Безопасность в ответах и вопросах

Safe Game.

2014-05-16T07:48:00.002+07:00

Одной из важных проблем в обеспечении безопасности информационных систем является качество программного кода сервиса или продукта с точки зрения безопасности сервиса для информационной системы.

Что такое безопасность прикладного программного продукта или сервиса? Это в первую очередь отсутствие возможностей с использованием программного продукта обойти правила и ограничения информационной системы пользователя. Другим важным элементом является отсутствие возможностей у пользователя изменить логику работы программы непредусмотренным автором способом, позволяющим получить доступ к данным в обход имеющимся системам разграничения доступа или повлиять на работоспособность системы в целом.

К сожалению, идея написания безопасного кода никогда не была приоритетной в большинстве software компаний.

Совместно с кадровым агентством Сухорукова мы придумали устроить соревнования программистов по безопасному программированию. Пока мы её попытаемся реализовать в рамках работы Новосибирской Positive Hack Day 21 и 22 мая.

Суть соревнования заключается в том, что мы предоставляем участнику предустановленный web-сервер с php и sql-базой. В день соревнования участникам выдаётся задание на 3 часа по программированию некоего web-сервиса, например, форума или динамической страницы. Победитель определяется среди участников реализовавших наиболее полно конкурсное задание и чей код содержит наименьшее количество уязвимостей.

Мы планируем не ограничивать участников в использовании сторонних библиотек и решений.

Зарегистрироваться для участия в соревновании можно здесь.

Хакспейс в Новосибирске.

2013-05-18T21:48:00.000+07:00

Несколько слов о месте где будет хакспейс PHD III. Мне удалось договориться с Новосибирским академпарком о размещении на их территории хакспейса. Фактический мне удалось вклинится в предпринимательский конкурс БИТ-Сибирь, который стартует 20 мая и итоги будут подводиться на следующий день после PHD.
Сам академпарк – это комплекс современных зданий на территории Новосибирского научного центра. Академгородок очень интересное и красивое место, а в технопарке собрались неординарные люди. Даже интересно, что получится если объединить технопарк и хакерское сообщество.
Регистрация на мероприятие здесь. Участие бесплатно.
Ну и несколько фотографий.

Площади IT инкубатора.

Вид на кафе в инкубаторе.

Оригинальные знаки:

Хакспейс в Новосибирске

2013-05-17T11:23:00.002+07:00

Компания ООО «СИБ» 23-24 мая организует в г. Новосибирск хакспейс Positive Hacker Days

В планах:

1. Проведение Новосибирского CFT для начинающих команд.

2. Проведение мини конференции по вопросам безопасности, но в смежных с PHD mainstream областях. Уже подтверждены доклады по защите авторского права на примере спора Apple и Samsung и рассказ о методах конкурентной разведки в social media.

3. Проведем хакерский QUIZ. Что это такое расскажу позже.

И конечно же у нас будет 6 площадок с самого мероприятия, свободный WiFi и конкурсы от компании Positive Technolohies

Участие бесплатное. Необходима регистрация, потому, что мы планируем организовать обеды для участников.

Про «бумажную» и не очень безопасность.

2013-02-22T01:41:00.001+07:00

Когда в начале и середине 90-х я начинал изучать информационную безопасность вопрос человеческого фактора в комплексной системе информационной безопасности не рассматривался в принципе. В какие-то моменты времени складывалось впечатление, средства защиты информации развились настолько, что стало дешевле купить человека, чем преодолевать механизмы защиты.

После этого появился ряд международных стандартов уделявших особое внимание работе с персоналом. И слова с которых начинались выступления на конференциях в начале 90-х: «проблема безопасности требует комплексных решений» стали воплощаться в жизнь, в начале в виде непонятной многим «политики безопасности», а потом на основе полученного опыта в виде системы регламентирующих документов.

Очевидно, что неизбежно разделение на практиков и теоретиков. Это естественный процесс. Но необходимо понимание, что безопасность так и осталась комплексной проблемой требующей соответствующего решения.

Думаю, что специалист по информационной безопасности 10-х годов XXI века должен демонстрировать хорошие компетенции на стыке IT, права и психологии. В реальной жизни на объекте пользы мало от чистого «теоретика» и чистого хакера. Это при разговоре с потенциальным заказчиком демонстрация уязвимости его системы хороша. Но хакер бесполезен, когда отдел маркетинга при планировании PR акций сливает всю конфиденциальную информацию, включая know-how подрядчику. Так же как бесполезны тонны инструкций, если ядром сети управляет нечистый на руку оутсорсер или на систему не ставятся критические update.

Студенческая конференция.

2013-02-11T17:15:00.001+07:00

В апреле Новосибирский Государственный Университет в 51-й раз проводит Международную научную студенческую конференцию "Студент и научно-технический прогресс". Как член оргкомитета, приглашаю школьников (есть секция для школьников), студентов и аспирантов всех исследовательских направлений принять участие в конференции.

Последние пять лет я был председателем подсекции "Защита информации". В этом году пока не утвердили, но студентам и аспирантам, которые работают со мной или проходят производственную практику в моей организации участие в конференции обязательно.

Ссылки:

1. Сайт конференции.

2. Информационное письмо.

3. Информационнео письмо для школьников.

4. Плакат школьной секции.

Правовое поле

2013-02-10T19:23:00.004+07:00

В процессе подготовки к выступлению на клубе IT директоров по проблеме безопасности и подготовке к круглому столу «ИБ АСУ ТП КВО» пришлось за короткое время проштудировать большое количество НПА по информационной безопасности. В ходе работы сложилось ощущение, что правовое поле меняется. Особенно это заметно, когда сопоставляешь НПА начала века и двух-трех летней давности. Есть ощущение смены парадигмы и людей.

Учитывая особенности контролирующих органов и инерционность законодателя динамика неожиданно стала вызывать положительные эмоции.

Постановление 1119

2012-11-16T13:17:00.000+07:00

Постановление не однозначно... Комментировать без документов ФСТЭК и ФСБ не вижу смысла. Но ожидания самые не радужные, особенно учитывая, что документы обещают уже к началу декабря.
Коллеги уже высказались о новом документа, для подтверждения неоднозначности сошлюсь на Алексея Лукацкого и Михаила Емельянникова.
От себя добавлю картинку, которая говорит о многом, почти как «Квадрат Малевича».

Что такое конфиденциальность?

2012-09-13T10:07:00.000+07:00

С коллегой, в ходе дискуссии на тему защиты коммерческой тайны и принципов патентования решили раскопать понятие конфиденциальности.

Оттолкнулись от того, очевидно слово заимствованное (конфиденциальность от лат. confdentia – доверие) и посмотрели в Dictionary of Contemporary English от Longman, который определяет конфиденциальность как «a situation in which you trust someone not to tell secret or private information to anyone else» (ситуацию в которой вы доверяете кому либо не рассказывать секрет или частную информацию кому-то еще).

