан на политиков, бизнесменов, экономистов, и других людей, не имеющих отношения к инфобезопасности. Однако написано, на мой взгляд, по делу. 

О пользе общения и обмена опытом

Прочитал тут на днях пост в одном англоязычном блоге. Весь его здесь приводить не буду, только фрагмент:

We don’t comment anymore. We don’t blog back anymore. 

People are blogging and putting their 2 cents into the conversation, but no one is repsonding. Oh, maybe they respond on twitter, on but it doesn’t make it into the blog. Blogging has always been and will always be a two way street. A blog should be a multi-party conversation with the blogger putting forth his ideas and others responding. They can agree, disagree, or concur, but they put their thoughts into the conversation. One of the great things about reading a hot blog post was following the thread of comments, that was where the real action took place. Whether it was a Rothman post on Security Incite/Securosis or Tom Pcatek on Matasano, a good threat with 50 comments kept you reading for more.

What about you? Are you ready to rejoin the conversation? If so, head over to your favorite security blog and join in. Or better yet, write a blog in response to someone else’s blog. It starts with you and you and you.

Суть этого сообщения сводится к тому, что автор сожалеет о том, что многие перестали оставлять комментарии в блогах, хотя обсуждение, которое возникает вокруг тех или иных мыслей в блоге, как правило становится дажее более ценным, чем само сообщение.  И именно о снижении интенсивности такого рода общения и сожалеет автор.

Я хотел бы взглянуть на этот вопрос несколько шире с учетом нашей, отечественной специфики.  На мой взгляд нашему сообществу (специалистов по инфобезопасности) не хватает общения, в том числе способствующего обмену опытом.  Почему в последнее время почти все, кто посещает разного рода конференции или выставки, говорят о бесполезности этих мероприятий ? Да потому, что практически редко удается услышать что-то полезное для себя. И это отчасти понятно. Чаще всего на этих мероприятиях выступают представители коммерческих организаций, которые заплатили за доклад, и они естественно в определенном смысле ограничены в формате и содержании выступления.  

И получается, что с одной стороны, организаторы не горят желанием звать людей, которые выступят просто так, да и желающих выступить тоже не так много, как мне думается (вот она, наша пассивность). 

Из форумов, в которых идет хоть какое-то профильное общение, лично я могу выделить только форум на bankir.ru (я здесь опускаю форумы чисто хакерской направленности, суть которых как правило заключается в обмене информацией для совершения нелегальных действий), но сам по себе формат форума не всегда подходит для обмена практическим опытом.

Тут конечно же надо честно признаться, что и я сам в последнее время не проявлял особой активности в сети.... но обещаю исправиться :)

Собственно я призываю всех проявлять бОльшую активность. Заводите собственный блог, комментите в чужих блогах (по делу конечно же), пишите в форум, социальную сеть...... может быть, если интересно, то вступайте в пока незарегистрированную партию ИТ. В общем проявляйте активность. Активное сообщество значительно сложнее прогнуть и навязать применение неадекватных норм (думаю все понимают о чем я).

Вы не согласны со мной ?  Давайте поспорим ! Пишите в комменты. 

P.S. Кстати, есть у кого-то мысли о том, какая площадка могла бы стать полезной для обмена опытом ?  

Программное обеспечение для проведения оценки рисков

Продолжая тематику оценки и управления рисками информационной безопасности в этом посте мне бы хотелось поговорить о программном обеспечении, которое может быть использовано для выполнения оценки рисков.   Зачем вообще нужно это программное обеспечение ?  Дело в том, что как только вы глубоко погрузитесь в этот процесс, то сразу станет понятно, что проведение оценки сопряжено с довольно сложной комбинаторикой. Сочетание разных активов, уязвимостей, угроз, защитных мер рождает сотни, тысячи возможных комбинаций, описывающих риски и тут уже без подручных средств не обойтись. Что же сейчас можно найти на просторах интернета:

