Архив метки: пролез

Любите обзоры из серии «3 года спустя»?..

…Как люблю их я? Вообще, в литературных жанрах и публицистике, у меня не много фаворитов. Например, я крайне редко читаю обзоры, особенно после премьеры/релиза. Там два варианта, либо все херня, либо понравилось так, что второй куплю. При том, что и те, и другие могут быть проплачены для пиару.

infosek_2В журналистике мне очень нравятся материалы из серии «N лет спустя», особенно, когда автор рассказывает о своих ожиданиях и их реализации. Именно поэтому, всякие модные штуки, должны пройти проверку временем. Вот, был BYOD, и где он сейчас? Можно с чистой совестью сказать, что проверка временем не пройдена.

А тут и мне представился шанс, поучаствовать в таком формате. 21 сентября, в среду, с 15-05 в зале K1 на Infosec – буду делиться своими горестями и радостями по экономической оценке. Три года назад, на круглом столе, я представлял нашу методику, которая добралась до релиза.

Три года, мы были в свободном плавании. За это время улучшилась концепция и методика, реализованы проекты, вскрылись концептуальные проблемы. Понятно, за 20 минут не сделаешь даже введения в проблематику, а о чем-то и не буду рассказывать, ибо коммерческая тайна. :) А то три года назад, наши гуру раскритиковали все и вся, т.к. не было показано главной формулы. :)

Так, что приглашаю всех желающих, окунуться в мир цифр рисков информационной безопасности.

P.S. А в конце неделе, 23 сентября, буду на BISS-саммите. Туда я все-таки пролез, как участник кибербаталий. Буду заниматься дегустацией еды :)

biss

Кибербитва

Я думаю, многие слышали, что Сколково с Infowatch организовали Кибербитву. По сути это плей-офф между экспертами по безопасности, где устраивается махач на заданную тему. В начале четвертьфинал, потом полуфинал. И так до заветного кубка.

980_320

Что особенно интересно, победителя выбирают слушатели. Причем по каждому вопросу. В конце очки подсчитываются, и выявляется победитель.

Разумеется, я не мог пройти мимо этого дела, и с помощью взяток и шантажа пролез в турнирную сетку. Хотя с речью у меня все еще хуже, чем с письмом, но планирую использовать грязные трюки в виде котиков и обнаженных женщин. Ближайшая битва будет в следующую среду – 6 июля, в 11 часов. 6 раундов с часовым лимитом.

Тема нам досталась – внутренние угрозы.  Тема весьма благодатная, мы уже прошли взвешивание с моим коллегой из Avanpost, где чуть не подрались. Не сошлись во всех представленных вопросах:

  1. Какой будет динамика роста внутренних угроз в ближайшее время?
  2. Что сдерживает рост компетенций в ИБ?
  3. Как выглядит миф о затратах на безопасность? ИБ — это дорого или доступно?
  4. Как следует оценивать эффективность ИБ в современных условиях?
  5. Почему традиционные оценки ИБ не всегда подтверждают свою эффективность?
  6. Способна ли автоматизация ИБ противостоять росту угроз?

В общем, призываю всех уделить час времени в следующую среду и посмотреть, что получится. Думаю, это самый перспективный формат для обсуждения. А то вокруг лишь джинса и проплаченные маркетинговые спикеры, которые оккупируют микрофон, заставляя их слушать. Возможно, это в скором времени это будет основной формат на конференциях и выставках.

Дима прорывается на BISA Summit

Дима прорывается на BISA Summit

Разумеется, предлагаю голосовать за себя любимого. Глядишь, меня на BISA Summit в фойе постоять пустят  :)

P.S. Прошлый раунд можно посмотреть по ссылке 

CISO FORUM 2016 – как меня выгнали, но дали постоять на галерке

Я не знаю, на сколько частей растянется этот отчет (и будет ли его кто читать). В этот раз не хочется разбирать разнообразные доклады, что-то подробно описывать. Но я просто не могу молчать о ряде вещей, которые все на форуме посчитали обычными – тренды, устоявшиеся мнения и т.п. Это какой-то лютый пиздец. Но начнем с позитива.

ciso_forum_2016

Же не манж па сис жур

Билета на конференцию у меня не было. После того, как я заплатил за SOC- forum и огреб «впечатлений», купить билет было не вариантом (да, и с физиками они не работают, насколько я понял). Я честно пытался получить аккредитацию как СМИ. Но за три недели на мое письмо так и не ответили. А т.к. светлое будущее платной ибешной журналистики слишком туманное, потому что далекое, было принято решение прорываться.

За годы я побывал на нескольких десятках конференций, партнерок, семинаров. Я знаю, как они функционируют. Вообще, это прекрасные мероприятия, где целый день можно переждать холод и что-нибудь перекусить. Если вам надо дотянуть до зарплаты, ходите на конференции – реальная экономия. Желудок мой был пуст, а я – уверен в своих силах. У меня было два основных плана и несколько вспомогательных.

Надо сказать, что на конференциях два вида защиты – обычная и усиленная. На обычную конференцию (партнерку) можно пройти просто так, зарегистрировавшись прямо на месте по визитке. Я так ходил в Редисон на Check- Point.

Усиленная – появляется на платных мероприятиях, где добавляется охранник, который проверяет бейджики. Т.е. главная задача — этот самый бейджик получить.

Прорыв

Основная моя надежда была на угадывание номера билета. Бейджик может распечатать красивая девушка за столом регистрации. А может бездушная железка. Разумеется, я пошел к автомату.