Так же было обнаружено не внятное определение у Ожегова подразумевающее доверие секрета.

Далее мы обратились к терминам и определениям коллег из США: Assurance that information is not disclosed to unauthorized entities or processes; an Information Exchange characteristic (Уверенность, что информация не раскрыта неавторизированным лицам или процессам; характеристика информационного обмена).

И здесь, из определения пропала ссылка на секрет. Т.е. при проведении мероприятий по обеспечению информационной безопасности мы можем установить требования по конфиденциальности к любой информации, даже если она в соседнем здании нарисована на стене. Понятно, что при составлении определения авторы исходили из предположения, что трактовать его будут нормальные люди, для которых очевидно, что не раскрывать надо именно секретную информацию. Но не надо забывать, что у нас ещё есть и юристы. Кстати коллеги в США разделяют понятия обязательной конфиденциальности (Secrecy) и добровольной (Privacy).

Есть ФЗ «Об информации, информационных технологиях и о защите информации»: конфиденциальность определяется как обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя.

Ну и для полноты картины посмотрим статью 7 ФЗ-152 «Конфиденциальность персональных данных»:

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Как видим, определения вполне тождественны, но «уверенность» сменилась обязанностью, а объект защиты стал произвольным. В результате этой занимательной эволюции мы сейчас защищаем паспортные данные от не разглашения и нераспространения, указывая их везде, начиная от Банков и Налоговой и заканчивая трудоустройством и заявлениями в ЖЭК.

И здесь мне чудится еще одна возможная проблема: Поскольку на уровне Закона паспортные данные защищены и конфиденциальны, то почему бы нам не использовать для удаленной авторизации знание клиента своих паспортных данных, как это делает, например МТС при обращении в службу поддержки. Или еще, как ни будь…

Думаю, надо помнить, что свойство секретности не восстановимо и став известно неограниченному кругу лиц информация уже никогда не станет секретной снова.

Понятие системы в ИБ и IT

2012-09-10T12:05:00.001+07:00

Когда я на лекции в очередной раз произнес конструкцию вида: «защищая информационную систему мы строим систему защиты информации, включающую в себя систему авторизации, систему криптографической защиты информации…» я понял, что с этими системами что-то надо делать.
В принципе количество систем находящихся в непонятных взаимоотношениях друг с другом с точки зрения системотехника говорит об одном давно известном факте: мы имеем дело со сложной системой со всеми вытекающими последствиями:

Наиболее вероятный отклик на единичное воздействие – хаотический.
Обладает новыми свойствами, по сравнению с совокупностью элементов.
Отклик на воздействие не является линейным [взято отсюда].

Однако с системами разобрались до меня в этом в книге Security Engineering: A Guide to Building Dependable Distributed Systems.

Поэтому далее вольный перевод

Проанализировав с этой точки зрения использование понятия «система», мы можем построить иерархическую структуру, где каждый последующий уровень включает в себя все предыдущие:

1. Компонент, такой как криптографический протокол, смарткарта или элемент аппаратного обеспечения, например жесткий диск. На данном уровне мы имеем с относительно простыми элементами, которые можно подвергнуть испытаниям и вынести обоснованный вердикт о статусе системы. Например, мы можем исследовать достаточно подробно реализацию протокола, что бы говорить о наличии слабостей или ошибок в реализации. Или мы можем исследовать физическую структуру носителя информации, например жесткого диска или USB flash накопителя, что бы определить условия, при которых остаточная информация на этом носителе будет гарантированно удалена. О качестве систем этого уровня мы можем говорить с высокой степенью уверенности.

2. Набор компонентов плюс операционная система. На данном уровне, мы встречаемся с проблемой анализа достаточно сложного программного продукта. Современные операционные системы содержат в себе сотни миллионов строк исходного кода, миллионы объектов, которые взаимодействую друг с другом в произвольном порядке. Здесь мы сталкиваемся с проблемой анализа совершенно сложных систем (Писатель). Анализ систем такого класса, на сегодняшний день выходит за пределы возможностей современных методов и средств. Фактически, с позиции стороннего наблюдателя мы сталкиваемся с хаотической реакцией исследуемой системы (под редакцией Курило, Москва, 2011). Следует отметить, что это последний уровень, на котором можно рассматривать исследуемую систему без учета специфических условий эксплуатации. Анализ качества исследуемой системы на этом уровне может быть произведен производителем, например операционной системы, и может быть существенно облегчен за счет жесткого ограничения используемого аппаратного обеспечения и стороннего системного программного обеспечения. Наиболее ярким примером реализации этого подхода является компания Apple Inc. и ее продукты.

3. Все предыдущее плюс пользовательское программное обеспечение. На данном уровне мы видим дальнейшее усложнение понятия система, за счет включения в рассматриваемое множество объектов пользовательского программного обеспечения. Фактически на этом уровне мы можем говорить, о том, что мы рассматриваем специализированную информационную систему, созданную для нужд организации. Если мы рассмотрим, в качестве примера, простую организацию использующую автоматизацию только офисного труда, то на фоне практически стандартного набора программного обеспечения (MS Windows, MS Office, продукт семейства 1С) мы встречаем большое разнообразие дополнительного программного обеспечения, например средства просмотра изображений, средства сканирования, отправки факсов, различного рода системы обмена мгновенными сообщениями, системы управления контактами и т.д. На этом уровне работы по анализу качества системы может начать только собственник системы и анализу подвергается конкретный экземпляр системы.

4. Все предыдущее плюс персонал информационной службы: системные администраторы, операторы, служба информационной безопасности. Особенностью этого уровня является, то что эффективным будет только внешний аудит, такой системы, т.к. широко известны случаи, когда администраторы пытались улучшить результаты аудита скрывая собственные ошибки.

5. Все предыдущее плюс внутренние пользователи.

6. Все предыдущее плюс контрагенты (потребители и поставщики) и другие внешние пользователи.

К сожалению, чаще всего интегратор предлагает свои услуги по защите систем первого или второго уровней, в то время как заказчик в лучшем случае предполагает, что услуга предоставляется на пятом, а чаще всего шестом уровнях.

Проблема персональных данных.

2012-09-03T23:42:00.000+07:00

По следам высказываний коллег на тему значительного повышения штрафов за нарушения в области персональных данных: Лукацкий, Волков, Царев.
В целом разделяя мнение коллег, что увеличение штрафов за не соблюдение требований закона «О персональных данных» не улучшит защищенность этих самых персональных данных. Среди неразрешенных проблем препятствующих оздоровлению ситуации называется, в основном:

практически полное отсутствие разъяснений регуляторов по сотням спорных вопросов и как следствие непрозрачность требований к защите ИСДПН
отсутствие взаимосвязи вреда нанесенному субъекту ПД и наказания.

