Как сделать стандарт за 10 дней я рассказывал раньше. Сейчас я хотел бы рассказать о терминологии и названиях документов, их значении и разных подходах к составлению документации. Конечно, все знают, что полезно разбираться в документах, но не у всех хватает терпения вникнуть в них. Я расскажу, как меня засудили как раз за это. Эта часть будет сухой и скучной, налейте себе чая, возьмите печеньки. Поехали.
Слишком долгое вступление в тему
Любой живой язык прекрасен в своих нюансах. А русский язык прекрасен вдвойне. Имея такой мощный базис, русский канцелярит (так я называю язык, на котором пишутся законы, постановления правительства и другие официальные бумаги) пленит своими возможностями. Разумеется, если вы не пытаетесь его читать. Если нет возможности этого избежать, то читать канцелярит надо вдумчиво и размеренно, несколько раз перечитывая, вникая в каждое слово.
Шел 2008 год – лето, пятница. Я отпросился пораньше с работы, чтобы не стоять в пробках, и ехал на дачу по Дмитровскому шоссе в районе Яхромы. Было довольно плотненько, но терпимо. Меня останавливает инспектор ГИБДД, просит документы и заявляет, что я не пропустил пешехода. Я с ним не соглашаюсь.
Тогда инспектор предлагает подписать мне постановление и говорит, что у меня будет 10 дней на обжалование. Ну, уже неплохо. Я подписываю бумагу и еду дальше по своим делам. Оказалось, что инспектор воспользовался моим незнанием.
Протокол? Какой протокол?
На суде выяснилось, что я подписал не протокол, а постановление.
В случае, если представитель власти увидел признаки административного правонарушения (например, правил дорожного движения), он должен составить протокол. В протоколе вы можете написать, что не согласны с замечаниями, а вот в постановлении такой графы нет. Т.е. подписывая постановление, я фактически признал свою вину. Да, у вас есть 10 дней, чтобы обжаловать постановление. Но шансов практически нет. Таким образом, протокол – лишь фиксация нарушения, а постановление – уже назначенное наказание.
Казалось бы, две какие-то бумажки, а какие разные последствия.
Документы для информационной безопасности
Как и любая деятельность, процессы информационной безопасности рано или поздно обрастают некоторым объемом документов: политики, регламенты, инструкции, положения и т.п. Каждый из этих документов решает определенную задачу, а путаница в них (как в примере выше) в обязательном порядке губительно скажется на вашей деятельности.
Для создания документов такого рода мы можем использовать достижения как отечественной, так и западной школ.
Западная школа
Западная школа довольно свободно относится к названиям и содержанию документов. Самым ярким доказательством является серия стандартов – ISO 2700x, которую знает каждый безопасник.
В общем случае вся документация делится на четыре уровня.
Политики первого уровня – наиболее «водянистые» и «стратегические». Например, «Политика информационной безопасности ООО «Ромашка».
Политики второго уровня – конкретизируют определённые аспекты глобальной политики или конкретные процедуры. Например, «Политика антивирусной защиты».
Инструкции (третий уровень) – описывают конкретные обязанности сотрудников в рамках политики 2 уровня, например, «Инструкция системного администратора по антивирусной защите сегмента КСПД».
Записи (четвертый уровень) – все то, что не вошло в предыдущие три уровня. От настроек на конкретном сегменте до разбора инцидентов SIEM-системы.
При применении данного подхода возникают проблемы с адаптацией сего стандарта в наших реалиях. До сих пор можно легко обратить любое общение безопасников в безжалостный холивар вопросом о размере политики безопасности. Большинство предпочитает хранить всю необходимую информацию в одном документе, ведь чем больше документов, тем больше времени необходимо тратить на отслеживание их взаимосвязей, а согласование и внесение изменений может затягиваться на месяцы. Я встречал и другие мнения, однако в любом случае вывод следующий: западные методики не раскрывают многих необходимых нюансов.
Обратимся же к отечественному опыту.
Отечественная школа
Имея такую впечатляющую историю и опыт поколений в разработке конструкторской документации (ЕСКД), было бы удивительно, если бы у нас не сложились свои традиции и понимание оформления документов. Если внимательно посмотреть тот же ГОСТ 34 серии, то можно с удивлением узнать, что он вполне логичен и даже удобен. Разве перед внедрением любой системы вы не разрабатываете верхнеуровневую структуру (эскизный проект), уточняя его все детальнее и детальнее (технический проект и рабочая документация)?
Поэтому, если вы будете разрабатывать документы для русской компании, вы скорее всего будете использовать подходы отечественной школы. Основным ее отличием от западной является внимание к терминам и названиям. Например, называя документ «Перечень входных сигналов и данных», от вас ожидают, что там будет информация о входных, возможно, даже о выходных сигналах, а не требования к информационному обеспечению или описание массива информации.
Но здесь вас может поджидать проблема. Как вы думаете, чем отличаются:
Политика информационной безопасности,
Регламент информационной безопасности,
Положение об информационной безопасности?
Именно этот вопрос поставил меня в тупик, когда я перешел к этапу составления комплекта организационно-распорядительной документации (ОРД). Давайте же разберемся.
Как вы лодку назовете, так она и поплывет
Остановимся на основных документах (если будем рассматривать все – это будет совсем нудно и неинтересно). Описанный ниже подход является основным в работе Департамента информационной безопасности в одном из подразделений ЛАНИТ.
Приказ
Альфа и омега любого процесса, который вы захотите перенести на бумагу. В отличие от западного подхода, где достаточно просто утверждения уполномоченными лицами, у нас все документы вводятся приказом. Вы можете использовать в работе какие угодно инструкции и формы, но если они не введены приказом, считайте, что их у вас нет.
Это, кстати, особенно актуально для защиты персональных данных. Любая проверка регуляторов начинается с установления факта правоприменимости принятых мер. Если вы занимаетесь каким-нибудь документом, то вам, скорее всего, и готовить проект приказа.
Основными отличительными чертами Приказа являются следующие:
Вводится в действие генеральным директором, именно он имеет право распространять те или иные требования на всю организацию.
Наличие команды. Например, внедрить политику информационной безопасности.
Назначение ответственного. В приказе должен быть указан ответственный за выполнение сути приказа, например, в случае политики – директор по ИБ.
Наличие сроков. Тут все очевидно. Например, доведение до сведения всех сотрудников Политики ИБ в течение 2-х дней.
Наличие контролирующего. Эту часть часто забывают, но крайне желательно указать, за кем закрепляется контроль над исполнением сути приказа. Обычно он либо остается у генерального директора, либо передается ответственному.
Приказом вводится все – от режима защиты персональных данных до утверждения форм отчетности. Делать ли разные приказы на каждый чих или единым пулом – зачастую дело вкуса. Если все вводить отдельными приказами, то внедренные документы проще будет менять. Если единым пулом, то проще согласовать и подписывать.
Политика
Наконец, мы добрались до Политики. В нашей традиции это относительно новый документ, в отличии от других, представленных здесь. Особенностью Политики является то, что она описывает процессы. Например, процесс обеспечения информационной безопасности.
Политика может и должна выдвигать требования к функционированию процесса, может описывать требуемое обеспечение и исключения.
Используя отечественный подход, вы можете создать политику любого объема. Главное, не надо превращать Политику в описание задач и распределение ответственности между исполнителями, для этого есть Положения и Инструкции.
Положение
В отличие от Политики, Положение как раз направлено на регулирование деятельности людей и подразделений. Положение, в общем случае, регламентирует порядок образования, права, обязанности, ответственность и организацию работы структурного подразделения (должностного лица, совещательного или коллегиального органа), а также его взаимодействие с другими подразделениями и должностными лицами.
Т.е. фактически Положение очень редко применяется к процессам, но будет весьма уместно в виде «Положение о Департаменте информационной безопасности».
Регламент
Регламент – самый противоречивый документ. Я встречал компании, в которой были только разнообразные Регламенты. Надо понимать, что в своей сути регламент – временный документ, во всяком случае в информационной безопасности. Это то, что сейчас модно называть «дорожной картой». Регламент, в отличие от Политики и Положения, определяет конкретные шаги и сроки их исполнения.
А раз есть сроки, Регламент мало применим к непрерывным процессам, например, обеспечению безопасности всей компании или обеспечению контроля качества. Т.е. может быть «Регламент внедрения политики безопасности», но лучше не делать «Регламент информационной безопасности».
Инструкция
Инструкция – самый последний в иерархии, но не по значимости документ. Инструкция описывает конкретные шаги, что надо делать в той или иной ситуации, или наоборот, то, что делать не надо никогда. Самый знаменитый пример инструкций обоих типов – Устав внутренней службы Вооруженных Сил.
Инструкции не привязаны к какой-то конкретной структуре, и, пожалуй, главным требованием является понятность и удобство чтения.
На этом хотел бы закончить, надеюсь, вы дочитали до конца. Не повторяйте моих ошибок и знайте значение документов.
Всем привет. Хочу рассказать вам историю о том, как я делал методические рекомендации Минздрава (500 страниц с нуля за 10 дней), сделанных ошибках и сложностях, которые не были преодолены. Надеюсь, мой опыт поможет всем, на кого свалилась задача написать руководящий документ, стандарт или закон.
