О способах говорить "нет"

Информационный безопасник, даже вышедший уже из того счастливого возраста, когда сортировка явлений на два противоположных полюса (добро-зло, черное-белое, физики-лирики, экстраверты-интроверты, интеллигенты-биомасса и т.п.) обеспечивала важную функцию защиты мозга от скорости освоения окружающей действительности, все равно испытывает сильное влияние бинарного характера современных цифровых технологий. А может, ему нравится симулировать уставную четкость, оперируя "разрешаю" и "отставить". Так или иначе, но факт остается фактом: политики создают сущие роботы, мыслящие в категориях permit и deny. Это правильно интерпретируется техническими средствами, но вот досада – на предприятии есть и рудиментарные белковые формы, в просторечии именуемые юзерами.

Представьте, что попали в мир одноранговых запретов: "не убий", "по газонам не ходить", "на борту костры не разводить" и "дежурную по эскалатору не отвлекать" не имеют градации по тяжести нарушения. Это – именно то, что сейчас видят в инструкциях по ИБ те, кому их приходится читать. Или, если такой пример ближе, есть ПДД, но к ним нет КОАПа, только приписка о возможности ответственности. Через какое-то время приходит наблюдение, что железная длань работает весьма странно: то могут месяцами мышей не ловить, прикрывать глаза, неодобрительно коситься, предупреждать и отпускать, а то наоборот – драть штрафы, применять захват и порываться сдать в кутузку. За нарушения одной и той же инструкции, сволочи!

Если дать человеку достаточно времени для получения эмпирического знания, какие ваши запреты табу-табу, а какие "если нельзя, но очень хочется...", то закономерность он выстроит. Но за это время будут ошибки, которые обеим сторонам могут стоить. Вместо этого разделите сразу: "категорически запрещается а), б), в), г)", "крайне не рекомендуется а), б), в)", "является допустимой, но нежелательной практикой а, б)". Если нет сил на свой мини-кодекс о нарушениях, у супостатов иногда называемый формальным дисциплинарным процессом.

В конце концов, сможете хотя бы для себя определить, какие инциденты готовы спускать, а какие нельзя оставлять без жесткой реакции даже при самой дикой загруженности. Поверьте, что принципы неизбежности, своевременности, обоснованности наказания человечеством рождены не случайно, а необходимы для обеспечения эффективности системы, которая не столько для мести, как для удержания.

5 проблем управления информационной безопасностью на основе оценки рисков

Увидел рекламные материалы к одному хорошему мероприятию по ИБ (одному из двух, на которые до сих пор хожу) и вспомнил, что давно риск-ориентированный подход не полоскал. Вообще, будь он хорош – давно бы стоял на службе человечества и имел десятки реализаций под Android: тут как с шилом в мешке из поговорки или какающими евреями из анекдота, которые иначе бы кого-нибудь наняли. Но все же по пунктам.

1. Это удивительно, но до недавнего времени ведущие практики, и исо27тыщ не исключение, предлагали разбирать всю область на т.н. активы, для каждого выявлять уязвимости и оценивать последствия/вероятности их использования – это, типа, и есть риски. Фигурально говоря, берем автомобиль и давай его декомпозировать на партнамберы: вот шпилька ступицы, есть опасность сломать, шансы самопроизвольного выпадения небольшие, перегореть не может, подмена неизвестным злоумышленником на неоригинальную маловероятна, а вот шина, вероятность прокола большая, и сверхнормативного износа тоже большая, и еще кражи тоже, но хоть коррозии нулевая; а вот бензонасос... и так до конца каталога. Очевидная проблема: вся эта огромная матрица принимать реальные решения (обгонять / не обгонять, страховать / не страховать, дополнительная противоугонка / сойдет заводская, ТО у официала / да ну его) не помогает потом совершенно. Ну, может, не совершенно, но обычная обывательская рассуждалка дает результаты точно не хуже.
Так что вот такая вот засада: системный подход работает, но "низенько-низенько" (хотите – убеждайтесь сами, года два-три на это уходит), а бессистемный – шаманство. Есть там всякие хинты (какие-то риски можно найти, определив цели и анализируя причины, влияющие на их недостижение, какие-то спрогнозировать из ожидаемой модели поведения нарушителей, какие-то взять с потолка ужасно мозговым штурмом и т.п.), но все же свободное творчество, сильно зависящее от мастерства и интуиции.

2. Ментальная ловушка безопасника – определить защищаемую информацию (или даже рассортировать каким-то образом) и назвать нарушения ее свойств рисками. А это не риски! Смотрите, события обычно собираются в цепочку: «Не стоят последние патчи» - «И что?» - «Может произойти ознакомление с персданными к ним не допущенных» - «Оно у нас каждый час происходит в той или иной форме, и что?» - «А субъект, если узнает, может нажаловаться» - «И что?» - «И придет проверка» - «И что?» - «И найдет нарушения» - «И что?» - «И мы не сможем их устранить в ходе проверки» - «И что?» - «И нам выпишут предписание» - «И что?» - «И мы его почему-то не выполним» - «Странно, и что?» - «И нам присудят штраф». Вот где здесь рисковое событие для организации? Его здесь вообще нет, пожалуй, оно на следующем шаге («И нам не хватит денег заплатить аренду»). А разглашение персданных – это не риск, а возможная причина причины причины причины возникновения, да вдобавок только одна из.
Цепочка может ветвиться. Например, от предписания может отходить ветка «и опубликует на сайте, что мы нарушаем», упирающаяся в падение имиджа и отток клиентов. Или, например, от проверки ответвляется «и заметит использование радиодиапазона без разрешительных документов». Или нарушение может сразу пойти в прокуратуру для принятия мер реагирования. В таких случаях тут несколько рисков напрашивается, но все равно не заключающихся в разглашении персданных, а связанных с.