vsRisk. Программное обеспечение от британской компании Vigilant Software. Продукт позиционируется в первую очередь как программное обеспечение для оценки рисков в соответствии с требованиями ISO 27001 и BS7799-3 (ныне ISO27005). На сайте можно скачать триалку на 15 дней (размер - 390 МБ).  Система мне показалась довольно примитивной и совсем не дружественной неподготовленному пользователю. В программе, например, есть довольно обширные списки возможных угроз, уязвимостей и контрмер, но при этом сама система не определяет никаких взаимосвящей между ними, это делается вручную самим пользователем. В общем я бы оценил программку на 3-ку. За что там просят 1700 Евро ?! 8-). 

PTA. Разработка компании PTA Technologies. Крайне интересный продукт на мой взгляд. Не привязан к какому-либо стандарту и реализует механизм количественной оценки рисков (!).  Это я, кстати, отметил бы скорее как недостаток данного программного обеспечения, т.к. все дело в том, что далеко не все можно оценить с точностью до доллара, а возможность качественной оценки не предусмотрена. В системе также предусмотрен интересный механизм оценки эффективности предлагаемых контрмер, на основании  чего можно, например, выдеть как меняется карта рисков когда мы добавляем или убираем те или иные контрмеры. 

На сайте разработчика укзаано, что продукт платный и для скачивания доступна только триалка на 30 дней. Сколько же стоит сам продукт и как его можно приобрести - информации нет (видимо подход индивидуальный :) ).

RSA Archer. Разработка компании Archer, с недавних пор принадлежащей гиганту RSA. Вообще говоря Archer - это такой огромный GRC-комбайн, который включает в себя множество различных модулей, один из которых обеспечивает управление рисками. Триалок для скачивания не предоставляется, на сайте есть презентационные видео. Стоимость данного продукта также не обозначена, но думаю что будет дорого, как и впрочем и все у RSA :)

Modulo Risk Manager. Разработка компании Modulo. На сайте доступно только довольно бедное описание функционала. Никакой триальной версии, никаких подробных видео-роликов. Тем не менее продукт отмечен наградой SC Magazine, а это значит что он все же чего-то стоит. К сожалению мне пока не удалось с ним ознакомиться. 

RM Studio. Продукт одноименной организации (сайт). Для скачивания доступна 30-дневная триалка, помимо этого на сайте можно посмотреть видео-ролики, демонстрирующие сценарии использования продукта. На мой взгляд данное программное обеспечение слишком примитивное в плане оценки рисков и подходит только тем, кто делает оценку рисков "для галочки". 

Гриф. Разработка компании Digital Security. Привел этот программный продукт скорее просто для общей картины. Сам продукт уже много лет никак не поддерживается компанией-разработчиком. Поэтому можно сказать, что его фактически уже нет. Пока это единственная отечественная разработка в этой области известная мне.

Откровенно говоря не густо. Я понимаю что мой обзор не может претендовать на 100% полноту, но все же.... 

Если кто-то знает еще какое-то программное обеспечение или другие способы автоматизации при проведени оценки рисков - прошу писать в комменты, обсудим.


Важное обновление !  Компания ISM SYSTEMS сообщила о разработке инструмента по автоматизации оценки рисков - ISM Revision: Risk Manager. Предварительная информация доступна здесь - http://www.ismsys.ru/?page_id=73. Продукт выглядит многообещающе. Более подробный обзор сделаю позже.

Детальное руководство по оценке рисков информационной безопасности из Канады

Разбирая материалы по оценке рисков информационной безопасности наткнулся на руководство по оценке рисков ИБ от канадского агенства CSEC (сайт организации). Документ носит название Harmonized Threat and Risk Assessment Methodology и доступен для скачивания здесь, дополнительные материалы, относящиеся к этому руководству доступны по этой ссылке.

Не смотря на то, что материал разработан аж в 2007 году, он все еще не потерял актуальности на мой взгляд.  Для тех кто в состоянии читать на английском языке (кто не может, тем рекомендую заняться изучением английского), крайне рекомендую ознакомится с этим документом, очень достойный материал.

