Есть ли у вас CISO – простой тест

В обществах с дифференциацией штанов реальную принадлежность руководителя ИБ к когорте C (с-level или c-suite – высшее звено) легко проверить по наличию положенных ей привилегий: кабинета, приемной, служебной авто- и кофе-машины с водителем/водительницей, места на/в корпоративном паркинге, виповской страховки, длинного отпуска, права на идиотские капризы. Понятно, что блага, распределяемые среди шишек, в разных компаниях разные: где джип со снайперами, а где простая оплата анлима, и смотреть надо в сравнении с другими C** и C***.

Но допустим, что компания западной культуры (почему бы и нет, раз человек себя иностранными буквами пишет), и машина закрепляется за тем, кого среди ночи на работу дергают, страховка привязана к вредным производственным условиям, а приемные организуются где входящий поток большой и неэлектронный. В этом случае индикатором, участвует ли называющий себя CISO в большой игре, является наличие видения, которое приобретается в верхнем эшелоне.
По обычной ИБ-деятельности это не определить – она шаблонна: все ходы заранее написаны в том ISO, NIST, SANS, СТР или ИББС, который он намерен претворить (но, возможно, вслух ни разу не произносил), а кроме того остается только держать нос по ветру и покупать что всем сейчас впаривают.
Однако есть штук пять смежных областей, в которые смотрящий ширше будет ходить, а нет – нет.

Методически, обеспечение непрерывности бизнеса – простейшая штука!
Нужно сформировать бюрократическую машину: учредить координационную группу, которая будет оценивать и корректировать работу по обеспечению НБ, распределить в ней роли; регламентировать процедуры (анализа воздействия, оценки рисков, выбора ответных мер, разработки и тестирования планов) и замкнуть на эту группу; повесить на кого-то периодический аудит и представление результатов в группу; определить штаб управления кризисной ситуацией и схемы коммуникации; затвердить требования к ведению документации или сослаться на общие, и т.п. – все довольно стандартно.
Нужно провести т.н. BIA или анализ воздействия на бизнес – определить силу влияния от прерывания того или иного процесса на жизнеспособность организации в целом, как скоро оно на ней сказывается, и сколько времени требуется для восстановления того процесса.
Нужно идентифицировать события, вызывающие прерывания процессов, и, умножая вероятность на силу, получить родимую оценку рисков, выбрать и инициировать меры по снижению до допустимого уровня.
Несмотря на эти меры по предотвращению, нужно разработать планы действий в случае наступления: для критических процессов, восстанавливаемых быстрее, чем они трагически сказываются на бизнесе организации – планы восстановления, а для критических, восстанавливаемых дольше – еще и любимые киношниками «планы Б», т.е. альтернативные способы перекантоваться, пока тянется восстановление.
При этом нужно учитывать их приоритетность, ориентируясь на выявленную силу влияния, т.к. в аварийной ситуации ресурсов (электрической мощности, площадей, людей, денег, пропускной способности) заведомо меньше нормального, на все не хватит.
Эти планы надо тестировать и по результатам корректировать (или даже анализ воздействия с оценкой рисков исправлять по результатам), а еще обеспечивать достаточность и исправность того, что для осуществления планов необходимо.

Нiчого особливого, но подвох в уровне восприятия. Во-первых, нужно действительно знать бизнес организации, в котором внезапное бесследное исчезновение поставщика форсунок не будет критическим, т.к. остановка конвейера для перехода на форсунки конкурента займет 2 дня, а склад готовой продукции вмещает 6-дневный запас – отпуск получателям не прервется. Во-вторых, решения и в рамках обработки рисков, и в рамках запланированных ответов на инцидент – они в НБ тоже полководческие: усиление горизонтальной ротации персонала для разносторонних навыков и большей взаимозаменяемости, соглашение о взаимопомощи с дружественной фирмой о предоставлении части помещений, избавление от редкого и уникального оборудования и т.п.

Так что просто спросите CISO, как он занимается НБ. Вам либо озвучат подлинно печальное положение вещей («Постоянно мониторим доступность серверов и обязательно повесим гриф конфиденциальности на план, если его нам спустят, только не знаю кто»). Либо соврут про обеспечение в полный рост (мой любимый вариант: «У меня сотрудник всю НБ фигачит» - уж с уровня исполнителя рулить в НБ подавно невозможно). Либо тяжело вздохнут, и тогда действительно все сравнительно неплохо.

Я обычно скрываю, что после «Золотого ключика» что-то читал, но тут обязан подсластить пилюлю: непризнание CISO полноправным си-левелом (причем со стороны самого с-левела) – мировая норма. Что делать? Становиться! Вот лезть в ту же самую НБ или в corporate risks и через них потихоньку становиться.

О применимости ИБ-аналитики из интернетов

Пока намеревался объяснить перманентную аллергию на цветистые отчеты об исследованиях, их еще десяток подвалило - теперь не угадаешь, кто все на свой счет примет.

