С новым Годом

Поздравляю всех читателей с Новым Годом!

Уходящий год принес много нововведений на украинский рынок безопасности.  Подписан закон о персональных данных, Национальных банк ввел стандарты по управлению информационной безопасностью и продолжает их развивать и дополнять. Пускай все не так гладко, как хотелось бы, и методики требуют существенной доработки, главное - начало положено. Понимание сути информационной безопасности постепенно проникает в компании. Это подтверждает как исследования рынка, так и наличие сформировавшегося пускай небольшого, но активного сообщества специалистов, готового тратить свое время и силы на то, чтобы знания и опыт в массы.

Теперь по теме.
Счастья,  удачи, радости, успеха, надежных друзей, любящей семьи, крепкого здоровья себе, родным, близким, знакомым! В общем, кому чего больше нужно. Пускай в следующем году сбудутся все  только те желания, которые принесут пользу.

Веселого празднования!

Безопасность без границ: результаты для Украины

Наконец-то дошли руки не только перевести основные наблюдения из международного  исследования Ernst & Young по информационной безопасности за 2010, но и сравнить общемировую картину с ситуацией в Украине, провести бизнес-завтрак на эту тему, и, не прошло и двух недель, выложить результаты на блог. 
Достаточно интересно было сравнить отношение украинских компаний* к технологиям "размывающим границу компании" - облачным вычислениям, мобильным вычислениям и социальным сетям.
Так, например, к облачным вычислениям украинские компании относятся весьма осторожно - ни одна из опрошенных не использует и не планирует использовать публичные облака. К наличию сертификата по безопасности у провайдеров облачных вычислений, как к гаранту защищенности данных, украинские компании также относятся более прохладно, чем "общемировая" общественность.
Любопытно было также наблюдать за тем, как компании собираются реагировать на новые риски. Общемировая общественность собирается изменять политики (добавлять туда новые риски) и внедрять программы по повышению осведомленности пользователей. Украинские же компании уповают на шифрование и дисциплинарные процессы.  Впрочем не буду пересказывать содержание, а просто выложу материалы.

2010 giss results_global and ua_2010

View more presentations from Vladimir Matviychuk.

* В исследовании принимали участие 32 украинские компании, половина из которых - банки

Интегрированное общекорпоративное управление рисками от NIST

800-я серия стандартов по информационной безопасности от National Institute of Science and Technologies дополнилась проектом нового стандарта по управлению информационными рисками.

На смену старому доброму SP 800-30 Risk Management Guide for Information Technology System приходит новый SP 800-39 "Integrated Enterprise-Wide Risk Management: Organization, Mission, and Information System View". SP 800-39 стандарт заменит SP 800-30 в вопросах управления рисками. Сам же SP 800-30 будет пересмотрен в следующем году и будет віполнять роль вспомогательного стандарта, сосредоточившись сугубо на вопросах оценки рисков.

Как понятно из названия нового стандарта, акцент смещается с вопросов управления информационными рисками на интеграцию в общекорпоративную систему управления рисками.

Приятно, что есть регуляторы, не только хорошо понимающие современные тенденции в информационной безопасности и своевременно обновляющие нормативную базу, но и умеющие описывать те самые тенденции на простом и понятном языке.

В итоге, кроме выше упомянутых стандартов, вопросы управления информационными рисками будут регламентировать следующие документы: 

• SP 800-37 Rev. 1 Guide for Applying the Risk Management Framework to Federal Information Systems: A Security Life Cycle Approach
• SP 800-53 Rev. 3 Recommended Security Controls for Federal Information Systems and Organizations
• SP 800-53 A Rev. 1 Guide for Assessing the Security Controls in Federal Information Systems and Organizations, Building Effective Security Assessment Plans
• И будущий 800-30, который поменяет свое название в соответствие с новой ролью на "Guide for Conducting Risk Assessment"

Создана государственная служба Украины по вопросам защиты персональных данных

Указом президента Украины № 1085/2010 "Про оптимизацию системы центральных органов исполнительной власти" среди пары десятков других служб и агентств создается  государственная служба Украины по вопросам защиты персональных данных. Деятельность созданной службы координируется Кабинетом Министров Украины через Министра юстиции Украины.

Первый шаг после принятия закона о персональных данных сделан. Ждем детальной законодательной базы...

