Воздушные замки

- Официант, это чай или кофе?
- А Вы что, сами не можете определить?
- Нет, не могу!
- Тогда какая Вам разница?

Задали мне намедни вопрос, что я думаю об облачных технологиях. И понял я, что не думаю о них вообще. Что несколько странно в свете того, что в соответствии с одним авторитетным опросом - девяносто один процент айтиспециалистов не только об этом думает, но и считает это направление перспективным, а к пятнадцатому году – самой востребованной моделью приобретения.

Почему они так думают? Действительно ли будет так? Будет ли это удобно для работы? И как это соотнесётся с информационной безопасностью?
Ответ на первый вопрос я давать не буду. Просто потому, что он мне неизвестен. Я провёл опрос среди своих знакомых айтишников… и порядок отличился на порядок (поручик любил каламбуры). Оставшиеся сказали, что облачные технологии – это здорово, но их возможности избыточны для задач девяносто одного процента офисов. Из этого я сделал вывод, что авторитетный опрос проводился среди специально обученных членов ассоциации (стоматологов и педиатров).
Ответ на второй вопрос вообще лежит за гранью (добра и зла) информационных технологий. Это вопрос модели продаж. В нашем мире предложение уже не зависит от спроса. Это спрос зависит от предложения. Давно никто не ищет целевую аудиторию. Её создают. У вас есть линия по производству левосторонних фрулапов и надцать миллионов маркетингового бюджета? Значит в следующем году, по мнению ассоциации … именно разработка и приобретение левосторонних фрулапов будет основным трендом развития. О левосторонних фрулапах восторженно напишет «Вог», чуть скептически «Пентхаус» и околонаучно два десятка компьютерных журналов, они профигурируют на паре выставок, станут объектом холивара на хабре и плоских шуток на баше. Профит.
Об удобстве. С точки зрения конечного пользователя – не изменится вообще ничего. Как работал он с терминала, так и работать будет. И висит его CRM на конкретном сервере или в кластерном облаке – он просто не узнает, если специально не поинтересуется. Более того, девяносто один процент организаций, предлагающих «облачные» решения, по сути, будут предоставлять хостинг на кластере, а то и на сервере, просто манипулируя красивым и модным словом. Но пусть их, глаз не видит, сердце не болит.
А теперь к вопросу информационной безопасности. Как следует изменять её политику в связи с тем, что защищаемая информация находится в «облаке»? Краткий ответ – никак. Отбросим девяносто один процент необлачных решений и сосредоточимся на девяти оставшихся. Какие каналы утечки имеются? Их немного. Канал «облако-сеть», то есть почта, пейджеры, социальные сети, канал «облако-внешний носитель», то есть принтеры, флешки, дисководы, и канал «облако-облако», то есть появление конфиденциальной информации на компьютере, который предоставляет свои ресурсы (в первую очередь – долговременное хранилище данных) облаку. Первые два – есть частные случаи каналов, существующих и при текущей модели. Третий… В принципе, что-то подобное ему есть и сейчас. То, что называется «общие папки». Возможно ли, что в облачной схеме случится подобная проблема? Написал генеральный директор Иванов стратегический план на год и кинул в облако. А облако, в соответствии со своими настройками решило, что лучшее место для хранения – есть винчестер клерка  Сидорова. Причём в виде цельного нешифрованного файла, пригодного для чтения. А Сидоров спокойно зашёл на выделенный под облако участок винчестера и прочёл данный конфиденциальный документ.
Ответ - да. Такой облачный клиент написать возможно. Если подобные абсурдные требования будут прописаны в техзадании. А вот кто напишет такое техзадание, найдёт средства на его реализацию и сможет протолкнуть как коммерческий продукт – вот это мне крайне интересно.

Александр Ерощев
специалист по информационной безопасности компании SearchInform 

Не переконтролировать

Контролировать всё - это, к сожалению, та недоступная идеальная ситуация, о которой в силу особенностей своей профессии мечтает каждый безопасник. Почему к сожалению? Потому что тотальный контроль, о котором безопасники мечтают, скорее вредит той организации, где они работают, особенно если тайны и секреты в ней не имеют государственного масштаба.