В частности в материале достаточно подробно описаны следующие вещи:

• Организация проекта по проведению оценки рисков (вовлечение руководства, формирование рабочей группы, привлечение сторонних консультантов)
• Определение границ проведения оценки рисков (описаны различне подходы к выбору области проведения оценки рисков)
• Подходы к идентификации и классификации активов (включая методы сбора первичной информации, формы для описания перечней активов)
• Описание различия между BIA (Business Impact Analysis), PIA (Privacy Impact Analysis) и TRA (Threat and Risk Assessment)
• Классификация и описание возможных угроз информационной безопасности (с примерными перечнями). Впервые я встречаю в описании упоминание о прямых (direct) и непрямых(indirect) угрозах.
• Определение защитных мер, включая оценку их эффективности применительно к возможным угрозам

... и еще много чего интересного.  Ниже привожу несколько скриншотов из данного документа.

P.S. Еще раз подчеркну, что для тех, кто серьезно интересуется тематикой оценки рисков данный материал может стать довольно полезным. 

Итоги года уходящего и прогноз на 2012

Ну вот, коллеги, подходит к концу довольно непростой 2011 год. В этом посте мне бы хотелось оглянуться на те события, которые происходили в этом году, на мой прогноз, который я давал в прошлом году, и немного поразмышлять о прогнозах на год грядущий. 

Для начала вспомним о том, какие прогнозы я давал в прошлом году и насколько они сбылись:

Прогноз 1 (привожу лишь некоторые купюры): "Усилятся (расширятся) регуляторные требования по информационной безопасности. ..... Понятно, что персональные данные по прежнему будут превалировать, но и другие темы так же начнут себя проявлять. Законопроект Резника примут по моим оценкам в марте-апреле 2011 г после чего либо дадут еще какую-то отсрочку (т.к. до 1 июля все равно мало кто успеет выполнить требования обновленного закона), либо просто проводимые проверки будут ограничиваться только предписаниями без серьезных санкций. Также интересным является и то, что на мой взгляд сейчас сохраняется неопределенность в том, кто же будет предъявлять требования и проверять. ФСТЭК уже пытаются оттеснить от вопросов формирования требований и проведения проверок..... Думается мне, что все же негосударственным организациям будет предоставлена свобода выбора методов и способов защиты персональных данных...."

Все мы знаем чем закончилась (или может быть все же не закончилось) эпопея с поправками в 152-ФЗ. Прогноз об усилении регуляторных требований оправдался, прогноз о том, что ФСТЭК будут оттеснять оправдался (сейчас работу по разработке требований возглавляет ФСБ), а вот насчет свободы, точнее отказ от нее ... это конечно самая большая ошибка наших законодателей на мой взгляд.

Прогноз 2: Помимо тематики соответствия требованиям я думаю, что стоит ожидать усиления хакерской активности, приводящей к краже данных пользователей с целью получения денег (это и мошенничество в ДБО, фишинг и социальная инженерия). Думается мне, что 2011 г. может порадовать нас несколькими крупными инцидентами.

Этот прогноз тоже оправдался. Усиление хакерской активности это даже пожалуй слабо сказано. В этом году мы все услышали и про Anonymous и про LulzSec.  А что касается крупных инцидентов, то тут взлом RSA безусловно можно назвать не просто крупным, а крупнейшим инцидентом из произошедших за последние годы. Но RSA - это лишь одна из компании, взлому также подверглись компании Sony, MySQL, Epsilon, Acer, Honda, Nintendo и многие другие.