Здесь надо отметить, что регулирование проблемы персональных данных в России отстает от мировой практики, как минимум на поколение. Причина кроется в судебной системе. Если законодатель установит ответственность оператора исключительно перед субъектом и предоставит оператору выбор между компенсацией ущерба субъекта и инвестициями в систему защиты информации, то выбор оператора, с учетом судебной практики по компенсации морального вреда, для меня лично очевиден. Вообще, с моей точки зрения и пусть юристы меня поправят, данный подход ставит перед субъектом несколько задач:

доказать в суде, что оператор обрабатывал его ПД;
доказать в суде, что был ущерб и оценен правильно;
доказать в суде что моральный ущерб понесен и оценен правильно;
добиться, что бы суд постановил возместить ущерб в полном объеме;
добиться, что бы оператор исполнил постановление суда.

Внимание вопрос: Зная судебную практику в России в разделе компенсации морального вреда, а так же как ведется бизнес и работают наши приставы какова вероятность получения субъектом хоть каких-то денег?

При этом уже есть практика использования простого набора паспортных данных в преступных целях. Если учесть обостряющуюся войну с фирмами-однодневками и уголовную ответственность за открытие таких фирм, то паспорт становится весьма интересным документом… Так что взаимосвязь ответственности с вредом у нас не просматривается не только на уровне нормативных актов по ПД, а вообще, в целом. И устанавливать ее на уровне 152-ФЗ или частных статей КОАП без коренного изменения ситуации с оценкой судами нематериального ущерба в целом бессмысленно. А эти изменения видимо в ближайшие планы не входят.

И всё-таки штрафы сработали, если бы не расплывчатые требования к СЗИ от регуляторов… Отсутствие требований объясняется довольно просто: Попробуйте описать в виде конкретных требований к защите информации для всех возможных информационных систем в стране начиная от трех компьютеров с 1С и заканчивая ИСПДн кадрового учета в Газпроме.

При этом классификация К1-К4 не удачная, по целому ряду причин. Например, подавляющее большинство систем попадает под К2, следовательно классификационный признак выбран не удачно, т.к. не дает понимания особенностей исследуемых объектов.

Да и сам объект классификации не определен, т.к. нет четкого определения персональных данных, о чем говорили эксперты не один раз.

Так же проблемой является не соблюдения требования непрерывности защиты персональных данных, т.к. Закон рассматривает отношения, возникающие только при обработке ПД. Простой пример: Поликлиника, с фанерными дверями и ИСПДн у врача-терапевта. В случае если его компьютер оснащен колонками, микрофоном и аудиокартой и сама ИСПДн обрабатывает звукозапись, то нам необходимы мероприятия по блокированию аудиального канала, а если нет, то пусть хоть весь район слушает жалобы бабушки на здоровье…

К сожалению, все это не позволяет мне надеяться на появление нормальных НПА по ПД.

16 проблем безопасности, больших, чем Flame

2012-06-15T15:54:00.000+07:00

Сегодня благодаря @abeshkov прочитал статью Roger A. Grimes "16 проблем безопасности, больших, чем Flame". Статья вызвала не однозначное отношение, но решил таки все же перевести, в основном для студентов не знакомых с языком оригинала. Остальных отсылаю к оригиналу.

Есть несколько занимательных размышлений:

1. Не смотря на отсутствие чуткого глаза ФСТЭК/ФСБ/РКН "там" примерно такие же проблемы, что и у нас – системные. Различия в частностях. Да, я под частностями понимаю и то, что творится в законодательном поле… Рецепта "волшебной пилюли" ни у кого нет.

2. Это взгляд Principal Security Architect из Microsoft. Что само по себе интересно...

3. Да и просто приятно встретить коллегу по паранойи.

Итак…

16 проблем безопасности, больших, чем Flame.

Flame оказался сложной вредоносной программой, но если бы его не было сегодня в Internet было бы столь же небезопасно.

By Roger A.Grimes | InfoWorld

Follow@rogeragrimes

Не буду отрицать, что men-in-middle атака реализованная Flame очень интересна. Это невероятно сложная цепочка exploit использующая не соответствие современным требованиям MD5, слабость поставщика цифрового сертификата, уязвимость WPAD (Web Proxy Auto-Discovery Protocol), и подпись вредоносов. Это хорошая история для книги.

Тем не менее, не могу сказать, что меня слишком поразил Flame. Microsoft (работодатель Roger A. Grimes) отозвал уязвимый сертификат. Уязвимость WPAD будет всегда. Есть более простой способ добиться того же результата, например атаки типа "pass-the-hash". Кроме того, Flame не распространился широко.

[ Find out how to block the viruses, worms, and other malware that threaten your business, with hands-on advice from InfoWorld's expert contributors in InfoWorld's "Malware Deep Dive" PDF guide. | Your antivirus may be killing yourvirtualization infrastructure. InfoWorld's Matt Prigge shows you how to detect the warning signs. | Keep up with key security issues with InfoWorld's SecurityCentral newsletter. ]

Но самая главная причина, почему я расстроен Flame: состояние ИТ-безопасности действительно отвратительное. Flame может быть добавил масла в огонь, но пожар уже бушует. Насколько все плохо? Рассмотрим все, что происходило до Flame и после Flame стало еще хуже:

Более 1 млн. компьютеров успешно вскрываются каждый день. Каждые 14 секунд один компьютер.
39 процентов компьютеров в мире заражены вредоносными программами какого-либо типа.
В прошлом году 90 процентов компаний в мире пострадали из-за нарушений в сети.
По данным Privacy Rights каждый год у каждого седьмого совершеннолетнего пользователя компрометируются реквизиты для on-line платежей, идентификационные данные, или пароли. В сумме это составляет 280 000 000 взломанных учетных записей за последние восемь лет.
82 процента вредоносных веб-сайтов, размещаются на взломанных легитимных сайтах.
И это уже не редкое событие для одного взломанного сайта, а причина ущерба более чем 100 миллионов долларов. Хороший пример - нападение на Sony .
Участники таких групп как Anonimous регулярно взламывают крупнейшие компании в мире и международные организации исследуя их.
Практически остались не замечены взломы, в результате которых происходили утечки миллионов паролей так много. Например, успешное нападение на LinkedIn.
В 2003 году SQL Slammer заразил практически все уязвимые компьютеры за 10 минут.
Вредоносные программы захватывают мобильные платформы, как будто мы не узнали абсолютно ничего за 25 лет постоянного взлома компьютеров.
Прошло почти 10 лет с принятия CAN-SPAM в 2003 году, а процент спама все еще выше 65.
Каждая 14ая загрузка из интернет содержит вредоносный код.
Годовой рынок киберпреступности оценивается в 114 миллиардов долларов.
Процент раскрываемости Интернет преступлений составляет менее 0,01%.
Хакинг настолько широко распространился в мире, что Google теперь автоматически предупреждает пользователей о потенциальных опасностях.
Stuxnet, Duqu, и теперь Flame доказали, что сложные вредоносные программы могут обойти любую защиту компьютера.

Сейчас происходит, так много плохих вещей, что можно задаться вопросом, когда будет переломный момент или событие, которое заставит людей встать и сказать, что они не будут мириться с этим. Раньше я думал, что это будет Google или падение фондового рынок в течение дня, но теперь я сомневаюсь, что даже события такого масштаба смогут остаться в новостях более недели.