К чему это я? К тому, что недавно довелось мне услышать о примере такой организации, где безопасникам дали возможность приблизиться вплотную к своей заветной мечте и довести контроль почти до абсурда. Организация, сразу скажу, к обороноспособности страны никакого отношения не имеет; более того, является негосударственной. Люди в ней работают творческие, и живёт организация тем, что продаёт продукт их интеллектуального труда, платя своим сотрудникам достаточно конкурентоспособную зарплату. Одной из проблем этой организации стали утечки информации, той самой, которой организация и торгует (ну, вернее, как торгует - делает под заказ). Поскольку утечки эти стали сказываться на прибыли, руководство немало озадачилось информационной безопасностью, и наняло без малого десяток безопасников, которые её должны были обеспечивать. И вот тут администрация сделала серьёзную промашку: полагая, что это совершенно необходимо для обеспечения безопасности, раздало новоиспеченному отделу права контролировать всех кого вздумается, делать при этом практически всё что вздумается (в рамках закона, конечно) и, самое главное, самостостоятельно применять санкции к виновным - всё, кроме увольнения, не нужно было согласовывать с начальством.

Дисциплина, конечно, установилась железная. Помимо DLP-системы были закуплены камеры видеонаблюдения, при входе на работу у сотрудников собирали мобильные, разговоры по служебным телефонам, естественно, слушали безопасники. Попутно стали вести борьбу с опозданиями, "Одноклассниками" с рабочего компьютера и прочими вредными для конторы вещами. Сотрудники писали тоннами объяснительные по поводу того, что они написали в "Аське" подозрительное сообщение, а перед отправкой письма с вложением по электронной почте безопасники лично проверяли, что в этом вложении содержится.

Инсайдера, сливавшего данные, выловили, конечно, буквально за три дня, и тут же без разговоров выгнали. Но после этого меры по обеспечению безопасности ничуть не ослабли, наоборот, теперь для пущей безопасности стали контролировать и бухгалтерию, которая до этого почему-то оказалась не охваченной новыми мерами.

Надо ли говорить, что продолжалось это всё не очень долго? Через неделю-другую работники, накушавшись вдоволь безопасностью, потянулись к кадровику с заявлениями "по собственному желанию", благо, желания этого было хоть отбавляй. Руководство, не вняв тревожному звонку, стало трясти увольняющихся на предмет поиска у них принадлежащих работодателю данных - доходило до требований предъявить домашний компьютер и ноутбук, чтобы безопасники его проверили, в противном случае подписывать заявление отказывались.

В общем, полгода хватило для того, чтобы толковые сотрудники перебежали к конкурентам, а остались в конторе сплошь те, кто просто "высиживал" рабочий день, не принося ей особого дохода. Чем они там занимались под неусыпным контролем службы безопасности, без доступа к "Одноклассникам" и даже к пасьянсам? Кто ж его теперь знает... Прибыль компания приносить перестала, влезла в долги, и долго ли, коротко ли, появился в ней антикризисный управляющий вместо старого директора, и первым делом он сократил отдел безопасности до двух человек, и прописал вменяемые политики безопасности. Сейчас контора активно ищет новых сотрудников и пытается переманить обратно тех, кто ушел во время "эры безопасности".

Если узнали по описанию эту компанию, молодцы, но писать её название в комментариях не нужно. К чему же я это тут рассказал? К тому, что нужно помнить, что безопасность - для бизнеса, а не бизнес - для безопасности, и исходя из этого простого посыла и действовать, организуя работу службы безопасности.

Р. Идов,

специалист по информационной безопасности

Прогнозы, прогнозы, прогнозы...

Прогнозы от предсказаний и гаданий отличаются тем, что составляются не на основании расположения частиц в кофейной гуще или карт на столе гадалки, а на основе каких-то факто и данных. Поэтому, хотя предсказания читать тоже бывает достаточно интересно (по крайней мере, это должно быть интересно всем людям с чувством юмора), прогнозы читать и обсуждать всё-таки и интереснее, и полезнее.