3. Смысл всей возни с рисками – в их оценивании, оно нужно для принятия решений: этот слишком мал, чтобы вкладываться в противодействие, а этот так велик, что заберем деньги из договора на проведение работ по охране труда. Это только в легенде безопасности много не бывает, реальная организация всегда вынуждена делать какой-то выбор. Чтобы сравнивать риски, нужно, чтобы они были посчитаны (в одинаковых единицах), и считаются они произведением ущерба на вероятность наступления. С ущербом все не так плохо: чаще всего просто есть вариативность (коньяк vs штраф, потеря единичных клиентов vs массовая и пр.), и это всего лишь надо рассматривать как разные рисковые сценарии, а сами-то последствия вообразимы.
С вероятностью хуже. Даже если у вас или у соседа есть статистика подобных событий в прошлом (каковая далеко не по всем рискам есть), ее обычно нельзя взять «в лоб». Скажем, в мире отмечено 100 прецедентов Stuxnet, но это не в год, а всего, и чтобы прикинуть на следующий год, это уже надо что-то вычесть и разделить, и это что-то в доступных источниках отсутствует. Опять же, это не равномерно по миру, а тяготеет к одному региону, и для «в среднем» надо какой-то поправочный коэффициент взять – какой? Но учетом последней антироссийской волны Россия – тоже не средняя, и это еще один поправочный коэффициент надо как-то экспертным путем… А сколько событий вообще прежде не происходило! Представьте, что какой-то год назад Вас бы просили оценить вероятность введения вайфая по паспортам – прикидываете разброс в оценках? Беда в том, что приблизительно оцененный риск будет сравниваться – с другими вашими рисками, с рисками, поданными другими подразделениями, и погрешность принятых на основе этого решений «мама дорогая».

4. Но предстоит оценивать еще и остаточный риск – риск после принятия контрмеры (направленной на какую-то из причин или причин причин). Часто это происходит уже и при первичной оценке, чтобы сказать, достаточно ли такой контрмеры, как предложена, а при периодической переоценке всегда. И тут недостоверность возрастает еще больше.
Знаете, на сколько (цифра!) упадет вероятность НСД от разработки правил и процедур ограничения программной среды или от сбора и хранения информации о событиях безопасности в течение установленного времени хранения? Точно знаете? Попробуйте только сказать, что не знаете, и ни в жизнь не пропихнете меру, не обоснованную с точки зрения оценки рисков. Можно отмазаться и заявить, что это не совсем мера, а условие работы другой меры (например, обнаружение инцидентов и принятие мер по предотвращению повторного возникновения), но тогда ее влияние на вероятность будущих НСД оцените-ка.

5. Новости в этих ваших интернетах каждый день читаете? Надо читать даже псаки, если это может дать повод для внепланового обновления оценки рисков. Три свежие утечки баз паролей – прекрасный повод переоценить то, что связано с вирусной активностью или осведомленностью пользователей о фишинге и, возможно, усилить меры. Вот только аяяй: времени на это не было запланировано (оно никогда заранее не запланировано), только на чтение и хватает. И на связанные с бэкдорами в программном и аппаратном обеспечении западных вендоров им. тов. Сноудена в этом году уже не нашлось, и на связанные с прекращением поддержки иностранным производителем по независящим от него санкционным причинам не нашлось, и опять как назло не находится, да?

А так остальное легко. Я, правда, иной раз задумываюсь, а есть ли остальное-то, но как посмотришь очередную презентацию – до фига.

О применимости ИБ-аналитики из интернетов

Пока намеревался объяснить перманентную аллергию на цветистые отчеты об исследованиях, их еще десяток подвалило - теперь не угадаешь, кто все на свой счет примет.

Конечно, у этих парней есть и свои грязные методы: нелинейная разметка шкалы, искажение пропорций при перспективе, выдача корреляции за причинно-следственную связь, программирующие вопросы и пр. – исчерпывающий список манипуляций нагуглить нетрудно.
Но давайте, однако, допустим, что всем этим грешит кто угодно другой, а перед нами отчет, заслуживающий высокое доверие. Пусть и не от независимой ассоциации (которых у нас толком нет, а заморские варятся в иной реальности), зато от такого вендора, который точно пока не мухлюет: куча друзей там работает, и все бьют себя пяткой в грудь.
Вообще умилительно, конечно, выглядит ИБ-исследование от продавца таковых продуктов или услуг. Уже самим фактом. Это как установщик автосигнализаций, вещающий о частоте угонов, или пугающая статистика кариесов от производителя жвачки. Но в стране высокой морали - почему бы и нет.
Итак, отчего даже самым неполживым и рукопожатным отчетом можно пользоваться только для демонстрации руководству, что уж у вас-то доступ в Интернет для производственной надобности – вон опять какой нехилый pdf-ник надыбал, буду теперь неделю читать.

