Архив метки: Solar Security

Кибербитва — полуфинал

Продолжаю поход к бесплатной столовой на BISA Summit в этом году. Первый раз выиграл на тоненького. Всегда тяжело быть первым.

Сейчас будет все по другому. И тема горячая (кого же можно назвать ИБ вендором, и как они вообще живут), и соперники опытные. С легкой руки организаторов все свелось к противостоянию: Солар или Дмитрий Дудко?! :)

Конечно, немного лестно. Можно привести много аллегорий подобного противостояния: одиночка против безликой страшной силы, или Леонид против персов. Но, надеюсь, у нас будет все менее фатально.

Биться будем в следующих раундах:

Все чаще ИБ-вендор реализует проекты самостоятельно. В чем плюсы и минусы смещения в сторону внедрения собственными силами?
В поведении ИБ-вендора все чаще прослеживается желание усидеть на нескольких стульях, увеличивая перечень предлагаемых им продуктов. В чем причины подобных решений? Какие плюсы и минусы от количества «стульев», на которых им хочется удержаться?
Каким образом расширение продуктовой линейки ИБ-вендора влияет на качество продуктов, сервисов и поддержки?
Каким образом объем рынка ИБ зависит от качества предлагаемых продуктов?
Как выглядит нефункциональная конкуренция между вендорами?

Регистрация на мероприятие

Приходите поддержать нас завтра в 11-00.

Быть и казаться

1 комментарий

Лето, что-то совсем некогда писать. Да и к кибербэтлу надо готовиться… Кстати, не пропустите, в эту среду буду резать правду-матку про ИБ-вендоров.

Как-то много чего хочется рассказать, но всегда в рамках. Одно просят не рассказывать хорошие люди, другое — такая чернуха, так плохо, что даже хорошо. Не про сатанистов же вам рассказывать.

Увидел я тут как-то в фбешечке массовую миграцию специалистов от одного вендора к другому (прямому конкуренту). Это были не технические специалисты, у которых особая ситуация, а те люди, которые общаются с клиентами и рынком. Ну, мигрируют и мигрируют, делов-то.

А потом подумал, что же они будут людям в глаза говорить? Мол, раньше я вам в глаза врал. Но теперь зуб даю, продукт хороший! Ух, я бы на это посмотрел. На этом фоне решил спросить у людей продаж, пресейла и общения с заказчиками, что они на этот счет думают.

И открылась мне правда. Оказывается, рынок у нас настолько честный, что каждый, приходя к заказчику, говорит исключительно о своих плюсах. Ситуаций, когда просят сравнения с конкурентами, не бывает, и вообще, переходить к прямым конкурентам не западло.

Разумеется, есть ряд ситуаций, когда переходить не западло. Например, вы работали в лидере рынка и пошли делать собственный продукт с блэк-джеком и шлюхами. Или наоборот: вы перешли к лидеру рынка за заслуги и личные качества (ну, или вашу компанию купили). Тут вопросов нет.

Но переход от лидера рынка в годовалый стартап, в котором все места уже поделены и который себя позиционирует перпендикулярно всему, что вы делали… Хотя, наверное, за деньги и не такое может быть.

На волне всего этого подумалось мне о вечной дихотомии: ~~добра и зла~~ быть и казаться. Надо сказать, что вполне вероятно, мы все живем в матрице, и все вокруг нам лишь кажется. Индивиду много, что о себе кажется – умный, красивый, богатый, гений и т.п. Чем больше подтверждений этого индивид получает, тем больше ему кажется. Я думаю, все видели мам и бабушек, которые говорили своим чадам – ты такой умный, красивый и далее по списку. Большинство привыкают, становятся отличниками в школе, заканчивают университеты с золотой медалью, и… пшик. Выбиваются в люди единицы. Остальные становятся инфантильными непризнанными «гениями».

Аналогично и у нас в поибэ. Многим кажется, что они эксперты. А на самом деле диванные безопасники с большим количеством времени. Многие думают, что они ИБ-вендора. А нас cамом деле 20 лет клепают средства защиты, внедрив у себя SDL (цикл безопасной разработки) лишь в 2016 году, да и то по указке регулятора.

Или другой пример: компания Solar выложила в открытый доступ свой сейл-гад. Понятно, что это я виноват, что он недработан. Т.е. кому-то казалось, что он сделал хорошо, а потом обиделся, когда это оказалось не так.

Какой интересный продукт. С одной стороны, умеет то, что в него не заложено. А с другой — имеет коннекторы ко всем системам на земле, даже тем, что еще не написаны.

И самое замечательное в этом, что выхода из этого замкнутого круга нет. Подтверждение бытия может быть лишь постфактум. То самое давление результата над процессом. Результат имеет четкие координаты на временной шкале. И чем далее вы от них удаляетесь, тем больше вам кажется.

Всего вам доброго.

Темы битвы: почему не растут угрозы?

2 комментария

Эх, давно не писал. Сильно скучал я по этому делу. Как вы знаете, меня рекрутировали за корзину печенья и банку варенья участвовать в Кибербитве. Неожиданно, но я даже победил. Говорят, все любят андердогов и сравнивали меня с Исландией :)

На мероприятии было довольно интересно, но были и свои минусы:

Крайне мало времени на вопрос, что является следствием большого количества вопросов, достаточно 3-4.
Олег, не стоит менять тему за день до битвы. Уж не знаю, откуда там взялись роботы.
Общее голосование вместо раундового.
Крайне неудобно смотреть, нет чатика, не работает капча (!!) в форме вопросов.

Т.к. времени было немного, а позиция моя по многим вопросам была крайне неортодоксальной, я решил полнее раскрыть тему. И сегодня про угрозы.

Кстати, кто пропустил — полная версия:

Тема 1. Какой будет динамика роста внутренних угроз в ближайшее время?

Динамика будет нулевая. За всю новейшую историю информационной безопасности мы создали огромный и страшный маркетинговый пузырь угроз. Чем страшнее, тем проще нам было выбивать бюджеты (внутренние и внешние) и вообще обосновывать свою нужность (хотя с этим у нас до сих пор серьезные проблемы). Но уже пару лет это не работает.

По сути, роста внутренних угроз не происходит. Если взять классическую формулу риска, то в ней вообще нет угроз (и тем более уязвимостей), которыми мы так привыкли пугать директоров в СМИ и на конференциях. Классическая формула из ISO:

Величина риска = вероятность события * размер ущерба

где

Вероятность события = вероятность угрозы * величина уязвимости

сделав подстановку, получаем

Величина риска = вероятность угрозы *величина уязвимости* размер ущерба

Классическая схема рисков ИБ

Как видим, угрозы и уязвимости — это переменные второго порядка. Это такие переменные, которые могут быть неважны, если известна величина первого порядка. Например, вероятность попасть в авиакатастрофу составляет 0.00001% (вероятность события). И уже не важно, вследствие каких угроз или уязвимостей это произошло – теракты, ошибки и т.п. Все отрасли работают с вероятностью события, мы же зарываемся все глубже и глубже. Например, страховщики уже давно все посчитали и создали даже свой раздел математики (актуарная математика).

