Архив рубрики: Публикации

Как сделать стандарт за 10 дней. Часть вторая. Скучная

Как сделать стандарт за 10 дней, я рассказывал раньше. Сейчас я хотел бы рассказать о терминологии и названиях документов, их значении и разных подходах к составлению документации. Конечно, все знают, что полезно разбираться в документах, но не у всех хватает терпения вникнуть в них. Я расскажу, как меня засудили как раз за это. Эта часть будет сухой и скучной, налейте себе чая, возьмите печеньки. Поехали.

Слишком долгое вступление в тему

Любой живой язык прекрасен в своих нюансах. А русский язык прекрасен вдвойне. Имея такой мощный базис, русский канцелярит (так я называю язык, на котором пишутся законы, постановления правительства и другие официальные бумаги) пленит своими возможностями. Разумеется, если вы не пытаетесь его читать.  Если нет возможности этого избежать, то читать канцелярит надо вдумчиво и размеренно, несколько раз перечитывая, вникая в каждое слово.

Шел 2008 год – лето, пятница. Я отпросился пораньше с работы, чтобы не стоять в пробках, и ехал на дачу по Дмитровскому шоссе в районе Яхромы. Было довольно плотненько, но терпимо. Меня останавливает инспектор ГИБДД, просит документы и заявляет, что я не пропустил пешехода. Я с ним не соглашаюсь.


Тогда инспектор предлагает подписать мне постановление и говорит, что у меня будет 10 дней на обжалование. Ну, уже неплохо. Я подписываю бумагу и еду дальше по своим делам. Оказалось, что инспектор воспользовался моим незнанием.
 

Протокол? Какой протокол?

На суде выяснилось, что я подписал не протокол, а постановление.

В случае, если представитель власти увидел признаки административного правонарушения (например, правил дорожного движения), он должен составить протокол. В протоколе вы можете написать, что не согласны с замечаниями, а вот в постановлении такой графы нет. Т.е. подписывая постановление, я фактически признал свою вину. Да, у вас есть 10 дней, чтобы обжаловать постановление. Но шансов практически нет. Таким образом, протокол – лишь фиксация нарушения, а постановление – уже назначенное наказание.

Казалось бы, две какие-то бумажки, а какие разные последствия.

Документы для информационной безопасности

Как и любая деятельность, процессы информационной безопасности рано или поздно обрастают некоторым объемом документов: политики, регламенты, инструкции, положения и т.п.  Каждый из этих документов решает определенную задачу, а путаница в них (как в примере выше) в обязательном порядке губительно скажется на вашей деятельности.

Для создания документов такого рода мы можем использовать достижения как отечественной, так и западной школ.

Западная школа

Западная школа довольно свободно относится к названиям и содержанию документов. Самым ярким доказательством является серия стандартов – ISO 2700x, которую знает каждый безопасник.


В общем случае вся документация делится на четыре уровня.

  • Политики первого уровня – наиболее «водянистые» и «стратегические». Например, «Политика информационной безопасности ООО «Ромашка».
  • Политики второго уровня – конкретизируют определённые аспекты глобальной политики или конкретные процедуры. Например, «Политика антивирусной защиты».
  • Инструкции (третий уровень) – описывают конкретные обязанности сотрудников в рамках политики 2 уровня, например, «Инструкция системного администратора по антивирусной защите сегмента КСПД».
  • Записи (четвертый уровень) – все то, что не вошло в предыдущие три уровня. От настроек на конкретном сегменте до разбора инцидентов SIEM-системы.

При применении данного подхода возникают проблемы с адаптацией сего стандарта в наших реалиях. До сих пор можно легко обратить любое общение безопасников в безжалостный холивар вопросом о размере политики безопасности. Большинство предпочитает хранить всю необходимую информацию в одном документе, ведь чем больше документов, тем больше времени необходимо тратить на отслеживание их взаимосвязей, а согласование и внесение изменений может затягиваться на месяцы. Я встречал и другие мнения, однако в любом случае вывод следующий: западные методики не раскрывают многих необходимых нюансов.

Обратимся же к отечественному опыту.

Отечественная школа

Имея такую впечатляющую историю и опыт поколений в разработке конструкторской документации (ЕСКД), было бы удивительно, если бы у нас не сложились свои традиции и понимание оформления документов. Если внимательно посмотреть тот же ГОСТ 34 серии, то можно с удивлением узнать, что он вполне логичен и даже удобен. Разве перед внедрением любой системы вы не разрабатываете верхнеуровневую структуру (эскизный проект), уточняя его все детальнее и детальнее (технический проект и рабочая документация)?

Поэтому, если вы будете разрабатывать документы для русской компании, вы скорее всего будете использовать подходы отечественной школы. Основным ее отличием от западной, является внимание к терминам и названиям. Например, называя документ «Перечень входных сигналов и данных», от вас ожидают, что там будет информация о входных, возможно, даже о выходных сигналах, а не требования к информационному обеспечению или описание массива информации.

Но здесь вас может поджидать проблема. Как вы думаете, чем отличаются:

  1. Политика информационной безопасности,
  2. Регламент информационной безопасности,
  3. Положение об информационной безопасности?

Именно этот вопрос поставил меня в тупик, когда я перешел к этапу составления комплекта организационно-распорядительной документации (ОРД). Давайте же разберемся.
 

Как вы лодку назовете, так она и поплывет

Остановимся на основных документах (если будем рассматривать все – это будет совсем нудно и неинтересно). Описанный ниже подход является основным в работе Департамента информационной безопасности в одном из подразделений ЛАНИТ.
 

Приказ

Альфа и омега любого процесса, который вы захотите перенести на бумагу. В отличие от западного подхода, где достаточно просто утверждения уполномоченными лицами, у нас все документы вводятся приказом. Вы можете использовать в работе какие угодно инструкции и формы, но если они не введены приказом, считайте, что их у вас нет.

Это, кстати, особенно актуально для защиты персональных данных. Любая проверка регуляторов начинается с установления факта правоприменимости принятых мер. Если вы занимаетесь каким-нибудь документом, то вам, скорее всего, и готовить проект приказа.

Основными отличительными чертами Приказа являются следующие:

  1. Вводится в действие генеральным директором, именно он имеет право распространять те или иные требования на всю организацию.
  2. Наличие команды. Например, внедрить политику информационной безопасности.
  3. Назначение ответственного. В приказе должен быть указан ответственный за выполнение сути приказа, например, в случае политики – директор по ИБ.
  4. Наличие сроков. Тут все очевидно. Например, доведение до сведения всех сотрудников Политики ИБ в течение 2-х дней.
  5. Наличие контролирующего. Эту часть часто забывают, но крайне желательно указать, за кем закрепляется контроль над исполнением сути приказа. Обычно он либо остается у генерального директора, либо передается ответственному.

Приказом вводится все – от режима защиты персональных данных до утверждения форм отчетности. Делать ли разные приказы на каждый чих или единым пулом – зачастую дело вкуса. Если все вводить отдельными приказами, то внедренные документы проще будет менять. Если единым пулом, то проще согласовать и подписывать.

Политика

Наконец, мы добрались до Политики. В нашей традиции это относительно новый документ, в отличии от других, представленных здесь. Особенностью Политики является то, что она описывает процессы. Например, процесс обеспечения информационной безопасности.

Политика может и должна выдвигать требования к функционированию процесса, может описывать требуемое обеспечение и исключения.

Используя отечественный подход, вы можете создать политику любого объема. Главное, не надо превращать Политику в описание задач и распределение ответственности между исполнителями, для этого есть Положения и Инструкции.

Положение

В отличие от Политики, Положение как раз направлено на регулирование деятельности людей и подразделений. Положение, в общем случае, регламентирует порядок образования, права, обязанности, ответственность и организацию работы структурного подразделения (должностного лица, совещательного или коллегиального органа), а также его взаимодействие с другими подразделениями и должностными лицами.

Т.е. фактически Положение очень редко применяется к процессам, но будет весьма уместно в виде «Положение о Департаменте информационной безопасности».

Регламент

Регламент – самый противоречивый документ. Я встречал компании, в которой были только разнообразные Регламенты. Надо понимать, что в своей сути регламент – временный документ, во всяком случае в информационной безопасности. Это то, что сейчас модно называть «дорожной картой». Регламент, в отличие от Политики и Положения, определяет конкретные шаги и сроки их исполнения.

А раз есть сроки, Регламент мало применим к непрерывным процессам, например, обеспечению безопасности всей компании или обеспечению контроля качества. Т.е. может быть «Регламент внедрения политики безопасности», но лучше не делать «Регламент информационной безопасности».