Стрикер по ИБ: забежать и сфоткаться

Стрикер по ИБ: забежать и сфоткаться

Тут очень важен расчет времени. Главное попасть в момент, когда приходит основанная масса людей на регистрацию. Т.к. обычно рабочий день начинается в 9, то надо быть максимум в 9-10. Альтернативным вариантом было использование визитки (это когда начинаешь грузить девушку в момент оформления другого человека, что у тебя билет не распечатывается, но он у тебя есть, и как мне быть?) Велика вероятность, что вам просто распечатают бейджик с ваших слов.

В итоге, беджик я получил. Но меня почти сразу поймали :( Кажется, меня кто-то сдал. Наверное не стоило вести трансляцию всего мероприятия. А некоторые прямо жаждали увидеть, как меня заловят (да, Алексей?).

За постом охраны меня взяла под локоток Екатерина Митина (продюсер конференции) и плечистый охранник…

Удачное совпадение

Знаете, есть такой принцип – если очень чего-то хотеть, то это обязательно произойдет. Вопрос лишь во времени. Я очень хотел попасть на CISO Forum и, в итоге, попал. Остаться на ней мне позволил слепой случай – Костя Коротнев из Эльдорадо по рабочим причинам не успевал провести свой круглый стол. Чтобы не мыть тарелки, я с радостью согласился его подменить.

Дорога в ад

Перед тем, как погрузиться в настоящий ужас, от которого у меня скрутило все внутренности, и животный страх подталкивал меня быстрее уносить оттуда ноги, бежать и прятаться, я добавлю немного по делу.

horror

Мой круглый стол прошел вполне весело. Мы сразу поговорили о препятствиях к переходу в облака со стороны нормативки, еще раз вспомнили проблемы, которые могут возникнуть со стороны применения специальных средств защиты, обсудили новые угрозы в облаке и т.п.

Оставшуюся часть времени потратили на обсуждение, как быть, если руководство хочет в облака, но это влечет за собой риски. Конечно, стандартный аргумент (еще из BYOD), что это не так дешево, как кажется – не прокатывает (это уже вопрос других людей). Переносить какой-нибудь специфический прикладной софт — это делать еще один проект, теперь уже по миграции. Прямой выигрыш виден лишь в простых приложениях (почта, файлопомойка).

Но если приводить аргументы с точки зрения ИБ, то ахтунг открывается во всей красе. Можно поражаться лишь мужеству людей, работающих в парадигме: я (руководитель) решил идти в облака, ничего по безопасности делать не буду, а если что случится по части ИБ, то виноват будет безопасник, ему и отвечать.

Так какого хрена у тебя безопасники тогда делают, если ты их не слушаешь и денег не даешь? Это как пекинес для блондинки… Одни эмоции. Грусть и некая обреченность в глазах.

Ладно, об остальном в следующей части.

С официальной точкой зрения можно ознакомиться в многочисленных отчетах, которые в изобилии уже написаны и выложены.

Пролез: Как обманывают вендоры. Опыт глазами интегратора.

Пролез: Открытая безопасностьНедавно мы обсудили тему «Как обманывают вендоры. Опыт глазами интегратора». Опытные технологические продавцы помогли мне раскрыть следующие ситуации:

Продажа функций, реально не существующих в продукте.

Откаты — как они могут помочь вендору

Как создается статистика

Как делаются конкурентные сравнения

Предоставление отчетов стат. агентств по нужным годам и группам

Рассказы о несуществующих внедрениях

Помощь вендора

Искусственное старение продукта

Продажа продукта под видом ПО, но на самом деле — это подписка на услуги со 100% стоимости продления.

Пролез: Оценка эффективности проектов по информационной безопасности в компании.

Пролез: Открытая безопасностьВ этой программе мы поговорим с Дмитрием Дудко на тему Оценки эффективности проводимых проектов ИБ в компании.

Зачем нужна оценка эффективности реализуемых проектов ИБ в компании?

Как посчитать эффективность работы отдела ИБ в компании?

Как сформировать правильные KPI?

Почему не рассчитывают в деньгах эффект от внедрения СЗИ?

Примеры необходимости количественной оценки.

Как лучше проводить оценку? Своими силами или внешними аудиторами?

Какие отрасли могут опираться на риски при планировании своих векторов развития в ИБ?

Пролез: ЗПД — Защита персональных данных, ФЗ152

Пролез: Открытая безопасностьВ четвертом выпуске программы мы обсуждаем Защиту персональных данных (ЗПД).
Темы, поднятые в подкасте:
1) История ЗПД в мире (Европа и США).
2) История ЗПД в России.
3) Что мы имеем сегодня в России?
4) Какие санкции за невыполнение требований ФЗ-152?
5) Опыт прохождения проверок Роскомнадзором.
6) Подводные камни в исполнении Российского законодательства в части ЗПД.
7) Какие грядут поправки и изменения?

На эти и другие вопросы мне помогли найти ответы старший аналитик компании Айти Кириллов Павел и руководитель проектов по защите информации компании Айти Дудко Дмитрий.

Пролез: НПС — Национальная платежная система

Пролез: Открытая безопасностьПодкаст посвящен информационной безопасности и защите информации. Обсуждаем интересные новости, события и даем рекомендации молодым специалистам.

Часть 2. НПС — что за зверь такой и как его защищать? На эти и другие вопросы мы попытались найти ответы вместе с Дмитрием Дудко, экспертом в области защиты персональных данных и Павлом Кирилловым, ведущим аналитиком компании Айти.