Конечно, у этих парней есть и свои грязные методы: нелинейная разметка шкалы, искажение пропорций при перспективе, выдача корреляции за причинно-следственную связь, программирующие вопросы и пр. – исчерпывающий список манипуляций нагуглить нетрудно.
Но давайте, однако, допустим, что всем этим грешит кто угодно другой, а перед нами отчет, заслуживающий высокое доверие. Пусть и не от независимой ассоциации (которых у нас толком нет, а заморские варятся в иной реальности), зато от такого вендора, который точно пока не мухлюет: куча друзей там работает, и все бьют себя пяткой в грудь.
Вообще умилительно, конечно, выглядит ИБ-исследование от продавца таковых продуктов или услуг. Уже самим фактом. Это как установщик автосигнализаций, вещающий о частоте угонов, или пугающая статистика кариесов от производителя жвачки. Но в стране высокой морали - почему бы и нет.
Итак, отчего даже самым неполживым и рукопожатным отчетом можно пользоваться только для демонстрации руководству, что уж у вас-то доступ в Интернет для производственной надобности – вон опять какой нехилый pdf-ник надыбал, буду теперь неделю читать.

Перво-наперво, никто не отменял своеобразие выборок. Ситуация вполне описывается анекдотом «по опросу, проведенному в Интернете, 100% россиян пользуются Интернетом». Так, если данные об инцидентах собраны из открытой прессы, в них будут компании, которые вынуждены их публиковать (имеют листинг на бирже, например). Болезни таких игроков не обязательно характеризуют и ваши. Кроме того, там не все утечки, а только определенных типов данных. Или если автор отчета опрашивал компании, с которыми у него есть контакты – извините, но в базе контактов DLP-вендора, к примеру, сплошь такие, кого скука и лишние деньги привели к покупке DLP или интересу к ним. И статистика по аудитам защищенности тоже будет не из всех мест, а из таких, на которые аудитору пальцем показали – то какая-нибудь слабая «дочка», которую надо давно было выпороть за игнор корпоративных требований, а то напротив – самый свежезащищенный сегмент, чтобы явить руководству свидетельство, какие мы молодцы. И т.п.

Другая проблема также банальна: респондент сообщает не то, что есть, а то, что он о себе думает, или хочет, что бы другие о нем думали. Поэтому длина пениса, полученная методом опросов, у нас измеряется в аршинах, а посещения ГМИИ в десятках - урологи и билетерши недоумевают. Обычно для опрашиваемого ответ не является анонимным: он отвечает на присланный опросник с адреса, на который тот пришел, так что ресурсов у него всегда вагон, СЗИ каких еще только нет, а вот фейлами бог обделил. Но даже и через веб-форму, объективен он не будет. Про телефон совсем не говорим.

Еще одна причина ошибок – тяготение к дискретности: аналитикам завсегда хочется разложить по столбикам все богатство сценариев, и чтобы не больше девяти. Получается классическое «умные налево, красивые направо». Куда отнести сфотографированные телефоном материалы к Правлению авиакомпании с топовой в обоих смыслах тайной – это утечка документов, визуальной информации или через носители? А пофиг, в общем-то.

Четвертая бага – подмена тезиса. Опытный маркетолог этим пользуется умышленно, ловко и цинично: декларируется 60%ный эффект уже в первую неделю применения, и покупатель представляет 60%ное увеличение объема волос, а на самом деле 60% членов фокус-группы подтвердили некий эффект уже в первую неделю (впрочем, довольно слабый и сопровождавшийся крапивницей), о чем честно сказано внизу мелким шрифтом. Прием наверняка имеет название, да я кроме сборника пословиц и поговорок ничего не читал.
Но наш автор не такой и проделывает это без всякой задней мысли – просто он сначала собрал данные, а потом сообразил, как их красивше представить. Скажем, 30% его респондентов на первое место поставили риски епочты, остальные – какие-то другие. Он ничтоже сумняшеся рисует пирог и подписывает: по мнению наших респондентов 30% опасностей таит епочта, еще столько-то голубиная, пневмо и пр.
Ну, дружок, у тех, кто поставил на первое место епочту, на ее счету могло быть и 14% проблем (просто на счету иных источников еще меньше: 12, 11 и еще семь по 9), а у поставивших на первое место что-то другое она вообще породила только 1% - вот откуда тут итог 30? Могло и наоборот: у первых епочта дала 86%, а у вторых 40 (но это меньше, чем факс с его 42) – и тоже ни разу не 30% должно было набежать, да?

И последнее, о чем хочется напомнить: среднего может запросто не существовать в природе. Знаете же, что у среднего американца одно яйцо и одна сиська? Если вы работаете в фирме среднего калибра, это не значит, что на усредненной диаграммке изображены как раз вы. Как нет в природе ни одного реального человека с 0.9 кредитных карт, 0.4 компьютера и 0.2 автомобиля, так может и не быть той организации с 980 атак в сутки и ущербом в диапазоне $50000 – $100000, которая так красочно отрисована в 3D.