2009 год в безопасности персональных данных был годом предвкушения. Ходили упорные слухи, что 152-ФЗ «О персональных данных», принятый в 2006 году, вот-вот станет обязательным для исполнения. С момента принятия рынку и операторам было дано время подготовиться к обязательному исполнению закона, и время подготовки истекало. 2010 год виделся годом большой работы, но закон вступил в окончательное действие лишь в 2011, но этого еще никто не знал (а потом еще пару лет не верили, что приняли)
Предвидя огромную организационную работу, многие ведомства решили начать готовиться заранее. Одним из первых было Минзравсоцразвитие (сейчас Министерство здравоохранения), которое курировало огромный пласт операторов персональных данных повышенного внимания (информация о здоровье) – медицинские учреждения (для краткости будем называть их ЛПУ – лечебно-профилактическое учреждение).
И т.к. в ЛПУ, ввиду очевидных причин, слабо развито ИТ, не говоря уже об информационной безопасности, то было принято решение создать для всех ЛПУ стандарт по защите персональных данных, которым могли бы пользоваться люди, далекие от безопасности и ИТ.
Т.к. в то время большинство руководящих документов по защите персональных данных были недоступны широкому кругу лиц (действовало так называемое «четверокнижение» с грифом ДСП, которое могли запросить только лицензиаты), то вариант с созданием подробных методических рекомендаций был оптимальным.
Я же в 2009 году занимался информационной безопасностью всего несколько лет и был на уровне опытного джуниора. С багажом в пару проектов по персональным данным (что в то время было большим опытом, т.к. очень сложно убедить заказчика выполнять необязательные требования) и в жесткой схватке с одним крупным НИИ, работа по созданию стандарта досталась мне.
За неделю до начала работ я обсуждал с руководством предстоящую задачу. Планировалось, что ее будет делать другой специалист, но в итоге она досталась мне. Надо упомянуть, что, будучи молодым в профессиональном отношении, я действовал по принципу «слабоумие и отвага». Думаю, это свойственно всем специалистам на определенном этапе карьеры. И именно этот принцип сыграл ключевую роль во всей работе.
Забегая немного вперед, отвага заключалась в атаке «с шашками на танки» силами одного специалиста на такую масштабную работу. Уже значительно позже я делал похожие работы, возглавляя различные по численности группы (от 2 до 6 человек). И если уж говорить об оптимальной численности команды, то оптимальное количество людей 1-2 человека, не считая привлекаемых специалистов, вроде технических писателей. 1-2 человека – это лучшее соотношение по производительности и достигаемому эффекту. Например, команда из 5 человек подобную работу делала 9 месяцев.
Слабоумие же заключалось в указанных мною сроках работы (10 дней, которые вместо рабочих стали календарными), и непонимания всей широты проблем, которые могут возникнуть. Именно недооценка сложности чуть не стала роковой. В тот раз отвага победила, но путь ее был труден.
Поскольку ничего подобного я раньше не делал, решил воспользоваться имеющимися методиками создания документов. Вспомнив самый масштабный документ, который я написал к тому моменту – мой диплом, я решил начать с начала и закончить в конце.
Если не вдаваться в подробности, мне необходимо было описать три последовательные стадии защиты персональных данных:
проведение обследования,
составление модели угроз,
создание комплекта организационно-регламентирующих документов.
Разумеется, я начал описывать с середины, что вылилось в большие проблемы на 7-10 дней.
Второй ошибкой было использование последовательного принципа написания документов. Это когда сначала титульный лист, потом оглавление, список сокращений, вводная часть и т.п. Это не работает, в определенный момент вы обязательно встанете в «креативный тупик», чаще всего он наступает на 3-5 разделе, когда вам понятно, откуда вы вышли и куда хотите прийти, но не понятно как.
Забавно получилось с сокращениями, которые сразу же были сделаны. Чтобы была хоть какая-то преемственность с текущей нормативной базой, я скопировал сокращения из документов регулятора, и там осталось сокращение «ТКУИ – технические каналы утечки информации», которое в тексте нигде не встречается.
Лайфхак: чтобы сделать список сокращений актуальным, во время написания применяйте три простых действия:
Как только вам потребуется сделать сокращение, пишите в формате «(далее – )». Например, обязательное сокращение в тексте (далее – ОСТ).
Держите открытым отдельный файл Exсel, куда заносите все сокращения (можно без расшифровки).
Когда текст будет написан, ранжируете в экселе перечень от А до Я и смотрите количество, а в тексте поиском ищете вхождение «(далее – )». Если числа совпали, поздравляю – у вас актуальный перечень сокращений.
Работая с сокращениями, не используйте больше трёх букв. Все отличное от этого выглядит ужасно и плохо запоминается. По крайней мере, в безопасности, где, как и в армии, верховодит всем ТБС.
Результат: 1 файл объемом 20 страниц и несколько табличек в Exсel.
4-6 день работы
После первых дней спокойного режима пришлось окунуться в бассейн кофеина и никотина. Во-первых, была сделана здравая работа – прочитано техническое задание. В принципе и раньше было понятно, что необходимо делать, но важны были детали.
Ключевыми словами были «методические рекомендации», т.е. последовательность действий для людей, слабо знакомых с предметом. Это будет либо главный врач ЛПУ, либо секретарь. Поэтому я решил, что нужно описывать все возможные варианты, чтобы пользователь не имел права на неопределенность: либо красное, либо зеленое, либо теплое, либо мягкое.
В этот момент я работал над моделью угроз и сразу сделал таблицы для всех возможных типов информационных систем (их у меня было 10), написал угрозы и делал другие непонятные вещи, интересные лишь в контексте защиты персональных данных.
После указания названий угроз в табличке стало понятно, что где-то должно быть общее описание самих угроз, затем – что наши 10 видов информационных систем тоже неплохо где-то описать. Так, двигаясь шаг за шагом, наполнял документ.
В процессе работы пришел к принципу «обратного движения», когда в начале пишется результат, являющийся сутью и целью документа, а потом итеративно все, что должно к нему привести.
В общем случае:
результат;
методика достижения результата;
описание.
Принцип оказался довольно живуч. С помощью него можно писать отчеты, начав с выводов, или политики информационной безопасности, начав с основных мероприятий.
Уже гораздо позже я дополнил этот метод концепцией «улучшенного JPEG», которая говорит, что работа в зависимости от срока всегда должна быть готова на 100%, разница лишь в степени детализации. Если кто застал времена небыстрого интернета, то обычный JPG отображался по мере загрузки (тот самый последовательный способ написания документов) сверху вниз, а картинку JPEG загружал всю целиком и улучшал ее четкость.
Одна беда – применение концепции «улучшенного JPEG» в лоб не работает для сложных документов (по крайне мере у меня). При прямом применении вы в новом документе создаете разделы и пишете, о чем они, расширяя описание по мере проработки. В стандартах и хитрых методиках это не работает, с чем я столкнулся на следующем этапе.
Дело в том, что нельзя все предусмотреть заранее. Концепция изложения может несколько раз меняться в процессе, причем меняться кардинально. Поэтому, если наполнять документ чем-то большим, чем заголовки (например, давать пояснения и т.п.), то в итоге вы придете к тому, что надо не просто переставить несколько предложений местами (те самые заголовки), а править, расчленять и дополнять те самые пояснения. Поверьте, это очень муторно.
Поскольку методические рекомендации, описывающие все возможные исходы однотипны, они должны совпадать по структуре и логике описания. Странно же будет выглядеть, если в одном типе будет структура системы, а в другом – нет. И вообще, если у пользователя будет два типа информационных систем, у него меньше возможности запутаться в одинаковых по структуре описаниях.
Сказано – сделано. Я взял самое подробное описание, которое у меня было, для системы, которая включала всё (в моём случае распределенная информационная система II типа), и копипастнул на другие типы. Я рассудил, что удалить лишние (а другие типы систем были подмножеством распределенной ИС II типа) проще, чем дописывать. Разумеется, это оказалось не так. Пришлось не только удалять лишнее, но и дописывать особенности конкретного типа. В итоге на проверку, перепроверку и отлов противоречий ушла уйма времени. В последующих работах я стал действовать ровно наоборот – описывать минимально необходимое, добавляя специфику.
На создание модели угроз ушло 5 дней, и я приступил ко второму документу.
Наученный горьким опытом, в первую очередь создал приложения, которые пользователи должны будут под себя заполнять, а потом приступил к описанию, как это заполнение организовать.
Результат – готовая методика по моделям угроз плюс половина приложений.
7-9 день работы
Это было время эйфории, план в голове сложился, осталась чисто механическая работа – только и делай, что добавляй приложения и описывай грамотно. Беда пришла откуда не ждали, даже две.
На оформление и переоформление кучи документов я убил значительную часть времени. Хотелось все сделать красиво, поэтому я сразу проставлял еще и внутренние ссылки на разделы и внешние файлы. Разумеется, как только возникала необходимость в корректировках (приложение новое вставить, документ переписать и т.п.), все это влекло за собой переделку всего оформления.
Не помню, о чем я тогда думал, но мне казалось это таким важным, что после каждого структурного изменения я занимался оформлением и перестановкой ссылок. Наверно, мне казалось, что вот это-то изменение точно будет последним, сейчас быстро переделаю и пойду другим заниматься.