Прогноз 3: Помимо этого 2011 г. продолжит тенденцию "мобилизации", т.е. все большее количество сотрудников будет использовать для своей работы различные мобильные устройства: смартфоны, планшетные компьютеры (ipad и проч.), ноутбуки, а это в свою очередь все больше будет осложнять вопрос с обеспечением безопасности

Прогноз оправдался. В текущем году только в России было продано более 1 млн. планшетов. Многие компании теперь задумываются над такой проблемой как использование личных мобильных устройств в бизнес среде (на западе эту тенденцию назвали consumerisation of IT) и связанными с этим проблемами с безопасностью. Что же касается появления новых угроз, то тут активно начали работать вирусописатели под платформу Android (примеры тут, тут и тут).

Прогноз 4: Кадровый голод. Думаю что в 2011 году он проявится еще более остро. Хороших специалистов у нас во всех областях мало, а в ИБ и подавно. ...... Это хорошая пора для консультантов, т.к. в условиях отсутствия своих сил (и наличия денег) компании будут обращаться к их услугам, но ведь и им тоже потребутся специалисты, причем опытные и вот тут начнется драка за людей и жесткий хед-хантинг :)

Прогноз, на мой взгляд, оправдался частично. Специалисты по информационной безопасности нужны многим, на сайтах работы можно на вскидку найти с десяток вакансий от младшего специалиста до руководителя службы информационной безопасности. Активнее всего людей сейчас ищут банки (оно и понятно, СТО БР поднять - это не так уж и просто).  Но при этом никакого жесткого хед-хантинга все же на рынке не наблюдается. Связано это с тем, что необдуманные действия наших законодателей с принятием поправок в 152-ФЗ ввели всех в ступор и многие компании заняли выжидательную позицию. Да и призрак второй волны мирового финансового кризиса не прибавляет желания активно набирать людей.

Прогноз 5: Cloud Computing в России. Да, про облачные вычисления говорят уже давно, но в России пока я не встречал серьезных предложений по теме облачных вычислений, хотя уже сейчас появляются компании, готовые предоставить сервис, отвечающий требованиям 152-ФЗ. Во многом пока это чистая профанация, но я думаю, что в будущем году сервисы на базе облачных вычислений начнут набирать обороты, а это в свою очередь будет создать интересные преценденты (читай проблемы), связанные с обеспечением безопасности информации в таких "облаках" и контроля за их утечкой.

Прогноз почти не оправдался. С развитием ИТ в России все откровенно говоря не очень. Хотя, искренне удивило то, что под конец года появилась информация о том, что Роскомнадзор взялся разрабатывать требования к облачным платформам. Ну посмотрим что из этого выйдет.

Подводя итоги важнейших событий уходящего года, я бы еще отметил проведение в России двух хакерских конференций - Positive Hack Days и ZeroNights. Еще год назад многим казалось, что у нас такое просто невозможно организовать, но как оказалось мы тоже можем устраивать достойные мероприятия (к сожалению сам попасть не смог, надеюсь на будущий год организаторы про меня не забудут :) )

Теперь о грядущем. Что же нас ожидает ?  Для начала посмотрим на прогнозы других экспертов и компаний, которые уже появились в сети:

• Лаборатория Касперского подвела итоги 2011 года и сделала прогнозы на 2012 год. Отчет доступен тут.
• Прогноз до 2016 г. от Gartner опубликовал сайт PCIDSS.ru. Ссылка.
• Компания StoneSoft опубликовала довольно короткий прогноз на 2012 г. Ссылка.
• Предсказания на 2012 г. от Технического директора компании Imperva. Ссылка.
• Прогноз на 2012 г. от экспертов компании ESET. Ссылка.

Позволю себе также сделать несколько прогнозов:

1) Увеличение количества ИТ-инцидентов, связанных со сбоями и техногенными авариями. Я не верю в конец света в 2012 г., но я убежден, что компаниям, особенно крупным, надо прорабатывать вопросы непрерывности деятельности и восстановления после аварий. Shit happens, все неприятности невозможно будет предотвратить, но суметь оперативно отреагировать - жизненно важно.