Но так как мир и его критически важные приложения постоянно растет, я предсказываю, кто-то, когда-нибудь совершит такое вопиющее киберпреступление и это обязательно вызовет переломный момент. Если обратиться к истории, то глобальное событие может произойти случайно после того, как программист вредоноса потеряет контроль над своим созданием à la червь Роберта Морриса в 1988 году, SQL Slammer, или вирус Melissa Word. Но случайно или нет, кто-то, когда ни будь, пересечет границу и это приведет к очень быстро к слишком большому ущербу . Я хотел бы знать, что Вы верите мне, что переломный момент настанет.

Однажды, когда настанет переломный момент, мир сойдет с ума, на некоторое время. Каналы новостей будет полны «экспертами» которые будут говорить нам, что произошло и что нужно сделать, чтобы предотвратить еще большие проблемы. Мы, наконец, осуществим то, что мы должны были сделать два десятилетия назад и пойдем в Интернет из фазы Дикого Запада. Я, например, не могу ждать. Это слишком долго ждать.

Как я уже говорил, есть способы "исправить" Интернет сегодня. Мы можем сделать его значительно более безопасным местом. Это будет Интернет 2.0, в котором все участники были идентифицированы и проверены до того, смогут совершать действия, которые могли бы причинить вред себе или другим. Это требует потери анонимности по умолчанию. Люди, которым нужная абсолютная анонимность еще смогут просматривать и работать с оригинальной инфраструктурой Интернета, но те из нас, кто хочет больше гарантий и безопасности могли бы использовать более новую версию. Мы можем сделать это с помощью существующих протоколов, работающих на существующей инфраструктуре.

Я об этом писал раньше в моем плане исправления Интернета [PDF]. Мой работодатель, Microsoft, предложил свое видение более безопасного Интернета в его инициативе End-to-End Trust. Я всегда любил идеи Trusted Computing Group, которая долгое время работала над основными элементами, необходимыми для создания более безопасного мира.

Но вернемся к первоначальной теме, и почему я не могу начать работать относительно Flame и проблем MD5: реальные проблемы, связаны с инфраструктурой, а не с конкретным червем или уязвимостью конечной точки. Это ни как не защитит нас от очередного Flame если мы не будем решать более широкую проблему.

Избавимся от Flame, но каждый факт, о которых я заявлял, выше по-прежнему верен. Ничего не изменилось.

Оригинал: 16 security problems bigger than Flame.

Непрерывность ЗИ во времени и пространстве...

2012-05-23T01:47:00.002+07:00

Защита информации вопрос комплексный и требует обеспечения непрерывности защитного контура во времени и пространстве... Когда я начинал заниматься ИБ, а брандмауэры были панацеей от всех проблем, похожие мантры я читал практически в каждой книге или статье, и звучали они, в лучшем случае, через выступающего на конференциях. Времена прошли, проблема осталась. Недавно, в ходе общения с сотрудником одной очень известной московской компании специализирующейся в области ИБ, услышал несколько фраз, после чего возникло желание вернуть мантру в обиход специалистов. Собственно вот избранное:
"Linux система надежна, поэтому firewall мы не рекомендуем ставить..."
"Вы поймите, это сложная система и если мы накатим обновления на ОС, она может перестать работать, поэтому я рекомендую, не ставить обновления...”
“Не вижу причин, почему нельзя работать под root`ом, за всю мою практику у меня не было проблем из-за того что я работал под root..."
Я так подозреваю, что такой сервер это "sweet dream" хакера, учитывая, что задачи решаемые сервером напрямую связаны с безопасностью.

Поэтому хочется напомнить базу:
1. Принцип минимальных привилегий.
2. Непрерывность защиты.
3. И внимательно читаем "Шесть требований Керкгоффса" сформулированные в 1883 году.

4. Ну и мантру по утрам: Защита информации вопрос комплексный и требует обеспечения непрерывности защитного контура во времени и пространстве...

Так как же прочитать

2012-04-13T12:12:00.003+07:00

В казарму заходит прапорщик и обращается к солдатам:

- Товарищи солдаты, кто может починить рацию на бронетранспортере?

- Товарищ прапорщик, а рация на лампах или на полупроводниках ?

-Для особо тупых повторяю: рация на бронетранспортере.

(анекдот)

Такое впечатление, что в IT сообществе есть легенда, о том что мы на самом деле живем в матрице и если правильно составить документ локально можно переопределить переменные, наследуемые от родительских структур. Эксперименты пока ведутся на правовом поле, но так я думаю не за горами попытки локально переопределить базовые физические константы. Это выражается в изобретении системными администраторами различного рода писем и расписок о контрафактном софте. По некоторым данным, с точки зрения следствия, эти расписки служат отличным доказательством наличия преступного сговора между начальством и сисадмином. А в безопасности уже просто традицией стало желание отменить Конституцию.

Как я уже говорил, не существует волшебной бумажки, подписав которую с работником, можно отменить Конституцию. Все последующие обсуждения и вопросы, в частом порядке ко мне, сильно напоминают этот шедевр. Приведу избранные высказывания:

1. «Корпоративная электронная почта принадлежит компании. Она должна использоваться сотрудником только для выполнения им служебных обязанностей и не предназначена для ведения личной переписки»

Да кто бы спорил, но право на тайну, в том числе и деловой переписки, имеет каждый гражданин. Далее см. Конституцию, ст. 23. Кроме того есть другой адресат, у которого может быть свое мнение по этому поводу. Теперь представим себе наличие личного письма в системе, которое было получено сотрудником (например, срочные новости от 4й любовницы, о том что 7я, 13я и 20я любовницы забеременели и встретились в больнице и если он не примчится немедленно в больницу, то реставрация руин бывшей больницы будет за его счет)

2. «Ст. 10 ч. 4 ФЗ РФ от 29 июля 2004 г. № 98-ФЗ «О коммерческой тайне» гласит: «Обладатель информации, составляющей коммерческую тайну, вправе применять при необходимости средства и методы технической защиты конфиденциальности этой информации, другие, не противоречащие законодательству Российской Федерации, меры».

Вот и применяйте меры, не противоречащие Конституции, в том числе ст. 23. Вообще любой ФЗ всегда был младше Конституции и не может ей противоречить.

3. «Вся переписка, осуществляемая в рабочее время при помощи технических средств, принадлежащих данной организации, и по оплаченным ею каналам связи или передачи данных, является служебной, даже если таковая ведется в нерабочее время».

И как это отменяет Конституцию? Еще раз для осознания: конституция не разделяет переписку на служебную и частную.

4. «Я напишу на чужом заборе что-то и волевым решением захочу скрыть это от посторонних. Хозяин забора, прочитавший надпись, нарушит мои конституционные права? А прохожие? Всех в уголовный суд?»