К чему это я? К тому, что компания SearchInform опубликовала прогнозы, составленные её аналитическим центром, на 2011-й год. Для тех, кто не хочет читать целиком (хотя там, в принципе, не очень много текста), изложу основные пункты тезисно:

• рынок ИБ выростет в 2 раза по сравнению с ростом за 2010;
• половина компаний, у которых еще нет DLP-системы, начнут её внедрять;
• заметно возрастет количество утечек именно персональных данных, особенно в первом полугодии;
• количество других утечек будет держаться примерно на том же уровне, что и в 2010 году;
• переход от «заплаточных» систем из компонентов разных вендоров к интегрированным;
• DLP-системы закроют еще больше каналов и возможных угроз;
• постепенный переход к модульной архитектуре DLP-систем.

В тексте по ссылке каждый из этих пунктов аргументируется и поясняется.

А что вы думаете по поводу этих прогнозов? Согласны или нет, стоит ли их чем-либо дополнить, и есть ли вообще смысл прогнозировать ситуацию в такой динамично развивающейся отрасли, как сегодняшняя ИБ?

Р. Идов,

эксперт по информационной безопасности

Рынок персональных данных и 1 июля

Думаю, никто не будет со мной спорить, если я скажу, что в России уже много лет достаточно успешно работает подпольный рынок персональных данных. Кто не верит, может вспомнить "Горбушку" и массу подобных рынков и рыночков, на которых буквально у каждого продавца можно было купить базу данных ГИБДД, любого из мобильных операторов и т.д. Нельзя сказать, что сегодня ситуация сильно улучшилась, несмотря на заметный прогресс в движении к цивилизованному обращению с информацией. Может быть, можно ожидать, что после 1 июля, когда вступит наконец-то в свою полную силу закон "О персональных данных", ситуация заметно улучшится? Давайте попробуем порассуждать вместе.

Надеяться на то, что как по взмаху волшебной палочки рынок свернётся и исчезнет, думаю, было бы, по меньшей мере, наивно. Почему? Потому что есть продавцы (в том числе и любимые всеми нами инсайдеры), покупатели (несть им числа, но в первую очередь - разнообразные "менеджеры по продажам"), и, само собой, есть объект купли-продажи. Который теперь, вроде как, пристало защищать с помощью целого арсенала разнообразных средств. Какой вывод напрашивается? Правильно: рынок персональных данных должен уйдёт в подполье. Конечно, в относительное, потому что, наверное, нет нигде такого подполья, которое не могло бы достаточно долго существовать, просто давая "на лапу" нужным людям. Но видимость приличия будет соблюдена, будут показательные процессы, может быть, даже закроют ещё пару-тройку "Горбушек", но сути это не поменяет, и торговля персональными данными в том или ином виде продолжится.

В каком же именно виде? Очевидно, что самой удобной площадкой для такой торговли сегодня является Всемирная паутина. Несмотря на все попытки всех государств её контролировать, всё-таки Интернет остаётся явлением настолько наднациональным, что кроме, пожалуй, пары стран, вовсе запретивших его у себя, сегодня никто не может похвастаться контролем над ним. Поэтому в ближайшее время появится масса сайтов-однодневок, предлагающих купить ходовой товар по сходной цене. Нет, конечно, они есть уже и сегодня, но в будущем их должно быть гораздо больше, потому что и ценность персональных данных будет возрастать, как для мошенников, так и для более-менее легального использования.

А что же мы, люди из сферы информационной безопасности? Как то ни странно, но рынок персональных данных не столько подкинет работы нам, сколько госудраству, а увеличивающееся количество инцидентов с неприятными последствиями поможет начальству осознать проблему и выделить на защиту от неё адекватные средства.

Р. Идов,

специалист по информационной безопасности

Не жди меня

Историческая миссия России – показывать всему миру, как не нужно жить.

Михаил Задорнов.

Русские прусских всегда бивали, чего же тут перенять?

Александр Суворов.