2) Законодательный винегрет. По-другому никак не могу это назвать, прошедший год показал, что людей, способных писать адекватную нормативную базу в области ИТ/ИБ в госорганах практически не осталось. Надо быть готовым к появлению массы коллизий, спорных норм и двойных стандартов (вроде использования неразрешенной криптографии на государственных ресурсах). Однако, как показывает исторический опыт, неадекватное регулирование и излишнее завинчивание гаек рождает рост протестных настроений. И обрести они могут самую разную форму.

3) Усиление хакерской активности. Тут ничего нового, это многолетний тренд. Объемы вредоносного кода и масштабы хакерских атак растут год от года. В предстоящем году эту тенденцию может подхлестнуть ухудшающаяся экономическая ситуация. При этом все большее количество атак будет носить направленный характер (targeted attack).

4) Снижение внимания  к информационной безопасности. Неожиданный прогноз :)  но все происходящие в последнее время события показывают, что в стране накопилось множество проблем... в политике, в экономие, в промышленности (на днях потеряли очередной спутник.. как ни грустно об этом говорить, но мы проср..ли почти все что можно было). И в этой связи вопросы информационной безопасности конечно будут волновать государство и бизнес, но приоритет этих вопросов серьезно снизится.

Вот такие вот мысли, коллеги.  Но самое главное - не терять оптимизма !  Всех с наступающим новым годом !  :)

Перемен, требуют наши сердца ! (В.Цой)

Мы часто видим, как государство принимает неверную позицию относительно развития информационных технологий в России.

Пора что-то делать - http://on.fb.me/s6YtU7  !!!

P.S. Данный пост не является агитацией, а лишь предназначен для того, чтобы собрать на одной информационной площадке всех, кто не равнодушен к ситуации, которая творится вокруг профессиональной области, которой многие из нас решили посвятить свою жизнь (ну или хотя бы часть жизни). 

Главный по кибер-безопасности

Кибер-война, кибер-шпионаж, защита критичных систем - все эти вопросы волнуют умы наших иностранных коллег, да и мы, собираясь на разного рода мероприятиях, тоже иногда поднимаем эти темы (потом правда опять возвращаемся к насущным вопросам и к надоевшему уже всем 152-ФЗ, тут как в анекдоте: "мыши плакали и кололись, но продолжали есть кактус").  Однако наши зарубежные коллеги  помимо слов еще и делом занимаются (чему многие из нас думаю тайно завидуют). И дело это заключается в том, что в разных странах появляются отдельные органы (или люди) задача которых - на государственном уровне продвигать вопросы кибер-безопасности.  Вот лишь несколько примеров:

Австралия

Март 2011. Австралийское правительство в рамках реализации национальной стратегии кибербезопасности объявило о создании государственного подразделения, отвечающего за национальную кибербезопасность. В задачи нового подразделения войдет защита правительственных и военных сетей, а также ИТ-ресурсов, включая открытые и закрытие ресурсы, от хакерских атак.

Новое подразделение создано на базе австралийской разведки ASIO (Australian Security Intelligence Organisation) и будет фактически работать под началом данного государственного института. Также сообщается, что новая служба будет тесно взаимодействовать с CERT Australia (Computer emergency response team Austalia) и центром Cyber Security Operations Centre (CSOC), работающим при Министерстве обороны страны. В задачи новой службы кибербезопасности также будет входить борьба с кибершпионажем и утечками информации из стратегически важных источников.

Сайт этой организации можно посмотреть по этой ссылке

США

Май 2009. Президент США Барак Обама объявил о создании в Белом доме отдела по кибербезопасности, во главе которого будет стоять "киберцарь", сообщает агентство AP.

Обама заявил, что хакеры являются одной из главных угроз экономической и национальной безопасности США. "В масштабах страны и в масштабах правительства мы не готовы справиться с этой проблемой в полном объеме", - заявил президент США на пресс-конференции в Белом доме.

"Киберцарь" будет отчитываться перед Советом национальной безопасности и Экономическим советом, а также будет "регулярно" встречаться с президентом. Как передает AFP, его обязанности будут заключаться в координации работы правительственных агентств и усилий по обеспечению информационной безопасности.