Есть некоторое различие между закупкой DLP за $1 млн. и чтением из общедоступного источника. Ключом для разрешения загадки может быть, то насколько много усилий предпринимается для нарушения тайны переписки. Для справки проводные телефоны так же ничего не шифруют и для перехвата разговора нужно всего провод и динамик на линии.

5. «Если в правилах внутреннего распорядка или подобном документе я декларирую де-юре существующее де-факто положение, что использование для переписки корпоративной почты не гарантирует соблюдение тайны переписки, что определенные (а то и все) сотрудники (а то и третьи лица), могут получить к ней доступ, то её использование в этих целях будет свидетельствовать о нежелании работника сохранять тайну, о его нежелании этим правом воспользоваться»

Еще раз, когда не применяются средства защиты информации. возникает угроза нарушения конфиденциальности в результате преднамеренных и непреднамеренных действий. Когда работодатель покупает специальную систему, устанавливает ее, настраивает с целью выделения из общего потока писем, тех что содержат резюме работника, блокирует их, а потом предпринимает дисциплинарные меры за то что ~~раб пытался сбежать с плантации~~ работник ищет другую работу в рабочее время, это очень не похоже на цепочку нелепых случайностей приведших к нарушению конфиденциальности. Конституция и УК декларируют защиту именно от преднамеренных, умышленных действий.

6. «Статьей Конституции Вам дано право на тайну переписки, но эта статья не налагает обязанностей ни на кого (кроме операторов связи в законе о связи, кем работодатель не является) по соблюдению Вашего права. Это как статьей Конституции дается право на свободное перемещение — попросите бесплатные билеты на поезд — у Вас же право есть на свободное перемещение, а его ограничивают стоимостью билетов»

Но статья налагает ограничения не позволяющие предпринимать активные действия со стороны третьих лиц для нарушения прав работников.

7. «Электронная почта не является почтовой корреспонденцией. Электронная пота не подразумевает сохранения тайны технически (сообщения передаются открытым текстом, без шифрования)».

А как насчет «и иных сообщений» в ст.23 Конституции или е-mail уже и не сообщение? Так же, еще раз, проводной телефон не использует шифрование, то же не подразумевается защита?

Я понимаю, что есть страстное желание блокировать утечку коммерческой тайны. Но причем здесь личная переписка? И причем здесь просто маниакальное желание введения перлюстрации?

Есть возможность первичный анализ свалить на робота, при введённом режиме КТ есть уже опробованные варианты поведения при фиксации роботом факта передачи КТ (CSIRT, ПБ, Управление инцидентами). Рассылка резюме не является фактом утечки КТ, как в прочем и инцидентом. А обеспечение исполнения запрета на использование корпоративных ресурсов в личных целях достигается другими способами, но ни как не перлюстрацией!

Стоит ли открывать письма сотрудников?

2012-04-05T22:21:00.000+07:00

Очень хотелось отделаться глубокомысленным молчанием о выдающимся пресс-релизе компании SearchInform, но не дали…

Ну, для начала, то, что там описано, IMHO, незаконно. Обоснование здесь и здесь. Ну, нет такой бумаги отменяющей конституцию. Не получается в отдельно взятой организации ввести рабство…

Опустим юридическую сторону вопроса и попробуем рассмотреть, как все это влияет на безопасность компании в целом? Я, до разумных пределов, являюсь сторонником теории разбитых окон, да простят меня психологи.

И так предположим, в компании ООО «Х» DLP система ловит, одного из ведущих сотрудников на переговорах с прямым конкурентом о трудоустройстве. Сотрудника вызывают в СБ компании и, показательно или не очень, но «учат любить Родину». Так или иначе, инцидент становится известен в компании. Посмотрим на последствия.

Принципиально есть три сценария развития событий:
1. Сотрудник идет в прокуратуру, суд или в РКН.
2. Сотрудник все таки переходит к конкуренту, что называется явочным порядком.
3. Сотрудник остается в компании.

В первом случае мы имеем, как минимум разбирательство со стороны правоохранительных органов с непонятными перспективами. В лучшем, для компании, случае дело просто не открывается по причине непонятности предмета для следственного органа. В худшем случае имеем уголовное дело по ст. 138 УК. Где-то в середине маячит проверка РКН на предмет исполнения ЗОПД. Даже по легкому сценарию есть некоторое неудобство для компании… Я так подозреваю, что сотрудник в этом случае все равно не уживется в компании, т.к. находится в состоянии конфликта с СБ и руководством. Короче сотрудник, через определенное время увольняется. При этом надо понимать, что в то время, которое он работает, он имеет доступ к КТ компании и увольняется со свежим информационным срезом. Все это происходит с хорошим информационным выхлопом, который демонстрирует не в лучшем свете СБ с их политикой безопасности и режимом коммерческой тайны.

Во втором случае, сотрудник пишет заявление по собственном желанию и прощается с компанией в этот же день. Уходит так сказать оскорбленный и с гордо поднятой головой, опять таки со свежим информационным срезом. Пытаться заставить человека отработать в соответствии с ТК положенные две недели в этой ситуации явно не разумно… Беспомощность СБ и отсутствие стимулов соблюдать ПБ здесь очевидны всем, даже уборщицам.

При этом следует отметить, что в обоих случаях оскорбленный сотрудник будет считать, что у него есть моральное право использовать КТ фирмы.

В третьем случае, сотрудник остается работать в компании, но здесь возникает вопрос доверия к сотруднику со стороны компании, а так же эффективности данного сотрудника после инцидента. Ситуация становится интереснее, если в процессе принимает участие HR или по-русски отдел кадров, который пытается «застимулировать» сотрудника различного рода плюшками. Понятно, что инцидент не останется без обсуждения в курилках и при неформальном общении между сотрудниками компании. Не берусь предсказать какое отношение будет коллег к этому сотруднику, но вариант с негативным отношением исключить нельзя. Думаю, что в данном случае можно утверждать что весьма вероятно увольнение нашего героя в течении года, опять таки со свежим информационным срезом…

Однако, более важными, для меня являются последствия инцидента для корпоративной безопасности. Мы все знаем, что для компании важно, что бы информационная безопасность стала частью корпоративной культуры (Уровни зрелости СОИБ организации). Практически во всех вариантах СБ демонстрирует отсутствие возможностей для сколь ни будь серьезного наказания «нарушителя». Проблемой в данном случае является то, что у сотрудника уже есть мнение, что он имеет «парашют» в виде предложения конкурента, плюс вся эта шумиха с СБ и кадрами во круг его скромной персоны добавляет не только нервозности и его негативного отношения к компании, но и укрепляет уверенность сотрудника, в том что он знает СЕКРЕТ, который можно продать. В таких условиях задача обеспечения обязательности соблюдения другими сотрудниками требований политики безопасности становится на порядок сложнее.

Хочу напомнить, что практически любой современный стандарт предполагает работу с пользователями после инцидента направленную на поддержание безопасности в компании на уровне до инцидента. При инцидентах связанных с инсайдом довольно сложно отрабатывать этот раздел.