Перво-наперво, никто не отменял своеобразие выборок. Ситуация вполне описывается анекдотом «по опросу, проведенному в Интернете, 100% россиян пользуются Интернетом». Так, если данные об инцидентах собраны из открытой прессы, в них будут компании, которые вынуждены их публиковать (имеют листинг на бирже, например). Болезни таких игроков не обязательно характеризуют и ваши. Кроме того, там не все утечки, а только определенных типов данных. Или если автор отчета опрашивал компании, с которыми у него есть контакты – извините, но в базе контактов DLP-вендора, к примеру, сплошь такие, кого скука и лишние деньги привели к покупке DLP или интересу к ним. И статистика по аудитам защищенности тоже будет не из всех мест, а из таких, на которые аудитору пальцем показали – то какая-нибудь слабая «дочка», которую надо давно было выпороть за игнор корпоративных требований, а то напротив – самый свежезащищенный сегмент, чтобы явить руководству свидетельство, какие мы молодцы. И т.п.

Другая проблема также банальна: респондент сообщает не то, что есть, а то, что он о себе думает, или хочет, что бы другие о нем думали. Поэтому длина пениса, полученная методом опросов, у нас измеряется в аршинах, а посещения ГМИИ в десятках - урологи и билетерши недоумевают. Обычно для опрашиваемого ответ не является анонимным: он отвечает на присланный опросник с адреса, на который тот пришел, так что ресурсов у него всегда вагон, СЗИ каких еще только нет, а вот фейлами бог обделил. Но даже и через веб-форму, объективен он не будет. Про телефон совсем не говорим.

Еще одна причина ошибок – тяготение к дискретности: аналитикам завсегда хочется разложить по столбикам все богатство сценариев, и чтобы не больше девяти. Получается классическое «умные налево, красивые направо». Куда отнести сфотографированные телефоном материалы к Правлению авиакомпании с топовой в обоих смыслах тайной – это утечка документов, визуальной информации или через носители? А пофиг, в общем-то.

Четвертая бага – подмена тезиса. Опытный маркетолог этим пользуется умышленно, ловко и цинично: декларируется 60%ный эффект уже в первую неделю применения, и покупатель представляет 60%ное увеличение объема волос, а на самом деле 60% членов фокус-группы подтвердили некий эффект уже в первую неделю (впрочем, довольно слабый и сопровождавшийся крапивницей), о чем честно сказано внизу мелким шрифтом. Прием наверняка имеет название, да я кроме сборника пословиц и поговорок ничего не читал.
Но наш автор не такой и проделывает это без всякой задней мысли – просто он сначала собрал данные, а потом сообразил, как их красивше представить. Скажем, 30% его респондентов на первое место поставили риски епочты, остальные – какие-то другие. Он ничтоже сумняшеся рисует пирог и подписывает: по мнению наших респондентов 30% опасностей таит епочта, еще столько-то голубиная, пневмо и пр.
Ну, дружок, у тех, кто поставил на первое место епочту, на ее счету могло быть и 14% проблем (просто на счету иных источников еще меньше: 12, 11 и еще семь по 9), а у поставивших на первое место что-то другое она вообще породила только 1% - вот откуда тут итог 30? Могло и наоборот: у первых епочта дала 86%, а у вторых 40 (но это меньше, чем факс с его 42) – и тоже ни разу не 30% должно было набежать, да?

И последнее, о чем хочется напомнить: среднего может запросто не существовать в природе. Знаете же, что у среднего американца одно яйцо и одна сиська? Если вы работаете в фирме среднего калибра, это не значит, что на усредненной диаграммке изображены как раз вы. Как нет в природе ни одного реального человека с 0.9 кредитных карт, 0.4 компьютера и 0.2 автомобиля, так может и не быть той организации с 980 атак в сутки и ущербом в диапазоне $50000 – $100000, которая так красочно отрисована в 3D.

Когда формула "ущерб Х вероятность" не верна

Если что-то написано везде, оно от этого еще не становится правдой – только нормой.

Информационная безопасность заражена т.н. риск-ориентированным подходом, при котором выбор защитных мер базируется на оценке тяжести последствий и вероятности их наступления, а обе они берутся из опыта. Обычно это можно и нужно делать.

Но существуют ситуации, когда бороться надо с любой ненулевой вероятности угрозой, исходя из потенциально возможных последствий в самом худшем случае (т.е. полностью гипотетического worst case), а не реальной их статистики в прошлом или у коллег.

Простой и явный тому пример – промышленные системы. Представьте, что Вас ничему не учили, и ответьте непредвзято: Вы готовы мириться с получением хакерами контроля над АЭС, НПЗ и прочим Сапсаном на том только основании, что прежде им хватило здравомыслия ничего там не покрутить? А вот грамотный безопасник стал бы мириться, раз по статистике недоступность обычно в минутах, а ущербы в копейках.