Инструкция

Инструкция – самый последний в иерархии, но не по значимости документ. Инструкция описывает конкретные шаги, что надо делать в той или иной ситуации, или наоборот, то, что делать не надо никогда. Самый знаменитый пример инструкций обоих типов – Устав внутренней службы Вооруженных Сил.

Инструкции не привязаны к какой-то конкретной структуре, и, пожалуй, главным требованием является понятность и удобство чтения.

На этом хотел бы закончить, надеюсь, вы дочитали до конца. Не повторяйте моих ошибок и знайте значение документов.

Феминизм в поИБэ

Всем добрый день. Прошлая моя запись про сексизм в ИБ вызвала некоторый резонанс, мне многие писали со словами поддержки и одобрения. Хотелось бы осветить и другую сторону проблемы, то, что сейчас поражает наше общество, и ИБ в частности, раковой опухолью. Я говорю о феминизме.

Ввиду некоторых особенностей пубертатного возраста, меня бросало во всякие крайности. Я посещал секты, придерживался неонацистских взглядов и тусил с сатанистами. Как говориться – есть что вспомнить, нечего внукам рассказать. Одним из немногих достоинств всего этого была встреча с людьми самых разных взглядов и мнений, в том числе маргинальных. И знаете, что, везде, в каждой самой маленькой тусовке я видел удивительное единство мнений по поводу феминизма (мб за исключение ЛГБТ, т.к. ничего о них не знаю). И это мнение можно было выразить лишь одним словом НЕНАВИСТЬ!!!1111 Даже геи вызывали меньшей антипатии, т.к. адекватных (те, кто не пропагандируют) в такие места не заносило, а неадекватные (которые пропагандировали) быстро отовсюду выгоняли.

Вторым достоинством было то, что «начинаешь разбираться в сортах дерьма». Я уже рассказывал, что все подобные группы очень ревностно относятся к определенным признакам, зачастую незначительным на первый взгляд. Например, спросите коммуниста поддерживает ли Сталина.

Так почему же феминисток все так ненавидят? Немного углубившись в историю и послушав, что говорят сами феминистки, мы придем к выводу, что сейчас мир захлестнула третья волна феминизма. Если кратко, в самом начале женщины боролись за равные законодательные права. Женщины должны владеть имуществом и правами наравне с мужчинами. Это было все еще не очень хорошо, но глобальный шаг вперед. Традиционные общества, где женщина не считалась за человека, над ними проводились (к сожалению, и сейчас проводятся) бесчеловечные вещи вроде удаления клитора или удлинения шеи, получили первый удар. Это была первая волна феминизма.

Вторая волна, решила расширить занятый плацдарм и направить наступление на личные отношения, работу семью и т.п. Таким образом к концу волны, а это 90-е года прошлого века, мы получили образ современной женщины. Полноправную личность, которая может достичь того, чего хочет наравне с мужчинами. И было нам всем счастье. Но длилось оно не долго.

Тут надо сделать лирическое отступление о «мужской тирании». В демагогии, есть такой прием – придумать не соотносящийся с реальностью фуфел и яростно его ниспровергать. На протяжении всей истории мужчины и женщины бок о бок боролись за выживание. Болезни, голод, смерть. Главное слово – вместе. Все наше различие сейчас не строиться на власти, или во всяком случае не так, как это представляется.

Новое поколение феменисток заявляет, что мужчины владеют большим количеством богатства и капиталом. Но забывают,  что это лишь незначительная часть. Вот, небольшой список вещей, где мужчины преобладают над женщинами:

  • Количество самоубийств;
  • Жертвы преступлений;
  • Количество сидящих в тюрьмах;
  • Бездомных;
  • Погибшие в войнах;
  • Даже среди худших учеников и так можно продолжать бесконечно.

И где же тут господство? Почему эти фурии выбирают малую часть очень успешных мужчин, и используют ее, чтобы определять всю структуру нашего общества? В чем тут логика? Не тот ли это самый демагогический фуфел?

И все это можно было бы оставить на уровне маргинальщины и форумных обсуждений, если бы современные феминистки не пошли дальше. Вот, гипертрофированный пример.

Феминизм – это не когда женщина главнее мужчины. Это называется матриархатом. Феминизм — это движение за права женщин, против их дискриминации по половому признаку. Это значит, что у женщин не должно быть меньше политических, экономических и гражданских прав просто потому, что они женщины. Этот феминизм я поддерживаю всеми руками и ногами, именно этих принципов я стараюсь придерживаться в повседневной жизни и на работе.

Но когда эти женщины начинают везде кричать о мужском шовинизме, требовать введения новых слов («гендерно нейтрального языка») или изменения порядка использования существующих. Например, в английском слова humanity и mankind используются для обозначения всего человечества, но второе слово — mankind — восходит к слову man «мужчина», и потому использование слова humanity феминистки считают предпочтительнее, так как оно восходит к гендерно нейтральному слову «человек». И это еще цветочки. Т.к. большинство завоеваний женщины добились в период второй волны, осталось мало места для маневра. Поэтому особо пылким пришлось перекинуться на личную сексуальность и гендер в целом.

Например, была придумана квир-теория. Если кратко, наш пол и сексуальная ориентация не столько определяется биологическим полом, сколько окружением. По такой теории все мы должны быть строго геторосексуальными, т.к. таких у нас подавляющее большинство. Но разделы теории почему-то фокусируются на таких темах, как бисексуалы, лесбиянки, геи, трансвестизм, трансгендерность, интерсекс, гендерную двусмысленность, хирургическую коррекцию пола и т.п. На какую современную активистку фем-движения не посмотри, так она кто угодно, но не гетеросексуалка. Видимо, обычных гетеро-женщин из движа выгоняют.

С совсем фанатичками можно говорить лишь на языке фактов (жаль, что их не слышат). Мужчины тоже испытывают дискриминацию. Например, почему к женщинам не применяют смертную казнь. Или почему с момента зачатия мужчина, мужчина лишается всех репродуктивных прав? Как только женщина беременеет, все права передаются ей одной. Только она вправе решить, сохранять беременность или нет. И если мужчина не хочет быть отцом, ему все равно придется им стать, если женщина того пожелает. Конечно, она не может заставить мужчину воспитывать ребенка, но она может признать его отцовство через суд и потребовать алименты. А если женщина не хочет — она вправе сделать аборт, не спрашивая мнения мужчины. То есть и отцом он стать не может по своему желанию.

Можно продолжать бесконечно. И не было бы проблем, но все это выплескивается и в обычную жизнь. Я уже рассказывал, о секции на CISO форуме «Женщина в ИТ». Но не говорил, что на ней было. А там была представлена явная сегрегация – мужчины отдельно, женщины (в первую очередь) отдельно. У нас уже появляется информационная безопасность для женщин. Это не потому что безопасность нужна женщине, а потому что она женщина.

В последнее время все чаще эксплуатируют этот тезис – потому что она женщина. И я понимаю, когда речь идет о специфических вещах, например, специальных средствах гигиены. Но зачем вы лезете марать профессиональные темы? Почему нас все еще культивируются эти предрассудки? Не играй в машинки, ты девочка? Почему все это не основывается на банальном профессионализме и компетентности? Когда у вас засоряется туалет, вы вызываете сантехника. И в подавляющем большинстве случаев это будет мужчина. Это не потому, что есть тирания глобального мафиозного клана сантехников. Скорее всего он лучше и экономически выгодней.

Я помню серию репортажей, когда началась уберизация такси о женщине водители. О, боже, какая она смелая, как ей тяжело, ай-ай-ай. Ау, люди, она водитель. Женщины могут водить машину доезжая до магазина, почему же они не могут зарабатывать, водя авто? Если вы такие эмансипированные женщины – идите в грузчики.

Вы, наверно, помните историю с Варварой Шубиной и Аной Мавричевой. Одни из маркеров, почему я отреагировал – была подача. «Ой, девочки, что расскажу. Тут есть девочка, она такая крутая, и готова вас сделать крутыми». Чувствуете уклон, да? Девочки отдельно, потому что ездят на единорогах, мальчики отдельно, потому что «плохо пахнут». Может быть если бы это был обычный бизнес-тренер – да и шут с ними, кто я такой, чтобы запрещать людям потерять свои деньги? Но об Ане, в другой раз.

