пʼятниця, 16 грудня 2011 р.

В пятницу после работы: Кибероружие


Сегодня много говорится о кибервойнах, а следовательно и о возникновении соответствующих родов войск, но войска нужно вооружать. 


Стоит ли преследовать разработку malware или необходимо данный вид деятельности легализовать, но предусмотреть его лицензирование и правила распространения?

середа, 14 грудня 2011 р.

В поисках взаимопонимания: ПД, паспорт, псевдоним…

«Либимого узнаю  по походке»

Нельзя построить эффективную защиту не понимая обьект защиты. Нельзя давать полезные советы, если люди толкуют одно и то же понятие по-разному.


Идет дискуссия, потихоньку стороны начинают понимать друг друга, а тут бац «вторая смена», вновь подключившийся к дискуссии вносит сумятицу в еще не окрепшие умы: «если собранные персональные данные (ПД) не подтверждены документально, например, посредством предьявления оригинала паспорта, то нельзя такие данные считать «персональными данными», а следовательно под действие Закона Украины «Про защиту персональных данных» собранная информация не попадает» (попытался культурно, получилось длинно). На просьбу аргументации утверждения, ответ как правило один: «нельзя утверждать, что данные настоящие, потому как они могли были искажены самим субьектом ПД»…

И так, где же истина? Что же есть «персональные данные»? Считаю, что вопрос даже требует уточнения: «какую информацию следует считать «персональными данными»? Почему мы смотрим на одно и то же, но видим разное?

Закон гласит:  «персональні дані  -  відомості  чи  сукупність відомостей про фізичну  особу,  яка  ідентифікована  або  може   бути   конкретно ідентифікована» («персональные данные - сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано»)

И вот перед главная причина,  почему мы не понимаем друг друга: закон не определяет процесс идентификации.  Причем именно процесс в самом широком его толковании: нам не навязывают Что анализировать, Как, Чем и совсем незаметный нюанс: Кто должен проводить анализ. Последнее мне кажется предельно интересным моментом: вы можете считать (искренне), что у Вас «в руках» галиматья какая-то, а сторона, предъявляющая Вам претензию легко демонстрирует, что это не галиматья и Вам придется отвечать «по всей строгости…»

Как следствие,  имеем ситуацию, когда каждый человек под идентификацией начинает предлагать свое видение данного процесса, которое чаще всего иллюстрирует или ограниченные познания в данной области и/или когнитивные искажения.


Так, например, если взять слайд посвященной теме когнитивных искажений из моей призентации на UISGv7, то первые пять примеров могут абсолютно точно характеризовать поведение нашего собеседника (а список достаточно не полный)




Где выход? Он очевиден: учить, обьяснять, расширять кругозор. Побольше примеров, особенно тех о которых  мозг собеседника просто «забыл» в круговерти нашей жизни.

В качестве иллюстрации, давай те рассмотрим такое явление как Псевдоним.  Бытует мнение, что человек изменив (исказив) свои данные, например, представившись «вымышленным лицом», создает условия, когда эти данные не могут быть отнесены к ПД. Так то оно так, но часто до поры до времени:  кого Вы скорее идентифицируете (например, укажете на фотографии) Максима Горького или Алексея Пешкова, Ани Лорак или Каролину Куек, Тину Кароль или Татьяну Либерман, Xaocuc-а или Sapran-а???? Для кого-то все написанное есть ПД, а для кого-то только половина, и то не та.


«Либимого узнаю  по походке»…  и кому после этого еще нужен паспорт?

понеділок, 12 грудня 2011 р.

Какая База ПД самая главная?


На прошлой неделе, провел краткую встречу-консультацию для любимых клиентов о необходимых действиях во исполнение ЗУ «Про захист персональних даних», где мы установили, что изречения «У нас Баз персональных данных НЕТ» и «В СССР Секса НЕТ» принадлежат перу одного автора и что закон действует даже там где «СУБД не стоит на балансе» (из уст финансиста это звучало сногсшибательно) и вернулся к размышлениям о «РЕКОМЕНДАЦІЯХ щодо забезпечення   захисту   персональних   даних…»

Находясь под впечатлением встречи и анализируя свои ответы на поставленные вопросы, в голову пришла мысль, которая раньше меня не посещала: какая «База ПД» самая ценная для владельца/распорядителя? 