При этом под «вероятностью угрозы» здесь понимается likelihood (а не классическое probability), что тоже переводится как вероятность, но характеризуется частотой реализации угрозы за определенный период времени. Крайне не надежная величина.

Величина уязвимости – вероятность того, что угроза будет реализована с помощью данной конкретной уязвимости. Т.е. вполне может быть, что супер-пупер критичная уязвимость может никогда не реализоваться.

Неутешительный краткий вывод можно сделать следующий. Мы сами сильно преувеличиваем значение уязвимостей (как причину реализации конкретных угроз). На этом преувеличении мы пытаемся породить множество страхов в своих умах, и умах бюджетопридержащих. И это подвело нас к пропасти, к которой мы делаем гигантские шаги вперед.

Говоря «нас», я говорю о группе под самоназванием «поИБэ». Это вендоры, интеграторы, заказчики, множество специалистов разных направлений, к коей я тоже себя отношу. Осознать и открыто выразить свою принадлежность к некоей группе, неизбежно отрекаясь при этом от принадлежности ко многим другим группам, — не шутка. Мы (современные люди) принимаем такие решения ежеминутно.

Например, можно заметить, что в основе этих решений часто лежат не логические умозаключения, а эмоции. «Мы животные» звучит обидно. Многие готовы долго и яростно доказывать, что это не так, что люди не животные. «Мы обезьяны» — совсем уж вызывающее заявление, от которого попахивает нигилизмом и общественным вызовом. При этом фразы «мы млекопитающие», «мы позвоночные», «мы многоклеточные» воспринимаются спокойно.

Между тем с биологической точки зрения все эти утверждения одинаково верны. Вот несколько разных «мы», узаконенных современной биологической наукой. Мы многоклеточные. Мы эукариоты. Мы жгутиковые. Мы животные. Мы вторичноротые. Мы хордовые. Мы позвоночные. Мы челюстноротые. Мы четвероногие. Мы амниоты. Мы синапсиды. Мы млекопитающие. Мы плацентарные. Мы приматы. Мы обезьяны (или, что то же самое, антропоиды). Мы узконосые обезьяны. Мы человекообразные обезьяны, или гоминоиды (по-английски apes). Мы большие человекообразные обезьяны (great apes). Мы большие африканские человекообразные обезьяны (african great apes). Наконец, мы люди.

В наследство от наших предков и родичей нам досталось три основные доминанты поведения (мотивов) (в порядке убывания):

еда
размножение
доминантность

(кстати, если вы адепт Пирамиды Маслоу – вам надо пересмотреть свои взгляды).

И именно это мы упустили, когда кинулись надувать наш пузырь страха. А теперь не понимаем, почему нас задвигают подальше. Посмотрим, как в связи с этим меняется наша картина ИБ рисков на реальные риски.

Классическая схема риска

Упс. Оказалось, что субъект, воздействуя через свои доминанты на объект (защищаемую информацию, активы, любую ценность), уже имеет полное множество (или пространство) причин, которое может реализовать огромным числом способов. И наши уязвимости поИБэ — всего лишь капля в море (переменная второго порядка). У нас ведь как? Придумают новую технологию — и давай в ней уязвимости новые перечислять. По сути, этот взбалтывание крайне незначительных (бесконечномалых) факторов в глобальной сфере рисков (помните про авиакатастрофы?).

Через данные доминанты можно выразить любое поведение человека от альтруизма до похуизма. И это мы еще не затронули наш великий разум (большие лобные доли), который еще меньше оставляет места для наших угроз.

Например, на данной битве было два мотивированных человека: Олег с точки зрения доминирования и Дима с мотивом еды (победителя покормят на BISA Summit). Понятно, что при прочих равных Олег не будет тыкать Диме ручкой в глаз. В то время как Диме отступать некуда.

Например, в нашей отрасли сейчас кризис. Увольнения, задержки зарплаты и т.п. Из наших вендоров и интеграторов уже вынесли все более или менее ценное. От клиентов до листов рассылки для спама. Голодный человек обойдет наши CPB и глазом не моргнет. Тогда зачем мы?

В поИБэ мы ставим способ реализации во главу угла. Все наши ЧМУ пестрят действиями (например, Кража носителей информации или Установка ПО, не связанного с исполнением служебных обязанностей), а субъектам уделяем 3 абзаца в модели нарушителей. Мы ставим DLP и не знаем, что ответить на вопрос заказчика – а от фотографирования экрана защищает?

Не даром ни одно внедрение СЗИ не может обойтись без оргмер. Зачем ломать сложный пароль, если можно подсмотреть?

Вывод напрашивается неутешительный. В маркетинговой погоне за страхом (не только со стороны вендоров, но и внутри заказчиков), мы так давили на эти страхи, что нас раскусили и больше не боятся (читай — дают все меньше денег, т.к. не удается доказать бизнесу значимость этих бесконечномалых величин. Надо отпрыгивать от пропасти.

P.S. Уже стал известен мой оппонент по полуфиналу — Эльман Бейбутов из Solar. Мой прогноз: мне надерут задницу. Ведь в Solar работает больше 100 человек. Но я буду биться.

Хотите это видеть? Поставьте напоминалку.

Вендоры: Скрывая ярость

Добавить комментарий

Что-то в последнее время всех стала волновать публичность. То на PHD два часа пытались обсудить, нужна ли публичность вообще. То теперь Рустэм поднял тему, что вендору не с руки критиковать кого бы то ни было, ведь это может быть потенциальный клиент.

Текст под катом

Плохо быть вендором. Реально трудно стало писать критические посты, самоцензура душит.

Только начнёшь гнать на сотового оператора, а потом подумаешь — наш же клиент, он нам денег платит гораздо больше, чем со счёта списывает, а вдруг обидится? Наедешь на банк — ну вот же платёжка за наш софт, ну, простоял за карточкой час, не рассыпался же. Госуслуги два раза начислили — да вот только большой проект с ними забюджетировали. Бензин на заправке недолили — да нам сейчас с этими нефтяниками техподдержку продлевать. Электрички подорожали — а нам сейчас проект расширять. Самолёт задержался… Плитку кладут… Почта задержала…
ну и так далее.

На клиентов вообще грех наезжать. Но и на интеграторов наедешь ненароком — так они, кормильцы, денег нам носят, и бегом извиняться. На чиновников — да они же нам импортозамещение куют. На блогеров — они ж ИБ в массы несут, рынок расширяют.

Рустэм прав: пишущий-выступающий человек однозначно ассоциируется со своим работодателем, как бы Алексей Лукацкий не пытался всех убедить в обратном. Да, каждый имеет право на свое личное мнение, которое может не совпадать с … , но мы не живем в мире вселенской справедливости. Поэтому все, что бы вы не сказали, будет распространяться на все сферы вашей деятельности.