Примерно год назад одна моя знакомая попала в сравнительно неприятную ситуацию. Некое ООО, имеющее дилерский договор с оператором, используя имеющиеся у них на руках ксерокопию её паспорта и идентификационного кода, зарегистрировало на её имя договор на пользование мобильной связью. На какую окончательную сумму планировалось мошенничество – осталось неизвестным, поскольку служба безопасности оператора практически немедленно предприняла соответствующие меры. О чём это говорит? Каков был алгоритм работы службы безопасности? Отдел получил для проверки крупный контракт, оформленный на частное лицо, которое ранее абонентом оператора не было (либо было анонимным абонентом предоплаченной связи). Простейшая проверка по пока ещё открытым источникам данных показала, что данное лицо не занимается предпринимательской деятельностью и не является матерью-героиней, так что необходимость в большом числе симкарт у него вряд ли имеется. В открытом же доступе был найден домашний телефон данного лица, произведён контрольный звонок… И дальше под пристальное внимание СБ и некоторых других организаций попало уже пресловутое ООО.

Каков был бы механизм, в случае, если бы все указанные данные были закрытыми? Боюсь, что несколько иным. Служба безопасности проверила бы данное ООО на предмет, имеет ли оно право обрабатывать персональные данные. Если ответ – «да» – то контракт был бы благополучно оформлен на основании «раз у них есть персональные данные, значит получить их они могли только от абонента». А через некоторое время, когда афера всплыла бы в суде – начались бы долгие разборки на тему «а через кого же из операторов персональных данных, у которых имелись данные данного конкретного лица, произошла утечка». Человекочасы, средства, нервы, вероятность потери деловой репутации – несопоставимы. Компенсируются ли такие вещи удобством оформить такой же контракт, но «настоящий» - не выходя из дома. И много ли таких вещей, за которыми выходить действительно не понадобится (те же симки – всё равно забрать нужно, или дождаться доставки почтовой/курьерской службой, что в итоге быстрей не окажется)? Считать нужно, у меня недостаточно данных для ответа на этот вопрос.

Есть и другие нюансы. Допускаю, что на Западе их не понять, но для нас они (пока) важны. Все мы хоть раз в жизни смотрели передачу «Жди меня». Там – она невозможна в принципе. Потому что разглашает персональные данные третьих лиц без их явного на то согласия. Какое уж тут согласие, коли мы их ищем, верно? Но передача – бог с нею, это шоу, реальная её эффективность стремится к нулю. А вот некоторые специализирующиеся на данном вопросе сайты, где в отличие от передачи, информация более структурирована и постоянно доступна – уже начинают попадать под каток «защиты». Может, это и правильно. А может – и нет. Опять же – нужно садиться и считать пользу и ущерб как от наличия, так и от отсутствия таких сайтов (интересно, в чём можно измерить возможность найти потерянных близких?).

Но в любом случае – очевидно, что западная система защиты персональных данных имеет очевидные недостатки. Это не потому, что «ну, тупые!”, просто  когда она разрабатывалась – они очевидными ещё не были. Так может – попытаться создать и продвинуть законодательно свою, местную систему защиты персональных данных. Которая, помимо удаления недостатков западной системы – ещё и выбьет западных производителей с нашего рынка. Ну да, некрасивая игра, монополизация, мировое сообщество нас осудит. А кому сейчас легко? Им есть дело до нашего осуждения? Почему нам должно быть место до их?

Готовы ли отечественные компании к лоббированию своих интересов на государственном уровне? Частично – да. Готовы ли они к лоббированию своих совместных интересов? К сожалению, скорее - нет. В отличие от западных коллег. А сказку про прутики мы все помним.

Александр Ерощев
специалист по информационной безопасности компании SearchInform 

Инсайдер осведомлённый

Наверное, я сейсас буду говорить прописные истины, но, поверьте, это будет совсем неспроста, потому что не раз уже наблюдал ситуации, когда эти истины то ли забывались, то ли намеренно игнорировались людьми, считающимися профессионалами в области информационной безопасности.