С приобретением опыта я стал делать цветные заглушки. Ссылка на раздел 4, приложение 5 (отследить номер) и т.д.
Второй бедой стала терминология. Согласование терминов и определений по всем документам отняло много времени. Постоянно приходилось рыскать по страницам для уточнения той или иной формулировки (я делал все на одном мониторе, и, поверьте, это было нелегко). Это неизбежное зло, постепенно ваш словарный запас пополнит соответствующей тяжести канцелярит, и большинство определений у вас будут согласованными.
На девятый день работы все было готово – два файла рекомендаций с приложениями. Оставалось доделать мелочи.
10 день работы
Доделав мелочи, я решил перечитать все еще раз – поправить ошибки, отловить мелкие косяки и т.п. И тут мне захотелось сделать свою работу еще лучше, чтобы было понятнее. Решил отразить в описании угроз информацию из итоговых таблиц (все эти «реализация угрозы является маловероятной»). Зачем? Почему? Вот захотелось.
Я начал добавлять, одно стало цеплять за собой другое, а тут результирующие таблицы неплохо бы поправить… Казалось, стало более красиво, но задача вычитки была полностью провалена. Поэтому не стремитесь к совершенству, что-то улучшать можно бесконечно, но вряд ли это кто-нибудь оценит.
А на вычитку время и силы надо обязательно оставить. Именно поэтому оптимальное количество человек в команде – два. Больше не стоит. Когда через полгода аналогичную задачу для образования решали пять человек, мы убили кучу времени на согласования, притирку частей, написанных разными людьми, общую терминологию, вычитку и т.п.
Если вы — титан мысли, то можете попробовать работать в одиночку. Но учтите, что когда напишете 500 000 знаков, у вас замылится глаз и будет казаться, что вы читаете одно, а по факту написано совершенно другое. Смешно и грустно.
Работу я сдал в срок и пошел спать. Уже потом надо было согласовывать документы с регулятором и править ошибки. В итоге данные рекомендации разошлись широко и отдельные части присутствуют в подавляющем большинстве комплектов документов по персональным данным. После я делал аналогичную работу для образования и атомной энергетики. Но это уже совсем другая история.
P.S. Краткая памятка для отважных
Читай техническое задание.
Не нарушай последовательность стадий работы.
Внутри стадии двигайся от результата к методологии, а потом к определениям.
Дополнять малое проще, чем сокращать большое.
Занимайся оформлением в последнюю очередь.
Ссылки внутри документа проставь на предпоследнем шаге.
Давно, давно я не писал про тренды в нашей ибэ. Если вы хотя бы пару лет крутитесь в нашей сфере, то могли заметить, что каждый квартал появляется очередной модный тренд, о котором начинают говорить на каждом углу. Agile, UEBA, GRC, SOC, BYOD, искусственный интеллект и т.п.
Хедлайнерами каждой темы, разумеется, выступают топ-блогеры по информационной безопасности. По каждой теме есть множество материалов, и я решил провести некоторую ретроспективу трендов: получилось ли из этого что-нибудь, или забылось, как позавчерашний хайп?
Начнем мы с экономической оценки.
Как обосновать затраты на информационную безопасность
Надо сказать, что я был приятно удивлен, что Алексей Лукацкий обратил внимание на данную тему. Я даже слушал трансляцию в прямом эфире, делая для себя пометки. Но вынужден был прерваться и решил дослушать когда-нибудь потом. Пометки я разумеется потерял, поэтому пришлось слушать заново. Поехали.
0:00 – Выступление «Как оценить вложение в ИБ?» Очень благодатная тема, надо слушать.
1:35 – Неосязаемость информационной безопасности дело такое, двоякое. По такой логике услуги врача тоже не осязаемы, если у вас ничего не болит. А когда заболит, тогда это будет «дорого, долго и…».
1:42 – Это у кого такое мнение? У руководства? У пользователей?
1:59 – Блокирование фбешечки и вообще контроль над пользователями входит в топ-3 способов, как эти деньги бизнесу обосновать. Особенно бизнесу, далекому от ИТ и ИБ. Cisco, разумеется, таким способом не продать, поэтому это способ плохой-плохой.
2:22 – Хорошая работа ИБ часто не видна – согласимся. Но тут необходимо разделять, что хорошая работа и отсутствие работы не видны одинаково. До первого грома, конечно. Кстати, интересный демагогический прием: если не видна работа хорошей ИБ, то как она таковой стала? Значит она уже обосновала свою значимость, выстроила СУИБ, и у нее все хорошо. И бизнес, кстати, понимает, зачем ему хорошая ИБ, иначе бы он ее такой не создавал. Зачем ей что-то кому-то обосновывать?
2:35 – Не «только», а «в том числе». Или просто пока везет. Ведь в примере Алексея мы не можем оценить влияние хорошей ИБ.
2:52 – Стоп-стоп-стоп. Выделение средств и были ли они «потрачены не зря» — родственные, но разные задачи. Давайте не будем мешать все в одну кучу.
3:50 – Алексей, о какой целевой аудитории вы говорите все время? О подписчиках вашего блога? Или сотрудниках организации, где работает безопасник? Для задачи, которую вы поставили («оценка вложений в ИБ»), а потом расширили («обоснование необходимости вложений»), целевая аудитория одна – владелец бизнеса, или, может быть, чуть шире — топ-менеджмент. И вы говорите, что может быть какой-то инцидент ИБ, который надо «рекламировать» владельцу бизнеса? Вы серьезно? Если инцидент серьезный, владелец бизнеса сам с вас спросит, как это произошло и как этого не допустить в будущем. Иногда через 10 минут после того, как узнает.
4:08 – Пока не очень понятно, что Алексей подразумевает под «разговаривать с бизнесом о деньгах». Бизнес отлично считает, лучше нас, и риски для себя он видит лучше. Хорошо, если потенциальный ущерб оценен не только качественно (у нас украдут всю базу клиентов), но и количественно (на этом мы потеряем десять тысяч рублей). Но наша оценка может сильно расходится с оценкой бизнеса (см. про DLP в ритейле). Но, разумеется, необходимо помочь, когда бизнес эту оценку произвести не может.
4:23 – Так «важная», «нужная» или «так принято». Прямо какое-то «да, нет, наверное».
4:26 – Прямо откровение за откровением. Заниматься безопасностью, чтобы было безопасно – это пять.
4:35 – Нам может не понравиться ответ на вопрос «а что мы делаем внутри организации» только в том случае, если мы занимаемся не своим делом или имеем интересы, отличные от нашей сферы деятельности (в данном случае безопасности). Интересно, Алексей провел какой-то опрос среди безопасников или проецирует с себя?
7:40 – «Если улучшение можно увидеть, его можно посчитать» (с). Я просто оставлю это здесь.
7:49 – Теперь у нас можно посчитать качественную оценку… Наверно, раз критичная, два критичная.
8:15 – Апостол ИБ постоянно перепрыгивает от какой-то целевой аудитории (они) к каким-то неопределенным нам (кто это? Безопасники?).
8:25 – Алексей, из всех определений ИБ вы выбрали: «безопасность – обеспечение КЦД»? Вы серьезно? Это 2014 год, вы еще не ушли из множества рабочих групп, и сами над этими определениями работали. Может быть, это был пример неудачной коммуникации, и вы покажете, как надо было? Ответ: нет.
9:01 – Финансовый Директор, которого волнует перевод капитальных затрат в операционные. Алексей, с таким уровнем понимания темы лучше в оценку не лезть. Капитальные затраты — это когда мы что-то делаем новое (часто это очень дорого), но единовременно – строим дом, внедряем DLP и т.п. А операционные затраты – это периодические затраты, которые необходимы для нормальной работы. Капитальные затраты не могут перейти в операционные никаким боком, если мы не строим/покупаем, а берем в лизинг/аренду – это сразу операционные расходы. Никакого перехода.
9:25 – «Улучшение финансовых показателей с помощью лизинга» — золотой фонд цитат Алексея. Не буду много писать, интересно про финансовые показатели? Пишите в комментариях.
11:16 – Может быть Алексей и занимается безопасностью «потому что занимается безопасностью», но это плевок во всю отрасль. Так может говорить только человек, который пришел в отрасль по иным причинам. Может быть, тут лучше платят (буквально через 2 года мы будем обсуждать размытие компетенций вследствие популяризации темы ИБ), или хорошее место подвернулось и не хочется с него уходить.
11:27 – «Безопасность не нужна и не важна» (с) ЗФЦ Алексея. Думаю, уже после этого можно уже дальше не слушать, но продолжим.
11:40 – У Алексея какое-то превратное представление о работе генерального директора. В его представлении, директор каждый день сидит и решает, на это дам деньги, на это нет. При том, что Алексей смешивает те самые капитальные (ИБ в контексте повествования) и операционные (картриджи, кофе, туалетная бумага) вложения. Алексей, если у компании нет денег на операционную деятельность, я вам гарантирую, информационная безопасность ее будет волновать в последнюю очередь.
12:08 – Ох, результаты в процессной деятельности… а безопасность — это бесконечный процесс, как например, забота о здоровье.