Методика оценки рисков ИБ от НБУ: блин комом

- Скажите, пожалуйста, куда мне отсюда идти?
- А куда ты хочешь попасть? - ответил Кот.
- Мне все равно... - сказала Алиса.
- Тогда все равно, куда и идти, - заметил Кот.
- ...только бы попасть куда-нибудь, - пояснила Алиса.
- Куда-нибудь ты обязательно попадешь, - сказал Кот. - Нужно только достаточно долго идти.

Вчера Национальный банк разослал  проект методики оценки рисков информационной безопасности. Стандарт базируется на международном стандарте ISO/IEC 27005 "Information technology - Security techniques - Information security risk management" и дополнен изрядной долей креатива.

По форме.
Обычно при подготовке к выпуску какого-либо продукта, если не укладываются в сроки, жертвуют качеством. С расчетом "потом поправим". Прочтение документа оставляет впечатление, что дефицит времени был колоссальный. Соответственно,  это прямо пропорционально отразилось на качестве. Можно закрыть глаза на не убранные "track changes" и не везде переведенные с русского термины. Но это только начало. Конфиденциальность, целостность, доступность и  наблюдаемость  из свойств информации (точнее свойств ресурсов СУИБ, определение из стандарта ) превратились в сервисы информационной безопасности.
Приложения с примерами, изначально задуманные для упрощения понимания методики, запутают даже опытных специалистов по управлению информационными рисками. Как, например отличить социальную инженерию, используемую для промышленного шпионажа, от социальной инженерии, используемой хакерами и кракерами? То, что кракеры используют социальную инженерию повергнет в шок даже самих кракеров. А как отличить хакеров от компьютерных преступников? Которые могут быть только внешние, ибо инсайдеры - это отдельная категория. Этот список можно продолжать бесконечно: DOS и DDOS атаки теперь сугубо террористическая деятельность, "Відсутність схем періодичної замени" может привести к "Руйнуванню обладнання або середовища" и т.д. В раздел "ляпы" можно переносить львиную долю приложений. 

По сути.
Практической пользы от документа крайне мало. Для тех, кто не знал какую методику использовать, ответа на вопрос "что делать?" в документе нет. Есть туманные путанные противоречивые намеки. О том, что методики оценки есть качественные и количественные. И жесткого предписания что именно использовать нет. Есть только описание плюсов и минусов различных подходов.  Что есть хорошо и плохо одновременно. Хорошо для банков, которые имеют свои методики. Почти любая методика оценки информационных рисков, выпущенная после изобретения компьютера подойдет под требования. А плохо в том, что те кто не знал как оценивать риски, не поймут этого даже после троекратного прочтения документа. Суть некоторых предложений, благодаря их длине и вложенности, становится понятна только после их третьего прочтения.
Основные преимущества, от использования риск-ориентированного подхода тоже под угрозой. Если банки смело могут использовать качественную оценку (дескать она проще), как оценить эффективность инвестиций в контроли? Да, НБУ предупреждает о недостатках сугубо  качественной оценки рисков. Но не запрещает ее использование. По сути - это дыра для тех кто просто хочет соответствовать требованиям не заворачиваясь.
Суть документа можно свести к следующему: "используйте любую методологию, а не знаете как - идите к консультантам.". А консультанты уже тут как тут - прислали коммерческие предложения по оценке рисков раньше, чем НБУ проект методологии. И у всех "опыт внедрения". Не важно, что внедряли антивирус, зато "в соответствии с требованиями ISO 27001", что в предложении отражается как "практический опыт внедрения ISO 27001".

Надежды на методику нет. Даже после исправления всех грамматических ошибок, согласования формулировок и т.д. Остается наедятся только на здравый смысл людей, которые хорошенько подумают для чего им (им конкретно, коллегам, банку) безопасность и на сколько эффективно она должна работать. Что у нас впереди - соответствие или польза?

Впечатления от USIG V

В пятницу прошло 5-е собрание linkedin'овской группы USIG (Украинской группы специалистов по информационной безопасности).
Мероприятие прошло хорошо. Растет количество заинтересованных специалистов. Из порядка 500 мифических членов группы, фигурирующих только в ее списках, вырисовываются 50-60 профессионалов готовых обсуждать насущие вопросы информационной безопасности.