Когда формула "ущерб Х вероятность" не верна

Если что-то написано везде, оно от этого еще не становится правдой – только нормой.

Информационная безопасность заражена т.н. риск-ориентированным подходом, при котором выбор защитных мер базируется на оценке тяжести последствий и вероятности их наступления, а обе они берутся из опыта. Обычно это можно и нужно делать.

Но существуют ситуации, когда бороться надо с любой ненулевой вероятности угрозой, исходя из потенциально возможных последствий в самом худшем случае (т.е. полностью гипотетического worst case), а не реальной их статистики в прошлом или у коллег.

Простой и явный тому пример – промышленные системы. Представьте, что Вас ничему не учили, и ответьте непредвзято: Вы готовы мириться с получением хакерами контроля над АЭС, НПЗ и прочим Сапсаном на том только основании, что прежде им хватило здравомыслия ничего там не покрутить? А вот грамотный безопасник стал бы мириться, раз по статистике недоступность обычно в минутах, а ущербы в копейках.

Подозрительно революционно? Все уже украдено до нас: найдите в УК покушения и подумайте, что они там делают.

З.ы. В следующем посте расскажу, почему при обнаружении любой аналитики по ИБ в виде диаграмм можно сразу хвататься за пистолет. Но это я так сам себя обязываю, чтобы не профилонить, а не подписываться призываю.

Крымский импульс в ИБ или It's the end of the world as we know it

Независимо от того, чем кончится вся эта околоукраинская история, и на чьей стороне ваши в ней симпатии, исторический перелом для ИБ уже произошел. Уже совершенно точно можно говорить, что система представлений о мире, бывшая в головах ИБ-шников и их нанимателей, после марта 2014 оказалась в прошлом. Случившееся в чем-то аналогично американскому 9/11, когда обрушение башен произошло в минуты, а эффект от него развивался годы: сама новая реальность уже здесь, это только ее осмысление еще сколько-то займет.

Был ли у вас формальный анализ рисков или нет, но внутри-то он был. Некие субъективные экспертные оценки надежности чего-то или возможности чего-то двигали реализацией защитных мер. Теперь это вчерашние оценки. Этап, через который сейчас предстоит проходить – крах старых стереотипов доверия, веры (о которой я тут исключительно в проекции ИБ говорю).

Вы верили, что зарубежный ЦОД в 38 раз меньше подвержен внезапному закрытию, чем находящийся в поле действия нашей правоохранительной системы? Возможно, что это не так.

Вы верили, что заокеанский производитель СУБД будет ее сопровождать, пока за это заплачены деньги? Это тоже запросто может оказаться не так.

Вы верили, что предприятие может пользоваться облачным сервисом от IT-гиганта? Списанный сервак на третьем новелле под варп-коннектом может дать ему сто очков форы по доступности.

Вы верили, что угрозы, связанные с наличием НДВ в системном программном обеспечении не актуальны при условии использования СПО ведущих мировых производителей, полученного и установленного из надежного источника? Не факт совершенно.

Вы верили, что обиженный работник – это самый плохой тип внутреннего нарушителя? В мгновение ока хипстеры с айпэдами могут стать самыми большими врагами вашей служебной информации, если предприятие выпускает станки, а не шкурки для айтюнс. А ведь синхронность политических взглядов работника и работодателя давно не была критерием для мониторинга и коррекции лояльности.

Вы верили, что порядок инвестиций родного предприятия в ИБ будет сохраняться примерно на том же уровне? На нее может вообще средств не найтись.

Вы верили, что деньги на счете PayPal не могут заморозить из-за разногласий какого-то главы МИДа с иностранными коллегами? Могут.

Я не знаю, на каком ресурсе Вы читаете эту перепечатку, поэтому другие животрепещущие примеры додумайте сами.

И примите как данность, что все внешние по отношению к вам силы тоже сейчас все переосмысливают – от китайских хакеров, если они кого-то волнуют, до госрегуляторов и законотворцев. А более всего бизнесы. И, кстати, не только наши, потому что сигнал, например, что стране НАТО не стоит доверять активы, если ты не из страны НАТО – это для всех сигнал.

В общем, жить нам теперь в каком-то другом мире, где реальный производитель более надежный работодатель, чем банк, лексикон лучше ворда, а подходящее место для дискового массива – в Байкале: подлодка всплыла, вахтовики сменились, и обратно.

О компенсирующей дискриминации операторов персональных данных

На Западе фразу "запрещается дискриминация по возрасту, цвету кожи или размеру молочных желез" нынче не пишут – не всякая дискриминация запрещается. Дискриминировать можно, если это выравнивает то, что почему-то в обратную сторону перекошено.

