Автор: Андрей Прозоров

При обеспечении ИБ в европейских офисах столкнулся с необходимостью соответствовать требованиям «Privacy in Working Life» (право сотрудников на конфиденциальность на рабочем месте), которые, как оказалось, могут стать серьезным барьером для внедрения отдельных средств защиты информации или мониторинга. В различных странах могут быть свои особенности и требования, тут стоит ориентироваться на местное законодательство. Например, в Финляндии, где у нас есть офисы, приняты следующие: Act on the Protection of Privacy in Working Life (Laki yksityisyyden suojasta työelämässä, 759/2004) — https://www.finlex.fi/fi/laki/smur/2004/20040759 Разъяснения от местного надзорного органа The Data Protection Ombudsman, Frequently asked questions (FAQ) about working life — https://tietosuoja.fi/en/faq-working-life А в общем случае стоит ориентироваться на документированное ... Подробнее

На прошлой неделе прошло небольшое (всего на 80 человек) мероприятие, посвященное практике построения ведомственных и корпоративных центров ГосСОПКА, а также организации информационного обмена. Ключевым докладчиком стал Алексей Новиков, представитель 8го Центра ФСБ России, который больше часа рассказывал про ГосСОПКА и отвечал на вопросы слушателей. Мне разрешили выложить презентации с мероприятия, однако вторую (про практику построения системы защиты и подключения к ГосСОПКА для одного крупного гос.проекта/ИС) попросили обезличить (в выложенной версии убраны наименования заказчика и исполнителя, а также детальная схема защиты). Презентации опубликовал в своей группе в ВКонтакте — https://vk.com/isms8020 (кстати, подписывайтесь): Процессы и средства ведомственных и корпоративных центров, необходимые для ... Подробнее

Недавно я публиковал заметку про базовые принципы подхода People-Centric Security, в которой напоминал, что сотрудникам надо передавать ответственность за ИБ, обучать их, контролировать и обязательно давать обратную связь (и, если надо, то и наказывать). То есть всячески развивать культуру ИБ, поощрять бережное и осознанное использование информационных активов. Если этого не делать, то работники будут ориентироваться на свой прежний опыт и поведение коллег, что не всегда хорошо и может привести к появлению новым (или возрастанию старых) рисков ИБ. Одним из таких рисков, а скорее даже «вызовом» для ИБ, становится Shadow IT. Для меня, кстати, странно, что об этом явлении и подходах ... Подробнее

Вчера (5 декабря 2016 года) наконец-то утвердили обновленную Доктрину информационной безопасности Российской Федерации (вот ссылка на текст). Напомню, что старая версия документа была аж от 2000 года, и к настоящему моменту она, конечно же, устарела. Странно, что итоговый вариант существенно отличается от обсуждаемого ранее проекта, но ладно… На мой взгляд, документ получился довольно толковый и лаконичный (всего 16 страниц), но скорее получил лишь косметические правки. К сожалению, документом пользоваться не очень удобно, отдельные темы (импортозамещение, защита КИИ, реагирование на инциденты и пр.) размазаны, важные положения необходимо собирать… При первом прочтении документа обратил внимание вот на что (в сравнении с редакцией ... Подробнее

Перечитывал тут на днях постановление правительства №541 от 15 июня 2016 года, вносящее правки в Положения о лицензировании деятельности № 79 (ТЗКИ) и №171 (производство и разработка средств защиты конфиденциальной информации). О нем в последнее время стали много говорить, особенно после конференции SOC Forum (там его тоже упоминали). Дело в том, что в обновленном варианте Положения № 79 появилась, вроде как, новая лицензируемая деятельность — «услуги по мониторингу информационной безопасности средств и систем информатизации». И существует мнение (например, Алексея Лукацкого), что SOCам и MSSP необходимо будет обновить свои лицензии на ТЗКИ, добавить в них еще один вид деятельность. Это, кстати, ... Подробнее

11 февраля в рамках ТБ Форума  ФСТЭК России провела ежегодную большую сессию, посвященную «актуальным вопросы защиты информации». А по сути, отчитываются о результатах своей деятельности, рассказывают о планах и отвечают на вопросы посетителей. Мероприятие крайне интересное и полезное. Оно определяет направление развития отечественного ИБ (особенно для госорганов) на ближайший год. Контента (презентаций) очень много, я успел послушать следующие: Совершенствование нормативного и методического обеспечения вопросов защиты информации Проблемные вопросы сертификации средств защиты информации. Подходы по совершенствованию качества ССЗИ Особенности аккредитации испытательных лабораторий и органов по сертификации Совершенствование требований по защите информации, предъявляемых к межсетевым экранам О мерах по повышению лицензионных требований ... Подробнее

Итак, что нового сказали нам регуляторы. ФСБ России Сотрудники ФСБ России докладывали 2 презентации («О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ» и «Создание национальной системы платежных карт с использованием отечественных HSM«) и приняли участие в традиционном круглом столе «Диалог с регулятором». Основной доклад был про создание ГосСОПКА (расшифровка аббревиатуры понятна из полного названия презентации) в соответствии с Указом Президента РФ от 15 января 2013 года №31с. Основные задачи ГосСОПКА: ГосСОПКА строится в виде территориально распределенных центров. Главный и региональный центры создаются силами ФСБ России, ведомственные центры создаются заинтересованными органами государственной власти. Корпоративные ... Подробнее