Курсы по СКЗИ

В информагентстве блоге Лукацкого появился пост о заключении Минкомразвития на проект ПП РФ о лицензировании разработке и производству СКЗИ.

Согласно тексту ПП для проведения работ организация должна иметь в штате:

-        руководителя с образованием по ИБ или на худой конец 500 часов по ИБ

-        специалистов с образованием по ИБ или на худой конец 100 часов по ИБ

Я какое-то время назад заканчивал 72-часовые курсы по теме СКЗИ, поэтому эта тема мне знакома. Смотрим классификатор специальностей по нашей теме. Мне только не понятен код 090108. Может быть это не высшее образование?!

Вот самый интересный курс по теме переподготовки на специальность ИБ,  а также чтобы набрать нужные «свыше 500 аудиторских часов». Это «Академия Айти» - CSO. Программа профессиональной переподготовки руководителей и специалистов в области информационной безопасности 540 часов / 8 мес. с ценником 126 000 руб. А вот их косяк из буклета по курсам ИБ:

Я год назад интересовался этим курсом, даже запросил информацию о преподавательском составе и опыте их работе. Удивительно, но Академия мне эту информацию предоставила! До сих пор регулярно звонят с предложениями об этом курсе.

По 72-часовым курсам по теме СКЗИ сейчас есть следующие интересные предложения, на «выходе» которых помимо знаний будет документ о переподготовки государственного образца:

УЦ «Информзащита» только предлагает сумму из двух курсов:

-        БТ01. Безопасность информационных технологий. 5 дней с ценником 28 950 руб. и

-        Т010. Использование ЭЦП и PKI на основе "Удостоверяющего Центра "КриптоПро". 4 дня с ценником 29 810 руб.

«Академия Айти» - ИБ011. Обеспечение информационной безопасности с использованием шифровальных (криптографических) средств. 9 дней с ценником 35 000 руб.

УЦ «Маском» - М 7.0. Криптографическая защита информации в организации. Очно-заочное обучение 5+5 дней с ценником 42 800 руб.

Сейчас же предлагается увеличить количество часов с 72 до 100 часов! 100 часов это 12 дней. В принципе, можно уложиться и в 2 недели, как это сделано в Маскоме (трюк с заочными часами обучения). К чему это может привести:

-        нальют дополнительной воды в программу

-        увеличат ценник как минимум на треть

Что делать тем, кто уже имеет такие корочки? На мой взгляд, закон обратной силы не имеет и получится, так сказать, обратная совместимость. А, может быть, всё не так плохо как кажется? Ведь обучения знаний никогда не бывает много. Известна ведь фраза «Учиться, учиться и еще раз учиться» (с) Ленин, которую я полностью разделяю.

Новая политика конфиденциальности Google

С 1 марта Google вводит в действие новую политику конфиденциальности, информация и рассылка о которой уже прошла по Интернет.

Google может собирать достаточный комплект ПДн:
-    ФИО
-    e-mail
-    название оператора и номер мобильного телефона
-    фотографию
-    реквизиты кредитной карты!
Сведения об устройстве:
-    модель
-    тип и  версия ОС
-    уникальный идентификатор
Геоданные собираются при помощи:
-    GPS
-    Wi-Fi
-    вышек сотовой связи
Всё используется для:
-    контентной рекламы
-    развития
Каким третьим лицам передаются ПДн (априори используется трансграничная передача ПДн):
-    дочерним компаниям
-    доверенным лицам
-    партнерам
-    государственным и правоохранительным органам
Методы защиты информации:
-    SSL-шифрование
-    двухфакторная аутентификация (одноразовые пароли)
-    безопасный просмотр в Chrome
-    собственные организационные меры

Итак, общий вывод в том, что использование облачных сервисов Google не гарантирует:
-    конфиденциальность данных, т.к. не смотря на SSL-шифрование неизвестно, что делается в ИС Google, а также в каком виде хранятся ПДн
-    целостность данных, т.к. при обработке (хранении) ПДн не исключаются никакие «сюрпризы»
-    доступность данных, т.к. канал связи до Google может быть недоступен, например,  по вине ISP

Как в таком случае можно повлиять на безопасность ПДн? Только заключениям между сторонами SLA, что маловероятно, или не пользоваться сервисами Google. Впрочем, контакты российского представительства успешно гугляться.
ООО «Гугл» (Россия)
Москва, ул. Балчуг, 7
+7 (495) 644-14-00
Кстати глагол “to google” определен в Oxford English Dictionary и означает «Search for information about (someone or something) on the Internet, typically using the search engine Google»).

Метрики процесса защиты ПДн

Решил написать юмористический пост про метрики, которыми можно измерять «эффективность» процесса защиты ПДн по-русски.