И это мы не рассмотрели риски компании связанные с перлюстрацией корреспонденции конкурента. ;)

Так стоит ли открывать ~~этот ящик Пандоры~~ это злосчастное письмо? Или разумнее сразу этот вопрос скинуть на HR выводя из зоны ответственности СБ? В конце-концов при введённом режиме КТ увольнение любого работника не должно быть инцидентом ИБ.

P.S. Да, я знаю, что корни вопроса в несовершенстве законодательства. Баланс прав организации-работника сильно завален в сторону работника. И у нас не все в порядке с интеллектуальной собственностью и защитой КТ. Но в текущем раскладе я бы очень аккуратно подходил к вопросу перлюстрации корреспонденции.

О высшем образовании.

2012-03-11T22:40:00.000+07:00

Я преподаю предметы, связанные с защитой информации в нескольких ВУЗах г. Новосибирска. Очевидно, что у нас существуют учебные планы и программа курса, которые включают в себя в том числе обязательный и дополнительный списки литературы.

И тут в рамках борьбы ~~за мир во всем мире~~ за программы третьего тысячелетия, мне приходит требования к оформлению списка литературы:

Требования к основной литературе в магистратуре:

Издана за последние 5 лет
Наличие в библиотеке ВУЗа обязательно
Если издание есть в библиотеке, ВУЗа оно должно быть в количестве удовлетворяющем требование федерального стандарта: «25 экземпляров на 100 обучающихся».

Требования к основной литературе в бакалавриате:

По дисциплинам базовой части всех циклов - издана за последние 10 лет, гуманитарный цикл - за последние 5 лет
Наличие в библиотеке обязательно
Если издание есть в библиотеке, оно должно быть в количестве удовлетворяющем требование федерального стандарта: «25 экземпляров на 100 обучающихся».

Из очевидных, ровно один вопрос: Как включать РД по СВТ и АС 1995 года и тому подобные документы? Включать в список дополнительной литературы?

Из неочевидных: что делать с хорошими книгами по криптографии, переиздание которых не планируется. Ответ ВУЗа – пишите методические пособия. Чувствую скоро стану корифеем с кучей учебников местного разлива…

Я уже не говорю о финансовой нагрузке на библиотеку ВУЗа и прочих вещах…

Так что просьба к профессионалам посоветуйте свежую приличную литературу, к сожалению на русском языке, по основам ЗИ, криптографии, сетевой ЗИ, технической ЗИ, основам сетей, выпущенную в 2011 и 2012 годах. А то я последнее время все первоисточники нерусские читаю…

«Безопасность Oracle…» и «Обеспечение информационной безопасности бизнеса» под редакцией А.П. Курило уже знаю.

P.S. В качестве стимула сообщили: штраф за литературу по дисциплине с лектора – 30 тыс. рублей, с университета в 10 раз больше.

Безопасность в современном Internet?

2012-02-27T00:04:00.000+07:00

На хабре идет обсуждение, возможно ли защитить передачу конфиденциальныхданных через облако механизмом коротких ссылок вида cl.ly/abcd (взято из публикации). В ходе обсуждения народ приходит к выводу, что «короткие» не обеспечивают должного уровня приватности, в то время как «длинные» обеспечивают, т.к. их сложнее подобрать.

Что меня беспокоит в этой статье, так базисные ошибки:

1. Безопасность тождественна конфиденциальности, что плавно перетекает в приватность.

2. Обеспечение конфиденциальности сокрытием места хранения информации не вызывает недоумения. Вот так программисты и пишут свои творения.

Еще раз, об азах:

1. безопасность включает в себя как минимум еще доступность и целостность.

2. Если данные конфиденциальны – как минимум зашифруйте их.

3. После того как снимается вопрос конфиденциальности облачные сервисы, как с длинными ссылками, так и с короткими, вполне качественно обеспечивают оставшиеся части безопасности.

Трудности перевода и формирование образа противника

2012-02-25T01:03:00.002+07:00

Наткнулся на забавный документ от United Nations Institute for Disarmament Research (UNIDIR) под говорящим названием «Cybersecurity and Cyberwarfare. Preliminary Assessment of National Doctrine and Organization»

Прочитал… Вернулся к разделу про Россию, и прочитал еще раз. Решил перевести для публики не очень хорошо знающей английский язык.

Тут следует отметить, что перевод штука интересная, поскольку взаимно-однозначного соответствия между словами найти часто довольно сложно, именно поэтому рекомендуется читать на языке оригинала. На самом деле общение двух человек у одного из которых в понятие времени входит конструкция «Future Perfect Simple» определяемое как «Законченное действие в будущем, которому предстоит совершиться», а у второго в языке возможна конструкция множественного отрицания и произвольного порядка слов в предложении, протекает довольно сложно. Поэтому я пытался выполнить перевод как, возможно, понял бы его англичанин, не американец.

«В феврале 2010 Российская Федерация опубликовала новую военную доктрину, в которой обсуждается использование политических и информационных ресурсов для защиты национальных интересов России и ее союзников. Доктрина определяет как характерные черты современных вооруженных конфликтов, использование наряду с вооруженными силами и не военных возможностей и возрастающую роль информационного оружия. Доктрина утверждает, что "раннее применение возможностей информационного оружия для достижения политических целей без применения вооружённой силы и, в дальнейшем, создания благоприятного международного общественного мнения при применении вооруженных сил" изменит будущие конфликты. Задача по оснащению вооруженных сил и подразделений включает "создание сил и средств информационной войны" и "создание новых типов высокоточного оружия и обеспечения их информационной безопасности" как части "информационного пространства Российской федерации".

Ранее информационная война была определена в 1997 году Федеральным Агентством правительственной связи и информации как имеющую четыре компонента: разрушение командных и управляющих центров и электромагнитные атаки на информационные и телекоммуникационные систем, сбор разведданных, разрушение компьютерных систем и дезинформация. Федеральная служба безопасности в 2003 году поглотила часть Федерального агентства правительственной связи и информации которая отвечала за криптографию в взлом кодов. Россия поддерживает тесные партнерские отношения с бизнесом и вузами для создания и разработки киберсредств».

Это про нашу Доктрину...

Выдержки и из текста Доктрины и возможно парные фразы из документа:

13. Особенности современных военных конфликтов:

г) заблаговременное проведение мероприятий информационного противоборства для достижения политических целей без применения военной силы, а в последующем – в интересах формирования благоприятной реакции мирового сообщества на применение военной силы.

"Early implementation of measures of information warfare to achieve political objectives without the use of military force, and in the future to generate a favorable reaction of the international community to use military force".

41. Задачи оснащения Вооруженных Сил и других войск вооружением, военной и специальной техникой:

в) развитие сил и средств информационного противоборства;

"the development of the forces and means of information warfare"

е) создание новых образцов высокоточного оружия и развитие их информационного обеспечения;

"the creation of new types of precision weapons and the development of their information security"

Не могу сказать, что перевод не качественный, а abstract политизирован, похоже нас просто не совсем верно поняли. Думаю, что остальные не англоязычные доктрины так же прошли через призму переводчика...