Франция
2009г. Агенство по национальной безопасности информационных систем (ANSSI) было учреждено Декретом № 2009-834 от 7 июля 2009 года ( Официальный вестник от 8 июля 2009г.), в качестве национальной службы. Оно прикреплено к Генеральному секретарю по вопросам обороны и национальной безопасности (SGDSN), орган, ответственный за оказание помощи премьер-министру в вопросах обороны и национальной безопасности. К основным задачам агенства относятся: обеспечение безопасности государственных информационных систем, координация действий по обороне информационных систем, проектированию и развертыванию телекоммуникационных систем с целью решения задач высшего руководства страны, обеспечения надежного межведомственного взаимодействия, а также создания условий для атмосферы доверия и безопасности, способствующих развитию информационного общества во Франции и Европе.

Сайт этой организации можно посмотреть по этой ссылке.

Германия
В германии еще с 80-х годов прошлого века существует служба, отвечающая за вопросы информационной безопасности - Bundesamt für Sicherheit in der Informationstechnik (BSI). Возможно кто-то слышал об этой организации, они выпускают довольно интересный справочный каталог по безопасности - IT Grundschutzhandbuch, а также поддерживают собственные стандарты по ИБ, созданные на основе стандартов серии ISO 2700x.

Сайт этой организации здесь.

Украина
Да, даже наши соседи предприняли попытку :). В Украине появится специальный орган по обеспечению информационной безопасности. Правда судя по тексту, пока все же законопроект забраковали... НО, был сделан первый шаг.

Россия ???
А что же на нашей Родине ?  Кто у нас отвечает за эти вопросы и занимается этими проблемами ?  ФСТЭК ? ФСБ ? Отдел К в МВД ?

Думается мне, что все же в текущем раскладе никто. Кстати, все уже слышали о том, что в новой думе упразднили комитет по ИТ ?

Вот, читаем:

Комитет по информационной политике, ИТ и связи перестанет существовать в Госдуме нового созыва. Деятельность по этому направлению будет возложена на комитет культуры, возглавляемый режиссером Станиславом Говорухиным.

Подробнее: http://www.cnews.ru/news/top/index.shtml?2011/12/20/469659

Замечательно. Я ничего не имею против Станислава Сергеевича, но думаю что в описанных выше вопросах он не сильно разбирается.

Кроме того, я слышал что Госдуму покинула (или скоро покинет) Волчинская Елена Константиновна. Очень грамотная на мой взгляд женщина, по крайней мере на разного рода ИБ-конференциях она говорила очень правильные вещи.

Ну и где эта модернизация ?  Почему никто на государственном уровне не решает вопросы кибербезопасности в частности и вопросы информационной и ИТ безопасности вообще ?

P.S. Я конечно понимаю, что вопросы в никуда...... Хотя может быть кто-то знает кому их можно задать ? :)

План проверок Роскомнадзора на 2012 год в формате Excel

План проверок РКН на следующий год был опубликован в конце ноября (Алексей Лукацкий уже писал об этом тут).  Но не знаю кому как, а лично мне формат данного отчета (MS Word) абсолютно неудобен. 

Поэтому я перевел план в формат Excel, отфильтровал только те проверки, которые включают в себя вопросы соблюдения законодательства о персональных данных и удалил ряд незначащих (по моему мнению) столбцов. 

Скачать план проверок можно здесь.  Пользуйтесь, коллеги !

Новый номер журнала (IN)SECURE

Вышел в свет декабрьский номер журнала (IN)SECURE, на мой взгляд одного из лучших изданий в нашей отрасли.

В этом номере:

• 7 questions you always wanted to ask a professional vulnerability researcher
• Insights on drive-by browser history stealing
• Review: Kingston DataTraveler 6000
• RSA Conference Europe 2011
• PacketFence: Because NAC doesn't have to be hard!
• Information security and the threat landscape with Raj Samani
• Security is a dirty word
• Smartphone apps are not that smart: Insecure development practices
• Virus Bulletin 2011
• Infosec professionals: Accomplishing your day job without breaking the law
• WPScan: WordPress Security Scanner
• Securing the enterprise: Is your IT department under siege?