Инсайдер, осведомлённый о том, кому и зачем может понадобиться похищаемая им информация, гораздо опаснее какого-то внешнего злоумышленника (будем называть его на простонародный манер хакером), влезающего в вашу сеть, быстренько хватающего там что-то, что ему покажется наиболее интересным, а потом мучающегося тем, куда бы эту информацию выгоднее пристроить. Почему опаснее? Потому что осведомленность инсайдера о том, кто именно нуждается в похищенной им информации, позволяет передавать ему её именно тем, к кому они ни при каких условиях попасть не должна - конкурентам, прессе, шпионам заокеанским... То есть действия инсайдера апроири носят для компании более разрушительный характер, чем действия хакера.
А теперь, как говорят в замечательной передаче "Что, где, когда?", "внимание, вопрос!". Почему же от внутренних угроз, то есть от инсайдеров, защищаются куда менее охотно, чем от хакеров?
Наверное, исследуя этот вопрос, можно целую диссертацию написать, но делать это, конечно, нужно не в блоге:)  На мой взгляд, проблема лежит, в первую очередь, в плоскости психологии руководителей, принимающих решения о реализации систем безопасности в организациях. Как правило, такое решение принимается на более высоком уровне, чем начальник службы безопасности, и руководителю организации, ни разу не сталкивавшемуся с утечкой информации лично, а только слышащему о подобных случаях от "безопасников", сложно воспринимать такие разговоры всерьез. С его точки зрения, всё это попахивает паранойей, которая, чего уж там говорить, фактически является профессиональной деформацией любого специалиста по безопасности, и не вполне оправданным расходованием денежных средств.
Возникает резонный вопрос: как "безопаснику" убедить высшее руководство в необходимости защиты? Как показывает опыт общения с представителями разных организаций, идеального рецепта не существует. На кого-то действуют примеры тех, кто уже сэкономил на DLP-системах, кому-то вполне достаточно логических аргументов "за", а кому-то приходится обещать и откат в случае положительного решения вопроса. А как вы убедили своё руковосдтво установить DLP-систему (или как пытались убедить)? Предлагаю обсудить в комментариях.
Р. Идов,
эксперт по информационной безопасности

Награждать следует непричастных

 А непричастны у нас как раз те, кто на государственном уровне допускает сложившуюся ситуацию, на самом деле несущую потенциальную угрозу для безопасности страны. И это уж точно не руководитель аппарата правительства Свердловской области. Поскольку ни одну из озвученных выше опасностей он своими полномочиями закрыть не может.

1.    Железо, проверяемое на наличие чёрных ходов – существует. Оно известно, его можно приобрести, и (военные) его приобретают. Да, оно на уровне 286х процессоров (если кто ещё такие помнит) и сопутствующего им обвеса. Каменный век, скажете вы? Но военные потенциального противника почему-то согласны с нашими и приобретают то же самое. Впрочем, для 99% случаев такие строгости ни к чему, а потому можно и оставить секретарям современное железо, которое стоит дешевле того, что из «юрского периода». Хотя, если наладить местное производство… но не Роснано же такой ерундой заниматься.
2.    Операционная система. Это сравнительно просто. Она вполне себе проверяется на наличие чёрных ходов. Были бы исходники. И они были и проверялись, никуда Майкрософт не делся. Очевидно, что первое же обновление превратило все сертификаты в филькину грамоту. Но решить вопрос так, чтоб Виндовс Рус обновлялся строго с сервера на Лубянке, а обновления приходили на Лубянку в виде исходников – тоже можно. И договориться с одной международной корпорацией, полагаю, получится проще и дешевле, чем играться с народными сборками Линукс. Хотя и это интересный путь.
3.    Аналогично с прикладным ПО. Полностью.
3.1.    А вот эту проблему я уже поднимал ранее в статье о аське. Граждане, пользуйтесь аськой, поддерживайте отечественные спецслужбы! Отечественные спецслужбы, заставьте довести аську до ума, вам это не помешает! Я серьёзен. Да, о чём там народный слуга треплется по скайпу – мы перехватить можем. Если сильно нужно – прикрутим и к СОРМу, хоть русскому, хоть украинскому, хоть СССРовскому. Звоните, как говорится. Но вот кому ещё скайп это сольёт – мы не знаем, извините. И если не совершим прорыва в математике, от которого Вассерман признает себя неудачником – то и не узнаем.
3.2.    Ну а с почтой вообще всё понятно. Почта на государевой службе должна быть одна. Государева. С прикрученным контуром информационной безопасности. Опять же – перехватим и с гугля посланное, но кому ещё гугль пошлёт?
Вот теперь всё хорошо. Определяем круг непричастных к выполнению вышеуказанных пунктов и выдаём им государственные награды. По моему – так.
Александр Ерощев
специалист по информационной безопасности компании SearchInform

