Вопрос по пятницам: СОУ Н НБУ 65.1 СУІБ 2.0:2010 гласит

"Інформаційна безпека - це захист інформації від широкого діапазону загроз з метою забезпечення безперервності бізнесу, мінімізації бізнес-ризику і отримання максимальних рентабельності інвестицій і бізнес-можливостей. "

Google Translate:
"Информационная безопасность - это защита информации от широкого диапазона угроз с целью обеспечения непрерывности бизнеса, минимизации бизнес-риска и получения максимальных рентабельности инвестиций и бизнес-возможностей"

---

Вопрос: Какую информацию необходимо защищать во время:
a) фишинг атаки?
б) спам атаки?
в) (D)DoS атаки?

---

Ответ по понедельникам:

а) и б)  Ввиду того, что мы не можем гарантировать изоляцию пользователя от фишинговых и спам писем, то обьктом защиты, в первую очередь, становится информация, хранимая в мозгу пользователя, и речь идет не только о "конфиденциальности", но и о других свойствах потому, как присутствует не только риск «разглашения», но и других неадекватных действий (открытие файла, смену работы, пересмотр отношений с сослуживцами…)

в) предоставляемую 

В поисках взаимопонимания: ИБ vs ИТ-безопасности

На этой неделе столкнулся в разных источниках на подчеркнутое разделение и противопоставление  ИТ-безопасности и Информационной Безопасности (ИБ), мне казалось, что это деление уже кануло в Лету, а тут снова и из уст авторитетных людей… 

Я воспринимаю такое деление, как  источник снижения уровня защищенности, так как оно вносит дезориентацию в систему управления Предприятием, плохо отражается на корпоративной культуре, приводит к неэффективному   финансированию и внедрению средств управления ИБ.

Пример из практики:  поддержкой геораспрделенной кластерной системы, на которой «крутится» корпоративная ERP-система,  занимаются подчиненные CIO, а вот «выдачей» Check Point GO (в прошлом Abra) для удаленного доступа, к этой системе, занимаются  подчиненные CISO.  Так что, данный пример нужно воспринимать как иллюстрацию раздельного существования ИТ-безопасности и ИБ? Тогда получается, что «конфиденциальность» это ИБ, а «доступность» это ИТ-безопасность?

А пользователь, скажем «операционист Банка», который обеспечивает правильное использование средств управления ИБ, участвует в обработке инцидентов и принимает участие в оценке рисков ИБ он представитель какой безопасности? 

С другой стороны, мне обьясняют, что все очень просто: ИТ-безопасности занимается «безопасностью инструмента» и «поэтому ею может заниматься и "продвинутый" ИТ-шник. ИБ - это безопасность актива: здесь уже риски другие, и область шире, и методы иные.»(с)

Оно конечно все правильно, если бы не «маленькая» метаморфоза: мы не о человеке с его профессиональной подготовкой и обязанностями говорим, а о сфере человеческой деятельности – "направленной на обеспечение защищенного состояния объекта" (с)  

Не существует никакой ИТ-безопасности, есть единый бизнес-процесс обеспечивающий информационную безопасность предприятия, для подержания бизнес процесса в работоспособном состоянии необходимы ресурсы среди которых Инфраструктура и Люди. 

Люди, которые ввели термин «ИТ-безопасность», «безопасность информационных технологий» подсунули огромную свинью, породив anchoring, который стал причиной различных когнитивных искажений не только в головах потребителей услуг безопасности, но и в профессиональной среде… 

---

Информационная Безопасность - это "отрасль", в которой работают много разных и нужных друг другу людей. И "токарь шестого разряда", и "главный авиаконструктор" делают одно и то же дело:  выпускают самолеты в рамках какого-то авиапрома и являются авиастроителями. Они не могут сближаться или не сближаться - они жить друг без друга не могут...

Best Practice(?)!