Скачать журнал можно здесь.

Мини-DLP, но главное бесплатно

На выходных нашел в интернете компанию, занимающуюся разработкой различного ПО, позволяющего проводить анализ инфраструктуры Microsoft (групп, политик, прав, настроек баз данных проч.).

Что меня заинтересовало - это то, что они предлагают бесплатную систему DLP. Сказано конечно громко насчет именно DLP. Дело в том, что данная программа выполняет только одну функцию современных DLP-систем - она позволяет проводить поиск конфиденциальной информации по заранее заданным шаблонам (в программе есть как уже настроенные шаблоны для поиска, так и возможность создать свои). Ниже парочка скриншотов

Я не отношу себя к поклонникам сэкономить на всем и вся (особенно на безопасности), но для тех, кто не может позволить себе полноценную DLP-систему, это может быть неплохим инструментом для того, чтобы хотя бы разобраться с тем, что где лежит.

Столкновение взглядов: сертифицироваться или нет

И вновь о спорах на профессиональную тему. В этот раз предлагаю обсудить тему сертификаций. Относительно недавно я проводил опрос на эту тему и по его результатам видно, что почти 85% опрошенных подумывают над сертификацией или дополнительным образованием.

Довольно известные аргументы против сертификации:

- сертификация не показывает опыт и знания, а лишь подтверждает умение пройти тест (причем, возможно, заранее наловчившись на дампах);

- серьезные специалисты не сертификации получают, а делом занимаются;

- знания, проверяемые при сертификации, как правило не соответствуют необходимым на практике.

Несколько аргументов за:

- для некоторых вакансий наличие сертификаций является либо обязательным либо крайне предпочтительным (т.е. дает дополнительный плюс при прочих равных);

- для иностранных организаций наличие сертификации является универсальным языком общения (наши институты и специальности, если это не МГУ, для них темный лес);

Мое мнение - все же сертификаты получать нужно, но к выбору того, какой сертификат получать, следует отнестись довольно серьезно. И чувство меры тоже должно быть.

По своему опыту могу сказать, что из тех сертификаций, которые я получал, в качестве серьезных я могу выделить CISSP, CISA и RHCE. Первые две потому как помимо довольно серьезного экзамена (который кстати многие не сдают с первого раза), они еще и требуют постоянное подтверждение компетенции. А RHCE потому что это одна из немногих сертификаций, которая сдается путем именно практического экзамена, т.е. нужно не на вопросы отвечать, а реальную систему настраивать по предоставленному заданию.

Справедливости ради стоит сказать, что мне доводилось встречать CISSPов, которые рассказывали как готовились к экзаменам по брошюркам и дампам, но тем не менее это не уменьшает для меня ценность сертификации.

PDF - скрытая угроза

При том количестве уязвимостей, которое находят исследователи в продуктах компании Adobe в последнее время, можно с уверенностью сказать, что использование pdf-файлов в настоящее время является одной из самых опасных угроз.

Современный бизнес не может отказаться от pdf-файлов и это делает затруднительным работу по защите от данной угрозы. Кроме того следует сказать, что функция sandbox, которая уже давно применяется в браузерах с целью ограничить возможности вредоносного ПО рамками "песочницы", в Adobe Reader появилась только в версии 10.0 и называется Protected Mode (подробнее можно посмотреть здесь).

Помимо перехода на версию 10.0 другим относительно простым способом защиты является переход на альтернативные pdf-читалки. В данном случае работает принцип того, что в альтернативных читалках уязвимости активно никто не ищет по причине невысокого общего объема их использования в мире (хакеры идут простым путем и в первую очередь ориентируются именно на наиболее распространенное ПО) .

Из альтернативных читалок можно выделить Foxit Reader и Nitro PDF Reader.