С одной стороны, базы крупных и/или важных операторов персональных данных и защиты заслуживают более серьезной. Во-первых, они интереснее. Представляете, например, информацию, хранимую мобильным опсосом – сюжет? Во-вторых, именно крутые операторы, нравится им это или нет, могли бы потянуть и общественно-полезную нагрузку, прямо не продиктованную сиюминутным благом субъектов. Скажем, поддержку отечественной отрасли производителей защиты. Ну, есть вот, допустим, такие национальные интересы – иметь и в 2019 году технические средства, не прослушиваемые вероятным противником. Может такое быть.

С другой стороны, именно крутые операторы располагают большими возможностями для ухода от обязательных требований. Это ведь высокий пилотаж – уклониться через модель угроз, например, совсем не всем доступно. Либо это серьезные мастера в штате, либо дорогущие консультанты на подряде, либо связи, позволяющие согласовать модель независимо от квалификации авторов, либо еще что в этом же духе.

И получается парадоксальная ситуация: федеральное министерство или здоровый холдинг претендуют на белый билет, а преподаватель сольфеджио в музыкальной студии, где и защищать особо нечего, влачит ПКЗ-2005 по всей строгости.

Понимают ли это т.н. регуляторы? Я не уверен. Я очень высокого мнения об их способностях (серьезно!), но есть объективная сложность: верхнее их звено общается именно с крутыми операторами, а о проблемах иных если и знает кто, так это рядовые госинспекторы "на земле".

Решение очевидно: законодательно ввести компенсирующее неравноправие операторов. Но не на финотчетность же ориентироваться! Значит, надо принять, что уровень защищенности (который на самом деле вовсе не уровень защищенности) информационных систем персональных данных коррелирует с крутизной оператора, поэтому как-то так, например, и запишем: сертифицированные СЗИ - от уровня 3 и выше, сертфицированные СКЗИ - от уровня 2 и выше. Загрубление, но лучший выход из имеющихся.

Так что когда где-то предлагают подискриминировать крупных операторов – не удивляйтесь.

«Какие стандарты нам нужны и зачем?»

Ходил на оный диспут в рамках INFOBEZ. Велик был соблазн воспользоваться чуть не 20-летним опытом по эту сторону рынка и просто констатировать, что хорошо тут без них ныне и присно, но все же соорудил некую объяснялку.

Когда юриста спрашивают, как поступить в таком-то деле, он уточняет: "Если я на стороне кого?". Вот и поднимая тему, какие стандарты нам нужны, прежде всего нужно определить, мы – кто?

Проще всего с конторами, которые непосредственно на переводе, издании или распространении кормятся: этим годятся абсолютно любые и не важно о чем – лишь бы побольше как в штуках, так и в печатных знаках.

А вот физику, потребителю сами по себе стандарты безопасности не нужны – ему нужны гарантии безопасности, ее подтверждения, свидетельства. Когда продукт или услуга, которую он покупает (или получает бесплатно, это ведь может быть и государственная услуга), соответствует какому-то стандарту, то это, конечно, некие дополнительные очки в ее пользу, дополнительный повод на то решиться или выбрать Х, а не Y. Но это очень слабые очки! Примерно на уровне медалек, которые на этикетках рисуют. Любые предубеждения их перебивают, любые сообщения об инцидентах, слухи, советы друзей. Если человек будет покупать автомобиль, то ГОСТа "№ какой-то там" не будет в десятке – в десятке будут характеристики, результаты независимых тестов, сравнения в журналах, имидж бренда, опыт соседей и т.д. – вот чему он доверится за свои кровные. Причины можно искать, но факт: сейчас репутация товара/услуги или их производителя в исчезающе малой степени обеспечивается соответствием стандарту.

Продавцу услуг по информационной безопасности, "консалтеру" стандарты тоже не нужны, ему нужны проданные проекты. Штампованные очень удобно продавать – и звучит авторитетно, и можно сильно не вникать в особенности заказчиков. Но все же не стандартные в полном смысле, а имитирующие. Иначе будет прозрачное ценообразование. Ты ведь не объяснишь, почему надо купить у тебя дороже, а не за углом дешевле, или почему ты тому клиенту за рубль продал, а с этого три хочешь. И главное надо ведь место для твоей магии оставить, чтобы он без тебя не обошелся - нормальный-то стандарт он бы и сам прочел/понял.

Я когда слышу, что кто-то нахваливает стандарт, всегда очень интересно понять, в качестве чего. Ибо ситуация, знаете, примерно какая: "Джинсы - такая замечательная одежда: я из них классные прихваточки шью!". А причем тут одежда, это мог быть рулон ткани с таким же успехом.
Когда кому-то не хватает знаний, то для него стандарт шпаргалка какая-то, источник терминологии непротиворечивой, свод мудрых советов, многие из которых полезны. Но тут, по-моему, если стандарты восполняют собой нехватку нормальных учебников, то нужно больше учебников, а не больше стандартов. (Кстати, надо сказать, бывает, что это сами стандарты такие – когда по сути это методология, а для продвижения выдает себя за стандарт, маскируется. Там попросту нечего выполнять: вода и квадратики красивые со стрелочками.)