А вот вопрос самоцензуры крайне спорный (конечно, если там не одни матюки). Тут переплетаются два вида отношений: вендор-заказчик и блогер-заказчик. Происходит это на уровне того, что блогер работает в вендоре, а заказчик поставляет услуги блогеру, одновременно покупая у вендора.

Ситуации «самоцензуры» надуманы и вредны для физического и психического здоровья. Если вы покупаете чьи-нибудь товары или услуги, делаете это регулярно и осознанно – продавец становится вам почти другом. Крайне сомнительно, что вы будете постоянно что-то покупать у неприятной вам компании, даже если это всемирно признанный лидер рынка. Одно из свойств дружбы – говорить неприятные вещи с целью помочь, а не разрушить дружбу.

Женская дружба, мужская дружба

Например, меня как-то очень сильно кинул Мегафон – три недели без связи на основном номере по их вине, постоянные закрытия заявок без решения, и даже деньги не вернули. Поэтому во всех опросах, которые начинаются фразой «вы зарекомендовали себя как надежный клиент и т.п.», я режу им правду-матку. Но я не ухожу от них, т.к. это был пока единственный случай в 15летней дружбе.

Если не говорить о плохом, то оно так и будет длиться и длиться. Если раньше боялись идти против линии партии, теперь боятся невидимой руки рынка: это наш потенциальный клиент, не надо его обижать.

Уж я сильно сомневаюсь, что безопаники (ЦА Рустэма) сильно обидятся, что кто-то в их компании — криворукие дебилы. И, я уверен, многие об этом знают и сами негодуют.

И совсем странно сдерживать себя в ситуациях – «ух, написать бы! нельзя, контракт сорвется». Рынок на то и рынок, что работаешь с тем, кто работает с тобой. Предположим, совершенно негативная компания хочет купить ваш продукт. Но эта компания не нравится вам совершенно, и вы можете влиять на процесс продажи. Продадите? Крайне сомневаюсь.

Сколько известных сегодня европейских фирм гордится своим сотрудничеством с НСДАП? Вот и не будем спорить про «контракт сорвется».

Конечно, это не касается каких-то общепотребительских товаров. У нас такими могут быть, например, антивирусы. Но в любой более или менее проектной деятельности так и есть. И часто это могут исправить лишь крайне сумасшедшие деньги, как, например, переплачивают в нашем футболе легионерам. Я сам был несколько раз свидетелем, когда компании-исполнители отказывались от крупных договоров по причине неприязни. Это как если бы Solar захотел купить пару лицензий Infowatch.

К тому же, ярость имеет свойство накапливаться. Такое у нее свойство. Поэтому ей надо давать выход. Понятно, что ограничитель «сделка сорвется» очень плохой и приводит к стрессам. Представляете, вы целый год работаете с людьми, которые вас бесят, и не можете им об этом сказать. Да люди за стволы берутся от такого через пару недель, что уж говорить о переживании такого из года в год.

А ведь все начинается с простого. Если вы уже многолетние партнеры, то вам будет гораздо проще донести до друга его ошибки, сделать это не больно и, самое главное, предложить решения. Ведь вы знаете куда больше тех, кто не пользуется их услугами, и о вас знают больше и скорее прислушаются.

Как-то так.

CISO FORUM 2016 – И дамы, погасших пылающих гнезд, спалят кавалеров с тупых белых звезд

2 комментария

Я в несколько подходов принимался за вторую часть отчета. Я долго собирался с силами, чтобы рассказать о своих страхах и предчувствиях. Основная (негативная) часть была написана в пятницу. Пятница 13 — лучшее время для отчета. Но должна быть и капля позитива, ведь я верю в хорошее.

Текст далее не будет хронологически связным, скорее это будут определенные законченные сцены, иначе общая бессвязность моей речи совсем зашкалит.

ciso_forum_2016

Правильные SOC

Основным светлым пятном было выступление Феди Горловского. В отличие от «кошмаров Лукацкого» (лепить в выступление как можно больше рекламы), Федор не стал разводить рекламу в своем выступлении «CISO‐KIT или Меч самурая Хандзо». Хотя теперь он Директор по развитию в Security Vision (а я безработный блогер), а они, в свою очередь, были главным спонсором всей выставки. Растут ребята.

Ключевое, что сказал Федя, и чего я не услышал на SOC- forum: хватит говорить о технологиях. Технологии — это лишь один, при том самый низший уровень SOC.

Иерархия выглядит так (в порядке повышения значимости):

Люди.
Процессы.
Технологии.

Вот и весь SOC- forum крутился вокруг технологий… мда. Еще Федор интересно рассказывал про западные SOCи и отечественные, о той локализации, что присуща только нам. Можно сказать, что у нас образуются два отдельных направления в SOC: это подход Solar с его аутсорсингом и вытекающими от сюда проблемами и Security Vision, который старается нивелировать пробелы уровней процессов и людей с помощью технологий.

Фактически Solar заявляет, что у него лучшие специалисты, а процессы и люди не важны (взяты на аутсорсинг). Security Vision идет снизу и выстраивает процессы сам, адаптируясь под предприятие. Люди должны повышать свой скилл в боевых условиях на живом материале. Конечно, не идеальная ситуация, но гораздо лучше неизвестности аутсорсинга.

Ну, и заценил функционал Security Vision, который, говорят, оценил В.В. Путин. Приобщился к великому, так сказать.

Луч света в темном царстве

Чтобы закончить с хорошим, хотел бы отдать должное организации. Конечно, были у них косяки – пару раз перепутали залы и спикеров, колонки немного фонили, переключатели не работали. Но программка – мое почтение. На моей памяти они единственные, кто догадался сделать ее формата А5. На полиграфию денег не пожалели.

Ну, и развлечения были неплохи. Особенно алко-казино:)

ISACA — российские туристы переключаются с Крыма на Сочи

У ISACA было аж два выступления (мб и больше, я был 1 день). И оба оставили тягостное впечатление. С места в карьер – Андрей Дроздов (Вице‐президент Московского отделения ISACA) пересказывал какой-то западный отчет по угрозам. Потом вещал о том, какая ISACA крутая организация, и все это съело 80% пленарного заседания.

Иероним Босх, Семь смертных грехов

Я, честно сказать, был в шоке. Никогда не думал, что на таком уровне можно так явно гнать джинсу. Андрей заполнил собой всю пленарку, оставив остальным по 2 минуты на реплику. Не знаю, как там в высшем свете, а на Нижегородской конференции по ЗПД в 2008 году за такое пара лиц были биты. Завершилось все фееричной новостью, что доступны учебники ISACA со скидкой для студентов. Хотя какие студенты на платной конференции для директоров по ИБ? Куда смотрел Алексей Лукацкий, он вроде был модератором…

В конце дня выступал Фарит Музипов (председатель правления, НП «Партнерство специалистов информационной безопасности»). Фарит, в целом, интересно рассказал о своем опыте сертификации CISA, CISM и CISSP. Рассказ об этом занял минут 5. Потом началась опять джинса – как хороши западные сертификации, как много западных друзей можно получить и т.п. У меня сложилось ощущение, что московскому отделению ISACA надо срочно заполнить аудитории на курсах по подготовке к этим самым сертификациям.

