Владимир, мангуст и безопасность:)

Намедни я говорил, что у меня есть много интересных историй.
Вот одна из них:
1) Я люблю ходить за грибами.
Сейчас есть много теорий, что грибы надо не отрезать, а вырывать, но меня в детстве научили "охотиться" на них с ножом.
И часто у меня в сумке лежит "мангуст".

2)  В одно из серьезных государственных учреждений необходимо было зайти подписать документы.
На входе: два охранника досматривают вещи, рамка металлодетектора - все серьезно и солидно.
Я, если честно, и забыл, что у меня в сумке, но в процессе ожидания назначенного времени и под суровыми взглядами охраны сообразил, что ничего из сумки не выкладывал.
Варианта было три:
1) идти в машину и все выкладывать. Но ТС было далековато.
2) ничего не делать и постараться пройти так. Да и было интересно отработают этот момент или нет.
3) сразу сказать, что вот у меня в сумке нож, но кто знает их реакции и инструкции. Вернее, как раз должны были попросить подождать и нажать на кнопку.

3) В общем итоге рамка металлодетектора издала звук.
    Сотрудник пропускного режима махнул на меня рукой и вот я в учреждении со всем содержимым своей сумки.

Взгляд назад

Добрый вечер.
Редко я пишу, очень редко.
Сейчас открыв этот блог, пробежал глазами все то, о чем я писал и понял, что ничего не изменилось:
1) Вопрос квалифицированных кадров в ИБ.
Как не было, так и нет.
Откуда им взяться? В ВУЗах как была нехватка кадров по дисциплинам ИБ так и осталась.
Да...появился проект цифровой экономики, при нем комитет ИБ и большое количество планов и программ.
2) Мониторинг турбин или других спецсблоков ТЭК из-за рубежа.
Да появился 187ФЗ, сроки...Но кто-то реально побежал отказываться от мониторинга этого?
3) Криптолокеры, майнеры. Сколько уж писано-переписано и все-равно каждая организация до сих пор страдает или удивляется, как за счет их кто-то себе немного криптовалюты приобрел.
4) АСУНО? Вообще ничего.
Да и даже выходили на муниципалитеты, показывали 187 ФЗ (можно его туда приписать).
5) DLP. Возвращаемся к пункту 1. Отсутствие кадров дает возможность продать высокомаржинальные продукты. А Цели? Да кто их поймет эти цели:)
Это мой взляд.
Но у меня накопилось много забавных историй - и я могу ими с Вами поделиться)

Системы АСУНО и информационная безопасность.

Системы управления наружным освещением (они же АСУНО) приобретают все большую популярность. Рост этой популярности, как обычно, связан с «рынком».
Чтобы понять, почему вопросы информационной безопасности зачастую не рассматриваются, давайте рассмотрим весь процесс роста популярности подобных систем.
В последние годы в России популярны договоры концессии и энергосервисные контракты.
Между данными типами договора есть разница, но вникать в нее (в разницу) мы не будем.
Как правило, под энергосервисом понимается некая работа инвестора, достижение заранее оговоренной экономии и поэтапная выплата инвестору денег (лет 5-7).
Например, есть небольшой город, меняются все лампы уличного освещения, достигается некая экономия, после чего инвестор на протяжении некого срока (как правило 5 лет) «отбивает» свои деньги.
Как можно догадаться рынок уже достаточно конкурентен, городов в России много (если верить открытым источникам, то статус города имеют 1100 населенных пунктов согласно переписи населения), а значит надо как-то снижать себестоимость, предлагать свои программные продукты и уже сейчас вы найдете достаточно много систем АСУНО для выбора.
Конечно, иногда такие системы делаются для галочки, чтобы успеть за конкурентами и ни о какой проработки вопросов информационной безопасности речь не идет.
На днях, мне попалось две системы АСУНО, пользуясь случаем я их «посмотрел».
Расписывать не буду, но мне удачно удалось их просканировать (под удачно я имею ввиду то, что поток сканирования не был заблокирован), понять, что вход осуществляется по логину-паролю и никакой защиты от перебора пароля не установлено, не существует какого-либо дополнительного идентификатора (IP, mac) для входа.