В заключение хотел бы сказать, что определенная асимметрия в мире и взаимоотношениях полов есть, но тогда бы он не был так пленительно притягателен, а был бы выверено строг и скучен. Возможно, женщины зарабатывают чуть меньше, а мужчины выходят на пенсию позже и умирают раньше. Это можно продолжать до бесконечности. Главное взаимное уважение всех сторон.

Мир всем.

От форума к видео – путь графомана

Всем добрый день. Если вы любите рисовать буковки на бумаге, или пиксели на экране, а особенно, когда это складывается в какие-то законченные мысли, вы равно или поздно придете к решению поделиться этим с окружающими. Причины могут быть самые разные от банального любопытства до профессионального интереса. А если вы в добавок графоман, как я, то у вас вообще нет выбора.

Я прошел все стадии от анонимного блога до написания профессиональных статей, а недавно появилась вишенка на этот слоеный пирог. Теперь я с уверенностью могу сказать, что пробовал все способы самовыражения, который предоставляют современные технологии. О чем и хочу рассказать.

Форумы

Самая простая и самая начальная стадия. Нет ничего проще, чем под настроение поучаствовать в какой-нибудь дискуссии на сотни страниц. А количество пользователей и административная иерархия добавляют различные вкусы в это блюдо. Вы можете выбрать любую роль от эксперта по выращиванию хризантем до ревностного оппонента администрации форума.

Мое активное участие на общенаправленных форумах пришлось на 2000-2008 год. Мне даже удалось стать администратором из народа на форуме в 100 тысяч человек, где творился чад кутежа, интриг, и всей той вакханалии, которую творят молодые люди имеющие неограниченный доступ к компьютеру. Доходило до того, что у меня была анимированная аватарка, хотя правилами, которые я лоббировал, назначаясь в админы, это было строжайше запрещено.

Затем я основал и долго админил узкоспециализированный форум, который жив и поныне. С прискорбием должен сказать, что форумы умирают. Жизнь теплится в каких-то определенных областях, где форум удобен, как платформа, но сейчас уже нет интересных форумов общей направленности.

Форумы все еще остаются замечательной песочницей для оттачивания своих навыков. Форумы дают замечательную анонимность. В конце концов форум вы всегда можете забросить, но память останется в веках, особенно, если вы писали что-то дельное.

Личный анонимный блог

Личный блог становится следующей стадией. Свой первый блог я открыл в 2003 год в ЖЖ, и вел еще один на форуме. Оглядываясь назад, сложно сказать зачем мне надо было два блога. Но что было, то было. Блоги – это уже следующая стадия социализации, тут у вас появляются друзья по интересам. Если сохранять должную цифровую гигиену, то можно быть не узнанным все время использования.

Проблема кроется именно в анонимности, если вы хотите славы, пусть и в узких кругах – это не ваш вариант. Рано или поздно произойдет деанонимизация, что может сказаться на вас негативно, вы ведь ведете анонимный блог. Последствия этого могут быть самые разные. И, конечно, будет крайне ограничен круг ваших тем, например, вы вряд ли сможете писать на профессиональные темы. Если же вас именно это интересует, то вам поможет следующий раздел.

Надо признать, что личные блоги на известных платформах умирают, вместе со своими платформами. Сейчас практически нет удобных соцсетей для периодического ведения блога. Да, ЖЖ подходит идеально, но он умер. А Вконтакт с Фейсбуком, все же несколько для другого.

В прошлом году, после 15 лет – я закрыл свой анонимный блог.

Профессиональные статьи на заказ

Если вы достаточно профессиональны, рано или поздно вам предложат написать статью на заданную тему. Это уже качественный шаг вперед. Проблема в том, что вы жестко ограничены темой. И редактор, составлявший план – крайне смутно может понимать вашу специфику. Тогда вы будете писать про программы слежения за сотрудниками. Но если ваш материал будет интересен или качествен, вам могут дать некоторую свободу в освещении темы.

Обычно такие задачи прилетают с крайне сжатыми сроками и конкретными требованиями к объему. Например, 9000 знаков за 2 недели. Как вы понимаете, за это не платят. Но, если вы захотите пойти по пути евангелиста вашей области, человека, который продвигает и пропагандирует определенные направления, это будет хорошим стартом. Рано или поздно вы сможете стать специализированным пиарщиком и лидером мнений. Например, в области информационной безопасности такой путь прошел Алексе Лукацкий.

Если чувствуете в себе силы, можете попробовать.

Литературное негритянство

Если в статьях на заказ вы пишите на заданную тему, то став литературным негром, вы еще и будете получать за это деньги. Литературный негр пишет под именем другого автора, заказчика работ. Обычно это внушительные по объему материалы, в моем случае это была книга по экономическому анализу (120 страниц А4)

Обычно данное явление распространено в сфере журналистики, и других сферах, связанных со словом. В нашей ИТ сфере с этим все несколько хуже. Где и как вы найдете заказчика, тайна великая есть. Сам я на это подписался совершенно случайно, услышав разговор в коридоре. Денег тогда платили нормально – 2,5 моих зарплаты. Как сейчас с этим не знаю.

Направление крайне специфическое, время идет, сил заниматься этим не хватает, особое мнение заказчика надо учитывать. Когда я через 6 месяцев сдал исходник, у меня словно гора с плеч свалилась. Я даже не знаю дальнейшую судьбу рукописи, вроде как ее издали, и меня даже взяли в соавторы.

Занятие на ваш выбор.

Корпоративное обучение

В определенный момент, вас могут выдвинуть на проведение очных обучений ваших заказчиков. Вы что-то создали, и теперь должны обучить пользователей это использовать. Надо сказать, что штука это довольно обременительная. Т.к. зачастую обучение происходит среди людей далеких от ИТ и ИБ. Первым моим опытом – было обучение всех школ Москвы основам защиты персональных данных. Тогда я объездил все округа, где в зале собиралось по 200-300 человек, а вы должны им рассказать, что теперь им работать придется больше, а платить им будут столько же. Один раз меня чуть не побили в СВАО.

Если обучения вам избежать не удается, то вам поможет хорошее знание темы. В случае любых конфликтов, вы всегда можете сослаться на то, что вы просто исполнили заказанную работу. И уж точно, вам удастся раскачать навык публичных выступлений.

Наверно, самый спорный вид самореализации – все же учить должны педагоги или люди с профильным образованием.

Корпоративные выступления на конференциях

Это следующий шаг, когда вы не просто выражаете свои мысли письменно или находитесь в лояльной аудитории, как с обучением, но доносите необходимое до широкой аудитории. Это классика публичных выступлений, идти или не идти, в которую каждый должен решать самостоятельно. Обычно направляет на такие выступления работодатель, реже вендор.

Каждому выступающему в самом начале надо решить следующие задачи:

  • Интересная тема (хотя бы не банальная);
  • Слайды. Это является отдельным искусством, о котором можно говорить долго и увлеченно.
  • Текст выступления. Его необходимо знать хотя бы в общих чертах, чтобы не читать без бумажки.
  • Тайминг. Неприятный факт, что можно и не успеть в отведенные 10-15 минут донести необходимую мысль, или наоборот быстро отстреляться и оставшееся время ждать вопросы от аудитории, которых обычно не бывает.
  • Внешний вид. Публичные выступления довольно требовательны к внешнему виду, хотя сейчас наметилась тенденция к упрощению, можно читать хоть в толстовке.

Советую попробовать каждому хотя бы раз, после этого вы точно будете знать – разиваться ли дальше, или забросить это дело.

Интервью конференции

Выступить, пусть и под запись, может большинство. Но вдруг вас ловит журналист, нанятый организаторами, который хочет взять флеш-интервью. Вот, одна из моих первых попыток:

Здесь было все ужасно. Адреналин бьет через край, парализуя мозг. Через 5 лет все случилось ненамного лучше.

Главная проблема интервью, что вы чаще всего, к ним совершенно не готовы. Представьте ситуацию, вы только выплеснули всю энергию, а каждое выступление — это стресс, если, конечно, вы уже не сделали сотни выступлений, а тут вас застают врасплох, надо срочно сконцентрироваться, ведь вас снимаю и точно это где-то покажут. Интервью остаются для меня самым сложным испытанием.

Экспертные мнения к новостям

Когда вы станете довольно известны в журналистке, к вам периодически будут прилетать запросы на комментарии. Не знаю, как это происходит, может быть они обмениваются контактами. Но мне прилетали запросы на комментарии по актуальным темам еще пару лет, как я уволился.