А вот в корпоративном секторе распространенный вариант – это стандарт в роли входного билета. Некий набор обязательных действий, чтобы войти в какой-то клуб. Как в примере с платежными системами. Но это же не выбор организации, она бы с удовольствием не покупала этот билет, если бы можно было не покупать. Потому что в нем нет конкурентного преимущества, когда это у всех, кто продает однотипные с тобой продукты или услуги.
Или встречается стандарт как недостающее обоснование, когда ИБ не смогло убедить руководство через риски, и поэтому аппелирует к какому-то стандарту – но это же подмена целей стандарта опять-таки.
Стандарт, по сути своей – это механизм преодоления проблемы разнообразия: "под одну гребенку", "как инкубаторские" и т.п. Кому это нужно, разве кто-то любит быть одинаковым? Вот он и нужен не тому, в отношении кого его применяют, а тому, кто применяет. Не когда оно на тебя сверху, а когда ты его вниз. Это очень удобно управлять однотипным. Поэтому в организации пишем стандарт (или заимствуем готовый) и по нему строим в шеренги то, что под нами - маршрутизаторы, домены, филиалы.
Плюс легче взаимодействовать с партнерами, когда общая система терминов, форматы обмена (инцидентами, например). Но есть загвоздка: стандартов-то слишком много. Если один придерживается 53647, а другой 34-ой серии ГОСТ, поговорить им будет нечем – там только буквы алфавита совпадают.

И, конечно, вузовский стандарт на подготовку по специальности – есть такая тема. Но там большой подводный камень: сначала нужно решить, потребность в образованных или в обученных. Узкие знания сейчас устаревают очень быстро – может и не должны в ВУЗах давать, что на работе за месяц дадут.

В общем, сколько я перебирал – нашел добровольное применение только внутренним стандартам и на взаимодействие. А принудить нас сами принудят.

И бонус для тех, кто все это слышал – чуть другой вариант ответа про 27001.
Пришел молодой адепт к гуру: "Можешь научить меня воспламенять бумагу одним взглядом?". "Могу, но это довольно сложная практика: там 5 лет в позе лотоса, 60000 повторений мантры и все такое". "Я готов, учитель, начинай же скорее!". "Ну, хорошо. Но дурак ты - спички же существуют".
27001 – настолько хороший стандарт, что достоинств больше, чем недостатков. Но эффекты, которые наступят, можно получить и без него.

Ван шот

Аллюзия на

Информационная безопасность в стране безграничных ресурсов

Как известно, есть определенная возрастная категория, которая все делит на рулез и отстой. Вот нет ни третьего варианта, ни промежуточного: либо креативный либерал, либо зомбированное быдло; либо автор индустриального чуда и победитель фашизма, либо кровавый недоумок; либо полностью поддерживаю, либо статья ни о чем. Им даже интерфейсы такие делают: «нажми плюсик» / «нажми минусик» (как вариант, «нажми плюсик» / «не нажимай плюсик»). Или это они же сами их и делают?

А раз все вещи бывают только полностью черными или полностью белыми, то достаточно любой детали, чтобы судить о целом. Так что при максимализме неполная индукция – это абсолютно закономерно и нормально. Абсолютно закономерно и нормально, что часы полностью характеризуют главу церкви, гаишник госорганы, а Брюс Виллис Америку.

Бывает, расставание с детством затягивается. Иногда за счет искусственной изоляции сообщества подобных, иногда в силу автономной профессии, когда как в футляре: проекты, бюджеты, сроки – нет этого ничего, есть только Я и Объект (холст, код, латунная чушка), а договор, лимит, заказчики – метафизика какая-то.

В категоричных обобщениях они трогательно искренни. «Если на портале А существует уязвимость Б, вся их безопасность ни о чем», «Если из компании В произошла утечка Г, безопасность шарлатаны и бездельники» и «Если где-то не последний билд версии про, безопасность только на бумаге».

Есть лишь один случай, когда такие суждения справедливы. Это – случай безграничных ресурсов. Когда у безопасности достаточно людей, денег, свободного времени, то действительно не может быть уважительной причины попускать не самое навороченное что либо.
Отчасти еще и сама страна располагает: подсечное земледелие, ключи активации на что хошь и блюреи в торрентах – это ведь наше, родное. Страна у нас не очень богатых людей, но богатых безгранично.

Однако в реальных организациях этого нет.
Т.н. подход, основанный на оценке рисков (которую я люблю как мыши кактус) – это ведь от нужды, от необходимости выбирать, невозможности сделать все имеющимися ресурсами.

В чем они могут быть правы. Безопасникам (особенно если не ИБ-шники, а ЗИ-шники) свойственно недооценивать приоритетность обеспечения целостности и доступности не обладающего конфиденциальностью. В принципе, это как раз ошибка в оценке рисков, если то единственное, по чему о Вас судит молодежь из социальной сети, у Вас где-то на 135-ом месте стояло.