Я задал Фариту аж четыре вопроса:

Насколько применимы западные стандарты и подходы к отечественной специфике? Как именно вы применяете их в работе? Особенно учитывая, что CISA содержит 2,5 раздела (из 8) по западной (чуждой нам) нормативке?
Вы сказали, что данные сертификации являются экспертными, но вместе с тем вы также сказали, что они носят общий характер. Верно ли, что единственным отличием CISA специалиста от не-CISA – это знание английского языка?
Как вы относитесь к тому факту, что данные сертификации носят общеобразовательный смысл, не привязанный ни к какой конкретике, в отличие от CCIE Security или Lead Auditor ISO 27000? Что они могут быть просто задамплены и не отражают должного уровня специалиста?
Как лично вы применяете знания из международных сертификаций?

Фарит высказал свое мнение, и тут опять появился Андрей Дроздов и начал рассказывать, как они готовят к сдаче сертификации…

И это был словно третий круг ада – чревоугодие. Т.е. какие-то люди собрались, придумали свою сертификацию и за деньги обучают своей методике. Так мало того — вы каждый год должны покупать книжки, чтобы остаться в кругу Элиты. Я уже рассказывал про одного CISA. На моей памяти лишь несколько человек были достойными специалистами. Один из них Андрей Янкин, который в большей степени получил корочку для защиты конкурсов. В его квалификации и так никто никогда не сомневался.

Так началось наше снисхождение…

Безопасники бывшими не бывают

В этот день много говорили про бывших безопасников. В начале Александр Баранов (секция «ОДИН НА ОДИН». Генерал Баранов. Жизнь после 8‐го Центра ФСБ) рассказывал, как устроиться на гражданке после ФСБ. Не шибко помню все выступление, лишь несколько цитат:

Александр Баранов: служба продолжается и на гражданке.

Александр Баранов: нормативка не совсем отражает реалии.

Александр Баранов: регуляторы заточены на защиту гостайны, а ее 2-3%. Требования слишком жесткие.

Александр Баранов: выбить деньги на иб сложно, безопасник плохой продавец. Надо учиться выбивать.

Александр Баранов: iso, стандарты и методички рассказывают банальности, но не дают никакой конкретики.

А затем была целая секция «Жизнь после ИБ», от которой я просто выпал в осадок. Там вещали девушка и молодой человек. Оба занимались ИБ, но потом ушли из профессии.

Рене Магритт, Сын человеческий

Крайне покоробили их причины прихода в ИБ (я уже не помню, кто и что конкретно сказал, главное — общий посыл, оба спикера были похожи в своих предпосылках), так это я записал с места событий: в ИБ попадают, потому что деньги платят, или была перспектива в начале обучения.

Что сказать? Пиздец. Лично я остаюсь при мнении, что безопасник (пусть и на гражданке) – это ум, честь и совесть компании. Это верные, в том числе своему пути, люди. По мне корыстный безопасник – это оксюморон. Помню, мне Руслан Рахметов (сейчас директор в Security Vision), рассказывал о причинах, почему он стал делать средства защиты. В топ 10 причин не было ни слова о деньгах, одни чистые, светлые идеи.

И это наш четвертый круг ада – жадность. Среди нас появились корыстные люди, готовые переметнуться к буржуинам: туда, где вкусно кормят и мягко стелют.

Дамы пылающих гнезд

Алексей Волков решил провести секцию «ИБ «под каблуком. Женщина в профессии CISO». Вообще надо сказать, что все выступающие независимые эксперты (а независимы они видимо потому, что их компании не были спонсорами форума), как-то странно выбрали себе темы. Видимо, решили постебать всех… такие темы надо на автопати обсуждать.

Алексей пригласил 5 тигриц и смело вошел в их клетку. Хорошо, что вышел живым. Затролили по самое не балуйся.

Вообще странно, что на нашем рынке женщина воспринимается как что-то такое неведомое и экзотическое. Типа безопасность для суровых мужиков, которые пьют, не закусывая, и ругаются матом. Как же женщина пить-то будет? Помню, в 2006 году, когда я учился по ISO 27000 в АИСе, курс читала девушка из Джетов (недавно ушла оттуда). Она готовилась стать сертифицированным аудитором и начитывала для этого часы. И надо сказать, отлично читала. Беспочвенно критикуемый сейчас цикл Деминга был понят мной во всех нюансах и подробностях.

Скажем нет сексизму в ИБ! Можно сказать, это был второй круг – похоть.

Сизифы

Про отважных людей, живущих в парадигме: «руководству плевать на иб, если оно решило идти в облака. А если риски, связанные с этим, реализуются, виноват будет безопасник. Ему и отвечать.» Читайте в первой части.

И это был пятый круг – гнев и уныние.

Иероним Босх, Восхождение в Эмпирей

Я не знаю, может быть, там было что-то прекрасное на второй день. Хотя сильно сомневаюсь… Забавно было про китайский банкомат. Или как Solar сказал: «мы будем рады, если на торрент-трекерах будут лежать исходники наших продуктов».

Но все это хорошая мина при плохой игре. Первый день CISO- forum был… душным. И дело не в работе кондиционера, с ним все было нормально. Дело в давлении. Это как с двоемыслием в Оруэлла. Океания всегда воевала с Остазией. Если вы читали классику кибер-панка, то вы должны понять то ощущение безнадежности, что за тебя уже все решили. Или вспомните Горец 3 с Ламбертом. Вот корпорации – они всем рулят, а вот модная сертификация — ее надо получить, иначе к баланде не допустят. И ты бежишь как белка в колесе за целями, поставленными другими. Хотя добро — вот оно. Ты только что свернул от него в другую сторону…

Были там и другие круги… но я не хочу об этом писать.

Всего вам доброго.

У Камина с Рустемом Хайретдиновым

Добавить комментарий

Сегодня решил посидеть у камина с Рустемом Хайретдиновым и понекропостить его заметку аж от 1 марта. Вы спросите: Дима, какого хрена? Что за рандомный набор тем? А я отвечу: есть у меня блокнотик, куда я записываю идеи для своего потока сознания, и, если нет ничего насущного, подглядываю туда. Сегодня как раз ничего насущного. Заметьте, никакого тайм-менеджмента.

fireplace_main

Так как это запись на Фейсбуке, приведу ее полностью:

Помня, что после слов «никого не хотел обидеть» можно обижать кого угодно, вброшу, пожалуй.