Происходит это так, журналист хочет осветить свежую новость, и что бы усилить эффект хочет собрать мнения экспертов. Как вы понимаете это довольно непростая задача, эксперт может быть занят, в отпуске, ничего не понимать в теме новости. Да еще желательно, что бы эксперты были разными.

Эксперту тоже не сахар. Новости может быть 2 часа жизни, а вы уже должны мало того, что знать суть, так еще и охватить смежные области, часто сделать прогноз, и все это за 30-40 минут, т.к. материал пора публиковать. И разумеется, желательно, чтобы ваше мнение было еще оригинальным. Один раз я 30 минут сидел в машине в Пушкино, написывая через смс свое крайне «компетентное» мнение».

Выглядит это примерно вот так.

А еще бывает такая крутая штука, как «эксперт, решивший остаться неизвестным». Это когда мнение необходимо, но персонализировать его по каким-либо причинам нельзя. По самым горячим темам 2014-16 годов можно найти самые неожиданные мнения, особенно, если знать, кто «пожелал остаться неизвестным».

Профессиональные статьи со свободной темой

Собственно – это развитие статей с заданной темой. Если вы хорошо себя зарекомендовали, даете качественный контент, вам могут дать карт-бланш на заполнение пустых полос. Собственно, это вершина письменного профессионального творчества.

Если вы достигли этой точки – поздравляю, я до нее, пока, не добрался.

Личные выступления на конференциях

А это, как понятно из названия, вершина – личных выступлений. Когда вас рады видеть на любой конференции, чтобы вас послушать. И могут оплатить перелет, проживание и развлекательную программу. В области ИБ таким, например, является Рустэм Хайретдинов, которого можно слушать всегда и везде, чтобы он не хотел рассказать.

Личный профессиональный блог

Самая переоценная категория, в отличии от анонимного – вы можете писать на свою профессиональную тему. И вас начнут воспринимать, как эксперта. Проблема профессиональных блогов в том, что темы-то заканчиваются. И если в ИТ, есть еще какое-то развитие, то в ИБ вы будете кидаться на любой информационный повод, на любой проект постановления правительства, и тоже самое будут делать ваши коллеги. Тлен и безысходность.

Если все же отважитесь, то вам необходимо быть экспертом в заданной сфере и давать неожиданный взгляд на текущую ситуацию, чтобы быть не как все.

Личный полу-профессиональный блог

Я поставил полу-профессиональный блог выше профессионального из-за более широкой сферы тем. Согласитесь, интересно писать о новых сканерах уязвимостей проще, чем о сканерах и около лежащих темах. Именно поэтому я перевел свой блог с прямых рельс информационной безопасности – на более общие темы.

Как вы понимаете, в данном случае вы публичны – дальше некуда. И много сказанное вами, будет использовано против вас в самых неожиданных местах и формах. Например, некоторые корефеи до сих пор язвят по поводу Дошираков, хотя это была просто работа.

Если не боитесь, то это лучший из вариантов для удовлетворения своих потребностей в графоманстве.

Аудио-подкасты

Аудио-подкасты у нас как-то особо не взлетели. Все же большинство людей визуалы, т.е. воспринимают картинку глазами. Поэтому самым удобным способом юзать подкасты – слушать в машине или в транспорте в наушниках.

Сами по себе подкасты предъявляют повышенные требования к теме и выступлению, но проще в реализации, записывать их можно хоть в трусах. Большим плюсом является наличие ведущего и других гостей, с которыми можно завязать диалог и улучшать качество контента.

Крутой формат, всегда с удовольствием участвовал, но проблема использования стоит во все поля.

Теледебаты

Те же подкасты, но с картинкой. А, следовательно, сюда добавляются требования, как и к выступлению на публике – тема, слайды, выступление и т.п. Мне удалось поучаствовать в первом сезоне Кибербаталий от Infowatch. Где каким-то чудом я выиграл приз зрительских симпатий. Но это было крайне сложно. Я бы не рекомендовал участвовать, если вы не пробовали большинство из предыдущих пунктов.

Сам я не высоко оцениваю свое выступление, сейчас бы я все сделал по-другому.

Новости

Прохождение всех предыдущих стадий у меня заняло 19 лет, с момента первых форумов и блогов. И, вот, каким-то чудом меня утвердили читать корпоративные новости. Приятная неожиданность быстро сменилась легкой тревогой на подготовке – новости надо было заучить. Это не рифмованные стихи, это пресс-релизы, а слово «гиперконвергентной» я теперь могу выговорить без запинки (и надо сказать записали мы эту новость быстрее всех).

Но самый Ад начался на записи. Интервью пыль по сравнению с новостями. Оказалось, камера выпячивает все недостатки, которые у вас есть. Как визуальные, так и лингвистические. Первый выпуск мы записывали 3 часа, это 3 часа стоя на ногах с порванным мениском (незадолго до этого меня сбила машина). Мой язык к тому моменту совершенно меня не слушался, и я был готов бросить все и убежать, и никогда больше с этим не связываться. Все ж я никогда не учился на диктора, и вряд ли когда-нибудь смогу, начав с середины жизни.

https://www.facebook.com/LANIT.life/videos/1121716011342443/

Если вы все же решитесь, будьте готовы к тому, что хоть вы и говорящая голова на экране, но за этим стоит большая работа множества людей. И они будут предъявлять определенные к вам требования, это зачастую нелегко. Вам может казаться, что вы сделали супер, но ваш режиссёр будет наседать на вас, пока, не добьется превосходного результата.

Надеюсь вам было интересно плавать по волнам моей памяти. Как вы заметили, я совсем не касался причин той или иной деятельности. Вы можете хотеть продвинуть личный бренд, как сейчас модно говорить, или поделиться опытом – не принципиально. Но это уже тема отдельного большого разговора.

А на сегодня все. До новых встреч.

Как сделать стандарт за 10 дней (авторская версия)

Всем, привет. Хочу рассказать вам историю о том, как я делал методические рекомендации Минздрава. 500 страниц с нуля за 10 дней, сделанных ошибках и сложностях, которые не были преодолены. Надеюсь, мой опыт поможет всем, на кого свалилась задача написать руководящий документ, стандарт или закон.

Источник

Месяц до дня Х

2009 год в безопасности персональных данных, был годом предвкушения. Ходили упорные слухи, что 152-ФЗ «О персональных данных»., принятый в 2006 году вот-вот станет обязательным для исполнения. С момента принятия, рынку и операторам было дано время подготовиться к обязательному исполнению закона, и время подготовки истекало. 2010 год виделся годом большой работы, но закон вступил в окончательное действие лишь в 2011, но этого еще никто не знал (а потом еще пару лет не верили, что приняли)

Предвидя огромную организационную работу, многие ведомства решили начать готовиться заранее. Одним из первых было Минзравсоцразвитие (сейчас Министерство здравоохранения), которое курировало огромный пласт операторов персональных данных повышенного внимания (информация о здоровье) – медицинские учреждения (для краткости будем называть их ЛПУ – лечебно-профилактическое учреждение).

И т.к. в ЛПУ, ввиду очевидных причин, слабо развито ИТ, не говоря уже об информационной безопасности, то было принято решение создать для всех ЛПУ стандарт по защите персональных данных. Которым могли бы пользоваться люди далекие от безопасности и ИТ.

Т.к. в то время, большинство руководящих документов по защите персональных данных были недоступны широкому кругу лиц (действовало так называемое «четверокнижение» с грифом ДСП, которое могли запросить только лицензиаты), то вариант с созданием подробных методических рекомендаций был оптимальным.

Я же в 2009 году занимался информационной безопасностью 3 года, и был на уровне опытного джуниора. С багажом в пару проектов по персональным данным (что в то время было большим опытом, т.к. очень сложно убедить заказчика выполнять необязательные требования), в жесткой схватке с одним крупным НИИ, работа по созданию стандарта досталась мне.

Источник

Неделя до дня X

За неделю до начала работ, я обсуждал с руководством предстоящую задачу. Планировалось, что ее будет делать другой специалист, но в итоге она досталась мне. Надо упомянуть, что, будучи молодым, в профессиональном отношении, я действовал по принципу «слабоумие и отвага». Думаю, это свойственно всем специалистам на определенном этапе карьеры. И именно этот принцип сыграл ключевую роль во всей работе.

Забегая немного вперед, отвага заключалась в атаке «с шашками на танки» силами одного специалиста на такую масштабную работу. Уже значительно позже, я делал похожие работы возглавляя различные по численности группы (от 2 до 6 человек). И если уж говорить об оптимальной численности команды, то оптимальное количество людей 1-2 человека, не считая привлекаемых специалистов, вроде технических писателей. Из 5 подобных работы, 1-2 человека – это лучшее соотношение по производительности и достигаемому эффекту. Например, команда из 5 человек, подобную работу делала 9 месяцев.