Нужна концовка.
Ну, чему это нас учит. Лично меня – добавлять в аналогичных ситуациях «если бы»:
- Если бы это был единственный перекресток в городе,..
- Если бы это было главной проблемой нашей судебной системы,..
- Если бы вирус пребывал в пробирке, а не организме измученного нарзаном,..

Существует риск

Примерно в половине случаев идиоты-начальники, спуская безопасника с лестницы, безраздельно и неосторожно неправы. А в половине этой половины они его просто не так поняли. Но он, правда, и сам недостаточно постарался выразиться.
Нам, однако, интересна не первая половина, и не вторая, которая первая половина первой, и даже не третья половина, которая вторая половина первой, а вторая первая половина.

Среди тех случаев, когда спуск с лестницы глубоко и бесспорно заслужен, к явным лидерам относится использование потерпевшим аргумента "потому что существует риск". Ибо обосновывать что-либо сообщением, что вероятность некоторого события с ненулевым ущербом отлична от нуля, способен либо идиот, либо мошенник.

Представьте, звонит врач из прогимназии и говорит: "У Вашего ребенка температура, нужно подавать Суперантитемпературин". Ведь возникают же вопросы:
а) насколько она отлична от нормальной - на плюс 4 или на минус 0.1?
б) насколько она изменится после приема Суперантитемпературина?
Потому что, например, если температура повышена на 0.3, то переживем, пусть Суперантитемпературин еще попылится. А если повышена на 5, и он снимет 0.5, так тоже на фиг его, только время терять. Во.

Поэтому когда безопасник приходит с фразой "Необходимо внедрить средство защиты от утечек, т.к. есть опасность утечки", у него есть несколько минут, чтобы обозначить три цифры. Одну он знает – это стоимость, две другие можно назвать даже в каких-нибудь попугаях, но... Начальство ждет, тянет время, а потом: "Курить-то не бросил? Ну, все равно давай до лестницы прогуляемся".

"Не повезло с начальником", - думает безопасник, потирая ушибленное место. Да нет, ребят, просто когда вы говорите, что существует риск, и больше ничего не говорите, риск действительно существует.

Новые романтики

У ИБшников (которых я сегодня не делю на нормальных и ЗИшников) существует Абсолютное препятствие, препятственность которого столь абсолютна, что порождает настоящий культ со своими красивостями типа беснований и ритуальных жертвоприношений.

Эта сверхпричина, предопределяющая неудачу, во времени меняется: деды веровали в сатанинское попутывание, отцы - в ополчившихся шпионов всего мира, нашей отмазкой была невозможность абсолютной безопасности, младая поросль ничего не гарантирует, если вмешается плохая связь с бизнесом.

Убедиться, что это ничто иное, как тотем и фетиш, проще простого: надо переспрашивать, уточнять. Иррациональная непознаваемость вылезает сразу же - говорящий начинает повторять один и тот же слоган, любые предлагаемые способы сойти с мертвой точки отвергаются.
- Топ-менеджмент должен глубоко осознать потребность в ИБ!
- Он глубоко осознал. А потом что?
- Нет, он не осознал! А должен глубоко осознать.
- Давайте допустим, что он очень умный и все-таки осознал.
- Вы что, не понимаете? Он должен глубоко осознать!
Или такая же фигня со способом связывания: через ущербы - это неправильно, через риски - неправильно, через KPI - неправильно, на предложение озвучить, как правильно - снова клише, что ИБ должна быть ориентирована на всемерное повышение эффективности бизнеса. Как-то связаться с бизнесом нельзя, надо идеально, иначе и затевать нечего.

Некий античный чувак, вернувшись из регионов, премного рассказывал афинянам, как поразили родосцев его мортальные сальто с утеса, пока не заорали ему: “Здесь тебе Родос - прыгай!”.
Hie Rodos, ребятки!

Когда эффективность - плохое слово

Одна тетка купила машину, а к ней сигналку. Не прошло и недели, как запиликала та среди ночи. Поднялся муж, возопил в форточку: "Эй, чего надо?" - удрали. Но угнали все-таки ейное транспортное средство к концу первого месяца примерно.

Засомневалась тогда женщина, была ли сигналка эффективна, обратилась за помощью к менеджеру автосигнальному - ан нет, действительно эффективна:

• она однажды предотвратила и угон автомобиля, стоимость которого многократно превышала ее собственную, и скрытые затраты, т.к. обнаружив утром пропажу, тетка вместо работы пошла бы в милицию, а потом к ясновидящей, а потом к маме, и вообще непонятно, когда бы смогла вернуться к работе после такого;
• нечаянно приключилась функция центрального замка, который в качестве фирменной опции стоил бы дороже;
• месяц на охраняемой стоянке обошелся бы дороже, плюс туда надо пешком ходить, а это износ обуви и дело принципа;
• страховка на месяц обошлась бы дороже.