12:14 – Алексей, у меня для вас лайфхак, как снизить количество инцидентов: не сообщайте о них. А если вас будут припирать фактами, все отрицайте. KPI взлетит до небес, и затраты нулевые.
15:13 – «Безопасность сама по себе волнует только безопасников» (с) ЗФЦ. А вот интересно, для кого Алексей это все рассказывает? Для безопасников? С такой позиций низвержения нас? Не похоже. Для бизнеса? Опять же нет. Такое ощущение, что Алексей пришел покрасоваться на очередную модную тему.
18:05 – Алексей, вы правда считаете, что показать эффект от 1 элемента сложнее (не важно, положительный или отрицательный), чем от суммы многих? Само по себе это требует обоснования, т.к. все последующие примеры будут основаны на этих 2+2=4. Это только в математике. В физике уже приходится брать поправку на дефект массы, а в социологии не то, что 2+2, а даже 1+1 – это то ли будущая семья, то ли сговор с целью ограбления банка.
А вы основываете все свое выступление на том, что надо найти как можно больше элементов, спрятать там безопасность, чтобы было легче потом отбрехаться, куда пропали деньги. Этот подход имеет место быть, но не в безопасности, и тем более оценке вложений в нее. Хотя для продажи Cisco под любым соусом самое оно.
18:22 – Кто эти мифические мы, которые хотят поднять выручку от продаж? Отдел продаж? Или Алексей предлагает безопасникам думать над проблемами, для решения которых есть специальные люди?
18:48 – Рост выручки: за счет увеличения числа клиентов, за счет увеличения числа сделок, за счет ускорения сделок, за счет снижения себестоимости оказания услуги.
Увеличение клиентов – понятный путь, но надо сразу говорить о цене привлечения новых клиентов. Она может быть такой высокой, что многие предпочитают работать с уже имеющимися.
Что такое увеличение числа сделок? Видимо, имеется ввиду в уже существующих клиентах (иначе это вырожденный случай увеличения числа клиентов). Возможно, если у нас широкий ассортимент. Продали антивирус, а купите у нас еще и SIEM.
Что такое ускорение сделки? Чтобы она быстрее закрылась и мы получили деньги?
Снижение себестоимости. Такое… если мы что-то производим, то от такого сокращения затрат можем потерять в качестве, что в свою очередь может отпугнуть клиентов, что приведет к снижению выручки. Но идем дальше.
20:15 – Чем вынос точки продаж «в поля» отличается от найма представителей в примере выше?
21:50 – Пассажи «А давайте купим MDM, потому что это круто» сразу наводят на мысли: а Алексей хоть раз сам что-нибудь обосновывал? Или это личные мысли автора, как оно в реальности происходит. По такой логике есть безопасники, которые хотят купить маршрутизаторы Cisco, обрабатывая информацию на локальных АРМах. Понятно, что утрирование позволяет донести суть, но глупости совсем уж говорить не надо.
24:00 – Насколько я помню, чтобы получить доступ к интернет-банку, надо в офис сначала прийти. Договор заключить, доступ оформить. Алексей, как много общающийся с банками, не может этого не знать. Никакие 10000 клиентов в мобильном банке не появятся, прежде чем они не посетят обычный офис. Пример, вводящий в заблуждение.
24:45 – Алексей, при коллективной работе всегда найдется самый крайний, который будет за все отвечать. Ваши слова не соотносятся с реальностью, но в книжках так пишут, да.
25:45 – И огромное проседание в производительности работы и качестве. Даже в 2014 году были уже исследования о сложности надомной работы. Что и показала последующая история в IBM с выселением и обратным заселение в офис сотрудников.
27:00 – Какой волшебный мир, в котором поставщики сами отслеживают наличие комплектующих у клиента. А что делать с поставщиками, которые затоварят склад? Больше поставили, больше получили. Мощности перенаправили на других клиентов. Вот уж дыра в безопасности бизнеса, так дыра.
30:20 – Алексей, чем же вам так капитальные затраты не угодили? Уже который раз вы о них негативно отзываетесь. И в чем проблемы со списанием оборудования?
30:32 – Да, если сегодня взять в аренду, то сегодня это будет выгодно и финансовые показатели на высоте. Но на большом промежутке времени аренда может стать дороже покупки. И тогда финансовые показатели улетят в трубу.
32:33 – Бред какой-то. Алексей утверждает, что среднестатистический работник из 8 часов рабочих 5,5 часов работает, а 2,5 стоит в пробке? Интересно увидеть тех работодателей, которые такое позволяют. Я-то думал, как? В 9 на работу пришел, в 18 – ушел. А то, что ты там встал в 6 утра, чтобы доехать, так это твои трудности. В реальности Алексея ты можешь спокойно постоять в пробке в рабочее время.
33:00 – Рукалицо.
35:00 – Видимо, речь идет только о командировках по переговорам. Если надо что-либо сделать, то тут уж никакой скайп не поможет.
40:00 – Алексей, я даже больше скажу: безопасность не относится ни к одной из перечисленных вами категорий.
41:00 – Алексей все время с таким надрывом говорит про понимание задач бизнеса, будто это что-то такое неведомое и сложное. Вот выпустился студент, и пошел работать по тайному кодексу безопасников, все равно где и на кого, главное кодекс чтить:
Никому не рассказывай про Кодекс.
Никогда и никому не рассказывай про Кодекс.
Скрывай цели безопасности.
Безопасность нужна.
Никому не говори, что ты делаешь и зачем.
Бери все деньги, что выбьешь.
46:55 – Такие байки преподаватели первокурсникам рассказывают. Для должного эффекта в этой истории не хватает обязанностей этого сотрудника.
49:11 – Алексей, ничего это не значит. Люди сидят в соцсетях, когда у них нет текущих задач. И, о ужас, не сидят там, когда им надо срочно что-то сделать. И вы действительно думаете, что сотрудник задержится на работе, чтобы сделать то, что он не успел благодаря тому, что сидел в фейсбуке?
49:27 – Мотивация на труд с помощью доступа к фейсбуку? Алексей гробит свой талант в управлении персоналом.
52:50 – Ох, т.е. информация имеет стоимость. Отлично. Ее можно посчитать. Замечательно. Но результат зависит от того, кто будет считать… ну как так-то? У нас что, квантовая теория? Нет. Как можно в правильном ряду исходить из таких чудовищных предпосылок? Алексей, задача решается, когда считает 1 человек.
53:00 – Что интересно, в лекции по оценке вложений методики не называются. Хотя бы просто перечислили для интересующихся.
1:00:50 – Плохая черта спикера — не проговаривать то, что написано на слайдах. У нас же новая тема, и вроде как вхождение в тему…
1:03:50 – Как оказалось, и на западе тоже особо репутацией не заморачиваются.
1:04:29 – Алексей, «отдача» и экономическая целесообразность — две разные вещи. И хорошо бы раскрывать термины, которые вы вводите: что такое «отдача»? Прибыль от проекта? Нет, прибыль она и в Африке прибыль. Экономическая целесообразность чуть-чуть сложнее описанной вами схемы затраты-возможные штрафы. В 2014 году могли и бизнес приостановить на 90 дней. «Отдачи» никакой, да.
1:07:02 – Потери бывают в разной форме (с) ЗФЦ. Алексей, если уж вы взялись говорить за экономику, то там есть прибыль и убыток. Никаких «потерь» там нет. Убыток может иметь множество причин (вы это называете «разной формой»), но всегда выражается в деньгах. Всегда. Все эти ваши простои, замены и т.п. — это деньги. И их уже лет 100 как научились считать. Кстати, как и потери от инцидентов информационной безопасности.
1:09:26 – «Смерть пациента – это страховые выплаты и судебные издержки» (с) ЗФЦ
1:09:40 – Алексей, вы еще ничего не рассказали по теме оценки.
1:10:00 – Где же Алексей видел бизнес, который бы отказывался от реального улучшения своей работы? Бизнес, который должен захотеть увидеть отдачу… Бизнес-консультант.
1:11:27 – Алексей, зачем городить высосанный из пальца пример? Если банк-клиент ломают и деньги утекают, если доказывается, что это произошло в результате взлома, то банк несет прямые убытки (компенсации, исправление, прохождение проверок и т.п.). Так в любимом вами банковском секторе действуют. Прямой связи между взломом и уходом клиента нет. Наоборот, если банк все компенсировал – клиент останется, а убытки будут. Весь пример насмарку.
1:11:57 – Некоторая фальшь чувствуется от этой лекции.
1:12:08 – Алексей, ну что вы? Какая уже оговорка по Фрейду? Все эти поверят нам, уверенность в себе и т.п. Экономика чудесна тем, что в ней есть циферки. Над циферками производятся математические действия (очень простые), которые дают воспроизводимый результат. Предмет дискуссии лишь в исходном значении циферок, а не в результате. Уж коль вы так боитесь, зачем разговор об этом завели?
1:12:17 – Как нам всем повезло. Нас принято держать, несмотря на то, что мы такие плохие. Надо ввести моду на ИБ среди топ-менеджеров. Как с чихуахуа или айфонами. У кого безопасник круче и красивей. А? Как идея?
1:13:07 – А у нас в «неумытой» России, разумеется, все по-другому. Все только на Западе работает. А надо-то всего лишь оплату труда поменять.