Специально для Вас, Козлов, переход построили

По просьбе трудящихся излагаю своё мнение о поступке Сергея Козлова, разославшего престранный циркуляр с запретом зарубежного ПО, бесплатной почты и скайпа.
Пока прочие ругают маразмы чиновников и спорят о ничтожности грифа ДСП (у меня под таким грифом документ в подъезде висит, вот честное пионерское, видимо, у печатавшего такой гриф автоматом на всё вешается, а отключать он не умеет) – изложу причины, по которым он «перестарался».

Ну не знает чиновник айтишной терминологии. И происходит это, замечу, не оттого, что он глуп, а оттого, что в сей терминологии далеко не всё однозначно, и главное – ничем не регулировано.
Давайте разберём попунктово как получился такой испорченный телефон.
Козлов получил себе результаты «анализа, проведённого органами ФСБ». По результатам анализа он получил:
1.    Железо. Собранное неизвестно где, неизвестно кем, и принципиально непроверяемое на наличие чёрных входов.
2.    Операционная система на этом железе… с теми же проблемами.
3.    Прикладное ПО… ну вы поняли.
3.1.    Прикладное ПО для связи, которое вообще гонит шифрованный трафик неизвестно куда.
3.2.    Использование связи с применением серверов, заведомо находящихся на территории вероятного противника и находящихся под его контролем.
Какие выводы должен из этого сделать нормальный человек, которому за державу обидно? Именно те, которые сделал он. Он сделал то, что должен и как смог. В отличие от тысяч прочих, которые вообще ничего не сделали. Давайте предъявим претензии командиру пехотной части, погибшей защищая танки без экипажей за то, что он вот танкистом не был и танкистов под рукой не имел. И окончательно добьем его смехом над тем, что вот не знал он, как у танка эта деталька называется. Уж извините, в понимании нормального человека – почта на гугле и бесплатная почта – это синонимы. А если для кого нет – так это профессиональная деформация, могу посоветовать преднизолон и витамины.
В сухом остатке – единственное, что можно ему предъявить – это (возможно) некорректное использование грифа ДСП. И то, что он держит на работе балбеса, который, считая себя компьютерным мегагуру – отсканил текст и выложил смеха ради. Впрочем, надеюсь, эта оплошность будет исправлена. Не знает кто – можем помочь поискать, пара инструментов, которые могут помочь даже сейчас – есть. А превентивная установка выдала бы на гора инсайдера в ста случаях из ста. Даже если бы он использовал скайп, который подобными гуру считается сверхнадёжным средством.
Ладно. С невиновным, которого сейчас мы все дружно наказываем – определились. Давайте определять непричастных. Тех самых, которые для товарища Козлова переход НЕ построили. Надо же кого-то наградить… О них речь в следующей статье…
Александр Ерощев
специалист по информационной безопасности компании SearchInform

Гастрабайтеры от инфобеза

- Вот не могу с хорошей девушкой познакомиться. Кого ни приглашу на свидание – у неё не выходит, то айфон сел, то шины в лексусе спустили.
- Хм… А знакомишься ты где?
- Ну, в клубах, барах, ресторанах.
- А ты в метро знакомься. У сименсов батарейки надёжные, да и поезда без шин как-то обходятся.

Один из (анонимных) читателей блога как-то утверждал, что в Замкадье большая проблема с поиском людей, которых можно научить пользоваться контурами информационной безопасности. Причём как критерий годности он указал допуск человека к гостайне.