Слабоумие же заключалось в указанных мною сроках работы (10 дней, которые вместо рабочих стали календарными), и не понимания всей широты проблем, которые могут возникнуть. Именно недооценка сложности, чуть не стала роковой. Но в этот раз отвага победила, но путь ее был труден.

Источник

1-3 день работы

Поскольку ничего подобного я раньше не делал, решил воспользоваться имеющимися методиками создания документов. Вспомнив самый масштабный документ, который я написал к тому моменту – мой диплом, я решил начать с начала и закончить в конце.

Первым документом были «Методические рекомендации по составлению Частной модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных учреждений здравоохранения, социальной сферы, труда и занятости». (Кстати, все документы можно найти в Интернете). С моделями угроз я работал больше всего, и эта задача была самой понятной. Это было первой ошибкой.

Если не вдаваться в подробности, мне необходимо было описать три последовательные стадии защиты персональных данных:

  1. проведение обследования,
  2. составление модели угроз,
  3. создание комплекта организационно-регламентирующих документов.

Разумеется, я начал описывать с середины, что вылилось в большие проблемы на 7-10 дней.

Второй ошибкой было использование последовательного принципа написания документов. Это когда сначала титульный лист, потом оглавление, список сокращений, вводная часть и т.п. Это не работает, в определенный момент вы обязательно встанете в «креативный тупик», чаще всего он наступает на 3-5 разделе, когда вам понятно, откуда вы вышли и куда хотите прийти, но не понятно как.

Забавно получилось с сокращениями, которые сразу же были сделаны. Чтобы была хоть какая-то преемственность с текущей нормативной базой, я скопировал сокращения из документов регулятора, и там осталось сокращение «ТКУИ – технические каналы утечки информации», которое в тексте нигде не встречается.

Лайфхак: чтобы сделать список сокращений актуальным, во время написания применяйте три простых действия:

  1. Как только вам потребуется сделать сокращение, пишите в формате «(далее – )». Например, обязательное сокращение в тексте (далее – ОСТ).
  2. Держите открытым отдельный файл Exсel, куда заносите все сокращения (можно без расшифровки).
  3. Когда текст будет написан, ранжируете в экселе перечень от А до Я и смотрите количество, а в тексте поиском ищете вхождение «(далее – )». Если числа совпали, поздравляю – у вас актуальный перечень сокращений.

Работая с сокращениями, не используйте больше трёх букв. Все отличное от этого выглядит ужасно и плохо запоминается. По крайней мере, в безопасности, где, как и в армии, верховодит всем ТБС.

Результат: 1 файл объемом 20 страниц и несколько табличек в Exсel.

4-6 день работы

После первых дней спокойного режима пришлось окунуться в бассейн кофеина и никотина. Во-первых, была сделана здравая работа – прочитано техническое задание. В принципе и раньше было понятно, что необходимо делать, но важны были детали.

Ключевыми словами были «методические рекомендации», т.е. последовательность действий для людей, слабо знакомых с предметом. Это будет либо главный врач ЛПУ, либо секретарь. Поэтому я решил, что нужно описывать все возможные варианты, чтобы пользователь не имел права на неопределенность: либо красное, либо зеленое, либо теплое, либо мягкое.

В этот момент я работал над моделью угроз и сразу сделал таблицы для всех возможных типов информационных систем (их у меня было 10), написал угрозы и делал другие непонятные вещи, интересные лишь в контексте защиты персональных данных.

После указания названий угроз в табличке стало понятно, что где-то должно быть общее описание самих угроз, затем – что наши 10 видов информационных систем тоже неплохо где-то описать. Так, двигаясь шаг за шагом, наполнял документ.

В процессе работы пришел к принципу «обратного движения», когда в начале пишется результат, являющийся сутью и целью документа, а потом итеративно все, что должно к нему привести.

В общем случае:

  • результат;
  • методика достижения результата;
  • описание.

Принцип оказался довольно живуч. С помощью него можно писать отчеты, начав с выводов, или политики информационной безопасности, начав с основных мероприятий.

Уже гораздо позже я дополнил этот метод концепцией «улучшенного JPEG», которая говорит, что работа в зависимости от срока всегда должна быть готова на 100%, разница лишь в степени детализации. Если кто застал времена небыстрого интернета, то обычный JPG отображался по мере загрузки (тот самый последовательный способ написания документов) сверху вниз, а картинку JPEG загружал всю целиком и улучшал ее четкость.

Одна беда – применение концепции «улучшенного JPEG» в лоб не работает для сложных документов (по крайне мере у меня). При прямом применении вы в новом документе создаете разделы и пишете, о чем они, расширяя описание по мере проработки. В стандартах и хитрых методиках это не работает, с чем я столкнулся на следующем этапе.

Дело в том, что нельзя все предусмотреть заранее. Концепция изложения может несколько раз меняться в процессе, причем меняться кардинально. Поэтому, если наполнять документ чем-то большим, чем заголовки (например, давать пояснения и т.п.), то в итоге вы придете к тому, что надо не просто переставить несколько предложений местами (те самые заголовки), а править, расчленять и дополнять те самые пояснения. Поверьте, это очень муторно.

Поскольку методические рекомендации, описывающие все возможные исходы однотипны, они должны совпадать по структуре и логике описания. Странно же будет выглядеть, если в одном типе будет структура системы, а в другом – нет. И вообще, если у пользователя будет два типа информационных систем, у него меньше возможности запутаться в одинаковых по структуре описаниях.

Сказано – сделано. Я взял самое подробное описание, которое у меня было, для системы, которая включала всё (в моём случае распределенная информационная система II типа), и копипастнул на другие типы. Я рассудил, что удалить лишние (а другие типы систем были подмножеством распределенной ИС II типа) проще, чем дописывать. Разумеется, это оказалось не так. Пришлось не только удалять лишнее, но и дописывать особенности конкретного типа. В итоге на проверку, перепроверку и отлов противоречий ушла уйма времени. В последующих работах я стал действовать ровно наоборот – описывать минимально необходимое, добавляя специфику.

На создание модели угроз ушло 5 дней, и я приступил ко второму документу.

Наученный горьким опытом, в первую очередь создал приложения, которые пользователи должны будут под себя заполнять, а потом приступил к описанию, как это заполнение организовать.

Результат – готовая методика по моделям угроз плюс половина приложений.

7-9 день работы

Это было время эйфории, план в голове сложился, осталась чисто механическая работа – только и делай, что добавляй приложения и описывай грамотно. Беда пришла откуда не ждали, даже две.

Источник

На оформление и переоформление кучи документов я убил значительную часть времени. Хотелось все сделать красиво, поэтому я сразу проставлял еще и внутренние ссылки на разделы и внешние файлы. Разумеется, как только возникала необходимость в корректировках (приложение новое вставить, документ переписать и т.п.), все это влекло за собой переделку всего оформления.

Не помню, о чем я тогда думал, но мне казалось это таким важным, что после каждого структурного изменения я занимался оформлением и перестановкой ссылок. Наверно, мне казалось, что вот это-то изменение точно будет последним, сейчас быстро переделаю и пойду другим заниматься.

С приобретением опыта я стал делать цветные заглушки. Ссылка на раздел 4, приложение 5 (отследить номер) и т.д.

Второй бедой стала терминология. Согласование терминов и определений по всем документам отняло много времени. Постоянно приходилось рыскать по страницам для уточнения той или иной формулировки (я делал все на одном мониторе, и, поверьте, это было нелегко). Это неизбежное зло, постепенно ваш словарный запас пополнит соответствующей тяжести канцелярит, и большинство определений у вас будут согласованными.

На девятый день работы все было готово – два файла рекомендаций с приложениями. Оставалось доделать мелочи.

10 день работы

Доделав мелочи, я решил перечитать все еще раз – поправить ошибки, отловить мелкие косяки и т.п. И тут мне захотелось сделать свою работу еще лучше, чтобы было понятнее. Решил отразить в описании угроз информацию из итоговых таблиц (все эти «реализация угрозы является маловероятной»). Зачем? Почему? Вот, захотелось.

Я начал добавлять, одно стало цеплять за собой другое, а тут результирующие таблицы неплохо бы поправить… Казалось, стало более красиво, но задача вычитки была полностью провалена. Поэтому не стремитесь к совершенству, что-то улучшать можно бесконечно, но вряд ли это кто-нибудь оценит.