Подозрительно революционно? Все уже украдено до нас: найдите в УК покушения и подумайте, что они там делают.

З.ы. В следующем посте расскажу, почему при обнаружении любой аналитики по ИБ в виде диаграмм можно сразу хвататься за пистолет. Но это я так сам себя обязываю, чтобы не профилонить, а не подписываться призываю.

Крымский импульс в ИБ или It's the end of the world as we know it

Независимо от того, чем кончится вся эта околоукраинская история, и на чьей стороне ваши в ней симпатии, исторический перелом для ИБ уже произошел. Уже совершенно точно можно говорить, что система представлений о мире, бывшая в головах ИБ-шников и их нанимателей, после марта 2014 оказалась в прошлом. Случившееся в чем-то аналогично американскому 9/11, когда обрушение башен произошло в минуты, а эффект от него развивался годы: сама новая реальность уже здесь, это только ее осмысление еще сколько-то займет.

Был ли у вас формальный анализ рисков или нет, но внутри-то он был. Некие субъективные экспертные оценки надежности чего-то или возможности чего-то двигали реализацией защитных мер. Теперь это вчерашние оценки. Этап, через который сейчас предстоит проходить – крах старых стереотипов доверия, веры (о которой я тут исключительно в проекции ИБ говорю).

Вы верили, что зарубежный ЦОД в 38 раз меньше подвержен внезапному закрытию, чем находящийся в поле действия нашей правоохранительной системы? Возможно, что это не так.

Вы верили, что заокеанский производитель СУБД будет ее сопровождать, пока за это заплачены деньги? Это тоже запросто может оказаться не так.

Вы верили, что предприятие может пользоваться облачным сервисом от IT-гиганта? Списанный сервак на третьем новелле под варп-коннектом может дать ему сто очков форы по доступности.

Вы верили, что угрозы, связанные с наличием НДВ в системном программном обеспечении не актуальны при условии использования СПО ведущих мировых производителей, полученного и установленного из надежного источника? Не факт совершенно.

Вы верили, что обиженный работник – это самый плохой тип внутреннего нарушителя? В мгновение ока хипстеры с айпэдами могут стать самыми большими врагами вашей служебной информации, если предприятие выпускает станки, а не шкурки для айтюнс. А ведь синхронность политических взглядов работника и работодателя давно не была критерием для мониторинга и коррекции лояльности.

Вы верили, что порядок инвестиций родного предприятия в ИБ будет сохраняться примерно на том же уровне? На нее может вообще средств не найтись.

Вы верили, что деньги на счете PayPal не могут заморозить из-за разногласий какого-то главы МИДа с иностранными коллегами? Могут.

Я не знаю, на каком ресурсе Вы читаете эту перепечатку, поэтому другие животрепещущие примеры додумайте сами.

И примите как данность, что все внешние по отношению к вам силы тоже сейчас все переосмысливают – от китайских хакеров, если они кого-то волнуют, до госрегуляторов и законотворцев. А более всего бизнесы. И, кстати, не только наши, потому что сигнал, например, что стране НАТО не стоит доверять активы, если ты не из страны НАТО – это для всех сигнал.

В общем, жить нам теперь в каком-то другом мире, где реальный производитель более надежный работодатель, чем банк, лексикон лучше ворда, а подходящее место для дискового массива – в Байкале: подлодка всплыла, вахтовики сменились, и обратно.

Интересный кейс: позитивное vs этичное

Вот ведь как бывает – думаешь: закрою год и напишу что-нибудь гуманистическое и общеукрепляющее. Не в этот раз.

Одна компания специализируется на оценке защищенности. Список клиентов, естественно, висит на сайте.

И выпускает она отчет: три четверти наших клиентов вскрывается извне с небольшой квалификацией, 90% успеха дают подбор паролей и уязвимость протоколов канального/сетевого уровней, еще 75% открытые протоколы, 60% sql-инъекции, половина роутеров с простыми комьюнити и т.п.

Как говорится, велкам! Список, напомню, по-прежнему на сайте.

На жаргоне это наводка. Попробовали бы авторы на себя примерить. Автодилер, скажем, выложит номера прошедших ТО рядом с исследованием, что у 75% тросик открытия капота банально под правым локером спрятан. Или школа пусть напишет, что 40% учеников даже младших классов родители не забирают.

Хакинг сбивает нравственные ориентиры независимо от целей выполнения, это факт. Ментов тоже так среда портит, а вообще-то они хорошие.

Каким быть

А вот почему никто не говорит, что безопасник должен быть социальным инженером? Иногда случается, что ситуация зависит от пользователей, которые должны выполнить или наоборот не выполнять некоторое действие, а коммуникации с ними минимум. Десять секунд они что-то прочитали и нажали, и все – привет, Шишкин.

Например, пошел по электронной почте свежайший троян, антивирус пока ни один не ловит. Можно попробовать быстренько фильтр настроить на антиспаме по каким-то характерным словам в теле и заголовках письма, но у части юзеров такие письма уже в ящиках, кто-то уже открыл, а кто-то еще нет. И, может, полста их, а может, четыре тысячи.