Вот какие большие огурцы полезно подменять "оправдала себя" / "оправдала ожидания".

Соответствие изменчивого или перманентный ремонт - 3

Проверять на соответствие чему-либо, пусть бы даже и своим текущим представлениям о добре и зле, можно двумя способами.

В первом варианте проверяется результат, продукт. До этого человечество додумалось давно и даже удовлетворялось одно время. Подход примерно такой: врезались в батарею отопления, замерили напор и температуру, выдали справку.
Ясно, что состояние в момент проверки – это состояние в момент проверки, и обычное состояние или состояние по прошествии какого-то времени могут от него отличаться, поэтому вариант хорош в коматозных системах (со штампованной продукцией) и плох в живых. Достоверность можно чуть приподнять увеличением выборки и/или повторным тестом, но дальше все равно упираешься в ограничения самого метода.

Когда все меняется чаще, чем проверяется, нужен какой-то выход. Хорош постоянный мониторинг, но чаще всего неподъемно затратен.
Выход простой: надо проверять не то, что производится, а как производится. Пойти к истопнику и посмотреть, что у него есть руки, лопата, уголь, приборы, инструкция, и он ними управляется. А еще посмотреть реакцию на изменения: что будет делать, если давление упало или уголь сыроват пришел.
О той воде, которая в момент проверки по батареям идет, это скажет меньше замеров, а о той, которая всегда или завтра? Вам, вообще, которая из них интересна-то?

В ситуации перманентного ремонта (см. предыдущие серии) единственно пригоден подход номер два. Поскольку он тоже не без недостатков (а постоянный мониторинг неподъемно затратен), его иногда надо дополнять проверкой типа раз.

Вот так и родилась сертификация систем управления (качеством чего-то). Второй подход - это она и есть, если кто не понял.
А по первой схеме работают, например, техосмотр автотранспорта, сертификация СЗИ и проверка защищенности.

Кстати, для отвлечения служителей подвида оной есть загадка. Что объективнее: журнал установки обновлений, проверенный внутренним аудитором, или уязвимость, которую пентестер не нашел?

Просто слова или польза пентеста - 3

У многих профессиональных пентестеров есть клише, что безопасность делится на практическую (варианты: реальная, объективная) и бумажную (варианты: теория, беллетристика и т.п.). Вообще, бинарное восприятие действительности свойственно не только им, а причины изучены при царизме, но я в данный момент о следствии и лишь одном.
Как следствие, ими практикуется свободное обращение с базовыми понятиями - а какие проблемы, это же просто слова!

Есть неприлично большая разница между информационной безопасностью и защищенностью информационных активов. Есть существенная разница между защищенностью и защищенностью от проникновения. Есть в конце концов неслабая разница между информационным активами и техническими средствами обработки информации, между информацией и информационной системой, между угрозой и риском, анализом и оценкой и т.п.
С легкостью подменяя одно другим, они (намеренно или нет, но) вводят в заблуждение потребителя относительно того, что ему продают.
Подчеркиваю: пентест - не обман (исхожу из презумпции добросовестности), обман - позиционировать его как нечто другое.

Ок, не буду всех под одну гребенку. Пентестеры делятся на три группы:
Первые заблуждаются совершенно искренне, т.к. не интересовались словами и действительно думают, что анализируют информационную безопасность. И это еще не край, в наше время чуть ли не проверку сканером за анализ системы информационной безопасности выдают. Братцы, эти результаты сканирования (инъекции, спуфинга, брутфорса) - это даже не анализ. Анализ - это то, что потом будет сделано в отчете (если будет), это углубиться, это разбор. О том, как далеко это от информационной безопасности см. выше.
Вторые лукавят. У них есть соответствующий бэкграунд, но надежно скрывается внутри. "Наш пентест позволит оценить эффективность СУИБ." Ну да, позволит. Просто слова "косвенно" и "в какой-то мере" опущены. Но ведь он и правда позволит, а не запретит. Ой, да какие проблемы – это же просто слова, оговорка, расслабься! К пуговицам претензии есть?
Третьи - ангелы. Они всегда называют вещи своими именами, и по непонятной причине мой блог притягивает только таких. Но я рад.

p.s. Я уже израсходовал месячную норму по генерации контента. Хоть и задолжал за два прошлых месяца, но такой темп мне некомфортен. На всякий пожарный опять отсылаю к дисклаймеру, по которому никому ничего не обещал.

Пены и пенсилы или польза пентеста - 2

Как почти догадался toxa, я не против хорошего, а против плохого.

Вон антибиотики - вещь полезная. Но не лишенная противопоказаний и побочных проявлений, довольно дорогая, продающаяся упаковкой, требующая изучения инструкции, соблюдения схемы приема, срока и условий хранения. Короче, нормальная палка о двух концах: есть свои плюсы, есть свои минусы, плюсы традиционно перевешивают.
В каких-то случаях антибиотики незаменимы, в каких-то можно было обойтись компрессами и теплым питьем, в каких-то меньшими дозами или уже имеющимся препаратом и т.п.

