Блог Сергея Борисова про ИБ

Недавние изменения в 17 приказ ФСТЭК России, были небольшими, но породили множество вопросов. По самым важным я задал вопросы органу гос. контроля. Обещали подобную информацию, разместить в информационном письме на сайте ФСТЭК России, но для самых нетерпеливых привожу ответы здесь … 1. В соответствии с пунктом Требований 17.6 в случае, если информационная система создается на базе центра обработки данных уполномоченного лица, такой центр обработки данных должен быть аттестован по классу защищенности не ниже класса защищенности, установленного для создаваемой информационной системы. Приходилось сталкиваться с ситуацией, когда создается центр обработки данных (далее - ЦОД), в котором в дальнейшем предполагается размещения компонентов информационных систем, но на момент создания и аттестации ЦОД, в нем не размещается каких-либо ГИС. На момент проведения испытаний ЦОД, в нем может быть развернута система защиты общей инфраструктуры ЦОД, но отсутствует система защиты информа...

В рамках предыдущей статьи мы определили, что в обеспечении безопасности информации ограниченного доступа с использованием СКЗИ участвуют как минимум 2 лица: ОКЗИ лицензиата ФСБ России и обладатель информации (если он не лицензиат). При этом ОКЗИ организует и контролирует работы с СКЗИ (но может и реализовывать), а обладатели информации выполняют указания ОКЗИ по всем вопросам организации и обеспечения безопасности информации с использованием СКЗИ. То есть, имеем коллективные усилия и ответственность в эксплуатации СКЗИ. Естественно, что, когда 2 лица задействованы в одном процессе, хорошо бы распределить их зоны и регламентировать взаимодействие. Для этого и применяется инструкция ФАПСИ №152. В некотором приближении все мероприятия в Инструкции можно разделить на 3 блока: ·          внутренние требования к ОКЗИ (требования, которые лицензиат должен выполнить на своей стороне – помещения, персонал, свои документы) ·   ...

В Евросоюзе (с которым у нас много общего в части законодательства о персональных данных) есть такой орган European Data Protection Supervisor ( EDPS ). Задачи его во много схожи с задачами Минкомсвязи (Роскомнадзор) в части ПДн: контроль обработки ПДн в организациях, мониторинг того что соблюдаются права граждан и безопасность данных. Но кроме схожих задач EDPS делает ещё некоторые полезные активности, которые хорошо было бы перенять Минкомсвязи или Роскомнадзору: ·          Организация активного сообщества лиц ответственных за организацию обработки и защиты данных ( Data Protection Officers, DPO) в гос. органах. Они хорошо друг друга знают, тесно общаются, проводят встречи 2 раза в год с полезными тренингами без воды и продаж (уже 41-ая встреча по плану). Ну и граждане знают своих героев.   ·          Разрабатывают руководства , инструкции, некоторые шаблоны документов, которые необхо...

Как показывает практика, немногие организации помнят и руководствуются приказом ФАПСИ (правопреемником которой является ФСБ России) от 13 июня 2001 г. N 152 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну ". А ведь Инструкция является обязательной при использовании сертифицированных СКЗИ для обеспечения безопасности информации ограниченного доступа (подлежащей защите в соответствии с законодательством РФ).     А это ПДн, все виды тайн, ГИСы, НПСы, будущие КИИ. С 2008 по 2012 год для ПДн действовало послабление в виде “Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обесп...

Достаточно долгое время, пока CTF -ы проходили в других регионах РФ, в Краснодаре не было ни играющих команд, ни соревнований.  Ещё в апреле  ребята из КубГТУ сами первый раз поучаствовали в CTF , а уже в мае решили сами провести всероссийские соревнования KubanCTF .   Каким-то чудесным образом ребятам за такой короткий срок удалось организовать и успешно провести CTF ? Возможно сказалась поддержка мероприятия со стороны депутата Краснодарской думы Андрея Раззоренова, администрации КК, территориальных органов безопасности, местных лицензиатов ФСТЭК и ФСБ, организаторов CTF из других регионов... либо были какие то ещё факторы. Наша компания также поддерживала KubanCTF . Тут выложен отчет о мероприятии Было интересно пообщаться с коллегами и студентами на пленарке в первый день соревнований. Помимо живого обсуждения актуальных вопросов давали 15 минут на небольшой доклад. Я решил немного порассуждать о востребованности навыка по анализу уязвимостей (который пр...

Постановлением правительства РФ от 11 мая 2017 г. N 555 были внесены изменения в постановление Правительства РФ от 6 июля 2015 г. N 676 "О требованиях к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации". Изменения в основном посвящены дополнительным требованиям по информационной безопасности на различных этапах жизненного цикла государственных информационных систем. Требования вполне логичные и согласуются с уже существующими требованиями ФСТЭК России к этапам жизненного цикла систем защиты информации ГИС.  На схеме можно быстро ознакомится с изменениями (выделены светло красным). Все требования вступают в силу через 2 недели после опубликования за исключением одного пункта (с 1 января 2019 г.). Иначе пришлось бы приостанавливать эксплуатацию ГИС в которых не все требования ИБ выполнены на данный момент.   У некото...

В связи с существенным ростом заражения вирусами-шифровальщиками и атак на сетевое оборудование за последний год, по инициативе администрации края и территориальных органов безопасности проводилось информирование гос. органов и учреждений. Мы поддержали эту тему, проведя ряд ВКС, семинаров, вебинаров для учреждений здравоохранения, труда, соц. защиты и других. Причем началось информирование  ещё до эпидемии wannacry . Так что пришлось по ходу дела адаптироваться и дополнять презентации и памятки. Выкладываю последнюю версию моей презентации по этой теме , возможно кому-то будет полезна. Вирусы-шифровальщики и фишинг from Sergey Borisov Кроме того, этой весной также проводил мини семинары или инструктажи – разъяснял для спецов местных гос. учреждений по выполнению требований законодательства РФ в части Разработки модели нарушителя безопасности информации Модель нарушителя безопасности информации from Sergey Borisov Обеспечения безопасности по...