1:14:48 – Посыл, что ИБ не обосновывается, потому что зарплаты маленькие – это даже не пять, это десять. А, может быть, просто решения от Cisco стоят неадекватных денег?
1:16:15 – А можно подробнее, какие методы уже были предложены?
1:16:31 – 30 методик о «оценке отдачи проектов по информационной безопасности»? О чем же тогда автор тут больше часа говорит? Сколько из них он применил? Какой результат получил? Что рекомендует использовать в тех или иных случаях? Нет. Просто почитал парочку, результата не получил, сказал не работает.
1:20:29 – Что такое 100% результат? Выход проекта в ноль? 100% прибыль на вложенные инвестиции? Нет ответа.
1:21:30 – Алексей, о чем же вы тогда говорили почти полтора часа? А, о том, как все сложно и безопасники сами в себе.
1:22:03 – А еще эффект масштаба иногда имеет обратный эффект. Когда из-за своего объема компания не может достичь запланированных выгод. Например, накладные расходы на перестройку процессов могут длиться годами и съесть весь «запланированный» профит. Об этом, кстати, рассказывают даже студентам технарям. Но зачем нам такие тонкости.
1:22:17 – Алексей, в среднем рабочих дней в году 247 (в 2014, кстати, тоже). Фиг с ним, округлим до 250, чтобы считать было проще. Но откуда 260? Не думая скопипастили пример и его презентуете? Глубокое уважение к аудитории. Почти 5% съели.
1:23:10 – Алексей, хорошо, вы не курите и можете не знать, что перекуров может быть и 5, и 10 в день. Но ограничить бедных сотрудников 2 походами в туалет в день — это круто. А еще есть предусмотренные СанПиН требования по работе за компьютером, предписывающие отдых (а, следовательно, блокировку компьютера), каждые 45 минут. Кстати, от этого ваш пример только выигрывает. Оценка будет за 10 млн часов.
1:23:50 – Алексей, ну какая повторная регистрация через 60 секунд после первой ошибки? Вас с такими требованиями линчуют через неделю, никакие обоснования не помогут. Хотя понятно, почему вы ввели эту переменную, надо было показать больший выигрыш. Но не пришлось бы так сильно натягивать ужа на глобус, если бы в предыдущем параметре вы были бы более близки к реальности.
1:25:15 – Кстати, об эффекте масштаба. Для GM 22 млн долларов может быть и не такой большой суммой. Уж наверняка реальный проект по управлению учетками там будет стоить огромных денег, за 100 млн точно. Озвученная сумма в сотни тысяч долларов на проект маловероятна, или считали только прямые расходы на лицензии, сервера и консультантов, или специально для пиару. Накладные расходы на перестройку процессов в такой огромной компании, судя по всему, не были учтены.
Допустим 100 ИС, 100 коннекторов по 1 млн рублей (это минимальный ценник в отечественных компаниях), поделим на курс в 2014 годы – уже получается 2,8 млн долларов. Плюс западные расценки, плюс стоимость внедрения, исчисляемой в несколько трудолет, плюс командировки по всему миру на квартал-другой, плюс стоимость лицензий, серверов и обучения. Думаю, реально около 100 млн долларов и будет.
Плюс хинт: пока проект внедряется в убыток, в 22 млн плюсуется в расходы. Проект 100 млн, внедряем 3 года, итого 160 млн. Если бы ничего не делали, этих денег хватило бы на 8 лет «обычных» убытков. Чем не расчет целесообразности?
1:27:15 – С джинсой за Cisco все понятно. Надо было пропиарить решение, пропиарили. Оговорки, что все сложнее, не работают, см. выше про удаленную работу.
1:33:30 – «Безопасность – это неизбежное зло» (с) ЗФЦ
1:34:25 – Что такое «эффект» от ИТ проекта? Окупаемость? Польза? На каких проектах проводилось исследование? В каких компаниях? Если предположить, что под эффектом подразумевается окупаемость, то срок в 4-5 лет – вообще какой-то фантастически нереальный. Такой эксперт в оценке, как Алексей, должен знать, что за 4-5 лет ИТ системы уже 2-4 раза самортизируются и будут списаны. Их надо менять и обновлять. И еще множество и множество вопросов к данному заявлению. Факты все же необходимо чекать, хотя бы на банальное соответствие.
Итого
По прошествии лет видно, что экономической оценкой занимаются только те, кто и занимался. Блогеры хайпанули и благополучно перескочили на других лошадей, а потом еще и еще. В дальнейшем мы увидим одну и ту же картину, когда в качестве знамени будет водружаться та или иная неведомая вещь. Будет много воды, мало сути, отвлеченные примеры и отсутствие личного опыта по теме. На ней будут усиленно пиариться, а потом забывать.
Будем считать этот уровень погружения за ноль и дальше будем мерить по нему.
Сам Алексей данную тему никак дальше не развивал, подвижек в этом направлении в его блоге мне не удалось увидеть.
В основе информационной безопасности лежат две вещи: безопасность и информация. Как ни странно. И если с безопасностью все более-менее понятно, это роднит нас безопасносниками в широком смысле слова (даже экологической безопасностью и охраной труда), то вторая составляющая уводит нас в какие-то неведомые дали, где темный лес и партизаны.
Разумеется, как и любая отрасль, возникшая на стыке двух отраслей (безопасность и работа с информацией), вбирает все самое лучшее и худшее от своих родителей, и, в результате синергии, порождает новые плюшки и проблемы.
И первую мину нам подкладывает информация. Каждый безопасник с младых лет знает, что информация правит миром. Знаешь, что не знают другие – красавчик. Враги узнали, что у нас решетки в канализации сгнили – ты в шоколаде, но не во вкусном. Пока все четко, и соотносится с окружающей действительностью.
В какой-то момент стали развиваться способы обработки информации. Стала развиваться безопасность (см. легендарную эпоху). Особо секретные послания стали шифровать, а прото-хакеры стали эти шифры ломать (проблема конфиденциальности). Ввиду слабости бумаги, как носителя, к огню и другим деструктивным воздействиям решались проблемы целостности и доступности.
Когда от бумаги шагнули к компьютерам, в принципе все осталось, как и есть, изменившись внешне. Все те же самые угрозы, но реализуемые с помощью компьютера. Где-то тут организуется отрасль информационной безопасности. Вдруг. Взяла и появилась.
Возникает вопрос – а когда информация была на бумаге, что не надо было ее защищать? Нет, защищать надо было. Может что-нибудь принципиально поменялось в обработке и передаче информации? Нет, не поменялось. Не суть важно, хранится ли секретное письмо на флешке или распечатанное в сейфе. Атаки на каналы передачи даже не изменились. Курьера все также можно перехватить, обмануть, напоить, подменить и прочее.
Т.е. по сути безопасники всю жизнь занимались защитой этой самой информации, но как-то не додумались называться информационными безопасниками. Напрашивается простое следствие, информационные безопасники в текущем своем виде защищают не информацию, а средства обработки и передачи оной.
Поэтому какую именно информацию защищать нам говорят сторонние люди. Владельцы информации. Почитайте любой стандарт.
Именно поэтому информационные безопасники почти не касаются защиты информации, обрабатываемой не на компьютере.
Информационный безопасник должен защитить компьютер, сеть передачи, но не определяет, какую информацию он должен защищать. Безопасник же должен быть как юрист, знать, что, как и почему. ИБ не знает почему.
Есть такой очень показательный пример, иллюстрирующий проблему. Крупный рейтел проходит пилотирование DLP очень известного вендора. Выявляют портал, смотрящий в интернет. А там… мамочки родные, вся информация о планируемой через месяц акции, цены, позиции и все-все-все. Разумеется, в открытом доступе и без паролей.
Любому информационному безопаснику понятно, что это зашквар высшей пробы. Информация о ценах и планируемой акции (до кучи были добавлены в список КТ), в открытую сеть, да без паролей, да неограниченному кругу лиц. Любой более-менее опытный безопасник на данном прецеденте развернет обоснование системы защиты и будет еще лет 5 вспоминать.
Все это красиво пишется в отчет и отсылается руководству. Руководство кладет болт. Проекта не получилось, систему не купили, даже не наказали никого.
Оказалось, все довольно просто: этот отчет он попал к безопасникам, которые именно что определяют риски для бизнеса. И оказалось, сюрприз-сюрприз, просто ритейл не конкурирует между собой по цене. А список КТ откуда-то скопипастили, так туда цены и попали. Список-то ибешники делали.
Понятно, что из одного примера не надо делать далеко идущих выводов. Но посмотрите с другой стороны. Вся информация, которую мы защищаем – это либо защищаемая законом, либо что-то абстрактное в виде ноу-хау и конфиденциальной информации.
Да, и есть проблемы с самой информацией. Почему на ИБ не выделяют денег (во всяком случае, как на другую безопасность или ИТ)? Потому что в 90% случаев ущерб минимальный. В подавляющем большинстве случаев критичная и важная информация обрабатывается дедовскими способами. Ключевое ноу-хау — оно не в документе, оно в голове ключевого человека или группы.
Из общеупотребимых видов информации реальный ущерб есть только в персональных данных. В коммерческой тайне разве что у банков и трейдеров, да и то срок критичности иногда измеряется часами или минутами.
