Мнение о DLP-системах.

Некоторые мысли о DLP:

Забавные мысли (про наличие лицензии):

Многие производители сертифицируют (сертификат ФСТЭК разумеется) свои продукты.

Сертифицируют, версию 3.0 например, а продают 4.0 и так далее.

Понятно, что это маркетинговый ход и элемент конкурентоспособности, но еще более меня забавляет факт, что многие еще и говорят, что это средство защиты персональных данных.

То есть, закон №152 признан защищать свободы граждан (конституция РФ), DLP система, которая эти свободы в явном виде принижает (хоть какие согласия Вы возьмете), пытается претендовать на системы защиты персональных данных.

Некоторые основные выводы, которые оформились для меня:

1.     Пора уже вводить внутреннюю классификацию DLP даже при продажах. Мне вот, например, интереснее системы контроля сотрудников и расследования инцидентов.

Функции блокировки по каким-либо протоколам меня не интересует.

Объясню: не видел ни одну организацию, где бы четко знали, что блокировать, где были бы разработаны политики, критерии отбора...

Да, пусть у вас будет перечень КИ, Вы все равно не узнаете относится ли данный эксель файл к КИ или нет.

Для четких политик нужно пыхтеть года два и толковым людям...

А каковы реалии современных организаций? Один, два человека, которые отвечают за все…

Вывод: в этом плане логичнее выстраивать систему расследования инцидентов (безусловно, политики нужно будет разрабатывать и здесь и четко понимать для чего Вам это), но по крайней мере Вы не будете тормозить работу своими блокировками и попытками обмануть сами себя.

Наперерез здесь обычно говорят. Что-то типа, а вот информация уйдет и вы это априори узнаете постфактум, а при помощи блокировки предотвратите заранее. Повторюсь, вряд ли Вы сможете настроить блокировку столь идеально это раз, если Вы и знаете конкретно что, то вопрос, а нужно ли было для этого DLP, у Вас в организации сплошь все неумехи, которые по незнанию могут выслать важный файл или инсайдеры?

2    Момент обслуживания.
      Выбранная DLP-системы должна быть такова, чтобы далее Вы могли разворачивать, обслуживать, решать проблемы с ней самостоятельно. Причем, под самостоятельно я подразумеваю – силами Заказчика без обращения в службу ИТ!

То есть если интерфейс настолько сложен, да еще и для функционирования нужна ось линукс, то это, на мой взгляд, сомнительное удовольствие.

А DLP система, которая может использовать бесплатную СУБД уже в лидерах по сравнению с той, для которой нужно только SQL или Oracle.

Вывод: Цель такова, чтобы инструмент данный был именно в руках службы ИБ или специалиста по ИБ и чтобы расходы на дальнейшее использование были минимальны.
И маленький подтекст - если уж организация решила, что им позарез нужна DLP-система, то выбирайте не самую дорогую систему и считайте стоимость владения и доп расходы, хотя бы на три года вперед.

3    Момент допрасходов (о нем я уже писал, но повторюсь).  
      Как Вы понимаете для Вашей DLP нужна будет СУБД.

Узнайте, какие СУБД нужны, куплены ли они у Вас, использует ли система бесплатные аналоги. Конечно, мелочь, но приятно.

Сколько будет стоить обновление Вашего ПО (или аналог обновления). Мб Вы сэкономите при покупке миллион рублей, а потом в первый же год обновление Вам обойдется в сумму, равное сумме первоначального закупа.

Такой же совет по техподдержки (то есть чем больше Вы возьмете на себя, тем лучше).

4    Момент лицензии ФСТЭК.

Это уж на Ваш выбор. ПО большому счету будет ли у Вас система Ваша DLP обеспечивать гласную защиту? И о данном пункте – указано в начале поста.

5    Мелкий момент (совет). Между выбором реализации по порту зеркалирования или при помощи агентов – выбирайте при помощи агентов.

И, конечно, с возможностью OCR.