Так вот, никого в действительности не хочу обидеть, но дописал в требования к вакансии к «статьи в профильных и бизнес-изданиях — плюс» фразу «собственный блог — минус». Раньше я думал, что популярный блог — это плюс для работодателя: человек активно делится идеями, имеет устойчивую аудиторию, которой будет доносить наши ценности. Но несколько раз столкнулся с тем, что блогер — отдельное состояние души, блог требует постоянного внимания, регулярных публикаций, подсчёта посещений и т.п. Блогер зависит от блога, его аудитории, позитивных откликов, рейтинга и т.п. чуть ли не больше, чем от работодателя и конфликт между ценностями компании и ценности своей аудитории будут чаще решаться блогером в пользу последней. А работодателю это не надо.

Статьи в прессе создают доверенное имя, аудиторию и уважение, но не создают зависимости от аудитории. Что скажешь, [нет разрешения на обработку персональных данных ]?

*Речь здесь идет только о тех, для кого ведение блога — не часть профессии, то есть этот пост не про топ-менеджеров, консультантов и PR-специалистов, а про специалистов и средний менеджмент.

Рустем, да полноте вам. Блогеру не нужно делиться идеями и иметь устойчивую аудиторию для донесения ценностей. Если блог корпоративный — так там этим и так занимаются (см. блог любой компании). И никакого конфликта тут нет. Все зависит от целей человека.

Буквально недавно разговаривал с молодым блогером, который рассказывал мне, что «есть тусовка «старых блогеров», которая никого к себе не пускает и гоняет молодняк ссаными тряпками». Тут цели и тех и других понятны — главное застолбить местечко в кругу гуру и скопом скидывать всех остальных с вершины. Ну, а тех, кто пролез, придется терпеть. Но таких единицы.

Именно в тусовке важно внимание, рейтинг и отклики. Хотя какие уж в ИБ отклики? У Алексея Лукацкого в среднем 3 комментария на пост. А это не какой-то там блогер, титан! Что уж говорить про все остальных? Нет, отклики и рейтинги не так важны.

А все почему? Потому что люди блогом не зарабатывают денег (во всяком случае в ИБ). Даже косвенно. Вот, возьмем меня. Предположим, меня переклинило, я стал вести блог. И что в моей жизни изменилось? Как был бомжующим босяком, так и остался. Разве что теперь могу вам об этом рассказать :) (Где тот добродетельный меценат, готовый меня спонсировать? Совершу переворот в медиа-пространстве. Готов работать за еду.) Понятно, к корпоративным блогам это не относится. Но и души в них нет, так, пресс-релизы.

Блогер – это состояние души. Но какой может быть конфликт интересов между работником и компанией? Допустим, Рустем собеседует человека – он отличный специалист и человеческие качества у него хорошие. Но что изменится, если этот человек блогер? Понято, что ничего, так как его блог является следствием профессиональных и человеческих качеств. А не наоборот. Я, например, использую обсценную лексику. Понятно, что нам с работодателем будет сложно общаться, пытаясь не называть мудака мудаком. Мне ближе конкретика и точность высказывания, а кому-то дипломатические кружева. И то же самое будет в моем блоге.

Никто ведь не возражает против ведения личных блогов. А там и аудитория, и рейтинги, и отклики. У меня целый блог личной графомании (не этот). Хочешь – читай, не хочешь – не читай. Я от этого никак не изменился, это все во мне, это все я и есть. Именно поэтому со мной общаются или не общаются люди.

И так с каждым. Ну, будет человек вести блог под псевдонимом, кому лучше-то? Вот Андрей Прозоров – наглядный пример моего тезиса. Он разве потерял квалификацию от того, что в своем блоге писал когда-то про прямого конкурента? Я думаю, это даже плюс для Solar был.

Единственный вариант для конфликта – если в блоге поливают грязью родную компанию. Да, такое есть. Конфликт на лицо.

Так что блогеры тоже люди, как и графоманы :)

Всего вам доброго.

Итоги года и прогнозы на новый

Добавить комментарий

Итоги года и прогнозы на новый (уже в пути) В конец года принято подводить итоги, не будем нарушать традиции. Рабочие итоги подводить не буду, т.к. давно живу мерами финансового года. А финансовый год у меня с апреля по апрель. Но кто мешает подвести промежуточные? Никто. Надо же использовать все возможности для самовосхваления себя любимого. :)

В этом году закрыл внедрение самого большого SOC в Восточной Европе. Ух, это было не просто. Но доволен, об этом я буду рассказывать внукам.

Весь год вместе со всеми боролся с кризисом на рынке. Получилось где-то лучше, где-то хуже.

Сходил на несколько конференций. Тут все печально, за исключением пары светлых пятен. Вендорам видимо подрезали бюджет, и они хотят хапнуть рекламы на все деньги. В бесплатном формате на это можно посмотреть, за деньги – никогда.

Я, наконец, добрался делать собственный сайт. Попробовал быть блоггером, не пошло. В принципе формат меня устраивает – 1-2 поста в неделю, по часу на каждый. За это приходиться платить русским языком, но, думаю, вас это не сильно парит, иначе бы вы это не читали.

Я получил кучу подарков от друзей. И не смог выбрать самый лучший. У Кода Безопасности – самый богатый подгон, у C-Терры – самый уютный и ламповый, у Solar – самый оригинальный, у Intowatch – самый бодрящий. Спасибо всем, что не забываете.

Я вообще люблю Новый год. В это время все подводят итоги, которые крайне интересно читать. Когда выйдет топ от малваре, обязательно расскажу смешную историю с этим рейтингом. Также в это время все делают прогнозы. Из меня херовый прогнозист, все, что я говорю, чаще всего сбывается. Но это прогнозы на локальном масштабе. Это как разница между микроэкономикой и макроэкономикой. Последние ворочают какими-то бешеными показателями, геополитикой и глобальностью. Мне же понятен более простой уровень. Но это мало кому интересно, поэтому заделаю глобальный прогноз на рынок ИБ. 29 декабря 2016, посмотрим, что сбудется. :)

Прогноз на 2016 год по трендам информационной безопасности

2016 будет не простым годом. В 2016 году кризис нас еще будет терзать. Но уже будет виден свет в конце туннеля. Под конец года, если будет не перевыполнение квоты, то хотя бы серьезный задел на следующий.

Итоги года и прогнозы на новый (2016 не простой год)

Аутсорсинг ИБ не взлетит в следующем году. Сорри, парни.
Нас ждет 2 и более банкротств или серьезного обнищания среди крупных интеграторов и, как минимум, одного вендора.
Будет еще одна волна сокращений. А если из кризиса выберемся к середине года, то и еще одна.
ЗПД все также будет приносить денюжку. Стабильно, но не миллионы.
Прорывами года станут таргетированные атаки (уже пора), АСУ ТП (уже почти) и SOC (поехали к первой станции). От наименее сильного к наиболее.
Я сделаю еще десяток проектов, о которых буду рассказывать внукам.

