Сообщения

Сообщения за август, 2020

Защита от утечек конфиденциальной информации на КОД ИБ в Краснодаре

Изображение
  Хотя Gartner кажется что средства защиты от утечек конфиденциальной информации уже вышли на плато продуктивности и даже включены в требования регуляторов и национальные стандарты, на практике все ещё очень много проблем и споров касательно разных аспектов применения DLP – начинать от каналов утечки или от бизнеса,   решение “из коробки” или изучение и адаптация к бизнес процессам организации, предотвращение или мониторинг, машинное обучение или удобный интерфейс оператора, большие данные или экономия ресурсов. Не успели мы разобраться с DLP , а тут к плато продуктивности подступают новые типы решений, которые тоже надо смотреть и возможно внедрять: cloud access security brokers , dynamic data masking , secure instant communications , behavior analytics , data sanitization и другие. Разовые внедрения против постоянного совершенствования и повышения зрелости процессов защиты данных. Все эти вопросы можно обсудить 3 сентября в Краснодаре на конференции Код ИБ . Давно у

Методические рекомендации Минздрава по категорированию объектов КИИ

Изображение
Несколько дней назад на сайте ДИТ Минздрава России для общественного обсуждения был выложен проект документа Методические рекомендации по категорированию объектовкритической информационной инфраструктуры сферы здравоохранения Давайте посмотрим на основные тезисы данного документа и отличия от остальных методических документов в сфере КИИ. ·         Явно перечислены виды организаций сферы здравоохранения, на которые распространяются действия МР – органы управления, лечебные организации, мед. организации особого типа, мед. организации по надзору, организации, осуществляющие фармацевтическую деятельность и т.п. ·         Подробные рекомендации по формированию комиссии по категорированию, в том числе форма приказа о создании, положение о комиссии, заключение комиссии. ·         Приведена форма и пример заполнения реестра бизнес-процессов (крайне полезно) ·         Здравые рекомендации по оценке критичности бизнес-процессов (на этом этапе оценивать не количественно, а качественно, так

Межблогерский вебинар. Аудит процессов обработки и защиты персональных данных

Изображение
 У некоторых организаций регулярно, а у других время от времени возникает потребность проверять (внешний аудит или внутренняя проверка) процессы обработки и защиты персональных данных – на сколько они соответствуют требованиям законодательства и внутренних документов. Тут есть большое количество возможных стратегий, а также много граблей на которые можно наступить. Для того чтобы их обсудить, мы с Ксенией Шудровой позвали на межблогерский вебинар ещё трех экспертов: ·         Сергей Городилов, руководитель направления ИБ группы компаний “АСПЕКТ СПб”, г. Киров, представляет опыт внешнего аудитора ·         Максим Лагутин, основатель и исполнительный директор компании “Б-152”, опыт аутсорсинга ответственного за организацию обработки ПДн в 10 компаниях ·         Татьяна Плотникова, выступает у нас как независимый эксперт, но представляет опыт регионального DPO и главного внутреннего аудитора Планируем начать с обсуждения следующих вопросов: ·         Зачем вообще проводить ау

Новый ГОСТ по обнаружению КА и реагированию на инциденты

Изображение
Вчера на сайте ФСТЭК России для общественного обсуждения был выложен ГОСТ Р «Защита информации. Обнаружения, предупреждения и ликвидации последствий компьютерныхатак и реагирования на компьютерные инциденты. Термины и определения» Как следует из названия, стандарт содержит: термины, определения, взаимосвязь терминов. Термины и определения разделены на разделы и подразделы. Обнаружение компьютерных атак и реагирование на компьютерные инциденты – это тема в которой пересекаются интересы многих регулирующих и иных организаций. Разработчики стандарта так обосновывают его необходимость: “Анализ национальных стандартов, нормативных правовых актов и методических документов показывает необходимость установления единой терминологии в части обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты. Отсутствие единой терминологии может привести к нарушению взаимопонимания между заказч