Блог Сергея Борисова про ИБ

  На прошлой неделе провели с Ксенией Шудровой ( RISC ) и Денисом Лукашем ( Infobip ) провели межблогерский вебинар в котором в режиме батла обсудили разные подходы к назначению, опыту, знаниям и подходам DPO и выстраиванию его взаимодействия с бизнесом. Раньше я уже делал подобный анализ исходя из требований к функциям, образованию и квалификации DPO , происходящих из нормативных требований и лучших практик.  Если вам интересна эта тема, то рекомендую ознакомится с этим коротким видео . Но в недавнем вебинаре мы исходили из сложившейся практики и собственного опыта. Рекомендую вам самостоятельно ознакомится с записью вебинара , и высказать свое мнение, а для затравки приведу несколько интересных цитат из обсуждения: ·         “точка зрения юриста является преобладающей” ·         “мы не видим, что целью закона 152-ФЗ является защита персональных данных” ·       ...

11 марта 2021 вместе с Ксенией Лебедевой (Шудровой) и Алексеем Лукацким провели вебинар по моделированию угроз информационной безопасности. Уже прошел почти месяц с момента публикации новой методики ФСТЭК России , а никаких обзоров, анализа и обсуждений ещё не было. Нужно было кому то начинать и мы взяли на себя это. Лично я начинал анализ новой методики с того, что сделал для себя mind карту документа – отметил там основные тезисы, проблемы, направления будущей аналитики. Её же использовал при подготовке вебинара и пару раз она промелькнула на самом вебинаре. В связи с большим количеством запросов на её в комментариях – выкладываю эту карту в картинке тут. А исходники будут в группах в VK и FB Основные мои мысли по поводу новой методики: ·         В методике достаточно много остается на экспертную оценку, экспертное определение и нужно много придумывать. Соответственно нужно закладывать большое количество трудозатрат по сравнению с предыдущими в...

Вчера совместно с Ксенией Лебедевой (Шудровой) провели вебинар в новом для нас мини формате. Если предыдущие межблогерские вебинары стремились по времени к 3 часам, то этот удалось уместить в 1 час. Сделали обзор законодательства и судебной практики РФ по обезличиванию ПДн. В большинстве случаев обезличивание ПДн остается добровольным мероприятием оператора ПДн. Но постепенно появляется все больше случаев, когда обезличивание является обязанностью: 152-ФЗ •         Альтернатива удалению при достижении целей обработки ПДн •         При обработке в статистических или иных исследовательских целях •         В целях повышения эффективности гос. и муниципального управления •         В целях эксперимента по ИИ в Москве 123-ФЗ •         В целях эксперимента по ИИ в Москве 44-ФЗ •    ...

 На несколько недель после публикации изменений в 152-ФЗ внесенных 519-ФЗ экспертное сообщество замерло, не было видно аналитики, публикаций экспертов… Наконец 28 января 2021 сезон комментариев открыл Роскомнадзор на своем дне открытых дверей. Отдельно прокомментировали изменения законодательства.   А также ответили на некоторые вопросы от сообщества, в том числе про распространение ПДн   Делаю основной вывод : ·         всем операторам надо определится: o    используют ли они персональные данные из публичных источников? o    публикуют ли они данные пользователей? o    предоставляют ли пользователям самим публиковать данные о себе? ·         все соцсети, форумы, менеджеры, маркеты, отзовики, доски почета – видимо да ·         если да, то придется получать отдельное согласие от субъекта ·     ...

В прошлый четверг провел с Валерием Комаровым и Ксенией Лебедевой (Шудровой) одноименный вебинар, на котором с коллегами подводили итоги, обсуждали проблемные места и возможные варианты действий. Ниже ссылка на запись вебинара: https://youtu.be/a_IjTrAzfeI Также в этой заметке хочу поделится итогами голосования, которое проводилось среди участников вебинара и других подписчиков. 1.Первая группа вопросов касалась проработанности законодательства в сфере КИИ на разных уровнях.  (в распределении справа (голубой и фиолетовый цвет) находятся слушатели положительно оценившие НПА, а слева (синий и красный) отрицательно оценившие НПА) 2. И интегральная оценка. Как видно, выше всего оценивают документы ФСТЭК. Ниже всего оценивают проработанность ФЗ о правонарушениях (УК РФ и КоАП РФ) 3. Далее я спрашивал, как оценивают знания НПА ответственными лицами и практическое применение их на практике. Как видно примерно треть работников хорошо знают и применяют НПА. Около трети ответственн...

Коллеги, поздравляю с окончанием 2020-ого года. Год выдался неординарный. Пришлось преодолевать много трудностей и испытаний, но они принесли бесценный опыт.  В этом году отменились офлайн мероприятия, зато много раз встречался с вами на онлайнах: 8 вебинаров УЦСБ и 9 межблогерских вебинаров. Надеюсь, что-то из этого было полезным, и спасибо за ваши отзывы, но   Последний выпуск межблогерского вебинара получился больше развлекательный и лайтовый, зато его можно пересмотреть в свободное время на новогодние каникулы. Собралась отличная ИБ компания и в меню были следующие блюда: ·         Антипредставления участников (что о тебе расскажут коллеги) ·         Про плюсы минусы разных регионов, с точки зрения путешествий, напитков, цен и т.п. ·         Про походы, про штрафы, про неотвратимость наказаний, комплаенс, актуальность ИБ в европе, про инструменты двойного назн...

Недавно у нас с Ксенией Шудровой прошел уже 10-тый юбилейный межблогерский вебинар. В этот раз гостями были Вячеслав Золотарев и Мария Сидорова и обсуждали мы с ними современные технологии и подходы в обучении ИБ. Все четыре докладчика рассказывали про разные стороны обучения ИБ, каждый исходя из своего опыта: ·         Я рассказал про современные технологии и подходы в корпоративном обучении ИБ, про попытки привлечь внимание пользователей за счет геймификации, интерактива, удобства, интересного контента, микрокурсов. Немного пересказов gartner много картинок из современных систем обучения ИБ и лучшие карточные игры ИБ, как подручный материал для тренинга. ·         Ксения Шудрова, наоборот, призывала брать пример с вузов при корпоративном обучении ИБ, совместно читать библию законодательство в первоисточниках, писать конспекты, использовать доски, учебники, методички, давать побольше самостоятельных работ и п...

 У некоторых организаций регулярно, а у других время от времени возникает потребность проверять (внешний аудит или внутренняя проверка) процессы обработки и защиты персональных данных – на сколько они соответствуют требованиям законодательства и внутренних документов. Тут есть большое количество возможных стратегий, а также много граблей на которые можно наступить. Для того чтобы их обсудить, мы с Ксенией Шудровой позвали на межблогерский вебинар ещё трех экспертов: ·         Сергей Городилов, руководитель направления ИБ группы компаний “АСПЕКТ СПб”, г. Киров, представляет опыт внешнего аудитора ·         Максим Лагутин, основатель и исполнительный директор компании “Б-152”, опыт аутсорсинга ответственного за организацию обработки ПДн в 10 компаниях ·         Татьяна Плотникова, выступает у нас как независимый эксперт, но представляет опыт регионального DPO и главного в...