А на вычитку время и силы надо обязательно оставить. Именно поэтому оптимальное количество человек в команде – два. Больше не стоит. Когда через полгода аналогичную задачу для образования решали пять человек, мы убили кучу времени на согласования, притирку частей, написанных разными людьми, общую терминологию, вычитку и т.п.

Источник

Если вы — титан мысли, то можете попробовать работать в одиночку. Но учтите, что когда напишете 500 000 знаков, у вас замылится глаз и будет казаться, что вы читаете одно, а по факту написано совершенно другое. Смешно и грустно.

Работу я сдал в срок и пошел спать. Уже потом надо было согласовывать документы с регулятором и править ошибки. В итоге данные рекомендации разошлись широко и отдельные части присутствуют в подавляющем большинстве комплектов документов по персональным данным. После я делал аналогичную работу для образования и атомной энергетики. Но это уже совсем другая история.

P.S. Краткая памятка для отважных

  1. Читай техническое задание.
  2. Не нарушай последовательность стадий работы.
  3. Внутри стадии двигайся от результата к методологии, а потом к определениям.
  4. Дополнять малое проще, чем сокращать большое.
  5. Занимайся оформлением в последнюю очередь.
  6. Ссылки внутри документа проставь на предпоследнем шаге.
  7. Удели время перепроверке.

Источник

P.S.S.

Вы прочитали неполиткорректную (авторскую) версию. Политкорректная версия размещена на Хабре.

P.S.S.S.

Вторая часть

О безопасности мужчин в преддверии 8 марта

Эх, свобода. Оказывается, когда тебе не надо каждый день ходить на работу, образуется такое неимоверное количество дел, что задаешься вопросом – где ж они раньше-то были? И не успело пройти 23 февраля, как уже маячит на носу 8 марта. По сему этот пост только для мужчин.

man_save

Многие воспринимают безопасность довольно прямолинейно – безопасная еда, безопасные игрушки, безопасные машины, еда без ГМО и т.п. Т.е. это барьеры, ограждения, срезание острых углов, бррр. Например, опасно есть в фастфуде, но иногда ведь хочется съесть какую-нибудь гадость, правда?

Лично я рассматриваю безопасность как понимание риска (опасности) тех или иных действий. Это отнюдь не значит, что надо действовать все время безопасно, иначе жизнь ваша будет похожа на фруктовый кефир. Просто надо разумно подходить к риску. Информация, ее обработка и применение, наконец, вольются во все области жизни. Думаю, скоро специалисты по безопасности станут также править миром, как юристы. Я верю в это.

Текст только для мужчин (18+)

И, так как, скоро будет 8 марта, я хотел бы поделиться информацией для нас, мужиков. Разумеется, она непосредственно связана с женщинами. О, эти коварные создания. Но нет, разговор, не о них. И не об отношениях. Хотя есть обоснованное мнение, что все действия самцов (мужчин) подчинены завоеванию самок (женщин). Например, этим можно объяснить чуть ли не все войны на земле.

Все в банальной разнице между мужчинами и женщинами. Мы проявляем естественную склонность к экстенсивной системе воспроизведения. Дело в том, что мы можем производить практически любое количество спермы, а ее отложение нам ничего не стоит. Только лишь, чтобы ее выплеснуть. :)

И потому, наиболее осмысленна стратегия воспроизводства для нас — это оплодотворение любой доступной самки… и особенные старания, чтобы оплодотворить наиболее здоровых, у которых больше всего шансов, чтобы их потомство дожило до зрелого возраста. Эволюция, и ни каких сантиментов. Наиболее разумно, в плане воспроизведения, самец поступает тогда, когда путешествует и копулирует в наиболее широком масштабе. «Мужчина – ходок», знакомо?

Стратегия самки совершенно обратная. Вместо миллионов сперматозоидов, она располагает всего лишь одной яйцеклеткой в месяц (помните – про чайник и чашки?), и каждый ребенок требует вложения колоссальных усилий. Поэтому женщинам нужна стабильность. У них должна быть уверенность, что им хватит пропитания. В течение длительных периодов женщины практически беззащитны, не могут разыскивать и собирать пищу. Женщины не путешествуют, они не совершали кругосветных путешествий и не волоклись в Антарктику пугать пингвинов. Скорее они поселяются и остаются на месте. Если такое невозможно, то самой разумной стратегией будет половая связь с самым сильным и здоровым из доступных самцов. Это вам скажет любой зоолог.

Но гораздо лучше для женщины найти сильного и здорового самца, который останется с ней и будет заботиться о ней вместо того, чтобы шататься по миру и копулировать сколько есть желания. В связи с этим на нас, мужиков, давит с двух сторон. С одной стороны: следует распространять свою сперму, даже насилием, если это необходимо. С другой же стороны: сделаться привлекательным для самок в качестве стабильного кормителя путем подавления стремления к путешествиям и тенденции пользоваться собственной силой. Точно так же и с женщинами. С одной стороны, они должны получить семя самого сильного, самого здорового самца, чтобы их дети унаследовали самые лучшие гены; результатом становится, что для них привлекательны грубые, агрессивные мужчины. А с другой стороны, они нуждаются в опеке спокойных, стабильных мужчин, чтобы дети их имели гарантию защиты и пропитания, чтобы наибольшее их число достигло зрелости.

Если достаточно абстрагироваться, всю нашу историю можно интерпретировать как слепое стремление за генетическим предназначением, которое тянет людей в две стороны. Все наши великие цивилизации, это всего лишь общественные машины, создающие идеальную среду для самок. Там женщина может рассчитывать на стабильность. Юридические и моральные кодексы исключают насилие, гарантируют права собственности, заставляют выполнять договоренности. Все вместе это реализует принципиальную стратегию самок: укротить самца. Но это развитые общества.

Но были и есть варварские племена, живущие без цивилизационного влияния, в основном реализующие стратегию самца: распространять семя. В рамках племени наиболее сильные, доминирующие мужчины берут наилучших самок — либо, благодаря формальной полигамии, либо же путем случайных копуляций, которые другие мужчины не могут предотвратить. Но эти, имеющие более низкий статус, не бунтуют, поскольку вожди водят их на войну, и если в ней побеждают, то могут грабить и насиловать, сколько им влезет. Половая привлекательность завоевывается ими во время войны, когда они доказывают собственную мужественность, убивая всех соперников и копулируя с овдовевшими самками. Жестокое средневековье, но и в то же самое время — осмысленная реализация генетической стратегии.

Вот, такие дела. И одна из главнейших вещей в жизни мужчины – это его мужское здоровье. Для тех, кто уже устал от метафор за этот длинный текст – что бы член стоял. Не хочется говорить, всякие банальности про использование презервативов, ношение теплых труселей и подштанников в минус 30 и т.п.

Надеюсь, половая слабость никого из вас не коснется до самой пенсии. Но если все-таки так случилось, то материал ниже, даст вам пищу для размышлений. Разумеется, если у вас рези при мочеиспускании, ЗППП или еще какая хворь, вам не статьи в интернете надо читать, а идти к врачу. Но, если со здоровьем все в порядке, но часто бывают промашки или не получается – рекомендуют пить таблетки.

Разумеется, не надо пить всякое рекламируемо дерьмо, вроде «Вука-Вука», «Аликапс», «4левел» и прочую муть. Все это в лучше случае БАДы с набором витаминов, маточного молочка и 16 тибетских трав собранных девственницами в кровавую луну.

Сиалис, отзывыЕсть всего три действенных таблетки, инфа 100%. Вы спросите, откуда я это знаю? Что-то сам пробовал во времена пылкой юности, по кул-стори об этом можно написать роман о контрабанде, обман вооруженных патрулей и продажных женщинах в Латинской Америке, в общем, скукота. Что-то рассказал дедушка андролог. :)

  1. Левитра, отзывыСиалор. Мягкое, почти, незаметное действие. Отлично подходит для состояния
    «хочется, но устал». Эффект будет через 20-30 минут. Бывают побочные эффекты.
  2. Левитра. Нормальная рабочая таблетка. И ни каких побочных эффектов. ;) Эффект через 10-15 минут.
  3. Виагра. Самая убойная вещь. Не пробовал, но говорят, если она не помогла, физиологически — вы импотент.

Виагра, отзывыВсе это крайне не дешевые средства. Одна таблетка до 1000 рублей, две за 1500. Столько же стоит 30 таблеток всякого дерьмеца, вроде «Вука Вука».