Что делает информационная безопасность? Ожидаемо, она пишет и бродкастит алерт. «Уважаемые пользователи! Если Вы вчера или сегодня получали письмо якобы от хелпдеска, и там в зипе был outlook.exe, и Вы запустили, и антивирус не выдал предупреждения, срочно свяжитесь с хелпдеском – Вас надо чистить ручками.»

Мужики, так не надо отправлять – это же т.н. лампочка во рту. Этак тот, кто еще не открывал, он же найдет и откроет. Он тупо не помнит, чтобы с ним в последнее время антивирусы общались, надо проверить. А вдруг он сломался?

Для тех, кто совсем никогда не смотрел телевизор. Есть такой эстрадный юморист – Задорнов, ненавидим коллегами по цеху со времен МАИ за то, что не придумал ни одной шутки. А устраивает он, скажем, в зале конкурсы на самую смешную историю – пишите записочки и передавайте мне на сцену, автора одной я прямо сейчас похвалю (а на остальных потом деньги заработаю). Теперь, наверно, через сайт собирает. А в их среде это не фэйрплей всегда считалось, не по ильфопетровски это. Вот в его, Задорнова пересказе ходит прекрасная байка про лампочку во рту, по этим же словам и гуглится.

Одно дело, когда человек перед Вами или на двусторонней связи, и Вы можете его реакцию скорректировать. Но если нет, это надо четко попадать с первого раза. Причем по бухгалтерским мозгам, а не, например, айтишным.

Ван шот

Аллюзия на

Кэмел-анализ

Что скорость группы равна скорости самого медленного элемента не всегда, а лишь в том случае, если та не разделяется, обычно опускают, т.к. само собой подразумевается, что командир/пастух/караванщик имеет приоритет ее целостности. И когда эту аналогию переносят на комплекс средств защиты, про исключение людям не говорят. А зря, ибо и защищенность системы равна защищенности самого слабого звена не всегда.
По-простому: в дом два входа, его устойчивость к проникновению (через дверной проем) определяется более слабой дверью. А теперь эти же двери стоят на вход последовательно – устойчивость суммируйте. И еще чуток накидывайте за отсутствие знаний об устройстве второй до вскрытия первой.
Так что всем известная эшелонированная (она же многоуровневая) защита – прекрасная иллюстрация ограниченности закона медленного солдата/барана/верблюда.

А является ли двухфакторная защита одновременно и двухуровневой? Не автоматически.

Поразительный пример Тинькова-Мегафона - поразительный пример тому. Опуская подробности, управление клиента своим счетом через интернет-банк «прикрывалось» обратным взаимодействием с ним по СМС на мобильный номер - казалось бы, для успеха нужно ломать обе двери, однако нет.
Тиньковцы, изначально ориентированные на исключение очного контакта с клиентом и тем экономящие на персонале/офисах, предусмотрели сброс забытого пароля по СМС. А опсос предусмотрел отправку СМС не только с телефона, но и через портал. Итого: слабый пароль к личному кабинету абонента – настройка переадресации входящих СМС и отправка СМС на смену пароля от интернет-банка – заход в интернет-банк – перевод средств, не обнаруживаемый вкладчиком оперативно.
Взаимонеувязанные действия банка и опсоса разместили за одной дверью ключ от другой – и тогда это не двойные двери, а случай имени верблюда.

Ничего на жаре не упустил?

Информационная безопасность в стране безграничных ресурсов

Как известно, есть определенная возрастная категория, которая все делит на рулез и отстой. Вот нет ни третьего варианта, ни промежуточного: либо креативный либерал, либо зомбированное быдло; либо автор индустриального чуда и победитель фашизма, либо кровавый недоумок; либо полностью поддерживаю, либо статья ни о чем. Им даже интерфейсы такие делают: «нажми плюсик» / «нажми минусик» (как вариант, «нажми плюсик» / «не нажимай плюсик»). Или это они же сами их и делают?

А раз все вещи бывают только полностью черными или полностью белыми, то достаточно любой детали, чтобы судить о целом. Так что при максимализме неполная индукция – это абсолютно закономерно и нормально. Абсолютно закономерно и нормально, что часы полностью характеризуют главу церкви, гаишник госорганы, а Брюс Виллис Америку.

Бывает, расставание с детством затягивается. Иногда за счет искусственной изоляции сообщества подобных, иногда в силу автономной профессии, когда как в футляре: проекты, бюджеты, сроки – нет этого ничего, есть только Я и Объект (холст, код, латунная чушка), а договор, лимит, заказчики – метафизика какая-то.

В категоричных обобщениях они трогательно искренни. «Если на портале А существует уязвимость Б, вся их безопасность ни о чем», «Если из компании В произошла утечка Г, безопасность шарлатаны и бездельники» и «Если где-то не последний билд версии про, безопасность только на бумаге».

Есть лишь один случай, когда такие суждения справедливы. Это – случай безграничных ресурсов. Когда у безопасности достаточно людей, денег, свободного времени, то действительно не может быть уважительной причины попускать не самое навороченное что либо.
Отчасти еще и сама страна располагает: подсечное земледелие, ключи активации на что хошь и блюреи в торрентах – это ведь наше, родное. Страна у нас не очень богатых людей, но богатых безгранично.