Поэтому, IMHO, важным элементом информационной безопасности России является наличие на официальных сайтах в кликовой доступности нашего перевода на основные языки, например английский, французский, немецкий и китайский, концептуальных государственных документов.

P.S. Если будет время, сделаю два перевода про США, один "ястребиный", второй более мирный.

Эффективен ли «воздушный зазор»

2012-02-14T01:32:00.003+07:00

Мы все знаем, что одним из рекомендованных способов защиты информационных сетей определенных организаций, до сих пор остаётся "воздушный зазор". Не рассматривая применимость "воздушного зазора" в географически распределенных сетях завязанных друг с другом VPN попробуем разобраться в действенности этого метода на сегодняшний момент. Для простоты попытаюсь остаться в рамках РД контролирующих органов.

Для начала представим себе идеальный объект - изолированное предприятие, без дочерних и прочих структур, которое не увлекается outsourcing. Здесь по идее необходимо сделать допущение и определиться: промышленное предприятие и управляющая организация, но как мы поймем дальше это не принципиально.

Из руководящих документов у нас есть модель каналов, в которой, в том числе, участвует два элемента: среда распространения и носитель данных. Не зацикливаясь на неудачных формулировках просто отметим себе, что решение "воздушный зазор" с этой точки зрения обладает известной степенью изящества: разрушая среду распространения мы, в рамках этой модели делаем не возможным саму атаку.

Теперь рассмотрим современную информационную систему. Очевидно, что в соответствии с требованиями ФСТЭК в ИС присутствуют, как минимум авторизация и разграничение доступа, антивирус, ПМЭ. И со стороны выглядит все вроде как пристойно.

Принципиально нас так же интересуют ее коммуникационные потребности:

Обмен информации внутри иерархической структуры, в которую входит организация.
Обновление программного обеспечения.
Обмен информации с фискальными и контролирующими органами.
Обмен информацией с финансовыми учреждениями.
Получение актуальной информации в рамках компетенции самой организации.
Представительство организации в Internet.
Обмен информацией с контрагентами и партнерами.
Оперативное управление на различном уровне: системные администраторы, среднее и высшее управляющее звено.

Часть потребностей можно снять путем отказа их удовлетворять, например обновление ПО, получение актуальной информации, представительство в Internet. Очевидно, что данное решение оказывает существенное влияние на эффективность организации, но возможно там хранится секрет сопоставимый с секретом "Coca-Cola".

Часть потребностей можно перевести на обмен с помощью информационных носителей и передавать отчеты через систему изолированных от информационной системы рабочих мест подключенных к Internet. Таким же способом можно наладить связь с контрагентами и получение входящей электронной корреспонденции.

И здесь возникает вопрос: как организована работа на этих рабочих местах? А правда, что генеральный директор приходит в специально отведенную комнату для того что бы вместе с коллегами в порядке живой очереди побродить по Internet? Или отправляет своего секретаря? И тот же вопрос о системном администраторе?

И здесь мы начинаем понимать, что флэшка из класса носителей информации чудесным образом превращается в ~~брюки~~ среду распространения, и канал рассматриваемый в модели не разрушается…

Учитывая, что ответственный за антивирусную защиту не будет несколько раз в день бегать за обновлениями антивируса, мы получаем серьёзную уязвимость рассматриваемой ИС: явное отставание антивирусной подсистемы от быстро меняющихся угроз malware. К сожалению, эти размышления касаются и любых обновляемых производителем элементов СЗИ, например DLP, сканеры безопасности.

Сложные системы. Проблема сохранения знаний.

2012-01-25T00:47:00.000+07:00

Натолкнулся на заметку «Institutional memory and reverse smuggling» определяющую следующую проблему сложной системы на примере химического завода:

Есть сложная система, созданная десятилетия назад. За это время команда создававшая систему распалась, часть людей вообще ушли из бизнеса. Само предприятие, являющееся заказчиком, пережило ряд структурных изменений, в том числе поглощение. Далее можно представить все отягчающие последствия.

На фоне этих процессов сама сложная система частями модернизировалась, при этом модернизированное оборудование относится к разным поколениям. Разные поколения оборудования определяют используемые технологические, инженерные решения, а так же решения по оформлению документации и записок.

С результатом этих процессов каждый аналитик сталкивался, задавая вопрос: Есть кто-либо, (человек, команда, отдел) имеющий представление о системе в целом?

Особенностью данной проблемы будет то, что любая попытка улучшить состояние дел путем фиксации в документации решений и шагов не улучшает ситуацию. При приведении документации написанной в прошлые периоды к современным стандартам представления информации, и перенос ее на современные носители и современные платформы обработки возникают определенные трудности, которые порождают неточности и ошибки.

P.S. Неплохой перевод можно найти здесь.

Фишинг в livejournal

2012-01-15T18:52:00.001+07:00

Вы будете таки смеяться, но в livejournal опять проблемы.

При попытке вызова френд-ленты пользователь попадает на страницу ввода пароля. Далее независимо от того, что введено, идет переход на страницу с адресом ohtoenequ1.getenjoyment.net. Очень похоже на фишинг. Если Вы ввели логин-пароль рекомендуется немедленно заменить.

Картинка взята у Экслера.

UPD: СУП зашевелился. Появилось сообщение:
"There is currently a phishing scam attack which will attempt to mislead you into providing your username & password to a third party".

Или в Рунете:
Предупреждение! В LiveJournal замечена фишинговая атака с целью получения паролей от аккаунтов LiveJournal. Подробнее

План проверок на 2012 год

2012-01-05T21:27:00.000+07:00

Прокуратура опубликовала сводный план проверок субъектов предпринимательства на 2012 год.
Если зайти на сайт прокуратуры субъекта федерации можно найти планы проверок проверяющих органов, коих аж 47 шт. Смотрим и планируем финансовый и календарный год, сообщаем друзьям, коллегам и конкурентам. Что называется с Новым годом.

Виды персональных данных в 152-ФЗ

2011-11-30T14:56:00.001+07:00

Под классификацией здесь я буду понимать процесс группировки объектов исследования или наблюдения в соответствии с их общими признаками. Все что сказано ниже не относится к классам К1-К4.

До недавнего времени мне казалось, что уж с классификацией все устаканилось давно. Оказалось, как подсказали старшие товарищи из Новосибирского РКН, нет. После некоторых размышлений решил все собрать в одну кучу ограничившись уровнем 152-ФЗ.

Во-первых, в 152-ФЗ, прослеживается как минимум два подхода к классификации данных:

по содержанию обрабатываемых персональных данных;
по видам обработки персональных данных.

При этом законодатель в зависимости от итогов классификации устанавливает:

дополнительные ограничения на основания обработки ПД;
особенности обработки ПД.

