Блог Сергея Борисова про ИБ

Вредные советы для организаторов ассоциаций поИБ: ·         Если вам надоело или стало казаться не солидным выступление на конференциях/семинарах от имени компании-работодателя, заведите себе ассоциацию и подписывайтесь “Председатель правления ...” ·         Сразу же включайте в совет/ экспертный совет вашей ассоциации всех общепризнанных экспертов, и так состоящих во всех ассоциациях (правда эксперт состоящий в 5 ассоциациях ничего кроме "состоять" уже не может, но нас это не пугает), не забудете всех регуляторов. Это будет привлекать в ассоциацию обычных новых членов независимо от целей создания ассоциации, стоимости и условий участия ·         Если вам нужно выжать из определенной ниши всех мелких конкурентов – просто создайте ассоциацию с серьезными вступительными взносами. Кроме сбора взносов ассоциация может ничего не делать, ведь основную её цель – смотри в начале абза...

На этой неделе коллеги говорили о проблемах, которые есть у нас из-за присутствия двух регуляторов (ФСБ и ФСТЭК) в области ИБ, интересы и требования которых пересекаются и местами противоречат для некоторых областей: например в защите ПДн, АСУТП. Алексей Лукацкий привел аргументы к тому, что ФСБ Р не справляется с обязанностями регулятора, а там где регулирует – делает это неадекватно (не учитывая проблем пользователей и производителей) Артем Агеев заметил что регулирование в области ИБ вообще досталось ФСБ Р случайно и необходимо передать эти полномочия ФСТЭКу. Пока же ФСБ Р скорее использует свои полномочия для давления на бизнес, чем повышает уровень ИБ. Приведу ещё одну проблему двух регуляторов, которая постоянно всплывает у меня на практике реализации проектов по ИБ. Очень часто в одном сетевом средстве защиты совмещаются функции МЭ и VPN . Наверное нет такого МЭ который не включал бы функций VPN и наоборот криптошлюза, который не считал бы себя МЭ. Причем, это с...

07 апреля 2014 г. ФСТЭК России опубликовала информационное сообщение по поводу сертифицированной версии Windows XP в условиях окончания поддержки производителем. Давайте подробнее посмотрим на информационное сообщение, так как по другим СЗИ ФСТЭК нас не балует публичными письмами, давайте разберем это поподробнее. Во-первых, ФСТЭК Р отмечает следующие факты: ·         Производителем прекращена поддержка и выпуск обновлений для ОС Windows XP ·         В большом количестве государственных органов и обычных организаций сертифицированная ОС Windows XP применяется для защиты информации ограниченного доступа ·         Имеются серии ОС Windows XP , сертификат соответствия которых ещё действует ·         Производители сертифицированных серий и пользователи ОС Windows XP обращаются за продлением сертификатов и ФСТЭК планирует продлевать...

В последний год обычной практикой стало сопровождение любого экономического, политического, социального кризиса кибератаками. Ответственность для участников кибер атак фактически отсутствует, а ущерб может быть нанесен весьма значительный. И чаше всего такие атаки проводятся в виде распределенных DDoS-атак,  на публичные бизнес-сервисы и интернет-порталы, так как результаты видны публично (их нельзя скрыть) и урон наносится максимально широкому кругу пользователей. За последний месяц зафиксированы атаки на: ·         Сайт и онлайн сервисы ВТБ-24 (банк, имеющий дочерние компании на Украине), в том числе торговая система Online Broker ·         Сайт и онлайн сервисы Альфа-банка (банк, имеющий дочерние компании на Украине) ·         Сайт и онлайн сервисы ТКС Банка ·          Сайты Президента РФ, Центробанка ·    ...

В последнее время большую популярность приобрели решения по анализу защищенности информационных систем, корпоративных сетей, web приложений, баз данных и т.п. Такие решения требуются в связи с законодательством РФ для защиты ИСПДн, ГИС, АСУ а также для уменьшения наиболее критических рисков. Можно сказать, что системы анализа защищенности, прошли долгий путь в 17 лет и как межсетевые экраны применяются почти во всех компаниях. Первое время такие системы имели возможности только по внешнему анализу защищенности, методом “черного ящика”, когда проверяемое приложение уже введено в эксплуатацию. Назовем их системами первого поколения. Год-полтора назад на российском рынке стали активно продвигаться 3 решения второго поколения, имеющие возможности анализа защищенности исходных кодов приложений и сервисов:  InfoWatch APPERCUT , ERPScan CheckCode , FortifyStatic Code Analyzer . Данные системы можно было применять сразу после окончания разработки приложения или сервиса и тем сам...

За последний год существенно обновилось законодательство РФ в области защиты ПДн. Возник новый виток интереса  Заказчиков   к этой теме. Многие задают вопросы и размораживают проекты по защите ПДн.   Компания Микротест проводит 27 марта для клиентов в Москве семинар по посвященный организации защиты персональных данных по новым требованиям , вступившим в силу в 2013 и 2014 году. Сотрудники Микротеста поделятся информацией о правильном подходе к выполнению этих требований, решением интересных задач из  реализованных проектов. Меня также пригласили выступить на семинаре. Буду рассказывать про “новые” требования ПП №1119 (кратко), приказа №21 ФСТЭК Р (подробнее), проекта приказа ФСБ по защите персональных данных. Разберу интересные темы из информационных сообщений ФСТЭК Р и Методического документа ФСТЭК Р. Рассмотрю как на защиту ПДн сказываются документы Роскомнадзора – приказ и методические указания по обезличиванию ПДн и публичные разъяснения по биомет...

Продолжу  предыдущую статью об обязанностях обработчика и необходимости оператором  выполнения ряда мероприятий за обработчика. Рассмотрим два типа обработки ПДн по поручению: 1.       широкий круг Обработчиков выполняет схожий набор действий с ПДн (обработку) 2.       только один Обработчик выполняет для данного Оператора определенный набор действий ПДн (обработку) Примерами первого типа являются: ·         оператор сотовой связи и дилеры (собирает данные клиентов для заключения договора) ·         банк и платежные агенты (собирают данные для платежей) ·         банк и коллекторские агенства (используют данные для связи с клиентом) ·         банк и организации - клиенты по зарплатному проекту (передают данные для платежей) ·         ор...