Однако в реальных организациях этого нет.
Т.н. подход, основанный на оценке рисков (которую я люблю как мыши кактус) – это ведь от нужды, от необходимости выбирать, невозможности сделать все имеющимися ресурсами.

В чем они могут быть правы. Безопасникам (особенно если не ИБ-шники, а ЗИ-шники) свойственно недооценивать приоритетность обеспечения целостности и доступности не обладающего конфиденциальностью. В принципе, это как раз ошибка в оценке рисков, если то единственное, по чему о Вас судит молодежь из социальной сети, у Вас где-то на 135-ом месте стояло.

Нужна концовка.
Ну, чему это нас учит. Лично меня – добавлять в аналогичных ситуациях «если бы»:
- Если бы это был единственный перекресток в городе,..
- Если бы это было главной проблемой нашей судебной системы,..
- Если бы вирус пребывал в пробирке, а не организме измученного нарзаном,..

Кто китаец

Когда-то, в моем случае - летом 85-го, мы ржали над китайцами: откуда-то вынырнула пачка похожих шуток насчет индустриальной развитости. "В Китае запущена новая мощная электростанция - 100000 китайчат в шерстяных трусиках ползут по эбонитовой балке", "человеческой трагедией завершилась попытка запуска первого китайского спутника: погибли сам космонавт и 20000 человек, не успевших отпустить рогатку", были там также вёсельные подлодки и летательные аппараты со штатом кочегаров (стимпанк, однако).

Надысь наши узрели возможность отыграть информационные очки, неуклюже потерянные в кампании против Pussy Riot, продемонстрировав государственную заботу о религиозных чувствах отнюдь не только православных граждан, и тем опять вскрыли факт существования и принцип работы великого русского файрвола: 20000 провайдеров по команде регулятора ползают по настройкам 1000000 фильтров в шерстяных, фактически, трусиках.

Судя по случаям отказа (как в конце февраля, например), китайский брат стоит в узлах обмена трафиком, администрируется из одного места и иногда не работает, а не иногда работает.

Горе от ума

Из моей практики, основную массу ущербов дает потеря доступности, утечки нервно курят. Невозможность принять зрячее решение, отпустить клиенту, заплатить поставщику, заказать перевозку – вот что бьет по бизнесу в первую очередь. И в телегах, по которым приходится проводить разбирательства, продолжительная недоступность держит подавляющее большинство.

Но тут интересный момент. Русский ум – он же пытливый, он до самой сути докопаться хочет. Ведь потребитель IT-услуг от чего пострадал? От простоя он пострадал. От того, что больше трех часов до системы доступиться не мог, или что в ответ что-то не му-му. Что на его месте выкатили бы потом задорновские тупые американцы? Это бы и выкатили – "просим разобраться в причинах трехчасового простоя, чтобы он не повторялся never more". Наши не, наши сразу в корень зрят: "просим выяснить причины сбоя и наказать виновных".

Сбой-то, конечно, первопричина последовавшего затем простоя. Но неприемлемая для потребителя продолжительность обеспечена не им обычно, а сроком и качеством ремонтно-восстановительных работ она обеспечена. ПО сложное, железо навороченное – что-то сглюкнуло. Админы через полтора часа только обнаружили, полчаса перефутболивали друг-дружке, час курили логи, додумались лишь до ребута, но это помогло. Если искать причины трехчасового простоя, то это неудовлетворительная организация работ в поддержке, гонять их ссаными тряпками надо. Но раз заказчика почему-то интересуют причины сбоя – не вопрос: заводим тикет у вендора, отдаем ему логи, через пару недель получаем ответ и воспроизводим as is.

Если честно, то это удобно. Можно показать админу, что ты нашел его вину, но автору телеги ответил, что причиной сбоя явилась неустановленная ошибка ПО. За это с него теперь еще один терминальный сервер и настройка агентов системы мониторинга.

Кони, люди

Кто давно занимается ИБ, тот знает, что бывают несоответствия и инциденты. И даже, возможно, что инциденты бывают разной степени тяжести, а их названия обратны ИТ-шной практике. Но это нам во второй раз не интересно.

Несоответствие – это расхождение между писаным требованием и реализацией. Ходит себе внутренний аудитор с внутренними себе аудитами и записывает: "не стоят критические патчи за три месяца, а по регламенту можно за один – несоответствие", "не назначен ответственный за хранение резервных лент, а по закону нужно было еще в июле – несоответствие", "ограничительный гриф нанесен на сантиметр левее, чем в утвержденном образце – несоответствие". Кстати, многие для несоответствий тоже заводят шкалу: мажорное/минорное или крутое/реальное/галимое, добавляют также отдельную оценку для похвальных несоответствий, отклонений в лучшую сторону.

Инциденты – это происшествия, которые повлекли ущерб или чуть было не повлекли. Выплыл, например, какой-то прошлогодний бэкап на черном рынке. Они могут иметь под собой почвой несоответствие, а могут и не иметь: может, было какое-то требование, несоблюдение которого как раз привело (так и не назначили ответственного за ленты, который бы знал, что спросят конкретно с него), а может, реализовалась угроза, которую недооценили или не рассматривали (сказалось отсутствие охраны в ночное время).