 

Спорить с критерием не стану, поскольку в принципе согласен. Эти люди прошли проверку вполне компетентными органами, специально обучены (хотя бы в общих чертах) отличать конфиденциальную информацию от неконфиденциальной независимо от наличия грифа, представляют куда идти и что делать в случае свершившейся утечки либо появления её возможности и так далее. Понятно, провинциальному предприятию достаточно сложно (и дорого) замотивировать москвича на переезд в деревню, глушь, Саратов. А надо ли? Неужели больше нигде и никак?
Давайте считать. Соседнее государство с требованиями к допуску, написанными в том же здании, где писались применяемые в России – недавно раскрыло число допущенных. Получился – каждый стопятидесятый. С учётом того, что люди, даже с допусками, склонны менять работу, а допуск через некоторое время закрывается… то выходит их число тех кто допущен или когда-то был допущен - куда больше. Но остановимся на каждом стопятидесятом. Если такой же процент допущенных имеется в России (а в соответствии с критериями – он такой и есть), и все допущенные – москвичи, то… они все, включая грудных детей, имеют допуск к гостайне. Плюс ещё, пожалуй, Королёв, и будет достаточно…
Но верится в такое географическое распределение весьма слабо. Значит, специалисты по информационной безопасности (а человек с допуском таковым или уже является, или может быть дообучен недорого и в сжатые сроки) есть и в вашем городе. Попробуйте поискать на промышленных предприятиях, даже если это полузакрытая или бывшая фабрика швейных машин. Да и пищевую медицинскую и пищевую отрасли я бы быстро со счетов не сбрасывал. Узнаете много нового и занимательного.
Если же и там не найдёте – то обращайтесь всё в то же соседнее государство. Заработки там пониже, чем в России, народ вполне мобильный и к переезду в столь ближнее зарубежье отнесётся вполне лояльно, благо для этого даже загранпаспорт не нужен. А Немосква будет ими воспринята только как дополнительный плюс.

Александр Ерощев
специалист по информационной безопасности компании SearchInform

Каждой фирме - по "полиции мысли"

Полиция мысли - из романа-антиутопии «1984» 

английского писателя Джорджа Оруэлла 

(псевдоним Эрика Блэра), который так называет 

институт цензуры в тоталитарном государстве.

Библиотекарь.ру

Прочел не так давно очень интересную статью по поводу того, как борется с утечками информации Apple Inc. - компания, давно известная своей любовью к секретности и атмосфере таинственности вокруг своих новых разработок. Каюсь, статья попалась мне на глаза только после републикации на нашем корпоративном сайте, но оригинал можно найти здесь.

По прочтении подумалось: если бы каждая компания занималась собственной информационной безопасностью так же, как это делают "яблочники", наверное, проблем с утечками информации, особенно с персональными данными, вообще не наблюдалось бы. Почему? Да потому что качественное и своевременное обнаружение инцидентов, да ещё и последующее наказание в назидание другим - что может лучше искоренить инсайдерство в любом коллективе?

С другой стороны, конечно, методы Apple не способствуют творческому настроению в коллективе. Этот тезис находится в явном разногласии с креативностью инженеров компании, постоянно предлагающих разные новинки и радующих пользователей девайсами, которые расходятся миллионными тиражами. В чем же дело? Очевидно, в том, что служба информационной безопасности Apple очень хорошо знает, кого и зачем она должна контролировать. То есть одно дело отдел продаж, который не должен сливать информацию, которую получает несколько заблоговременно, и совсем другое - сами разработчики, которых компания не только очень аккуратно контролирует, но и замечательным образом мотивируют. Наверняка хорошо проработана и политика разграничений к конфиденциальной информации, и нет ситуации, типичной для российских контор, когда любой сотрудник может легко сунуть нос в любые документы, не важно, связаны они с его служебными обязанностями, или нет.

Но, как говорится, мечтать не вредно... Великие компании, возможно, потому и великие, что для них нет мелочей, и всё они стараются делать максимально хорошо и качественно. Особенно, если "мелочь" критична для бизнеса и может стоить сотен миллионов и даже миллиардов - и не рублей, а долларов. Впрочем, широкая русская душа убытков не считает...

Р. Идов,
эксперт по информационной безопасности

Защита до мозга костей

Несмотря на то, что главным рабочим инструментом безопасника сегодня является DLP-система и, видимо, еще долгие годы никаких изменений в этом намечаться не будет, в будущем, несомненно, средства защиты от утечек данных "прорастут" в те программы, которыми ежедневно пользуются потенциальные виновники утечек, то есть рядовые сотрудники страдающих от утечек организаций. Это и разнообразные почтовики, которые позволяют отослать письмо не тому адресату, и файловые менеджеры, которые дают пользователю скопировать что угодно и куда угодно, и прочие приложения, включая саму операционную систему.