Всего вам доброго

Аутсорсинг ИБ – будущее, которое может и не наступить

1 комментарий

Оказалось, что тема аутсорсинга волнует многих. Вставлю и я свои пять копеек. Если лень читать много букв, то краткий вывод – у аутсорсинга информационной безопасности будущего в ближайшей перспективе нет. А теперь много букв.

outsoursing2

Лирика для вхождения в тему

Как-то месяца два назад наткнулся в ленте новостей на статью «почему западные методики бизнеса не приживаются в России» или как-то так. Главный посыл: потому что у нас другой менталитет. А вот вывод был неправильный – «давайте менять менталитет».

Вся стратегия аутсорсинга (слово-то какое буржуинское :)) строится на том, что мы доверяем компании аутсорсеру. А если не доверяем, то сможем с нее взыскать убытки по договору через суд. Как вы понимаете, чтобы не допустить второго, наше доверие должно быть избирательным. Помочь ему в этом может множество факторов, но главный – репутация. И это первая проблема.

Вчера я упоминал круглый стол у Алексей Лукацкого на Infosec2013. Там Алексей впрямую заявил – «в России репутация стоит ноль». И я был шокирован, какое большое количество фанатов Алексея его поддержало. На BISA саммите в 2014 году я решил уточнить у Алексея, изменилось ли его мнение (не дословное цитирование):

— Нет. У нас в куче банков происходят утечки и кража денег, но все остается как есть.

— Хорошо. Но начнем с малого, есть же личная репутация, и…

— А и ее нет. Про меня такое говорят, устал читать.

Т.е. в нашей сфере известный блоггер, формирующий общественное мнение, не верит в репутацию и что она чего-то стоит. Вот от этого и оттолкнемся.

У аутсорсинга нет репутации, а следовательно доверия к нему

Я затрону всего три грани, почему аутсорсинг — это не про нас:

со стороны заказчика;
со стороны рынка;
и со стороны продаж.

Почему аутсорсинг ИБ не нужен заказчику?

Аутсорсинг, в принципе, выгодная вещь. Например, чтобы не держать собственную логистическую структуру, проще нанять специальную компанию. Качество сервиса растет, прямые расходы известны, бери и радуйся. Но уже на этапе, когда мы переходим к аутсорсингу ИТ, а тем более ИБ – это мало работает.

Во-первых, это очень дорого. Посмотрите материалы Solar с SOC форума, в каждой презентации у них есть слайд, где затраты на внедрение собственного SOC и аутсорсинг сходятся в районе 3 лет (парни без контактов – вы еще не оплатили прошлый счет за product placement :) ).

Окупаемость внедрения SOC

Т.е. дальше аутсорсинг будет только дороже. Вообще, нанять 1 специалиста на аутсорсинг на рынке стоит 3 ФОТ от стоимости собственного специалиста.

Это не говоря уже о том, что, если вы берете на аутсорсинг сложные системы (те же SOC), вы их банально не сможете амортизировать, а любой бухгалтер вам скажет, что амортизационные отчисления — один из главных источников модернизации. Для сложных систем срок амортизации варьируется от 3 до 7 лет. Т.е. и здесь не выгодно.

Но вернемся к сути. Если вы увлекаетесь теорией литературы, то должны знать или хотя бы слышали, что есть с десяток классических сюжетов и остальное лишь вариация на тему. Один из этих классических сюжетов – разорившийся богач (Гобсек, например), от которого отворачиваются все, остается лишь пара верных слуг. В нынешних реалиях – обычно водитель, охранник и экономка. Можно долго рассуждать, почему и как, но основная причина такова: потому что эти люди тесно общались с хозяином и стали частью жизни друг друга.

Я не хочу сказать, что безопасники – слуги. Но это наиболее близкая к владельцу структура, призванная его защищать от всего, от чего сможет. Если он не доверяет собственным безопасникам, то кому ж доверять? Скажем прямо, безопасники – это наиболее преданная и лояльная к организации структура. Да, преданность и лояльность можно купить. Ведь всегда в условиях войны можно было купить наемников. Но надо быть уверенным, что вас не кинут в трудную минуту. И тут опять всплывает вопрос репутации.

Рассмотрим разные ситуации взаимоотношений. Например, я. Любой человек, работающий со мной знает, что я человек слова, у меня есть несколько пунктиков на счет сроков и другие заморочки. Но если я с кем-то договорился, то слово назад не вертаю. Это отношения человек–человек.

В ситуации отношений человек-организация все примерно также. Правда, возрастает неопределенность в отношении организации.

А вот в ситуации организация-организация все катится в кромешный ад. По сути, эти отношения переворачиваются в организация (аутсорсер)-человек (заказчик), т.к. в Заказчике за привлечение аусорсера отвечает 1 человек, он принимает решение, контролирует и получает результат. Сами понимаете, что в данном случае заказчик будет в положении Алисы в стране чудес. Аутсорсер для него совсем не прозрачен (кто сомневается, можете как физическое лицо повзаимодействовать с любой государственной или коммерческой структурой по нетривиальному вопросу).

Кто эти люди? Кому они расскажут мои тайны? Уйдут ли через месяц работать к конкурентам? И еще тысяча вопросов. И, увы, все эти SLA, NDA, KPI и прочее не дают ответа. Закачаешься, какая информация внутри тусовки циркулирует.

Собственного сотрудника хотя бы обматерить можно. А Оператора Антона — иди еще найди, кто это.

Почему рынку не нужен аутсорсинг ИБ?

Тут уже не буду растекаться мыслью по древу. Чтобы аутсорсинг работал, должно быть множество компаний с определенной репутацией. Это на рынке телефонов могут быть пионеры, которые загребают все деньги. На рынке услуг все совсем иначе. Если нет альтернативы, то не понятно чего ожидать. Сейчас вот Solar продвигает аусорсинг SOCов. Молодцы. Но мне не с чем сравнить. Я не понимаю ни ценообразования, ни своих затрат, не могу оценить качество сервиса. Да, и банально могу не доверять другим организациям в таком тонком деле как управление инцидентами. Потому что глядя в окно, я вижу совсем иную картину. Почему Solar Security считает себя особенной? «Где ваши доказательства?» (с)

Поэтому понятно, почему Игорь Ляпунов (директор Solar) говорит: «Ответственность за информационную безопасность на заказчике, нельзя ее переложить на аутсорсера».

Главный посыл: как только на рынке все будут играть по одним правилам с единой этикой поведения, тогда поговорим. Говоря проще, как Solar начнет отчитываться о пропущенных инцидентах и штрафах, что они заплатили, тогда имеет смысл присмотреться.

Почему аутсорсинг ИБ не продается?

Я обещал рассказать историю. Выполняю.