Оказывается та о которой мы меньше всего говорим: База где хранятся полученные разрешения на обработку ПД и/или ссылки на источники подтверждающие легальность получения обрабатываемых данных (особенно в случае открытых источников).

Если такая база База ПД будет утеряна, то вся обработка персональных данных становится «вне закона».

А вы считаете иначе?


пʼятниця, 9 грудня 2011 р.

В пятницу после работы: Какая База ПД самая главная?

Утрата (не утеря) какой базы Персональных Данных может вызвать самые большие неприятности для владельца/распорядителя ПД?

пʼятниця, 2 грудня 2011 р.

пʼятниця, 25 листопада 2011 р.

Вопрос по пятницам: СОУ Н НБУ 65.1 СУІБ 2.0:2010 гласит


"Інформаційна безпека - це захист інформації від широкого діапазону загроз з метою забезпечення безперервності бізнесу, мінімізації бізнес-ризику і отримання максимальних рентабельності інвестицій і бізнес-можливостей. "

Google Translate:
"Информационная безопасность - это защита информации от широкого диапазона угроз с целью обеспечения непрерывности бизнеса, минимизации бизнес-риска и получения максимальных рентабельности инвестиций и бизнес-возможностей"


Вопрос: Какую информацию необходимо защищать во время:
a) фишинг атаки?
б) спам атаки?
в) (D)DoS атаки?



Ответ по понедельникам:
а) и б)  Ввиду того, что мы не можем гарантировать изоляцию пользователя от фишинговых и спам писем, то обьктом защиты, в первую очередь, становится информация, хранимая в мозгу пользователя, и речь идет не только о "конфиденциальности", но и о других свойствах потому, как присутствует не только риск «разглашения», но и других неадекватных действий (открытие файла, смену работы, пересмотр отношений с сослуживцами…)
в) предоставляемую 

четвер, 17 листопада 2011 р.

В поисках взаимопонимания: ИБ vs ИТ-безопасности


На этой неделе столкнулся в разных источниках на подчеркнутое разделение и противопоставление  ИТ-безопасности и Информационной Безопасности (ИБ), мне казалось, что это деление уже кануло в Лету, а тут снова и из уст авторитетных людей… 
Я воспринимаю такое деление, как  источник снижения уровня защищенности, так как оно вносит дезориентацию в систему управления Предприятием, плохо отражается на корпоративной культуре, приводит к неэффективному   финансированию и внедрению средств управления ИБ.
Пример из практики:  поддержкой геораспрделенной кластерной системы, на которой «крутится» корпоративная ERP-система,  занимаются подчиненные CIO, а вот «выдачей» Check Point GO (в прошлом Abra) для удаленного доступа, к этой системе, занимаются  подчиненные CISO.  Так что, данный пример нужно воспринимать как иллюстрацию раздельного существования ИТ-безопасности и ИБ? Тогда получается, что «конфиденциальность» это ИБ, а «доступность» это ИТ-безопасность?
А пользователь, скажем «операционист Банка», который обеспечивает правильное использование средств управления ИБ, участвует в обработке инцидентов и принимает участие в оценке рисков ИБ он представитель какой безопасности
С другой стороны, мне обьясняют, что все очень просто: ИТ-безопасности занимается «безопасностью инструмента» и «поэтому ею может заниматься и "продвинутый" ИТ-шник. ИБ - это безопасность актива: здесь уже риски другие, и область шире, и методы иные.»(с)
Оно конечно все правильно, если бы не «маленькая» метаморфоза: мы не о человеке с его профессиональной подготовкой и обязанностями говорим, а о сфере человеческой деятельности"направленной на обеспечение защищенного состояния объекта" (с)  
Не существует никакой ИТ-безопасности, есть единый бизнес-процесс обеспечивающий информационную безопасность предприятия, для подержания бизнес процесса в работоспособном состоянии необходимы ресурсы среди которых Инфраструктура и Люди. 
Люди, которые ввели термин «ИТ-безопасность», «безопасность информационных технологий» подсунули огромную свинью, породив anchoring, который стал причиной различных когнитивных искажений не только в головах потребителей услуг безопасности, но и в профессиональной среде… 

Информационная Безопасность - это "отрасль", в которой работают много разных и нужных друг другу людей. И "токарь шестого разряда", и "главный авиаконструктор" делают одно и то же дело:  выпускают самолеты в рамках какого-то авиапрома и являются авиастроителями. Они не могут сближаться или не сближаться - они жить друг без друга не могут...