 Сегодня, кстати, ОС являются едва ли ни единственными пользовательскими приложениями, включающими в себя функционал защиты от утечек данных. В будущем таких приложений будет больше, потому что DLP-системы, даже с активным контролем трафика, то есть поддерживающие блокировку передаваемой информации, не настолько эффективны против случайных утечек данных, насколько хотелось бы. Под эффективностью нужно понимать в данном случае не столько саму возможность остановить случайную утечку данных, сколько экономическую эффективность таких действий сегодня. Блокирующие DLP-системы очень дороги во внедрении и при эксплуатации: мало того, что нужно существенно перекроить существующую сетевую архитектуру, купить отнюдь не дешевые мощные сервера и дополнительный софт вроде того же Оракла, так еще нужно и немалое количество безопасников, которые будут обеспечивать защиту от неправильного распознавания конфиденциальной информации DLP-системой, которое может остановить важные для организации бизнес-процессы. В случае с делегирование этих функций прикладным программам организация экономит массу средств, поскольку процесс предотвращения случайных утечек делегируется самим пользователям, а отдел информационной безопасности сможет сосредоточиться на борьбе с теми, кто действительно преднамеренно распространяет корпоративные секреты.
Когда же наступит такой коммунизм, можете спросить вы? Очевидно, нескоро, поскольку пока что не видно активности производителей ПО, предлагающих пользователям подобные решения. Но в том, что когда-нибудь этот светлый день всё-таки наступит, и почтовые клиенты, "аська" и прочие программы будут сами предотвращать утечки информации, я верю. Потому что это удобно и выгодно.
Р. Идов,
эксперт по информационной безопасности

Цена утечки информации

 Согласно исследованиям Ponemon Institute, 

средняя стоимость утечки информации для фирм 

в Великобритании в 2008 г. составила 1,7 млн фунтов.

Из статьи в ИТ-глянце

Прочитав в своё время статью, информация из которой вынесена в эпиграф к данному посту, крепко задумался - а сколько же стоит утечка информации на нашей с вами исторической родине, то есть в ex-USSR (берем не только Россию, но и смежные страны)? Гугл с Яндексом подсказали, что серьезных исследований на данную тему никто не проводил, не встречал я аргументированных цифр и в каких-либо отраслевых изданиях. Поэтому давайте вместе поразмышляем на тему того, какую сумму могло бы показать проведенное на данную тематику исследование.
Давайте для начала подумаем, из чего именно складывается стоимость утечки? Она складывается из различных аспектов ущерба, наносимого утечкой той организации, которая её допустила. А ущерб этот может быть следующих видов:

• Репутационный: снижение цены бренда, курса акций и т.п. вследствие самого факта утечки плюс информации, содержавшейся в обнародованных документах;
• Прямой: стоимость украденных инсайдерами ноу-хау, нереализованных из-за утечки бизнес-планов и т.д.;
• Косвенный: выплата компенсаций и издержек по судебным искам третьих сторон, пострадавших в результате утечек, плюс различные штрафы регулирующих органов.

Вот собственно каждый из этих трех пунктов для среднестатистической утечки и нужно оценить. Проблема только в том, что утечки все очень и очень разные. Одно дело, когда инсайдеры уносят к конкурентам чертежи, скажем, нового двигателя, разработка которого стоила десятки миллионов долларов, и совсем другое, когда на странице школы на narod.ru вывешивают персональные данные двух десятков родителей, не сдавших деньги на подарок директору. Поскольку второй случай явно распространеннее, средняя цена утечки, конечна, далека от десятков миллионов долларов, но за счет того, что сверхдорогие утечки тоже случаются, средняя цена также далека и от нуля.
Думаю, что пока в России не станут общепринятой практикой судебные иски за разглашение персональных данных, пока не станут всерьез работать с нарушителями регуляторы (читай, Роскомнадзор), цена средней  утечки будет далека от той суммы, которую озвучил для Британии Ponemon Institute. Но мы ведь даже 10 предотвращенных утечек по 10000 долларов уже оправдывают функционирование DLP-системы.
Р. Идов,
эксперт по информационной безопасности