Вот что коммерчески критичного можно узнать об обычном ООО, чтобы потом использовать? Да. Да, дорогой друг. Мало узнать информацию, надо ее еще использовать. Помню, когда утекли в сеть исходники Windows 2000, какой хай стоял. У меня даже где-то лежат до сих пор. И что?
С персональными данными понятно: их разглашение нанесет ущерб широкому кругу лиц. А остальное?
Вот и получается, что, не смотря на громкое звание информационных безопасников – мы сами себя загнали в настройщики компьютеров со специфическим уклоном. Именно поэтому периодически возникают разговоры ИБ – должна подчиняться ИТ или блоку безопасности? Почему-то у пожарной безопасности не ведется речи, что они должны подчиняться районной пожарной части.
Здравствуйте, здравствуйте, мои дорогие. Давно вас всех не видел, да и вы меня. Я совершил непростительное, оставил вас, мои дорогие, без самого ценного. Самого объективного взгляда с галерки на нашу безопасность.
Хочу сразу сказать, что я ошибался. Профессия безопасника она такая, риски везде видишь, негатив в каждом подозреваешь, засыпаешь под утро в сладкой неге паранойи. Все в нашей безопасности не так уж плохо, а последние тренды прямо поднимают ее с колен персданных. Небо светлеет.
Обо всем по порядку, но начнем с конца.
Пришла радостная (без шуток) новость – Ростелеком купил Солар. Вот это бомба. Наконец наш рынок дорос до того, что крупные компании не растят ин–хаус интеграторов, а покупают участников рынка. Надеюсь, это станет первой ласточкой на этой ниве. Кто следующий? МТС?
Парням удачи пройти все организационные преграды поглощения. Надеюсь, в следующем году нам расскажут о реальных кейсах встраивания сервисной ИБ-компании в огромную структуру.
Следующее на очереди PHD. Замечательно сходил, получил массу положительных впечатлений. Впрочем, как всегда. Пересказывать доклады не буду, а то некоторые блогеры обижаются за отнятый хлеб. Все можно увидеть на видео. Плюс поднимаю практику гонзо-журналистики. Как говорит нам гугл:
Гонзо-журналистика (англ. Gonzo — «рехнувшийся, чокнутый, поехавший») — направление в журналистике, для которого характерен глубоко субъективный стиль повествования от первого лица, при этом репортёр выступает не как беспристрастный наблюдатель, а в качестве непосредственного участника описываемых событий, используя свой личный опыт и открыто выражая эмоции, благодаря чему подчёркивает основной смысл этих событий. Для «гонзо-журналистики» также характерны активное использование цитат, сарказма, юмора, преувеличений и даже ненормативной лексики.
Если вы давно читаете этот блог, то найдете, что корреляция тут не менее 0,3 (между определением и автором). А, что я вам объясняю? Главное дело, а термины мы потом напридумываем.
И последнее, но не последнее по важности – КИИ. Вот, вот она — альфа возрождения безопасности. Наконец мы получаем не только обязательную к выполнению нормативку, но и всеобщий профит (и я не о деньгах). Если персданные рассказали о безопасности последнему бухгалтеру в ООО «Вектор-2000», надеюсь, КИИ донесут безопасность хотя бы на уровень менеджеров среднего звена. А дальше уж совсем чуть-чуть останется.
Здравствуйте, здравствуйте мои ненаглядные. Как же я по вам скучал. Скучал все 3000 километров по нашим бескрайним просторам. Но скучал я не один.
Разумеется, одним глазом наблюдал, что творится в нашей поибэ, а творится там форменная чертовщина. Какой-то месяц безудержного пиара.
В начале Solar Security под заголовком «как правильно оформить внедрение системы для защиты от утечек» разослал всем статью о документах при внедрении DLP. Но забыл упомянуть 137 и 138 статьи УК, под которой ходит каждый информационный безопасник. Сразу стало понятно, что статью писал теоретик. И цель понятна. Цель статьи – «смотрите, с помощью нашей DLP вы всех посадите и получите много палок!!1111». Пока же с такими статьями посадят самих пользователей DLP Solar Dozor.
И, конечно, интересно узнать, в соответствии с какими статьями ТК РФ необходимо внедрять именно DLP.
Потом бомбануло у Ильи Шабанова, потому что не все признают гениальность последнего отчета на его сайте о SIEM. Материал, такое ощущение, представляет собой компиляцию пресс-релизов компаний вендоров, приправленных словами «SIEM – очень нужная вещь». Я понимаю, что каждый зарабатывает, как может. Сиди спокойно, ваяй тяп-ляпки, пили денюжку. Так ведь и доходы упадут. Кстати, что косяки на сайте поправили – молодцы, там еще столько же осталось.
Мало кто уже помнит (а некоторые и вовсе этого не застали), но тема персданных «взлетела» благодаря ФСТЭК России, которая в 2008-м году выпустила свои документы по защите персональных данных. Это было пресловутое «четверокнижие», которое стало драйвером рынка ИБ на тот момент.
Ну, никаким драйвером оно тогда не стало. И не было вплоть до 2011 года. Но разгон взяли.
Сам закон был принят двумя годами ранее, в 2006-м, но это событие прошло незамеченным для большинства специалистов по ИБ. По крайней мере лично я про этот закон особо ничего и не знал до того момента, пока ФСТЭК не выпустила свои одиозные требования. Именно тогда, 9 лет назад я погрузился в эту тему и она продолжает висеть веригами на мне.
Пафос — это хорошо.
Когда я только услышал про четверокнижие ФСТЭК я возрадовался, посчитав, что оно станет замечательным подспорьем в продаже решений Cisco по информационной безопасности.
Что лишний раз доказывает слова о том, что вся деятельность Алексея направлена на лоббирование интересов работодателя.
Но прочтя эти документы, мой оптимизм поугас. Я попробовал натянуть эти документы на нашу собственную информационную систему и понял, что это невозможно.
Очень странно. До 2014 года достаточно было оргмер. Вот одна из первых статей Алексея о ЗПД. Как все хорошо на западе, как все плохо у нас. Но, например, в том же четверокнижии было и про шум, и стеганография. Я сам проходил проверку, применив стеганографию. Либо Алексей документы не читал, либо целенаправленно хаял.
Даже такая повернутая на compliance компания как наша, не смогла бы выполнить все эти безумные требования. Именно тогда я занялся тем, что стал разбираться в законодательстве, активно и публично его критикуя,
И продвигая удобные для себя положения. Хорошо, что не срослось.
предлагая различные обходные маневры для потребителей.
Тем самым подставляя их по полной. Ведь невозможно учесть потребности потребителя, когда речь идет о впаривании железок на миллионы долларов.
И именно эта тема увела этот блог в совершенно ином направлении. Ведь изначально я хотел писать в блоге про бизнес, метрики, измерения и т.п. темы.
Уж, лучше про законодательство. Про бизнес, на примере BYOD, было бы хуже.
Но увы… законодательство захватило пальму первенства и продолжает ее удерживать, приведя к тому, что за мной прочно укрепилась слава «бумажного безопасника» :-)
Звание теоретика (а не бумажного безопасника) за Алексеем закрепилось, когда он вместо безопасности занялся своим пиаром, продвигая свои фантазии как истину в последней инстанции. И они постоянно не сходились по фактам. Например, Алексей в свое время любил кичиться тем, что начал заниматься безопасностью в 91 году. Хотя и он, и я знаем, что сделать он в это время не мог. Но звучит-то красиво. Занимаюсь ИБ с развала – Союза! И не жалеет об этом.
Спустя год я был вовлечен в процесс изменения федерального закона «О персональных данных» и тогда я впервые столкнулся с Роскомнадзором, который тогда назывался Россвязьохранкультуры, а позже был переименован в Россвязькомнадзор.
Силком наверно затащили.
За эти 9 лет было сделано немало — участие в разработке поправок к ФЗ-152 и КоАП, участие в разработке различных приказов и разъяснений РКН, Постановлений Правительства, приказов ФСТЭК и ФСБ.
Участник рабочих групп, автор 300+ статей. Вот в чем проблема всех подобных персонажей: мнимые достижения выдаются за реальные. Ну, протер штаны на хороших стульях, а дальше что?
Что-то удавалось сделать, что-то нет. Но всегда я понимал логику регуляторов и мог как-то подстроиться под нее, предложив какие-то формулировки, которые устраивали бы большинство участников процесса. Но в 2014-м году все поменялось :-(
Судя по обилию проблем в терминологии – не удалось сделать ничего.
Сначала из РКН в Россвязь ушел г-н Шередин. Он был не простым чиновником, но даже несмотря на это, нам удавалось найти точки соприкосновения и контакт с ним у меня был.
Ушел друг, через которого можно было успешно лоббировать?
С уходом Шередина ситуация стала ухудшаться,
Чем-то это напоминает ситуацию с Эриком Давидычем, если вы понимаете, о чем я.
а действия регулятора перестали подчиняться логике и здравому смыслу. Последние 3 года стало только хуже.
В чем? Стали требовать сертифицировать Cisco? Так там и так дырка на дырке, как говорят.
Минкомсвязь (а именно они у нас определяют госполитику в области ПДн) самоустранилось от решения вопросов в данной сфере. РКН же окончательно превратился в карательный орган.