Жила была компания, оказывающая услуги по аутсорсингу. Взялись за дело они шибко, и скоро стали отличными специалистами в узкой области. Но потом уперлись головой в потолок (или дно, как посмотреть). Текущие их заказчики уже не покрывали их расходов, т.к. аутсорсинг услуг масштабируется линейно. Надо было искать новых. Решила наша компания развивать партнерскую сеть, стали они везде ездить и всех агитировать «продавайте нас!». Но не получилось, никто их продавать не захотел. История еще не закончилась, посмотрим, что будет.

К чему это я? Все просто: в цепочке аутсорсер-заказчик нет места партнеру (интегратору). Получается, что партнер может заработать только на скидке, которую даст аусорсер, т.к. интеграторских работ нет. И зачем заказчику работать с партнером, если можно напрямую с аутсорсером – мб и дешевле выйдет. К тому же я не уверен, что аутсорсер банально не уведет моего клиента. Вот и люди из истории – ходят по рынку и пробуют что-то сделать.

outsoursing3

В этом случае аутсорсер рассчитывает в основном на свои продажные силы, а их всегда недостаточно. Ирония: аутсорсеру, чтобы продавать аутсорсинг, нужны продавцы на аутсорсинге в партнерах. :)

Куда не кинь, всюду клин. Аутсорсинг дорого, стремно и ненадежно. Печаль.

SOC-forum как квинтэссенция отечественных конференций

Добавить комментарий

Пойти на SOC- forum меня сподвиг исключительно конкурс от Андрея Прозорова на лучший отчет о форуме (если вдруг будет голосование, голосуйте). ;) Надо сказать, что на различных мероприятиях по ИБ я бывал достаточно. Например, 9 лет подряд ходил на Infosec (теперь уже нет).

Мероприятия эти делятся на три вида: общей направленности (тот же инфосек), вендорские, маркетинговые или партнерские. SOC- forum был вендорским мероприятием, маскирующимся под общую направленность. Почему вендорским? Потому что главным спонсором выступала компания Solar Security, она же держала большой стенд и читала львиную долю докладов. Только не подумайте ничего плохого (Денис, все норм).

SOC-forum в глазах слушателей

В общем, все это я примерно представлял, и пошел туда в новом качестве. В качестве блоггера. Что значит быть блоггером? Это значит надо везде ходить и все слушать. Я так и делал.

Начнем с организационной части – она отвратная. Насколько хорошо на BISA форумах, настолько плохо на SOC. Начнем с того, что заплатив деньги, я так и не смог ничего съесть. Обед вообще прошел мимо меня, кофе-машины работали через одну, добавку никто не приносил. Как вариант — пригласили слишком много людей, на это бы можно было закрыть глаза, если бы я пришел на халяву. Итого – жирный минус.

Раздаточный материал странный, блокнота не дали (было три листа для заметок в программке), зато дали 2 ручки. Все началось с опозданием на 10 минут, так и катилось до конца. Залы совсем не были приспособлены для подобного шоу, экраны как-то странно расположены – если сидеть по центру, то голову свернуть можно. И навязчивая реклама по центру. Я сам был на пленарке и секции Андрея Прозорова. У Алексей Лукацкого зал был в 3 раза меньше, и все не поместились. А так ничего – на троечку с минусом организовали.

По содержанию. Это тихий афиг. В демагогии есть такой контрприём: чтобы поймать демагога – надо за ним записывать. По идее им еще пользуются журналисты, а блоггер почти журналист. Вот я и записывал.

Главный вывод по конференции – все собрались, потусовали, но дельного ничего не сказали. Конференция прошла впустую. Человек неподготовленный не смог даже узнать, что такое SOC. Пленарку вообще начали со срача. Лукацкий и Маннаников на предложение утвердить определение SOC хором сказали «НЕТ!». Но зал в лице представителя Дипакадемии надавил (уважение). И все стали пытаться дать определение. Виталий Лютиков попытался перевести разговор в научно-техническую точку зрения (и в целом говорил интересные вещи про процессы в соках, но мало).

Самое дельное по определению «Что такое SOC?» сказал Иван Мелехин: как переведем Operation в SOC, так сразу сложится картинка — лиибо управление, либо мониторинг.

Настала первая очередь всех высказаться. Игорь Ляпунов начал сразу с рекламы Solar. Иван Мелехин спросил «а существуют ли SOC , или это новый маркетинговый ход»?

Лучшее место, чтобы слушать и задавать вопросы

А потом все свалилось вообще в Ад. Кстати, ни один заявленный вопрос пленарного заседания так и не получил ответа. Хотя голос разума иногда возобладал. Что удивительно – это было со стороны регуляторов, за что им респект. Все заспорили о… госрегулировании соков. Не буду описывать, лишь цитаты:

Ляпунов: госрегулирование – хорошо, разумное вдвойне хорошо.

Мананников: нужен пряник, необходимо сертифицировать SOC.

Лукацкий: Игорю (Ляпунову) необходимо регулирование, чтобы продавать свои услуги.

Лютиков: создайте свой стандарт по SOC, не ждите регуляторов.

Финогенов: Я еще не знаю, что такое SOC. В начале практика, затем регулирование.

Все слушают пленарное заседание

Следующим кругом ада стало обсуждение ответственности соков перед Заказчиками. Опять только цитаты:

Ляпунов: Ответственность за информационную безопасность на заказчике, нельзя ее переложить на аутсорсера.

Лютиков: включайте в договора солидарную ответственность.

Лукацкий: у нас и за ЗПД никто ответственности не несет, у нас не защита персданных, а защита о регляторов.

И поговорили немного про банки.

Сычев: Отслеживает ли DLP унесенную базу дропперов? А надо.

Курило: Инциденты в банке могут не возникать годами. SOC – это армия в постоянной боеготовности.

По итогу пленарное заседание потерпело фейл. Сокрушительный. А надо было изменить всего лишь малость, уменьшить количество экспертов. Я бы с удовольствием послушал, например, регуляторов – Виталия Лютикова (ФСТЭК) и Дмитрия Финогенова (ФСБ). Крайне разумный подход к проблеме. Я отдельно послушал бы критику Лукацкого и Мананникова. Отдельно – представителей вендоров. Но всех вместе – это фейл «клуба любителей SOC» и Авангарда.

Затем начались секции…

Я был на «Тематическое заседание 1 «Опыт построения и эксплуатации SOC». Сам я сделал чуть-чуть SOCов, поэтому было интересно услышать опыт коллег. Тут не буду подробно описывать – презентации можно посмотреть в интернете, напишу лишь свои записи к каждому из выступающих. Это те вопросы, которые у меня возникли к ним, и которые я старался задать (два раза меня прокатили, хотя уже держал микрофон в руках). Кстати, всю секцию я один практически вопросы и задавал – блоггер, что с меня возьмешь?

Top3 блоггер на секции по опыту построения SOC

Опыт построения и эксплуатации центра мониторинга ИБ в ОАО «РЖД»

Александр Глухов, заместитель начальника Департамента безопасности ОАО «РЖД»

Рассказывали, как ЦБИ внедрило SOC в РЖД.

