Блог Сергея Борисова про ИБ

Как вы, наверное, слышали недавно госдумой были внесены изменения в ФЗ «об образовании в РФ» в части регулирования просветительской деятельности. Сразу же появилось много вопросов, о том, что блогеры по информационной безопасности тоже попадают под эти требования и как именно их будут регулировать? Как будто в ответ на эти вопросы недавно был утвержден и опубликован Профессиональный стандарт «Блогер в сфере информационной безопасности».   В стандарте определены виды блогеров, их трудовые функции, необходимое образование, навыки и умения, а также порядок взаимодействия с органами контроля. В частности, определено, что осуществления своей деятельности блогеры должны будут получить разрешительное заключение от трех профильных органов государственного контроля – Роскомнадзора, ФСТЭК России и ФСБ России. Для этого нужно будет: ·         пройти обучение в организациях, установленных профильными органами; ·      ...

Недавно  National Institute of Standards and Technology в США (NIST)  обновили свой документ  “ Security and Privacy Controls for Information Systems and Organizations ”  до версии  5. Предыдущая версия была опубликована достаточно давно – почти 6 лет назад и за это время её скачали несколько миллионов раз, в том числе разработчики приказов ФСТЭК России брали за основу набор мер из 800-53. Давайте посмотрим на интересные изменения: ·         Правила выбора мер, базовые наборы мер защиты, правила оценки соответствия, правила управления рисками были отделены от основного документа в отдельные документы: 800-53 A , 800-53 B и SP 800-37. Область применения этих документов не такая широкая как у основного документа ·         В основном документе 800-53 был оставлен только каталог мер защиты и комментарии по их применению. Сам каталог может использоваться самыми различными организациями для к...

Не слежу постоянно за изменениями в InformationSecurity Manual (ISM) , которые происходят, кстати, ежемесячно (в отличие от документов российских регуляторов), но иногда заглядываю, как в лучшие практики. Вот и после вчерашнего (4 сентября) обновления решил посмотреть и написать – много интересного накопилось.   В течении года австралийский регулятор придумывал как бы перейти от комплаенс-ориентированного применения ISM , когда организации должны выполнять все обязательные требования к риск-ориентированному, в котором организации используют ISM как framework для выбора мер защиты от актуальных рисков. Теперь ISM = введение + Принципы + Руководства + Термины Высокоуровневые общие для всех принципы кибер безопасности (Cyber Security Principles) которые обеспечат на стратегию организаций в том как защищать системы и информацию от кибер угроз. Принципы сгруппированы в рамках 4 процессов:   К ним разработана достаточно простая модель оценки зрелости. Организа...

  Сегодня был опубликован новый стандарт Банка России СТО БР ИББС-1.3-2016 “Cбор и анализ технических данных при реагировании на инциденты информационной безопасности при осуществлении переводов денежных средств”.  Вступает в силу с 1 января 2017 г. Стандарт достаточно объемный – 49 страниц, при этом практический и полезный. Давайте посмотрим на основные моменты поподробнее. В стандарте идет речь о том, как надо правильно собирать, обрабатывать, анализировать и документировать технические данные - данные, формируемые объектами информационной инфраструктуры, в том числе техническими средствами защиты информации, используемыми организациями БС РФ и их клиентами для осуществления переводов денежных средств, связанных со свершившимися, предпринимаемыми или вероятными реализациями угроз ИБ. Рассматриваются инциденты ИБ следующих типов по источникам получения информации: ·          Информация о которых получена от клиентов...

  Во время подготовки одной из предыдущих статей про структуру документов ИБ наткнулся на очередные изменения в лучших практиках – австралийской Information Security Manual, который мне захотелось рассмотреть поподробнее. Почему данный документ можно отнести к лучшим практикам? По моим наблюдениям документ обновляется каждый год, учитывает современные тенденции, придерживается риск-ориентированного подхода к обязательным требованиям, имеет иерархическую структуру, применяется для широкого круга организаций. По сравнению с предыдущим обзором ISM в 2012 году , ISM разделился на 3 документа, каждый из которых имеет свои цели и свою аудиторию: ·          Executive Companion (28 страниц) предназначен для руководства организаций и содержит описание основных угроз и нарушителей, 5 ключевых вопросов, на которые нужно ответить руководителю о состоянии ИБ в организации и даже пример ответов (case study) ·    ...