А каким должен быть регулятор? Пальчиком грозить? Так грозили уже, с 2008.
Чего только стоит исключение из названия своей основной функции — защиты прав субъектов ПДн, слов «прав субъектов». Обратите внимание, РКН во всех документах, выступлениях, отчетах, презентациях стал писать «защита ПДн», что лишний раз подтверждает простую мысль — на права субъектов регулятору давно наплевать.
Если Алексей так любит точность формулировок, то что же за 9 лет не привел их в надлежащий вид на многочисленных рабочих группах?
Закон о ПДн превратился в инструмент давления на российские и зарубежные компании.
На любимом Лукацким Западе с законами все еще строже. И Cisco там так просто не отделалась бы, не соблюдя какой-нибудь закон, как у нас.
Мнение регулятора меняется постоянно и понять, на чем оно базируется и почему оно опять поменялось, стало невозможно.
Т.е. Алексей не успевает за веяниями времени? Уж более статичной нормативки, чем в ЗПД, не найдешь.
Эксперты, которые там раньше работали и с которыми у меня было неплохое рабочее взаимодействие, превратились в настоящих чиновников, преданно смотрящих в глаза начальству и игнорирующих простых смертных :-(
Друзей не осталось, план теперь не выполнить.
Последнее время я стал все меньше и меньше писать про персональные данные. Еще реже стал консультировать по этим вопросам
Что мне в экспертах всегда нравилось, так это желание консультировать, не неся за это ответственности. Помню, Алексей еще пиарил свою контору по продаже документов по ИБ.
(преклоняюсь перед Михаилом Юрьевичем, который ведет неравный бой с РКН). Но сегодня, в начало нового учебного года, я решил, что надо и вовсе закрывать для себя эту тему. Работа по ней стала абсолютно непредсказуемой и бессмысленной. Поэтому
Персональные данные, прощайте!
Здравствуй, КИИ!
Что ж, отдадим должное целой эпохе. Эпохе из 90-х, когда по старой привычке западные друзья хотели нами всеми тут поруководить за наш счет. Одним из проводников данных идей был Алексей Лукацкий. Благодаря стечению обстоятельств и определенному заказу Алексей получил определенную известность, и сразу стал выполнять заказ. Я просто не могу по-другому объяснить все эти скандалы и упертость по отношению к Cisco с его стороны. А уж как Алексей пропихнул через своих знакомых в самые крупные сети банкоматов цисковские устройства – история отдельная.
Но не фортануло. За исключением отдельных всплесков. Зато теперь можно перенести внимание на КИИ, да, рынок пожиже, зато методики отработаны.
Всем здравствуйте. Проснулся я с утра, и было хорошо, солнышко светит, птички поют. Но к обеду набежали тучки, закрыв живительный ультрафиолет. И вспомнилась мне история, которая показывает звериный оскал нашей отрасли.
События в этой истории носили угнетающий эффект, закрывая благословенное солнце квоты. Поехали.
Глава Будь бдителен или про пидарасов
В жизни пресейла полно неожиданностей и странностей. Например, к вам будет прибегать руководство и всучивать какие-то таблички, где вам необходимо будет проставить вероятность (в процентах) реализации тех или иных ваших активностей. Понятно, зачем оно им нужно, ввиду несложной математики это можно использовать в стратегическом планировании. Но что делать нам, людям приземленным?
Допустим, вы написали ТЗ, и заказчик именно его пустил на конкурс. Какая вероятность, что вы подпишите договор? 90%, 70%, 50%? Да хрен его знает. По-моему опыту, где-то в районе 10%. Может произойти все, что угодно – конкурс могут отменить, вы можете подать не верную заявку, заказчика могут посадить или не подписать с вами договор.
Была у меня история на эту тему.
2013 год
Я с аккаунтом встречаюсь с его знакомыми из Сельхозрыбконтроля (название изменено), мы обсуждаем актуальную тему ЗПД, показываем экспертизу и получаем добро на формирование бюджета.
2014 год (первое полугодие)
В первой половине года мы утрясаем техническое решение (чтоб ни шибко дорогое, но и полезное было). Возим к заказчику железки на тест, через что столбимся у вендоров. Согласовываем бюджет на обследование и проектирование, пишем ТЗ, готовим обоснование НМЦ, конкурс объявляется.
2014 год (второе полугодие)
В конкурсной документации обнаруживаются чужие закладки. Где-то в отделе закупок сидел человек ЦБИ, который дописал в ТЗ:
Наличие не менее 14 кандидатов и докторов наук (из них не менее 10% докторов);
Какая-то устаревшая лицензия, которая уже не использовалась, но у ЦБИ еще действовала.
Охерев от такой наглости и идентифицировав ЦБИ, стали устранять последствия. На основании невалидности лицензии получили право скорректировать ТЗ, чуть изменив смысл. Стало:
Наличие не менее 14 кандидатов и докторов наук.
На конкурс пришла Информзащита, ЦБИ и мы. Но т.к. наша цена была в два раза ниже НМЦ, мы выиграли.
Тут к нам прибежал товарищ Грифов (фамилия изменена) из Информзащиты (на тот момент руководитель целого Департамента) и стал гнуть пальцы, что это всю жизнь был его аккаунт и он нас щас всех здесь уроет: проект мы не сдадим, в черный список попадем и еще денег останемся должны.
Сам товарищ Грифов в заказчике в 2013-14 годах не был, а за место него была его помощница, которая один раз всего и приехала. Разумеется, всучивать Континент (кстати, что у Сельхозрыбконтроля аллергия на Континенты, господин Грифов не знал).
Но нас простили, т.к. сумма оказалась совсем не серьезной для такого большого человека.
2014 год (конец года)
Мы сдали работы и на остатки стали проводить первую часть закупки. Закупка была в виде аукциона, на который пришла Информзащита в виде товарища Грифова. Там товарищ Грифов доопускался до своих минусов и уже приближался к отметке, когда поставка будет неинтересна нам. Как понятно, крайним окажется заказчик.
Утрясли, мы выиграли.
2015 год
Весь год согласовываем вторую часть поставки и конкурс на внедрение. В проекте и ТЗ – Imperva и С-Терра (реально лучше подходили под архитектуру заказчика, зря, что ли, тестили?).
В сентябре происходит вторая часть закупки, после которой должен быть конкурс на работы. Мы сидим в ус не дуем, и тут вылезает Информзащита. Товарищ Грифов пришел со связкой Гарда БД + Континент. Ко всему прочему, он пошел на прямой подлог и обман, заявив, что Гарда имеет сертификат (его тогда не было).
Сельхозрыбконтроль не стал топить Информзащиту (иначе бы они попали в черный список, а заказчик бы под проверку) и дал Информзащите выиграть при условии, что они все это внедрят.
Конкурс на внедрение выигрывает Информзащита… и не может его реализовать (черный список again). Проколупавшись до конца года, конкурс решили аннулировать и переиграть.
2016 год
Переобъявили конкурс на внедрение. Пришли Информзащита и Андэк. Вы спросите, хер ли там забыл Андэк? Пока Информзащита колупалась, выяснилось, что Грифов серьезно прокинул МФИ Софт через детородный орган, заставив их внедрять бесплатно (а там было 5 площадок в разных концах страны), обозвав это стендированием и входом в заказчика. Плюс к этому навесив на них интеграцию со сторонним ПО. Разумеется, на адекватных условиях (за деньги) МФИ Софт был согласен работать с Андэком.
Играется конкурс… и Информзащита падает ниже своих костов. Как говорится, рука-лицо.
Насколько я знаю, проект так и не был завершен. Заказчик зарекся заниматься ИБ. МФИ Софт так ничего и не заплатили. Господин Грифов еще долго работал в Информзащите, но уже не начальником. А персональные данные так и остались незащищенными.
Так что от тупых пидарасов вас не защитит ни какое ТЗ. Всего вам доброго.
Как мне тут правильно подсказывают – слишком много Лукацкого в ленте. Но что делать, если Алексей у нас главный ньюсмейкер. Но желание публики – закон. Поэтому слушайте историю про персональные данные.
Позвонил мне хороший друг, начальник поибэ в немаленьком банке. И говорит – «Димон, я тут СЗПДн инвентаризирую. ИТ-шники хотят нам передать на баланс, помоги разобраться, что нужно, а что нет.»
Через матюги с шутками выяснилось, что 3 года назад компания SoftLine сделала им систему защиты персональных данных. Сроки поддержки все вышли, а с купленными СЗИ надо что-то решать. И самый большой вопрос встал по сертифицированной винде. И проблема не в том, что решение просто купили и не внедряли. Вопрос – как все так сделать, чтобы хоть как-то было похоже на правду.
Хоть я сам не брал сертифицированной винды в руки уже пару лет, пришлось стряхнуть пыль с закоулков памяти.
Преамбула заключается в том, что сертификацией винды у нас занимается одна компания «СИС» или «Сертифицированные информационные системы». Процедура следующая – вы отсылаете заявку в СИС или дистика (который все равно делает все через СИС), прикладываете денюжки, дистрибутив и подтверждение легальности приобретения продуктов Microsoft (думаю, мало что в процедуре изменилось).