ТОП-10 метрик ИБ для процесса защиты ПДн :-)

1. Количество и % от их общего количества защищенных ПДн.
2. Количество и % от их общего количества защищенных сертифицированными средствами ПДн.
3. Количество и % от их общего количества ПДн, которые утекли из организации за отчетный период.
4. Ущерб, который нанесли утечки ПДн за отчетный период.
5. Стоимость утечки одной ПДн (рассчитывается как отношение Пункта 4 и Пункта 3).
6. Количество предотвращенных утечек ПДн за отчетный период.
7. Количество ПДн, утечки которых предотвращены.
8. Стоимость предотвращения утечки одной ПДн (рассчитывается как произведение стоимости часа зарплаты офицера безопасности на время, потраченное на выявление утечки и деленное на количество ПДн).
9. КПД офицера безопасности по теме ПДн (рассчитывается как отношение времени, затраченного на выявление утечки ПДн и общего времени работы по теме ПДн умноженное на 100%).
10. Эффективность защитных мер (рассчитывается как отношение Пункт 5 и Пункт 8).

Проверяем всё на примере. Допустим, есть организация, в которой обрабатывается 1 000 000 ПДн.

1. Всего защищено 500 000 ПДн, т.е. 50%.
2. Защищено сертифицированными средствами 100 000 ПДн, т.е. 10%.
3. За год утекло 1 000 ПДн, т.е. 0,1%.
4. Был судебный иск, по которому выплачено 100 000 руб.
5. Цена утечки 1 ПДн равна 100 руб.
6. За год предотвращена 1 попытка утечки ПДн.
7. За год предотвращено утечек в количестве 500 ПДн
8. Стоимость предотвращения утечки одной ПДн равна 2 руб. 50 коп. (допустим зарплата офицера ИБ равна 100 000 руб., значит час его рабочего времени стоит 625 руб., а потратил он на расследование 2 часа).
9.  КПД офицера безопасности по теме ПДн равен 0,8% (офицер безопасности ежедневно тратит 1 час по тематике ПДн, а в 2011 году было 248 рабочих дней).
10. Эффективность защитных мер равна 40 попугаев (или удавов).

Представим, что в 2010 году, т.е. до внедрения защитных мер, был такой же судебный иск на сумму 100 000 руб. А значит уже можно рисовать график «эффективности» процесса защиты ПДн. :-)

Обновлять или не обновлять серверы

Обновлять или не обновлять серверы

Вопрос обновления серверов  встает перед всеми компаниями и тем острее, чем парк серверов больше.  Персонал ИТ и ИБ часто занимают в нем диаметрально противоположные позиции и это понятно. Бизнес и аудиторы тоже добавляют масла в огонь. Вот распространенные позиции каждой стороны:

 ИТ

-  на это нужно много ресурсов, которых нет

-  это может вызвать сбои или отказы

-  и так всё работает (или основное правило админа - не трожь, пока работает)

ИБ

-  уменьшается количество уязвимостей

-  улучшается сопротивляемость  атакам

-  возрастает надежность

Бизнес

-  бизнес-процессы не должны прерываться

Аудитор

-  всё должно обновляться

Основная идея этого поста в том, что как обновление, так и не обновление серверов могут привести к их сбоям или отказам. В случае обновления это может случиться из-за программных ошибок. В случае не обновления – в результате атак. Поэтому лучше, во-первых, минимизировать и принять данные риски, а во-вторых, выполняя обновления сделать процесс потери любых свойств информационной безопасности контролируемым.

Так как же в этом во всем найти компромисс, который будет устраивать все стороны этого процесса? Мне видится следующий путь. В организации далеко не все серверы являются критичными, а также далеко не все подвержены атакам. Имеет смысл выделить первоочередную группу серверов подлежащих обновлениям и включить в них:

-  все серверы из DMZ

-  все серверы, имеющие интерфейсы или port mapping во вне

-  все серверы, по которым есть жесткие compliance требования

В дальнейшем после приобретения практического опыта данная группа может расширяться. Удельные затраты времени на обновления при расширении группы должны будут непременно снижаться в виду отработанности процесса и ставшими стандартными многие операций, да и админы перестанут бояться самого процесса обновлений.

Также хочу обратить внимание на компенсирующие меры для этого процесса. К таким мерам относятся:

-  работа с минимальными привилегиями

-  постоянно запущенный и обновляемый антивирус

-  контроль доступа как физического, так и на всех уровнях модели OSI

-  логирование событий

Мое IMHO заключается в том, что таким образом должны остаться целыми волки и сытыми овцы. :-)

Важность контроля учетных записей

Многие, если не все, стандарты по ИБ говорят о необходимости контролировать пользователькие и технологические учетные записи. Для этого вначале необходимо добиться, чтобы любые изменения учеток происходили только по заявкам. Сами заявки нужно где-то учитывать. Таким образом, если возникает вопрос на основании чего был предоставлен доступ можно будет оперативно поднять всю информацию. Далее необходимо держать включенными только учетки работающих сотрудников, периодически проводя ревизии учеток на их актуальность.

А теперь немного юмора. Так бы я сделал, работая сисадмином в Кремле :-)