Думаю, что даже перечисленного вполне хватит.
Хотелось бы также указать на чисто экономическую составляющую:
Ремарка: недавно на одном из ресурсов вспоминали, что криптовалютные майнеры в нью-йоркском Платтсбурге потребляя электроэнергию и превысили значения, выделяемые городу по контракту с компанией Quebec Hydro, что привело к дополнительным закупкам и «выходу» из рамок бюджета.
Таким образом, если даже представить, что злоумышленник, получив доступ, только изменил время включения/отключения освещения, то это уже приведет к конкретным финансовым потерям, в нашем случае, инвестора по энергосервисному контракту, так как не будет достигнута заданная экономия.
Недавно, многие пользователи соцсетей ретривели статью про найденные уязвимости в системах поливах. Возможно, когда-то во всех наших городах и будут реализованы эти системы, но думаю, что централизованная система освещения появится раньше.
Сказать можно даже больше, что эти системы вполне можно отнести к системам КИИ (ФЗ №187), как элемент дорожной инфраструктуры.

Возьмете ли Вы сотрудника со своим бизнесом?

Возьмете ли Вы к себе сотрудника со своим бизнесом?

Не секрет, что многие организации негативно смотрят на наличие своего бизнеса у сотрудников.
Основных причин, на мой взгляд, три:
1) считается, что сотрудник не "будет отдаваться Вам полностью".
2) есть риски, что он будет пытаться выводить клиентов на свою организацию.
3) такими сотрудников сложно управлять.

Лично я не согласен по всем пунктам:

1) Да, есть случаи, когда сотрудник злоупотребляет доверием, но они могут им злоупотреблять равновероятно и по другим причинам и своим моральным качествам.
А любой адекватный человек, который имеет семью, увлечения, цели "отдаваться полностью" Вам не будет в любом случае.

2) Опять же на мой взгляд, люди, которые состоят в юр лицах более контролируемые и честные.
Увезти проекты через организации родственников, друзей и прочее кажется даже более вероятным.
А схема "перепишите на жену", по прежнему работает, но ситуацию это не меняет.
Опять же даже по работе мы раскрывали сотрудников, которые довольно нагло и глупо предлагали услуги своих ИП, но поверьте мне, пообщавшись с ними, понимаешь, что делали именно в людях.

3)  Здесь буду краток. Любым ценным сотрудником сложно управлять. На мой взгляд, организация, ставящая перед собой сколь угодно высокие цели, должна держать в штате именно "ценных" сотрудников.

Я считаю, что наличие юр лиц, зачастую, говорит о том, что у человека есть как минимум амбиции, как максимум знания, а может быть и глубокие знания в какой-либо области.
Я еще не видел ни одного руководителя, который бы не жаловался на то, что его сотрудники без инициативы, без понимания рынка, без обширных знаний в своей области.

Но как думаете Вы?

Указ Президента Российской Федерации от 02.03.2018 № 98 "О внесении изменения в перечень сведений, отнесенных к государственной тайне, утвержденный Указом Президента Российской Федерации от 30 ноября 1995 г. № 1203"

Добрый день, друзья!

Итак,  вышел новый Указ Президента Российской Федерации от 02.03.2018 № 98 "О внесении изменения в перечень сведений, отнесенных к государственной тайне, утвержденный Указом Президента Российской Федерации от 30 ноября 1995 г. № 1203".
Ознакомиться с ним можно здесь:

http://publication.pravo.gov.ru/Document/View/0001201803020009?index=0&rangeSize=1

Я не хочу обсуждать вопросы, которые уже вовсю обсуждают коллеги и, которые уже написали обзоры в своих блогах и социальных сетях.
Я бы хотел посмотреть на это со стороны закупочной деятельности и проведения аудитов защищенности (ну и в целом, на мой взгляд это угроза безопасности).

