В ущерб побуквенному чтению обсудим методологию.
Существует стандартный подход к оценке и обработке рисков: перемножаем ущербы от реализации угроз на вероятности реализации этих угроз – имеем величины рисков. Выбираем некий порог приемлемости и со всеми вышедшими за него рисками что-то делаем. Потом вычитаем из них это что-то и остаточные риски опять сравниваем с порогом, с излишками опять что-то делаем. А если неоправданно дорого, то не делаем, стоически терпим. И все это по кругу, потому что со временем ущербы/угрозы/вероятности меняются. Иногда еще вносят дополнительные коэффициенты – например, поправку на простоту реализации угроз, но можно это и в вероятностях пытаться учесть, флаг в руки, никто не запрещает.
С ИБ разобрались, теперь крем по-каталонски. Шутка.
Чем отличается подход родного государства к защите персональных данных. Во-первых, эрзацем ущерба является состав персональных данных – сделано допущение, что от философских персональных данных вреда больше, чем от физиологических, а от общедоступных меньше, чем от ограниченного распространения. Ну, ладно. Дальше вероятность заменена актуальностью: все угрозы с нулевой вероятностью неактуальны, все угрозы с отличной от нуля вероятностью актуальны. Одинаково актуальны, что немаловажно. Где же тогда учтено, что какое-то событие случается один раз в сто лет, а какое-то миллион в час? Для этого введена интересная компенсация – число субъектов и т.н. исходная защищенность. Определенная логика в этом есть: база оператора мобильной связи ликвиднее, чем часть базы, в глобальных сетях врагов больше, чем в локальных и т.п., так что это действительно коррелирует с качеством и количеством атак. Вот, собственно, и все: эрзац ущерба на первообразную вероятности, а с приемлемыми и остаточными никто не морочится – актуальность либо есть, либо нет.
Крем по-каталонски: растереть желтки с сахаром, добавить молоко, корицу и кукурузный крахмал, уварить, охладить, есть.
Типология НДВ выпала, да? А вот некуда ее там приткнуть. В случае абстрактных СЗИ и НДВ оно бы складно: есть штатный механизм, которому вполне доверяешь – накладное решение можешь не ставить; нельзя быть уверенным, что механизм нормальный – поставь наложенное средство. "Надежно, добротно, хорошо!". В реальности, НДВ в ОС и прикладе делают персональные данные уязвимыми для одного множества угроз, имеющиеся на рынке СЗИ защищают от другого, почти не пересекающегося, кроме них есть еще и третье. Итого: бага в самом алгоритме определения УЗПДн, на которых все будет строиться, угроза патча постановления Правительства документом регулятора неактуальна, продажи сертификатов на отсутствие НДВ растут, для субъектов персональных данных прогноз негативный, операторам пофиг – привыкли.
Существует стандартный подход к оценке и обработке рисков: перемножаем ущербы от реализации угроз на вероятности реализации этих угроз – имеем величины рисков. Выбираем некий порог приемлемости и со всеми вышедшими за него рисками что-то делаем. Потом вычитаем из них это что-то и остаточные риски опять сравниваем с порогом, с излишками опять что-то делаем. А если неоправданно дорого, то не делаем, стоически терпим. И все это по кругу, потому что со временем ущербы/угрозы/вероятности меняются. Иногда еще вносят дополнительные коэффициенты – например, поправку на простоту реализации угроз, но можно это и в вероятностях пытаться учесть, флаг в руки, никто не запрещает.
С ИБ разобрались, теперь крем по-каталонски. Шутка.
Чем отличается подход родного государства к защите персональных данных. Во-первых, эрзацем ущерба является состав персональных данных – сделано допущение, что от философских персональных данных вреда больше, чем от физиологических, а от общедоступных меньше, чем от ограниченного распространения. Ну, ладно. Дальше вероятность заменена актуальностью: все угрозы с нулевой вероятностью неактуальны, все угрозы с отличной от нуля вероятностью актуальны. Одинаково актуальны, что немаловажно. Где же тогда учтено, что какое-то событие случается один раз в сто лет, а какое-то миллион в час? Для этого введена интересная компенсация – число субъектов и т.н. исходная защищенность. Определенная логика в этом есть: база оператора мобильной связи ликвиднее, чем часть базы, в глобальных сетях врагов больше, чем в локальных и т.п., так что это действительно коррелирует с качеством и количеством атак. Вот, собственно, и все: эрзац ущерба на первообразную вероятности, а с приемлемыми и остаточными никто не морочится – актуальность либо есть, либо нет.
Крем по-каталонски: растереть желтки с сахаром, добавить молоко, корицу и кукурузный крахмал, уварить, охладить, есть.
Типология НДВ выпала, да? А вот некуда ее там приткнуть. В случае абстрактных СЗИ и НДВ оно бы складно: есть штатный механизм, которому вполне доверяешь – накладное решение можешь не ставить; нельзя быть уверенным, что механизм нормальный – поставь наложенное средство. "Надежно, добротно, хорошо!". В реальности, НДВ в ОС и прикладе делают персональные данные уязвимыми для одного множества угроз, имеющиеся на рынке СЗИ защищают от другого, почти не пересекающегося, кроме них есть еще и третье. Итого: бага в самом алгоритме определения УЗПДн, на которых все будет строиться, угроза патча постановления Правительства документом регулятора неактуальна, продажи сертификатов на отсутствие НДВ растут, для субъектов персональных данных прогноз негативный, операторам пофиг – привыкли.
3 комментария:
Оператору глубоко плевать на субъекта, он оценивал, оценивает и будет оценивать только ущерб себе любимому и делать ровно столько, чтобы снизить его до приемлемого для себя уровня.
капитализм
Заметил, что при дословном выполнении 4-го абзаца пункта 5, система обрабатывающая и общедоступные и иные ПДн вообще выпадает из классификации по уровню защищенности. Кто и что об этом думает?
Отправить комментарий