Писавшие 152-ой ФЗ и 781-ое ПП оперируют только одной сущностью - нарушениями. Если так посмотреть, то и несоответствие – нарушение (установленных правил обработки и/или защиты), и инцидент – нарушение (как минимум, обязанности оператора принимать необходимые и достаточные меры). А для нарушений положена процедура разбирательства. По которой у Вас пойдут и всплытие прошлогоднего бэкапа на черном рынке, и смена пароля раз в 65 дней вместо 60, и нанесение ограничительного грифа на сантиметр левее, чем в утвержденном образце.

Теоретически, ничто не мешает иметь хоть десять процедур для разных типов нарушений. Но если в законе явно не написано, у всех будет одна.

Вундервульф

В "Криминальном чтиве" есть такой персонаж – мистер Вульф, которого Марселас посылает выручать Винса и Джулса в ситуации с Бонни. Джулс не верит своим ушам – дали самого Вульфа! Тот разруливает их проблему, и двое бывших крутых в строгих костюмах, уподобленные теперь пляжным бездельникам, выражают ему свое неподдельное восхищение.
А ведь он, казалось бы, не сделал ничего невозможного, чего ребята принципиально не могли бы: выяснил то, что у нас называют RTO, стрельнул у Джимми тряпки и моющие средства, да расплатился машиной за утилизацию содержимого багажника. Ну, наверно, им самим аргумент для Джимми пришлось бы найти какой-то другой (посул, дружба, угроза), но схема все-таки совершенно посильная. И да, в довершение еще отказался их обратно подбросить в таком позорном прикиде.
За что же его благодарят? Он принимал решения, когда нужно было именно принимать решения. В этом его дорогостоящий талант.

Идеально, если в Вашей организации на роли руководителя группы реагирования на инциденты окажется мистер Вульф. Но идеальные случаи в этом блоге не рассматриваются – я не настолько отъявленный консультант, поэтому Вульфа у вас не будет или будет, но очень маленький. Чаще всего не из-за отсутствия подходящего человека (в среднего размера фирме подходящих - десяток, пусть и без харизмы Харви Кейтеля), а из-за неделегирования ему полномочий босса - руководство не может выпустить из рук власть, оно привыкло к сложившейся системе принятия решений, не зря так долго ее выстраивало.

В случае инцидента (в значении, используемом ИБ/НБ, а не ИТ) штатная система принятия решений обычно не работает. Нижнее звено не может принять решение, оно не в его компетенции: нет таких полномочий, нет менеджерского опыта подняться над ситуацией и увидеть более бизнесовый ход, нет согласия с другими подразделениями - оно так и будет до упора пытаться починить что поломалось. И сигналить вверх по иерархии. А время уходит: еще полчаса и клиент нас засудит потом.
Зачастую даже и выбора нет – решение возможно только одно, но оно в этой фирме только с санкции директора, а он сейчас в Альпах и, видимо, труба не ловит, или в парилку с собой не взял, или необычно крепко спит. Потом удалось наконец через жену передать, но только в общих чертах, что сама уловила, поэтому теперь уже он будет пробиваться вниз за подробностями, нужными для принятия решения.

Если своего Вульфа Вы не создали, то выход – это заранее составленные аварийные планы с условием активации (при пожаре, при невозможности отключить питание, при отсутствии связи с центром в течение получаса и т.п.) и подписью лица, полномочного на соответствующее решение.
И даже если Вульф у Вас есть, Вам все равно не помешают аварийные планы.
Начинающиеся со слов "если через 10 минут не приехал мистер Вульф".

Зависть

Вот есть же защита прав потребителей у пищевиков и ТНП-шников: не доложил творога - пиши "творожный десерт", не долил сока - "сокосодержащий напиток", намутил из порошка - "сделано из порошка".

Не все инциденты ИБ случаются по вине отдельных граждан - может поставщик подвести (провайдер, скажем), могут силы природы вмешаться. И в обработку входит не только разбирательство. Бывают, кстати, инциденты без разбирательств - только регистрация и устранение или даже только регистрация (возня дороже последствий и т.н. статистические, когда количество случаев - метрика).

Грустно за потребителя, когда мануал по форенсику киберкрайма за инцидент-менеджмент торгуют. Переводчик, наверно, ошибся, слова похожие.

Паралогизм ЗИшника

Я тут периодически толкаю телеги, что ЗИ не равно ИБ, поскольку есть разница между защитой свойств информации и защитой заинтересованных сторон от угроз, связанных с обработкой информации. Потому что силы приложены к разным телам.
Прошлый (позапрошлый?) пример был на обрушение доступности опасной информации (отказ от обработки), портящее ее КДЦ, но улучшающее ИБ организации.
Ныне замахнемся на Аристотеля нашего Стагирита.