Как то в последние дни, просматривая различные статьи о трендах ИБ в головах государственных мужей, поймал себя на мысли, что я как-то неадекватно воспринимаю написанное. Интересно это  люди в растерянности и не знают че б еще такое сотворить или я уж сильно отстал и надо бы восполнять пробелы…

Например вчера на ночь глядя, позабавила Supersleuthing BOFHs could help crack cybercrimes

Буквально несколько цитат:
«System administrators should be the detectives in cyber investigations, a top Microsoft security bod said.»
«The evidence you need to investigate cybercrime is often in the hands of the private sector... and in these cases, the sysadmin becomes lead investigator in the cybercrime case,”
«… then you need to establish 24/7 contacts so that you can access knowledgeable people in any country at any time so that you can at least freeze the info you need before it’s gone...»
Обьективности ради говоривший бывший госслужащий, но ведь «знание и опыт» он приобрел в Департаменте Юстиции США.

Другими словами, ваш Админ должен быть не только компетентным, но и состоять на службе: на правильной "компетентной" службе.

А сегодня утром коллеги обратили внимание, также на вчерашнюю новость, но уже на Securitylab.ru  Американцы разработают программу для создания фальшивых секретных материалов

Какая-то двоякость по прочтению:

"По словам представителей спецслужб, данная программа позволит выявить злоумышленников"
Если эти данные будут размещены на внешних паблик ресурсах, то обращение к ним ну ни как нельзя квалифицировать как "злой умысел"

Если речь идет о инсайдерах и взломе, то зачем об этом писать? Методология распространения дезы  - "стара как мир"...

Как они затем будут разделять дезу от правды? По контенту? Потребуется очень ограниченный  круг лиц - глупость: нереально. Будут специальным образом маркировать документы – не серьезно: взломают.

RA: Считаем Риски правильно

Соответствие требованиям законодательства, один из самых важных моментов в работе любого Бизнеса.

Законодатель выдвигает требования и определяет ответственность за их нарушение, а Бизнес обрабатывая риски, связанные с этим, принимает для себя взвешенное решение: выполнять требования закона или нести ответственность за его нарушение.

Абсолютно стандартная процедура, применяемая во всем мире и во всех сферах деятельности, а значит применяемая и в Украине в отношениях законодательства затрагивающего вопросы Информационной Безопасности.

Сегодня эксперты в области ИБ при анализе рисков в первую очередь обращают внимание на нарушения законов защищающих права на обьекты интеллектуальной собственности (например, программное обеспечение) и  персональные данные граждан.

Поддерживаю такие акценты, но сожалею, что коллеги (до не давнего времени и я)  часто делают одну и ту же ошибку: неправильно указывая размер возможного штрафа. Причиной такой ошибки, есть не правильное использование величины Неоподатковуваного мінімуму доходів громадян для расчета ущерба в контексте административного и уголовного законодательства Украины в части квалификации преступлений и правонарушений.

Для правильного расчета ущерба, а следовательно и наказания необходимо принимать во внимание пункт 5 Підрозділу 1 Розділу XX Податкового кодексу України, который гласит:

 «Якщо   норми   інших   законів   містять   посилання    на
неоподатковуваний  мінімум  доходів  громадян,  то  для  цілей  їх
застосування використовується сума в розмірі 17 гривень, крім норм
адміністративного   та   кримінального   законодавства  в  частині
кваліфікації   злочинів   або   правопорушень,   для   яких   сума
неоподатковуваного  мінімуму  встановлюється  на  рівні податкової
соціальної пільги,  визначеної  підпунктом  169.1.1  пункту  169.1
статті 169 розділу IV цього Кодексу для відповідного року.»

Таким образом для расчета размера ущерба в 2011 году необходимо использовать 470.50 грн, а для расчетов штрафов 17.00 грн.

---

Хочу выразить особую благодарность Dmytro Melnychenko за указание на принципиальные ошибки допущенные при подготовке первой версии данного поста.