1) Многие организации подпадают под ФЗ 44 или ФЗ 223 - организация закупочной деятельности.
2) Многие коллеги торгуя работы по внедрению систем безопасности, например, по ПП 458 (ФЗ 256, безопасность объектов ТЭК) выставляют в закупочной документации требования, что разработанный проект или иная документация отправляется потенциальному участнику торга только после подписания НДА ну или иного перечня документации.
3) Например, же в моей организации закупочный блок и юридический блок, жестко стояли на других позициях.
Документы по заявкам - нарушение закона и, кстати, где-то я их тоже понимаю + на тот момент ФАС начал за это штрафовать.
Докажи нам, что это гостайна и мы не будем выкладывать проекты, над которыми ты так трясешься.

Таким образом, надеюсь, что данный УКАЗ (конечно, его придется, скорее всего натягивать), будет тем аргументом, который спасет выкладку готовой документации в свободный доступ. Один раз я даже заставил отменить торги, за что сильно "получил".

 Другой пример:
При проведении аудита мы принесли весь проект директору по безопасности, проект его видеонаблюдения + физическом осмотре отключили (заглушили) две камеры (только они) работы по вай-фай, на вопрос как Вы узнали, что на всем многокм периметре есть именно они и где Вы его взяли - мы ему объяснили, что согласно 223ФЗ Ваша организация выложила проекты на портал гоззакупок.

Вот такие 2 примера из моей практики.

Про кредиты онлайн и действия РКН

Добрый вечер, друзья!

Все-таки что-то интересное писать времени не так много, но сейчас решил осветить, опять-таки, с чем может столкнуться каждый (но, надеюсь, не столкнетесь).

1) Жене моего друга и моему другу стали звонить из микрофинансовой компании, в которой, как оказалось, он (с их точки зрения) брал кредит и не вернул его.
Как выяснилось, для получения кредита достаточно было указать паспортные данные, какой-нить сотовый, куда придет подтверждение по смс и ссылку на социальную страницу.
В данном случае, видимо, были получены где-то паспортные данные, найти страницу не так сложно, так как ФИО не такие распространенные.
Так вот, посоветовал в первую очередь, отправить им официальный запрос из каких источников они получили информацию о личных мобильных номерах.
В процессе общения, кстати, они даже сообщили изначальный липовый номер телефона, который был указан в анкете на займ.
Как я понял, после данного письма звонки прекратились и друг про них и забыл.


2) Недавно пошли звонки от коллекторов по данному долгу.
Ради интереса зашел на их сайт, где в согласии на обработку идет ссылка на Политику обработки ПДн, в которой написано, что передача персональных данных третьим лицам только с письменного согласия.
Забыли что-ли они как в начале тематики персональных данных банки активно штрафовали за передачу персональных данных коллекторам.

3) Посоветовал другу написать заявление в полицию о факте мошенничества и заявление отправить в РКН и на всякий случай найти юриста, который на антиколлекторах специализируется.
Ну так вот ответ РКН мне очень интересно узнать.
У меня уже будет некая выборка из реальных обращений к ним и их отработка)

Про получение данных о состоянии банковского счета

Сегодня стал свидетелем ситуации, при которой сотрудник хочет узнать подробности одного из счетов юридических лиц.

Итак, информация, которую запросили:

1) Наименование организации.
2) Имя.
3) Номер счета.

Как Вы понимаете наименование и номер счета данные, которые получить достаточно просто.
Имя хватило действительно только имени, никакой проверки по данной информации нет.

Услышав этот диалог я недоуменно поинтересовался, неужели эта вся проверка, на что мой товарищ сообщил, что проверят так же сведения по последним операциям.

И действительно:

4) Любая сумма последнего прихода или расхода.

И вот уже после этого удалось узнать подробности счета (точный остаток, статус арестов, состояние по различным долгам).

Так вот я к чему, если игра стоит свеч в рамках этого же дня я отправлю на счет, о котором хочу узнать подробности какую-нить сумму  некруглую, чтобы мой ответ был убедителен для ответа на вопрос №4, найти информацию по вопросам №1-3 труда не составляет.

Подумали мы с товарищем, а что можно еще сделать по телефону, пришли к выводу, что риски именно информационные о состоянии счета, также полученную информацию можно использовать для убедительности атаки на главного бухгалтера например.

Кстати, мой товарищ формально не является сотрудников организации о которой запрашивал информацию.