Диалог:
- Т.е. соответствие какому-нибудь стандарту, тому же исо27тыщ, например, не гарантирует отсутствия незапатченного сервера или роутера с дефолтным паролем?
- Ну, во-первых, аудиторы могут что-то и проморгать, особенно если инфраструктура большая. А во-вторых, обнаружения подобной уязвимости действительно недостаточно, чтобы не выдать или не продлить сертификат - major'ным (несовместимым с сертификацией) несоответствие будет только если патч- или пассворд-менеджмент вообще не регулируется, не выполняется или не контролируется. Так что, теоретически, да - не гарантирует.
- Тогда никакой разницы, кому свою тайну доверить - что у тех утечет, что у этих - от сертификата польза чисто маркетинговая.

Или такой вариант:
- AWS сертифицирован по исо27тыщ, а инцидент тем не менее произошел - где же эффект от соответствия стандарту? А просто оно снижает вероятность инцидентов и, поэтому, демонстрируемые в отчетах риски, но не более.

В чем логическая ошибка? В подмене предмета. В переносе фокуса с субъекта или обладателя информации (или иного заинтересованного лица) на собственно информацию, оценке события для нее, а не для него, порождающей ЗИшное умозаключение вместо ИБшного.

Между тем, пробой защищенности информации не означает равного снижения защищенности оунера/стейкхолдера.
Если организация сертифицировалась по исо27тыщ, то у нее есть коллегия по ИБ, налажен процесс отработки инцидентов, коммуникации с партнерами и органами, извлечения и внедрения уроков, отслеживания выполнения, наказания нарушителей, восстановления работы и т.п.
Поэтому даже при одинаковом нарушении КДЦ информации, последствия для пострадавшего могут отличаться по размеру или долговременности.

Вот для информации действительно все равно - она не живая (грубый отсыл к посту "Есть ли у информации интересы?").

з.ы. Следующий пост будет коротким, ибо нефиг.

Cura te ipsum

У ФСБ утечка ПДн. ФЗ "Об органах ФСБ" и "О противодействии отмыванию" позволяют получать и обрабатывать без ведома и согласия, но не отменяют обязанности в случае выявления неправомерных заблокировать, разобраться, устранить/уничтожить и о том уведомить. Скоро узнаем, что за люди учат нас не ковырять.

Возвращаясь к напечатанному: японское искусство континюити

Да какой там план непрерывности бизнеса! У них даже план действий при аварии (это более низкий уровень обработки проблемы - управление собственно инцидентом, а не отражением на бизнес) гласит: в случае цепной реакции вне реактора отправить факсы и произвести восстановление, для помощи пострадавшим вызвать машину реанимации.
План согласован регуляторами.

Оценки в англонете гуляют от not adequate до totally insane - воспитанные люди, не хухры.

Теперь многое становится понятнее. Например, вот эти 50 - это просто по числу запасенных костюмов. Лихой фонарь ожидания мотается, однако.

Где же японские "планы Б"?

По-моему, японцев перехваливают.

Не, я с удовольствием и завистью почитал везде про их превентивные меры для уменьшения потерь – сейсмоустойчивое строительство, раннее оповещение, обучение действиям при ЧС, тренинги по эвакуации и т.п.
И я наверняка удивлюсь героическому восстановлению – спасатели по горло в ледяной воде, всенародный сбор средств, работа по 20 часов в сутки и добровольные субботники.

Но для ВСР кой-чего не хватает. Того запасного варианта на период возврата к нормальной жизни, который и делает женщину женщиной планирование непрерывности планированием непрерывности.

Вон, дефицит 10 гигаватт, из-за которого они выключают заводы (автопром, например, весь, только по Мазде инфы нет) – это ж даже для Тепко, владеющей вышедшими из строя АЭС, менее 20% ресурса, а для всей энергосистемы того меньше. И вы не закладывались на такую недостачу? Где резервные энергоблоки? Где перераспределение из других регионов (не слишком маленькой страны)? Где соглашения о взаимовыручке при ЧС?
Конечно, за пару недель японцы это решат – реанимируют, например, старые станции, работающие на угле и мазуте.
Но ВСР или не было, или оно провалилось.

з.ы. Я не думаю, что у японцев сейчас просто не хватает времени рассказать, что все на самом деле обстоит лучше - они и в мирное-то время самохвалы еще те, а уж сейчас вообще прямой стимул уменьшить падение акций.

апдейт: "Tepco says that it should be able to resolve the supply shortage by the end of April". Хо-хо!

Ежик опять в тумане

Надысь посидел с любезным коллегой Григорием на IDC Security Roadshow, а там опять все в облака зовут - аж курлычат. И стали мы почему-то ждать: неужели никто про главные грабли не скажет, ибо события минувшего года весьма.

А) столкновения на Манежной/Европы продемонстрировали наличие серьезных протестных настроений и серьезной же массы их носителей;
Б) координацию восстаний через твиттеры и прочие вконтактики нынче все решают простым переводом нета в положение "выкл".

Вопрос: что в случае умеренных даже волнений будет с бизнесами, которые на красивые облака повелись, и с бизнесами, которые не?

А вот и ни фига: пусть те же люди на конференциях по непрерывности говорят про непрерывность, но чтобы сложить два и два - это надо быть заказчиком и защищать не чужое.

"Пичалька".