Самая засада с дистрибутивом — он должен быть на диске. Нет диска — вам сертифицированной винды не видать. Все это уезжает на 2 недели в СИС (или 6-8 недель, если через дистика) и приезжает обратно к вам с комплектом бумаг и еще каких-то дистрибутивов.
Если заглянуть в прайс-лист (о, чтение прайс-листов – отдельное искуство), то глаза разбегаются и ни хера не понятно, что же надо взять, чтобы нормально сертифицированную винду приобрести.
Запоминайте.
Гайд по ориентированию в прайсе сертифицированной винды
Предположим, вам надо установить сертифицированную винду на вменяемое количество машин, хотя бы 10-15. Если у вас меньше, можете смело лишние пункты почикать.
Находите нужную версию винды (обычно на 1 поколение назад от текущей версии, например, 10 сертифицировать нельзя) в прайсе, и выбираете Базовый пакет для сертификации. Можно взять и Полный пакет, но я за 5 лет отличий шибко не уловил, да и попал один раз. Была у меня спецификация (в январе сделанная, ага), а как до закупки в ноябре дошло, так мне не смогли полную версию отгрузить. Сертификат тютю, просрочился. А у меня госконтракт.
Берем по количеству машин.
Вам необходима лицензия на контроль сертифицированной версии ОС. Это такая приблуда, которая проверяет установленную версию винды на отклонения в настройках. Также берете по количеству машин.
Лицензия модуля анализа уязвимостей. Хз, как щас. Раньше ее не было, или была, но не нужна была. Для меня это позиция для выкачивания денег.
Обязательно не забудьте про сертифицированный ключ для получения обновлений. Хватит 1 шт.
Дальше пойдут у вас непредвиденные расходы. Вы для чего винду берете? Для аутентификации в основном, чтобы не городить секретнеты с далласлоками. А что у нас является главной дырой на локальной машине? Локальный админ. Вроде без него никуда, если что. А кто выше локального админа? Доменный админ. Очевидно, чтобы не бегать и не менять раз в месяц пароли локальных админов, сертифицированная винда должна быть в домене. Также очевидно, что она должна быть в своем домене, обычный не подойдет. Смело записывайте в спеку 3 штуки серверной Windows. 2 под контролеры домена, 1 под WSUS (или как он там щас называется?).
Кстати, именно в WSUS воткнете свой ключ для обновлений.
Но и это еще не все. Т.к. вы поставили серверную составляющую, будьте добры купить лицензии на клиентский доступ. От такой наглости бюджетодержатели вконец охуевают. Да и сами сотрудники СИС и дистиков не всегда в курсе темы, но, судя по всему, лицензии на доступ покупать надо. У меня и письмо где-то было от Microsoft. Главный камень преткновения – сколько комплектов лицензий брать: 1 (на всех) или 3 (по количеству серваков). Тут уже насколько бюджета хватит.
А если совсем денег девать некуда – то можете поставить себе еще NetCheck. Это то же самое, что Check (см. пункт 2), но по сети.
Как получите все добро, можете начинать устанавливать по официальным правилам :) Но это уже другая история.
Просматривал я сегодня фейсбучек и зацепился взглядом за одно резюме.
Оказалось, это мои старые знакомые из Б152 набирают людей. Привет, Максим!
Вот все думают, что я людей засираю, чтобы получить дешевого пиару (привет, Алексей!). Но цели мои гораздо прозаичнее: я просто хочу сделать мир лучше. И, на мой взгляд, этого точно нельзя добиться, расцеловывая друг друга в десны.
Ребята из Б152, видимо, прочитали мои прошлые заметки. Теперь все хорошо. Теперь на сайте по продаже комплектов шаблонов нет цен. Я думаю, они даже поднялись с 49ти тысяч раза в два. Появился большой простор для бизнеса, а также маркетинговых акций – «Два комплекта по цене одного» или «Успей заказать до полуночи и получи скидку 90%».
Но мое внимание привлекла вакансия. Что же предлагают нам за 60-100 тысяч рублей (кстати, это белая?)? Нам предлагают работать в компании, которая уже продала своих продуктов 6 000 заказчикам. Матерь божья! Если это правда, то это реально круто. Например, у Кода безопасности всего 32 000 заказчиков (кстати, если перейти по ссылке, то увидим всего 23 000… хотя там написано более, но нельзя же так редко сайт обновлять…).
32000 предприятий
23000…
При том, что это крупный вендор, и фактически стандарт во многих областях.
Т.е. Б125 компания крупная. С кем же она работает? Мне нравится фраза «компании уровня Philips, EY, Henkel». Т.е. мировой лидер рынка аудиторства и комплайнса заказывает шаблоны документов за 49 тысяч рублей? Если это правда, это очень круто. К сожалению, в отзывах на сайте про EY ни слова. Надо срочно получить эти отзывы, так как более мощного пиара придумать сложно. Остальные заказчики обычные, скажем, фриланс.ру. Большой сайт, но никаких персданных внутри на сайте нет, значит, использовали для бухгалтерии/кадров.
Оки, компания крупная.
Что надо делать? Продавать уникальные решения. Это комплект шаблонов по ЗПД и мониторилка сайта, которая недавно еще и не работала. Сейчас работает, я даже заказал мониторинг моего уютненького бложика.
Т.е. по факту 5 из 6 проверок делается вообще бесплатно на любом SEO сайте. И если сервис автоматизирован, то почему мне до сих пор не пришло письмо с результатами? Как с такой скоростью продавать через веб? Интернет-магазины вон за секунды внимания клиентов бьются. Но думаю, уникальный продукт сам найдет дорогу к клиенту.
Говорят, надо искать новых клиентов, но одновременно работать с базой. Новых. С базой. На мой вопрос в комментариях о наличии холодных звонков ответили утвердительно. Это финиш, что сказать. По факту надо нанять таджиков, дать им справочник юрлиц и платить по 10% с каждой сделки. Продавать b2b по холодным звонкам – это за гранью.
Кстати, а что продается за рубежом? Кто тот чудо продавец, что наладил экспорт ЗПД?
По зарплате. Не указано, 60 тысяч – это оклад? Или это возможный доход, если вы продадите 100 проектов по 49 тысяч рублей, и мы дадим вам бонус?
В заключение место работы. По сути это коворкинг ФРИИ. Т.е. Б125 снимает койко-стол за 20 тысяч рублей, нагоняет туда домохозяек, обучает по шаблону, что надо говорить, и отпускает в свободное плавание по рынку.
Вместо вывода. Кто из серьезных b2b-сейлов пойдет на холодные звонки за оклад в 20 тысяч плюс премия — я не знаю. Чтобы отбить свою зарплату (сюда входит зарплата основателей, коворкинг, телефон и все накладные расходы), надо делать по 10+ продаж по 49 000. Это 120+ продаж в год. Или 1 продажа в два дня. Те, кто работает в b2b знают, что иногда продажа может длиться годами. Плюс никто не отменял закупочных процедур, а они времени съедают немало.
P.S. Мой отчет так и не пришел. По результатам сообщу.
Если вы хоть как-нибудь соприкасаетесь с современной культурой, то должны были слышать выражение «книга лучше». В общем смысле ее применяют к экранизации книг в виде фильмов, реже мультфильмов, аниме и манги.
Корень этого феномена очень прост – гениальность источника. Что интересно, лучшие экранизации происходят по довольно средним и проходным книгам, в которых читателю не хватает собственной фантазии для визуализации. И, разумеется, кино как жанр имеет кучу ограничений, основные из которых — время картины (как впихнуть 600 страниц в 2-3 часа?) и невозможность визуализации мыслей и текста рассказчика (конечно, можно заменить закадровым голосом… но будете ли вы это смотреть, если зачитаю 3 страницы вместо двух предложений?). Тему можно развивать и развивать, но пока этот блог об информационной безопасности. Поэтому перейдем к ней.
Что неудивительно, в нашей поибэ тоже есть место фразе «книга лучше». Смотрите, вся нормативка, по которой мы работаем – это «книги». Когда книги объединяются в серию, у нас появляется стандарт или группа стандартов. Например, СТО БР или ISO.
В этом случае экранизацией будет конкретная реализация положений стандарта и совокупность подобных реализаций. Например, всех проектов по PCI DSS.
Осталось разобраться с понятием «лучше». Тут все просто как и с обычными книгами. Если стандарт большой и красивый, а реализовывают его криво и косо – «книга лучше». Но если стандарт неказист, а из него делают конфетку (во всех смыслах – от полноты реализации до количества выделяемых денег), то – «книга хуже».
Самые внимательные из вас заметили, что есть еще и вариант равнозначности (одинаково плохо, или хорошо, или не очень хорошо). Эти варианты редки, и мы ими пренебрежем.
Смотрите, что у меня получилось:
PCI DSS. Книга лучше.
ISO 27001. Книга лучше.
ISO Книга лучше.
ITIL. Книга лучше.
СТО БР ИББС. Книга лучше.
382-П. Книга хуже.
Персональные данные. Книга хуже.
Защита коммерческой тайны. Книга хуже.
Можно заметить, что большинство лучших книг довольно скрупулёзно прописаны. Остается всего делов-то — внедрить кучу шаблонных бумажек, как в ISO 9001. Другое дело – родной ЗПД. Две статьи и море творчества.