Есть и бюджетные варианты – дженерики. Дженерик — препарат копия оригинального, с теми же свойствами. В среднем 1 таблетка, в 10 раз дешевле оригинала.

Понятно, что лучше таблетки не использовать. Любовь – лучшая таблетка для потенции. Но если это особый случай, то, иногда, можно.

И напоследок, боже вас упаси, пить это вместе с алкоголем. Может, как и вообще не встать, так и обратный эффект – будете пыхтеть 2 часа без удовлетворения.

Удачного вам 8 марта, берегите себя.

Всего вам доброго.

О планах и как к ним относиться

Хотел бы вам рассказать о моем коллеге по работе – Федоре Горловском. Хотя мы с Федей братья в нелегком деле пресейла и борьбы за квоту, мы ярые антагонисты на идеологическом поле. Главное наше расхождение – планы vs цели. Суть противостояния сводиться к следующему: Федор считает, что путь к личному счастью (или хотя мы к материальному), лежит через планирование. И шаг за шагом, этап за этапом – вы обретаете счастье. Я, разумеется, ему оппонирую всеми фибрами своего естества. Рассмотрим противоборствующие стороны.

versus

Федор – человек-планировщик. Федя любит учет и порядок. Деловой стиль в одежде и общении. У него есть план(ы) на ближайшие 50 лет, которые он корректирует в зависимости от обстановки. Федя ведет домашнюю бухгалтерию. В свободное время Федя инвестирует в российские и западные компании. Карьерно и финансово успешен.

Ну, себя, распиздяя описывать не буду, вы и так все обо мне знаете. Главное другое, в итоговом плане – мы с Федей одинаковые (плюс-минус). Но идем к этому разными путями. Для меня любое планирование бесперспективно. Не в смысле, что я вообще планов не строю. Просто долгосрочное планирование, при недостатке информации, все равно, что гадать на кофейной гуще. Я заменяю их целями. Человек-цель.

Возьмем какую-нибудь цель, для простоты повествования. Например, купить машину. Человек-планировщик, сразу намечается все шаги и подэтапы, определяется с маркой, характеристиками машины, понимает, где он достанет деньги, когда он сдаст на права и т.п.

Человек-цель, просто ставит цель купить машину. Не сказать, что у меня нет совсем понимания, как этого достичь. Основные шаги все те же самые (найти деньги, выбрать машину), но они не конкретны. Я готов переставить шаги, или отложить цель в зависимости от обстоятельств. Например, свою первую машину я купил совершенно случайно за 1000 долларов и был счастлив с ней 5 лет. А вторую был готов поменять еще 5 лет назад, но забил – мне и так круто.

Как мне видится, главное различие в работе с информаций. Планировщик сидит внутри своих планов и возможных вариантов развития, которые он проработал. Чем лучше планировщик, тем к большему количеству неожиданностей он готов, ну как Госдеп США, у которых есть планы на все случаи жизни. Именно эти люди основные потребители бесчисленной «аналитики» обо всем на свете. Аналитика на основании аналитики.

Но это не исключает, что произойдет что-то (черный лебедь, например), к чему мы не готовы, что похерит к ебеням весь труд по планированию. Это меня просто убивает. Жизнь, она не бесконечная. Понятно, что чем детальнее проработка планов, тем больше похерит. Не верите? Посмотрите в первую версию любого календарного плана по внедрению чего бы то ни было, и сравните с фактическими итогами. Сюрприз.

Основное следствие из этого, не стоит слишком серьезно воспринимать и строить планы исходя из чужих планов. Воздушные замки на основании других воздушных замков. Не слишком ли зыбко?

— Хорошо, — скажите вы, — Дима, кул стори. Но к чем это?

Я это к тому, что в блогосфере просто полыхает от планов регуляторов на этот год. Люди, ау. Работать можно лишь с тем, что по факту есть. Как и делать далеко идущие выводы. Помню, как в 2012 все обсуждали бесконечные проекты документов ФСТЭК (в итоге вышли через 2 года) и ФСБ (большинство так и остались проектами). Какие тогда споры велись, сколько бугурта было у экспертов. Сейчас все поуспокоились.

То, что будут новые документы – хорошо. А бугуртить по их поводу – плохо, выйдут – посмотрим.

Всего вам доброго.

 

P.S. Ставьте лайки, если хотите большей «грязных подробностей» нашего с Федей противостояния.

Пролез: Как обманывают вендоры. Опыт глазами интегратора.

Пролез: Открытая безопасностьНедавно мы обсудили тему «Как обманывают вендоры. Опыт глазами интегратора». Опытные технологические продавцы помогли мне раскрыть следующие ситуации:

Продажа функций, реально не существующих в продукте.

Откаты — как они могут помочь вендору

Как создается статистика

Как делаются конкурентные сравнения

Предоставление отчетов стат. агентств по нужным годам и группам

Рассказы о несуществующих внедрениях

Помощь вендора

Искусственное старение продукта

Продажа продукта под видом ПО, но на самом деле — это подписка на услуги со 100% стоимости продления.

Пролез: ЗПД — Защита персональных данных, ФЗ152

Пролез: Открытая безопасностьВ четвертом выпуске программы мы обсуждаем Защиту персональных данных (ЗПД).
Темы, поднятые в подкасте:
1) История ЗПД в мире (Европа и США).
2) История ЗПД в России.
3) Что мы имеем сегодня в России?
4) Какие санкции за невыполнение требований ФЗ-152?
5) Опыт прохождения проверок Роскомнадзором.
6) Подводные камни в исполнении Российского законодательства в части ЗПД.
7) Какие грядут поправки и изменения?

На эти и другие вопросы мне помогли найти ответы старший аналитик компании Айти Кириллов Павел и руководитель проектов по защите информации компании Айти Дудко Дмитрий.

Пролез: НПС — Национальная платежная система

Пролез: Открытая безопасностьПодкаст посвящен информационной безопасности и защите информации. Обсуждаем интересные новости, события и даем рекомендации молодым специалистам.

Часть 2. НПС — что за зверь такой и как его защищать? На эти и другие вопросы мы попытались найти ответы вместе с Дмитрием Дудко, экспертом в области защиты персональных данных и Павлом Кирилловым, ведущим аналитиком компании Айти.

BYOD: будущее, которого нет

Хотел бы вас спросить: каким будет мир через 20 лет? Уверен, что в ответе вы примените всю вашу фантазию. Вы посмотрите вокруг на то, что вас окружает, найдете архаичные предметы, технологии и идеи. Вы улучшите или замените их. Вы, подобно фантастам середины прошлого века, опишите мир более технологичным, новым. И попадете в ту же ловушку, что и они. Главная проблема фантастов в том, что практически ничего из предсказанного ими не сбылось. Сегодня больше похоже на вчера, чем мы вчерашние могли бы подумать.

Бенуа Мандельброт однажды сформулировал эффект Линди: для всего того, что портится, каждый дополнительный день жизни означает, что ожидаемая дополнительная продолжительность жизни становится короче. Для всего того, что не портится, каждый дополнительный день может означать, что ожидаемая продолжительность жизни станет длиннее.

Во всем мире четко прослеживается тенденция усиливающейся адаптации принципов и технологий удаленной работы в стиле мобильных сотрудников. Руководители, не боящиеся делать сотрудников мобильными, видят, что те начинают использовать для работы даже свои личные смартфоны.

К тому, что портится, можно отнести материальные объекты – компьютеры, машины, одежду и т.п. К тому, что не портится, относятся идеи и технологии – двигатель внутреннего сгорания, компьютерные технологии, идея носить шкуру или ее эквивалент в холодную погоду. Таким образом, чем дольше существует технология, тем дольше она может продержаться.

Например, я пишу эту статью, сидя за столом в кресле (идее, как минимум, 3000 лет), на мне штаны и рубашка (мало чем отличаются от аналогичных у Отци, которые он использовал 5300 лет назад). Делаю я это за вычислительной машиной, первый прототип которой был сделан более 60 лет назад, а если углубиться в суть компьютеров (проведение элементарных операций над числами), то прообразы можно отыскать и 400 лет назад (Шиккард), и 530 лет назад (Леонардо да Винчи). Монитору более 100 лет (как идее показывать изображение с помощью ЭЛТ, а вот технология сменилась на LCD и производные). Компьютерной мыши – чуть менее 50 (и по правде сказать, она первый кандидат на вылет, для человека естественней управлять и вводить текст руками, чем крусором).