      Ну и не в качестве рекламы никакой (основные моменты).
      Как-то на листок выписывал себе DLP-системы - где-то 30 штук получилось. Некоторые из них посмотрел - необходима доработка.
      Инфовотч - не понимаю столь высокую стоимость, и высокую стоимость обслуживания. Также не подходит по пункту 1. Тяжел,сложен, дорог в обслуживании, трудный интерфейс. Основной акцент именно на блокировку.
      СеарчИнформ - по стоимости столь высокой также не понимаю этот продукт, но мало того, что по стоимости соизмерим с Инфовотч, так еще и готов падает при торгам на 50 и более процентов. Много разных модулей (и экзешников), вызывают вопросы и говорит о том, что модули разной степени проработки.

Каждый раз обещают свести все в единый экзешник и консоль, но из последнего только способность записывать микрофоны приходит на ум.

Вебсенс - в общем-то, приятный продукт. Сможете разворачивать и поддерживать его сами. Стоимость ниже, чем предыдущие два, но зато ежегодная подписка может Вам стоить значительных денег. До конца лично не проверил тот момент, хранится ли в архиве только информация, отобранная по политикам или все-таки вся, а уже в ней идет отбор по политикам.

Ну и как все иностранные DLP делают акцент на блокировку, а не на тотальный контроль для расследований, поэтому данный продукт также не рассматриваю.

В общем, на данный момент у меня в лидерах SecureTower и Макафи.
Макафи стоимость нравится, но,особенно, привлекательная функция меток на документах.
SecureTower - система расследования инцидентов и контроля пользователей, поддержка бесплатных СУБД и продвижение в данном векторе, возможность поддержки и функционирования данной системы самостоятельно.

Все больше вижу удобств SecureTower и решаю при помощи нее (системы) различные интересные задачи.

Вопрос коллеги.

Каждый из нас слышит этот вопрос, а что должен знать, какими навыками обладать ("знатьуметь") специалист по информационной безопасности.
Вообще, не совсем понимаю этого вопроса, есть специалист по ИБ, которую всю жизнь проводит специсследования и аттестации ЗП и АС, есть кто отлично готовит ОРД по 152 и даже РКН приходит в восхищение, есть кто решил протестировать все системы ДЛП и разработать свою (причем со своими же политиками и т.д.), а у кого-то обычный талант продавать это самую непонятную ИБ.
Например, когда мне скажут, что аттестовать помещение нельзя, потому что охранная сигнализация связывается с пультом мониторинга по GSM, я знать не знаю, где описано такое требование.

Проще говоря, самое главное, для меня в специалисте по ИБ это его образованность, широкий кругозор, интересы во всех других разных областях и желание получать опыт, много опыта и еще больше. Без всего этого, мне кажется, нечего делать в нашей области.
Хотя, наверное, это идеал для каждого специалиста:)

Информационная безопасность АСУ ТП.

В последнее время это стало очень популярной темой (безопасность АСУ ТП), если не сказать большего.
Новая волна поднялась после принятия ФЗ №256 +, как я понимаю, активизация наших стратегических партнеров и (или) потенциальных врагов (как кому больше нравится).

Побывав на паре семинаров, почитав, что пишут, у меня сформировалось несколько мыслей после всего этого:

1) Насколько я понимаю, многие интеграторы (не скажу все, а то мало ли есть у нас и другие) все еще подходят к аудиту АСУ ТП, как к аудиту в в ИС (банки, больницы, страховые и т.д.).
На мой взгляд подход здесь меняется в первую очередь в анализе рисков и угроз.
Риски другие, совсем другие.
Вообще, кто оценит, сколько людей могут умереть в радиусе 5 км?
А сколько часов или дней может быть больница отдел реанимации без электричества?
Наверное, надо знакомить интеграторов с какой-то такой "военно-промышленной" моделью угроз, чтобы они понимали, что здесь ответственность совсем другая.

2) Про требования нашего законодательства можно кратко:
1)Минэнерго РФ в требования по ИБ лезть не будет.
2) ФСТЭК - так есть КСИИ, что еще надо.

3) Видел, слушал, читал пару интересных работ об анализе состояния элементов системы (тема пришла из ракетостроения) и применение этих методов на элементах АСУ ТП, но это уже промышленная безопасность, но как-то здесь в ТЭКе они (ИБ и ПБ) подходят друг другу и стараются познакомиться.

IT & security forum (kazan).