Таким образом, мы можем выделить:

1. по содержанию обрабатываемых ПД:

Специальные категории персональных данных – закрытый перечень приведённый в статье 10 состоящий: расу, национальность, политические взгляды, религию, философию, состояние здоровья, интимную жизнь. Обрабатывается или на основании Закона или при наличии согласия субъекта. Здесь в рамках ФЗ 152 устанавливаются ограничения на основания обработки: это письменное согласие, законное основание или общедоступные ПД.
Есть еще супер специальная категория, которая обрабатывается только при наличии Федерального Закона определяющего необходимость обработки, согласие в данном случае не дает основание на обработку. Я говорю о судимости (см. часть 3 статьи 10). Собственно особые требования в вынуждают меня эти ПД выделить в отдельный класс.
Персональные данные, сделанные общедоступными субъектом персональных данных. Здесь законодатель требует письменное согласие субъекта. Следует так же отметить, что требования статьи 19, в явной форме, для этого вида данных не отменяются.

2. по видам и целям обработки персональных данных:

Биометрические персональные данные – физиологические и биологические особенности человека, на основании которых можно установить его личность и используются оператором для установления личности. Ограничения, устанавливаемые законом: письменное согласие и специальная процедура хранения данных вне ИС.
Трансграничная передача персональных данных. Выделяется три вида трансграничной передачи: страны являющиеся сторонами Конвенции Совета Европы, страны не являющиеся сторонами Конвенции Совета Европы, но обеспечивающие адекватную защиту прав ПД и страны не являющиеся сторонами Конвенции Совета Европы и не обеспечивающие адекватную защиту прав ПД. В случае передачи в страны последней группы, надо иметь либо законное основание (закон, договор), либо согласие субъекта, либо охранять жизненно важные интересы субъекта.
ПД в ГИС и МИС. Обработка ведется в соответствии с профильными федеральными законами, так же вводятся ограничения на способы обозначения принадлежности ПД.
ПД при продвижении товаров, работ, услуг на рынке, а также в целях политической агитации. Ограничения устанавливаемые законом: даже если ПД были получены из открытых источников, необходимо доказательное согласие субъекта, можно не в письменной форме.
ПД в ИС с решениями принимаемыми исключительно автоматизированной обработкой. Ограничение: письменное согласие, разъяснение последствий принятия решений и способов обжалования.

В порядке бреда по лицензированию ТЗКИ и персональных данных

2011-11-28T12:38:00.001+07:00

Постановление Правительства № 781 от 17 ноября 2007 г. перечитанное вдоль и поперек, смотрим п.4 Положения:

4. Работы по обеспечению безопасности персональных данных при их обработке в информационных системах являются неотъемлемой частью работ по созданию информационных систем.

Зная нашего законодателя приходят разные интересные и не очень мысли вроде того, что если проект по созданию ИС не включает в себя требования по защите и там есть ПД, то проект не полный, а договор фиктивный. А если включает, то это уже деятельность по ТЗКИ. Теперь всем интеграторам ИСПДн, (а что у нас не ИСПДН?) лицензироваться во ФСТЭК? Или субподряд? Хотя с субподрядом для меня не все до конца ясно. Я как понимаю, что все фирмы, которые вываливаются по запросу, потенциальные клиенты либо ФСТЭК, либо ОБЭП?

Коммерческая тайна, патенты и интеллектуальная собственность.

2011-11-19T00:39:00.001+07:00

Неожиданно для себя попал на двухдневный семинар по защите интеллектуальной собственности. Предельно интересное событие и дало хороший толчок в развитии.

В частности понял для себя три вещи:

1. Нет такого объекта в мире как международный патент, есть несколько международных систем патентования, например PCT (около 150 стран), но патентование идет на национальном уровне. И естественно есть международная заявка.

2. Патент за рубежом охраняет тебя только тогда, когда у тебя есть силы/возможность/деньги играть в суде и самое главное определить, что нарушены твои исключительные права. В противном случае это просто тривиальная утечка. И разумнее не патентоваться. Патент в определенной стране нужен только для продажи, тогда соблюдение прав становится головной болью местных и у них защита получается, очевидно, лучше. Как не прискорбно это звучит, но патентование за рубежом - высокий риск.

3. Я нашел много людей не осознающих, что такое защита информации и режим коммерческой тайны. После всей этой свистопляски со 152-ФЗ ощущение, что попал в параллельную вселенную.

Постоянно одергивал себя, что бы не прочитать лекцию на тему "защита информации и с чем ее едят". Очевидно, что понимание процессов в области ЗИ, КТ и конкурентной разведки от некоторых (а может всех) изобретателей и инноваторов настолько далеко, что рекомендации ФСТЭК для них как откровение. Страшно далеки мы от народа… или народ от нас?

P.S. И самое интересное открытие:

С недавних пор, при определенных обстоятельствах и везении можно запатентовать объект интеллектуальной собственности, включающий в себя программу. Главное привязать, а лучше внедрить, программу в технологически воспроизводимый объект. Тут еще пока до конца не разобрался – просьба не пытать!

Позиция Новосибирского РКН

2011-11-11T16:41:00.001+07:00

Вчера на одном мероприятии с интересом выслушал представителя Новосибирского РКН. Что запомнилось-удивило (привожу смысл сказанного,как я услышал-записал, а не цитирую, так что могут быть ошибки):

1. Есть мнение уважаемых товарищей, что уведомление в РКН должны подавать все предприятия с численностью более 4 человек. Случаев, когда компания попадает исключительно под действие 22 статьи части 2 в природе встречается очень мало. Обычно всегда находится что-то еще, так как бизнес штука сложная и не понятная, а трактовка законов еще сложнее. В общем что-то найдется всегда.

С моей точки зрения уведомление РКН, в текущей конфигурации, это минимальное из возможных зол. На сегодня я не знаю разумных причин не уведомлять РКН. Более того иногда встречается мнение, что вероятность попасть в план проверок выше, если не подано уведомление.

2. Письменное согласие - основное основание обработки ПД если нет Закона. Действительно существует только 5 случаев обязательного письменного согласия, но как оператор будет доказывать факт получения согласия в другой форме? Идеальный вариант взять согласие в соответствии с требованиями статьи 9. То, что для выдачи дисконтной карты надо заполнить форму как на открытие юр. лицане проблема.

3. Традиционная биометрия… В общем случае фотография человека есть биометрические данные... Без уточнения.

О биометрии есть еще и хорошие новости – на прошлой неделе представитель ФСТЭК сказал, что вот так вот с ходу определить является ли фотография биометрией, лично он не может. Ссылался на ГОСТ и т.д. Так что лед вроде тронулся, но как-то не шустро - по-прежнему, СКУД считается Новосибирскими регуляторами К1.

Хочу отметить, что в целом от выступления осталось ощущения «положительной динамики» и поиска разумного подхода к решению проблемы. Я наблюдал развития контролера законодательства о государственных закупках, в лице ФАС и пока могу сказать, что развитие событий идет по более оптимистичному сценарию.