Как мы видим, «старого» среди нас очень много, а «новому» необходимо доказывать свою состоятельность. «Новое» зачастую подобно морской пене, оно на виду, оно вскипает, а потом уходит вместе с отливом. Вспомните, как в начале 1990-х гг. у всех были видеокассеты, потом CD-диски, затем DVD. Последних сейчас и не найдешь, для переноса данных удобней флешки, а для просмотра фильмов – целый набор форматов высокой четкости.

И BYOD – это такая же пена.

Доступ к корпоративной почте – это не BYOD

BYOD (Bring Your Own Device – «принеси свое собственное устройство») – это идея использовать в работе свои мобильные устройства (планшеты, телефон и т.п.). Я обращаю ваше внимание на слово «мобильные». Нет ничего нового в том, чтобы получить доступ к своей корпоративной почте из дома. Это потребность насущна и понятна (видимо, потому, что почта «стара»). Для доступа к почте необходим лишь доступ к Интернету и браузер (а может быть, почтовый клиент, VPN или т.д.).

Но BYOD идет дальше, сама его суть подразумевает доступ к бизнес-приложениям. Стоп! А зачем нам удаленный мобильный доступ к бизнес-приложениям? Подумайте минуту, кому в вашей компании необходим удаленный мобильный доступ? VIP-пользователям, на то они и VIP. Хотя я сомневаюсь, что их мобильные устройства можно назвать личными. Их настройку проводит штатная служба IТ, а сами пользователи являются мобильными в силу своего (вынужденного) статуса. Кто еще? Работники бухгалтерии? Производственные работники? Продавцы?

И вот тут кроется самое главное умолчание адептов BYOD. Они смешивают в одну кучу понятия «мобильного пользователя» и «мобильного пользователя со своим устройством». Мобильность – вещь, безусловно, полезная для ряда задач. Например, недавно одна из авиакомпаний оснастила своих пилотов планшетами с документацией к самолету (занимает несколько томов). Выигрыш налицо. Но представьте того же пилота, который приходит со своим телефоном и загружает документы на него. Это как минимум странно, с чем мы и разберемся далее.

Итак, мобильных пользователей у нас может быть много. Но минуточку. В нормальной организации мобильными пользователями являются в основном командируемые сотрудники, если у вас, конечно, не почтовая служба с кучей курьеров или подобный бизнес. Я сам работаю в крупной группе компаний с тысячами сотрудников и часто езжу в командировки. Командируемый сотрудник знает, куда он едет и что ему там понадобится. Он возьмет рабочий ноутбук, на котором установлены все необходимые приложения (и средства защиты), и, как только на месте отыщет вожделенный Интернет, подключится к корпоративной сети.

И тут всплывает еще одна хитрость адептов BYOD. Когда вы с ними встречаетесь, они быстро проскакивают самый первый вопрос: а к каким системам необходим мобильный доступ с личных устройств? Почту сразу убираем – это уже неотъемлемая часть бизнес-процесса, не требующая BYOD. По тем же причинам убираем Web-приложения. Остаются клиент-серверные приложения. Ведь именно под них адепты BYOD предлагают писать мобильные клиенты на десятке различных платформ. Но если сотрудник работает с клиент-серверной системой, его работа наверняка не связана с частыми разъездами. Бухгалтеры, бизнес-аналитики, хозяйственные и логистические службы, поднимальщики пингвинов. И они могут сделать необходимую работу непосредственно на рабочем месте, когда вернутся.

Чем обосновывается ценность BYOD?

Если вы спросите продавцов BYOD-решений, зачем мне использовать мобильные устройства, он вам скажет примерно следующее (отрывок из статьи одного из крупных поставщиков BYOD):

В чем важность использования мобильных устройств для бизнеса?

К сожалению, менталитет подавляющего большинства отечественных управленцев таков: сотрудник обязательно должен приходить в офис, чтобы с 9 до 18 «отбывать» там свой рабочий день, и не важно, делает ли он в это время что-то полезное (стандартный демагогический прием изобрети миф, и со всей силой на него обрушиться – здесь и далее прим. автора). К счастью, тенденция меняется. Во всем мире четко прослеживается тенденция усиливающейся адаптации принципов и технологий удаленной работы в стиле мобильных сотрудников. Руководители, не боящиеся делать сотрудников мобильными, видят, что те начинают использовать для работы даже свои личные смартфоны. Они становятся (есть такой термин) hyper-connected (так ведь выше вы сказали, что сотрудники отбывают номер на работе): образно говоря, сотрудники не расстаются со смартфонами даже во сне, а, проснувшись, первым делом проверяют рабочую почту (зачем? Если через два часа он будет на рабочем месте?). И последнее, что они делают перед сном, – тоже проверяют рабочую почту (наверно, чтобы срочно позвонить клиенту). Как показало недавнее исследование iPass, такие сотрудники приносят компании примерно 240 человеко-часов дополнительного рабочего времени в год (интересно, как производился подсчет? Проверка почты – 5 минут, два раза в день, на 365 дней – получается 60 человеко-часов), за которое компания не платит ни копейки. Это value, которое можно перевести в деньги буквально одним щелчком пальцев. Человек по собственному желанию тратит на работу свое личное время, его легко «поймать» во время перекура или за обедом. Это важно для развития бизнеса: высококвалифицированных человеческих ресурсов может быть немного, зато они находятся в постоянном доступе. Разрешение использовать собственные устройства – это еще и инструмент повышения лояльности сотрудников, что важно для любой корпорации.

[…]

Словом, бизнес должен осознать пользу использования сотрудниками собственных устройств и не прибегать к одним лишь запретам. Это реальный источник прибыли для компании.

BYOD – источник прибыли

Бизнес должен осознать пользу использования сотрудниками собственных устройств и не прибегать к одним лишь запретам. Это реальный источник прибыли для компании.

Мифическое повышение трудоспособности кочует из одной статьи о BYOD в другую. Неужто работник – это собака Павлова, и мотивируется от использования своего, а не корпоративного устройства? Сделали BYOD, лампочка зажглась – слюна потекла? Если человек мотивирован работать, он будет достигать результата, используя все имеющиеся ресурсы. А вот немотивированных сотрудников BYOD способен превратить в настоящую угрозу для компании.

Мифическое повышение трудоспособности кочует из одной статьи о BYOD в другую. Неужто работник – это собака Павлова, и мотивируется от использования своего, а не корпоративного устройства? Сделали BYOD, лампочка зажглась – слюна потекла? Если человек мотивирован работать, он будет достигать результата, используя все имеющиеся ресурсы. А вот немотивированных сотрудников BYOD способен превратить в настоящую угрозу для компании.

Еще одним обоснованием ценности BYOD выступает снижение затрат. Часто так и пишут: «снижение затрат» и все. Иногда уточняют, что уменьшаются затраты на поддержание инфраструктуры и вообще на IТ-инфраструктуру. Тут все очень неоднозначно. Если запросить решение под ключ у известного западного вендора, то решение BYOD влетит вам в копеечку. Вам потребуется отдельный шлюз для мобильных пользователей, и это при том, что не любой пользователь туда сможет подключиться. В лучшем случае это будет iOS и Android старших версий. А что делать другим пользователям? Наверное, их придется демотивировать, сказав, чтобы меняли телефон на поддерживаемый.

Еще вам потребуется поднять свой Store для всех поддерживаемых платформ, чтобы раздавать корпоративное ПО. Нанять программистов, чтобы они доработали приложения. Установить средства защиты. Обучить и, возможно, расширить штат IТ-службы, так как именно она примет на себя основной удар BYOD (и он никогда не ослабнет, как в обычных случаях: пользователи буду приходить и уходить, а устройства – меняться). Стоит ли игра свеч?

И разумеется, все это очень небезопасно. Сколько уже было инцидентов увода конфиденциальной информации через телефоны? Десятки? И их количество будет только расти. Телефоны будут красть, их будут забывать и терять, их будут продавать, не удалив ключевую информацию.

Стоит ли внедрять сомнительную, крайне дорогую технологию, которая нужна единицам в вашей компании? Ответ за вами.

О будущем BYOD

В заключение хотелось бы сказать о будущем BYOD. Он будет жить в том или ином виде. Он будет жить, пока люди, продвигающие его, будут находить тех, кому это можно продать. Как только экономическая выгода иссякнет, BYOD умрет. А ваше рабочее место, как и мое, все так же будет состоять из «старых» вещей.

Дудко Дмитрий
Опубликовано: Журнал «Information Security/ Информационная безопасность» #4, 2014