7-8 июня 2012 года прошел ежегодный шестой IT & security forum от ICL.
В общем-то событие достойное и стоит того, чтобы о нем написали.
Во-первых, чтобы долго не хвалить организаторов отметим, чтобы сил было отдано много на данное мероприятие и все прошло позитивно и на высоком уровне.
Во-вторых, порадовало, то что никакой накачки по ПДн уже не было, даже все выступления производителей были сделаны из рекомендаций, что должно быть как можно меньше саморекламы.
Из эмоциональных окрасок понравились выступления Позитив, Чек-Поинта и Лукацкого про построение ЧМУ (кое-какие новые мысли появились).
В демо-зоне уделил внимание ArcSight Logger и SafePhone.
Безусловно я постараюсь глубже их изучить в ближайшее время, но пока я увидел такие минусы, которые делают их продвижение затруднительным.

ArcSight Logger:
1) цена решения;
2) цена-владения;
3) отсутствие персонала.
Суть продукта в том, что оно может собрать журналы логирования из любой системы, железки, журналы винды с ПЭВМ и так далее (это, конечно, само по себе неплохо).
Далее журналы анализируются разработанными политиками. Вот здесь я вижу основную проблему.
На мой взгляд, для разработки данных политик нужно некоторое количество действительно экспертов, причем чем больше разностороннего ПО, устройств (то есть тех логов, которые обрабатываются в системе), тем большее экспертов необходимо. И ведь, как мы все понимаем, эти политики анализа лог-файлов нудно периодически переписывать, пересматривать и прорабатывать. Кто будет это делать?
Если это было бы реально, то данные продует претендовал бы на замену привлечения организаций для технического аудита ИБ?
Что мне показалось забавным, это то, что данный продукт имеет в составе бесплатные полезные "опенсорсные" вещи. Повторюсь, что, возможно, поковыряюсь в данной системе как будет время, но пока предварительное впечатление, что по адекватности данные продукт громоздкий. Именно, эпитет "громоздкий" к нему бы подошел.

SafePhone:
1) Примерные цены не знаю, но подозреваю, что недешево.
2) Обслуживание и принцип работы довольно прост.

Основной функционал это централизованное управление мобильными телефонами сотрудников. При наличие GPS на телефоне, ведется "трэк" сотрудников, собирается история где был, когда был, групповые сообщения, контроль и запрет звонков, контроль установленного ПО и некоторые иные вещи.

Основные минусы:
1) Подозреваю, что юридические вопросы использования данной программы такие же как с DLP системами.
2) Эффективность и задачи, что же мы этим хотим добиться, еще более призрачны, чем с DLP. Хотя, конечно, службам режима такое понравится:)
3) Придется покупать сотрудникам помимо рабочих "симок", рабочие телефоны? Ну многие организации не Циско:) (причем с GPS как минимум).
4) Немного мне кажется не такой должен быть принцип работы у данной программы.
   И моделируя действия сотрудников, то встанет другой вопрос. Хорошо, сотрудник написал липовую бумагу, что согласен и расписался о выдаче телефона и сим-карты. Что дальше? Думаю, что многие тут же покупают второй телефон и вставляют в него свою личную сим-карту.

Хотелось бы отметить, еще и то, что накачка информационного поля, что скорее защищайте мобильные устройства уходит просто никуда. Какие реально организации в РФ будут этим заниматься? Да и нужно ли? Неужели все другое надежно закрыто?

Думаю, что многие организации подумали, что эти они такие отсталые, что уже все другие думают о защите планшетов, телефонов, смарт-фонов и так далее и показывают, что именно это угроза номер один.

Вот такие мои первые впечатления. В целом оценка моя сугубо положительная.
Если кому-то интересно читать эту страницу, которую я решил все-таки стараться пополнять, то дайте знак:)

Мелкая информация в помощь и нужен (выгоден) ли аутсорсинг?