Агентская технология? Сертифицирован ли агент? НДВ? Является ли агент угрозой и точкой отказа? Какие контроли используются? Все теперь делают геопривязку. РЖД еще не подключено с СОПКЕ.

Вопрос про агент задал разработчикам. Получил ответ, что 1 версия была сертифицирована, сейчас 3, и когда-нибудь ее сертифицируют. Получил интересное мнение, что если ЦБИ является сертифицирующей лабораторией, то софт пишет без НДВ.

<слухи mode on>

Уже в перерыве конкуренты открыто говорили, что решение у ЦБИ не работает.

<слухи mode off>

Опыт построения и эксплуатации коммерческого SOC

Владимир Дрюков, руководитель департамента JSOC Solar Security

Время на остановку атаки (с) – оно есть?

Готовы ли вы нести солидарную ответственность? Этот вопрос так и не дали задать :(

Технологии и опыт реализации распределенного SOC

Роман Назаров, начальник отдела систем управления рисками ЗАО НИП «Информзащита»

Информзащита тоже внедрила SOC в РЖД… Так и не понял, как они сферы влияния с ЦБИ попилили.

Сделали несколько территориально распределенных центров обработки инцидентов. Единой мастер ноды и корреляции нет. Разделено по инцидентам.

Опыт построения и эксплуатации центра мониторинга компьютерных атак и управления инцидентами

Алексей Васильев, руководитель центра мониторинга, ЗАО «Перспективный Мониторинг»

Была и дочка Инфотекса. Нишевой продукт для сетей VipNet.

Могут ли использоваться другие IPS? В какие SIEM/ SOC других вендоров вы передаете информацию? Инцидент, описываемый по ГОСТу? Вы заменяете собой антивирус? Много слов «будет» и «будущего времени»

Цитата: SIEM из коробки.

SOC: от идеи к результату

Андрей Янкин, руководитель отдела консалтинга Центра информационной безопасности компании «Инфосистемы Джет»

Хороший теоритический доклад.

Цитата: 46 функций SOC, но еще никто их не реализовал.

Эффективный SOC для критической инфраструктуры. Знания и инструменты

Евгений Генгринович, советник Генерального Директора АО «ITD Group»

Как иностранный GRC применять в РФ? Правильно ли, что вы предлагаете «консультант» с практиками по ИБ? Как происходит обновление фидов в сегменте АСУ ТП без интернета?

Фундамент для построения SOС

Руслан Бялькин, директор по продажам комплексных решений, SAFEDATA

Цитата: ЦОД и SOC не различаются с точки зрения инфраструктуры.

На секции у Лукацкого в каждом докладе была реклама себя любимых и тех решений, что они продают. Отличился только Positive, сказав, что не делает SOC и SIEM.

Дальше уже не мог быть, поехал по делам своего SOCa.

Итоги:

Организаторам жирный минус. Секции были забиты рекламой чуть менее, чем полностью. Из интересных и умных экспертов можно было сделать 10 интересных секций.
Минус в карму тем, кто рекламировал себя вместо просвещения аудитории.
Ни один заявленный вопрос конференции не был рассмотрен должным образом. Все неслись галопом по европам.

Идти или не идти в следующий раз? Если вас приглашают бесплатно – конечно, идти. А вот деньги за такое платить не стоит.

P. S. Усе, ухожу из блоггеров. Неблагодарная это работа. Андрею и Алексею по службе положено везде бывать и выступать. Грусть видна в их глазах. Не хочу так. Лучше я буду по-простому – графоманить на тему безопасности, и на конференции особо не ходить.

«Топим лед» по Прозорову

Добавить комментарий

Что-то не оставляет меня тема блоггерства. Пошел почитать, что пишут. Заглянул к Прозорову, последняя запись о фразах, которые «топят лед» в общении с безопасниками. Посмотрим предметней:

— Сколько человек в подразделении ИБ, кому подчиняется?

С места в карьер. Вы бы еще про бюджеты спросили.

— Имеется ли перечень критичных ИС и в каком виде?

И сразу вопрос про КИС (или по старому КСИИ). Учитывая, что в 99% заказчиков КИС нет, вопрос в пустоту.

— Сколько документов регламентируют ИБ, где хранятся актуальные версии, как часто пересматриваются?

Второй вопрос, начинающийся со «сколько». Тут явно не хватает еще «сколько у вас денег в этом году». Что интересно, не задается более актуальный вопрос – что это за документы. А уж место хранения актуальных документов… оно нам зачем?

— Используются ли мобильные устройства для работы, как они защищаются?

Solar продает MDM решения? Или ведет разработку VPN клиента с ГОСТОм? Мы явно чего-то не знаем.

— Каким образом регламентируется и контролируется использование съемных носителей?

Этот вопрос из арсенала продавцов DLP. Что-то я не слышал, чтобы у Solar был такой функционал, или это бытность памяти по Infowatch?

— Что с правами администратора для рядовых пользователей?

Как-то хаотично скачем. Нумерации в списке нет, но, думаю, они стоят по уменьшению приоритета. Вопросы съемных носителей и админских прав — это, конечно, проблема, но не самая первая.

— Каким образом пересматриваются и изменяются права доступа пользователей к ИС?

Вопрос для продажи IDM от Solar =)

— Есть ли SIEM, кто настраивает правила корреляции?

Кто настраивает правила… кто настраивает… Если SIEM есть, то специалисты заказчика. Если нет, то никто. Продаем сервис от Solar.

— Кто проводит сканирование уязвимостей, как часто, каким средством?

Странно как-то сформулирован вопрос. Почему нет вопроса – проводится ли вообще сканирование?

— Где и как фиксируются инциденты ИБ?

Слово «фиксируются» имеет значение: заносить в журнал факт. Про выявление инцидентов ни слова. Solar inView только фиксирует инциденты? =)

— Насколько выполняете требования Приказа 21?

Надо понимать, другие требования 152-ФЗ выполнять не надо ;) Или они не выполняются продуктами Solar?

— Какие грифы конфиденциальности проставляются на документах?

«Какие грифы» — а их несколько? Знаю три грифа по гостайне, по конфиденциальности, в лучшем случае, ставится один – конфиденциально. Очень информативный вопрос.

— Проводились ли проверки регуляторами и каковы их итоги?

99% заказчиков не сталкивалось с проверками по безопасности.

— Каким образом проводится обучение и повышение осведомлённости пользователей?

Норм вопрос, но задача не в первой сотне.

— Какие крупные инциденты ИБ происходили за последние пару лет?

Андрей, а вы NDA подписали, чтобы вам такое рассказывали?

— Начали ли что-то делать по теме импортозамещения?

Андрей, продаете ArcSight под маркой Solar? ;)

— Что запланировано по ИБ на этот и следующий год?

Уже неплохо.

Как видно, нет ряда ключевых вопросов. Один из них – а какие насущные проблемы есть сейчас?

Всего вам доброго.