Собрание поддержал украинский чаптер ISACA. Хотя от "поддержки" осталось двойственное впечатление.
Во-первых, от чаптера пришли только президент и вице-президент (еще ваш покорный слуга и коллега, но мы бы пришли вне зависимости от участия чаптера). И это из почти 60 членов, которые были приглашены на мероприятие.
Во-вторых, исследование, проведенное и представленное чаптером... Вроде провели исследование по важным вопросам управления ИТ. Тема действительно актуальная. Что такое IT governance  понимают далеко не все, кто должен понимать. Даже перевода устоявшегося нет. И исследование проводила ISACA - одна из передовых международных ассоциаций, призванных нести светлое будущее ведущие мировые практики по управлению ИТ в массы. Но во время презентации, почему-то в голову все время закрадывалось подозрение, что король голый.
Кто были респонденты исследования и на сколько репрезентативна выборка осталось тайной, покрытой мраком.
Некоторые  наблюдения, выводы и рекомендации навевали на мысль, что исследование делалось в докризисные годы, упало за шкаф, потерялось, и только теперь его нашли и решили показать общественности.
Взять хотя бы рекомендации (напомню, что речь шла о 9 наиболее приоритетных направлениях) о формализации ИТ-стратегии. Какая, простите, ИТ-стратегия, если в бизнес стратегия есть только 30% компаний (речь шла преимущественно о банках)?!?  На основании чего, простите, ее составлять?
Или мысли о том, что ИТ - это конкурентное преимущество компании? Друзья мои! ИТ было конкурентным преимуществом, когда не каждая компания могла его себе позволить. Так же как и электричество во времена паровых двигателей. Сейчас чуть-чуть все по другому.
Банки, кстати, уже не являются безусловными лидерами по информатизации. Многие компании из других секторов экономики, например,  FMCG компании, могут похвастаться более современными и зрелыми процессами и решениями.
Бизнес не может сформулировать ИТ чего он хочет? А должен ли? А может это ИТ должно понимать как работает бизнес-процессы и предлагать как ИТ может помочь их улучшить?
В общем, спасибо, что нашли время для исследования и рассказа.
Завершилось выступление тоже туманно. Вроде прозвучал призыв помогать развивать чаптер. Даже вызвались желающие. Но конкретики так и не прозвучало. После оспаповского "о дне следующего заседания будет сообщено дополнительно" мы расстались...

И все же, в целом, мероприятие прошло замечательно. Даже спонсорские доклады, от которых народ подустал, по причине их невероятного количества (за последний год, гонимые кризисом вендоры устраивают мероприятия о своих продуктах каждый месяц), принесли свежие мысли и идеи. Кроме технических аспектов было и немного философии. Владимир Стыран поделился своими мыслями о социальных аспектах безопасности.

Мой доклад был посвящен эффективному построению процесса управления информационными рисками. Хотя приводимая методика годится для построения процесса управления рисками и других видов.
Материалы прилагаю.

Effective risk management

View more presentations from Vladimir Matviychuk.

P.S. По мотивам чаптеровского выступления вспомнились пару хороших книг (не очень свежих - лет по 7 каждой, но все еще актуальных), которые я  рекомендую почитать :

• Nicholas G.Carr "Does IT Matter?"  На тему является ли ИТ конкурентным преимуществом
• Terry White "What Business Realy Want From IT?" на тему должен ли бизнес объяснять ИТ чего он хочет

P.P.S. Нет все-таки устоявшегося понимания чем же мы занимаемся. 70% докладов были посвящены ИТ -безопасности 30% - информационной. Нет еще единого понимания, что информационная безопасность - это безопасность информации, а не ИТ. И это - основная проблема, почему нет поддержки от бизнеса. Но об этом в другой раз...

Украинский чаптер ISACA: перезагрузка

После весьма затянувшегося затишья, начал оживать украинский чаптер ISACA.
Сегодня действующий президент чаптера, Михаил Лопатин, обратился к украинским членам ISACA с обращением.

На завтрашнем собрании UISG  планируется активное участие правления и членов чаптера, обсуждение будущих планов чаптера.
Что же. Приятная новость. Надеюсь, что от разговоров до дела переход не затянется и чаптер начнет функционировать так, как он когда-то задумывался.

Историческая справка:
За последнее время деятельность чаптера практически не велась. Исключение составляли точечные публикации в прессе и выступления на профильных мероприятиях. Кризис сказался и на чаптере. Приятное исключение составляла работа Андрея Лысюка, который координировал вопросы проведения сертификационных экзаменов.
На текущий момент украинский чаптер насчитывает 59 членов. 39 специалистов имеют сертификаты ISACA (33 CISA, 6 CISM и 3 CGEIT).

Остальные детали завтра.