Задумался недавно над тем, почему конечные организации даже мелкие задачи отдают на аутсорс.
Вот один случай:
1. У пользователя перестал адекватно работать офис.
То есть файлы с расширением ексель не открывается, однако при запуске самой программы (ексель) и путем файл-открыть все хорошо.
2. Администратор "поковырялся" и переустановил офис - тоже самое. Следует отметить, что эта процедура заняла у него часа 2-3.
3. После обеда он решил, единственный вариант это переустановить ОС.
Вот здесь мне стало по-человечески жалко пользователя, при том что администратор наотрез отказался ставить ей в дальнейшем программы, которые ей нужны в работе.
Мне хватило 10 минут, чтобы примерно понять проблему и забить нужный запрос.
Все дело было в галочке "Игнорировать DDE-запросы".
Сколько вот таких администраторов в организациях?

Вот другой:
В одной из больниц города (скажем не маленькой) начал медленно работать компьютер и самопроизвольно выключаться. Надо сказать, что за то, что делает врачи в этой больнице их должны холить и лелеять и давать самую лучшую технику (моя скромная ремарка).
Также следует отметить, что на больницу имеются 4 программиста, которых собственное и вызвали.
Данные программисты забрали ПЭВМ на неделю и вернули с отформатированным диском, сославшись на вирусы.
Сказать, что жестком диске была важная информация это ничего не сказать.
Я думаю, что здесь без комментариев.
Вызов человека (по аутсорсу) для устранения проблемы 500-1000 рублей.
Зарплата этих четырех "программистов" (беря минимум) 12 000 * 4 = 48 000,00 рублей.
Цена потерянной информации - ???.

Получение лицензии ТЗКИ.

собственно на сайте ФСТЭК все сказано: http://www.fstec.ru/_lenta/_lno.htm.

Итоги 2011 года.

Думаю, что начать свой блог стоит именно с итогов года уходящего.
И львиную долю итогов (или кроличью долю итогов), займут все те же персональные данные.
1. Начало 2011 года ознаменовалось новым переносом сроков ФЗ 152. Теперь этот срок был равен 6 месяцам (полгода), то есть до 1 июля 2011 года (ФЗ №359 от 23 декабря 2010 года, изменена 25 статья).
2. Полгода пробежало и уже только ярые оптимисты думали о переносе сроков в третий раз. Но были еще и "неярые" оптимисты, которые надеялись, что все намеки и обещания на некоторые смягчения в 152ФЗ произойдут и отраслям дадут больше свободы (землю крестьянам и так далее).
В итоге все получилось с точностью наоборот. Текст перекроен и принят во всех чтениях, а его анализ это отдельная тема. 
В нем уже и нет свободы отраслям и убраны понятие "класс ИСПДн" и много другого.
Событие этого подвесило очередное ожидание новых документов ФСТЭК и ФСБ уже по вопросам уровней.
3. Несмотря на пункт 2. Утверждаются и НАПФ, НАУФОР, методологии снижения классов для медицинских учреждений, в конце года вышел проект документа и для служебных приставов и так далее.
4. РКН пытается перестроить порядок своей работы (работы стало больше о чем говорят нам отчета), готовится новый регламент проверок. Отдельное внимание стало уделяться интернет-магазинам, интернет-ресурсам и так далее. Но все это происходит на фоне отсутствия системы адекватных наказаний. Здесь же я отметил что у РКН, ФСТЭК и ФСБ развитие вопросов ИБ в России далеко не на первом месте.
5. В госструктуре поставлена цель внедрить единую систему электронного документооборота. Для достижения этой цели выпущен приказ с требованиями к этой самом СЭД.
6. ФСБ и ФСТЭК обновили свои порядки для получения лицензий. Особенно стоит отметить новый порядок получения лицензии ФСБ: теперь лицензия одна, но из 32 пунктов.
7. Отдельно я бы отметил развитие рынка DLP продуктов. Однако созреют для этих продуктов лишь некоторые отдельные предприятия.
8. Также, я думаю, стоит отметить и тенденцию выполнения работ в области ИБ, компаниями, которые не обладают ни опытом, ни кадрами, ни поманием. Созданные ими ОРД, отчеты об обследованиях и рекомендации вызывают некоторое недоумение.
9. Международные стандарты все также не получают развитие, но это наверное и не новость (это я разумеется про Россию).
10. В этом последнем пункте я бы отметил изменение "любимых" статей 272, 273, 274 и отклонение закона "О служебной тайне".