Исследовательские методы бывают разные. Можно их поделить так или этак, главное - есть что делить.
Отечественному инженеру (про магистра/бакалавра врать не буду) говорили, что есть эмпирические, теоретические и комбинированные. Эмпирические делятся (удивлены?) на анализ документов, наблюдение, интервью, опрос и практический эксперимент, а теоретические на логические (индукция/дедукция, анализ/синтез), прогноз, оценку, причинно-следственный анализ и мысленный эксперимент (возможно, что это уже гибриды).
Даже в прожиточном минимуме иноземного BCPшника есть paper test, preparedness test и full operational test, в каких-то смежных культурах вместо paper попадается pencil.
Уверен, что читатель назовет более удачные классификации, потому что он гораздо круче.

Примечательно, что в каких-то ситуациях живой тест не только более дорог и трудоемок, но и сливает в точности. Очевидный пример: систему А проверка защищенности застала в состоянии "админ только что накатил патчи за очередные полгода", а систему Б в состоянии "админ ставит патчи ежеквартально, но квартал кончается завтра" - выводы будут обратны реальному положению дел.

Вы когда-нибудь слышали, чтобы покупателю рассказывали, что вот это и это ему лучше снять самому, это прокатаем опросом, это пройдем по бумаге, а вот тут имеет смысл пропентестить? Либо он сам должен понимать, где имеет смысл прикупить данные натурного эксперимента, а где воспользоваться альтернативами; либо быть достаточно богатым, чтобы купить натуру по-полной, а результаты использовать творчески; либо понеслась.
Так и проще, и выгоднее, и увлекательнее, а лох сам виноват.

p.s. Буду очень благодарен за ссылки, в которых пентесты имеют альтернативы и являются частью большого мира.

Эффективный подход к оценке эффективности

Усвоив, что кесарю кесарево, спасение утопающих – дело рук самих утопающих, а "мы бодры" надо говорить бодрее, человечество почему-то до сих пор пребывает в странной неопределенности относительно того, как оценивать эффективность ИБ.
Протягиваю руку помощи: оценка эффективности должна быть эффективной. Если подразделение ИБ подает отчеты на двухстах страницах, о его эффективности можно судить, не заглядывая в цифры.

Чтобы сразу не отпугнуть поклонников NISTовской, SANSовской, ISM3шной и прочей нужной макулатуры про метрики, честно начинаем с подсчета стейкхолдеров, т.е. ключевых потребителей результата:
1) вышестоящее руководство. Выход процесса "измерение эффективности" попадает на вход процесса "менеджмент-ревю", говоря мелодичным языком исо27тыщ и его забавных родственников по девятитысячной линии. Руководство определило курс. Руководство давало ресурсы и полномочия. Руководство хочет знать, что получилось, и что-то наверняка скорректировать. У него тоже цикл PDCA, видите ли, даже если и неосознанный.
Но и всё. Такие потребители как акционеры, клиенты, кадровики, айтишники, юзеры, регуляторы, партнеры, конкуренты и т.п. – это от лукавого, "кто девушку ужинает, тот ее и танцует", а эти Вам не платят, их интересы и чаяния к Вам через руководство приезжают, оно же и в противную сторону интерфейс – само по ситуации разберется, если что. Совершенно не призываю совсем никаких дел не иметь с этими достойными людьми, но лишь осознать, перед кем вы реально отчитываетесь, а с кем чай пьете. Поверьте, ставить на одну доску строгих и регулярных потребителей с опосредованными и эпизодическими чревато нелепой трагедией, а что гоняться за восемью зайцами бесполезно – это еще Фибоначчи с сожалением выяснил. Попытка сконструировать такие метрики, которые и нашим / и вашим, и для того / и для этого, да еще и не выбалтывая лишнего непосвященным, обернется тем, что они утратят полезность для главного – для менеджмент-ревю.
Когда-нибудь, когда возраст вашего процесса оценки эффективности перевалит за 10 лет, а в CMM кончатся уровни, можете попробовать добавить к руководству кого-нибудь из непрямых, но раньше не надо.
Поищите-ка у кого-нибудь из мировых авторитетов квартальные отчеты о состоянии их (а не чужой) информационной безопасности в публичном доступе. А ведь Вы как покупатель (клиент) всяко должны были б в стейкхолдерах быть по идее.

Далее задаемся вопросом, знают ли авторы всевозможных методик, что хочет от Вас Ваше специфическое руководство в этом сезоне, и с чистой совестью окончательно откладываем их в сторону. Я, кстати, этого тоже не знаю – это только Вам одному и видно, поэтому с меня еще один хинт, и тоже уже откланиваюсь.

Сколько? Для этого нужно понять, что будет делать с этой информацией руководство – оно будет принимать решения, и здесь очень простая вилка: слишком мало показателей загрубляют картину, слишком много зашумляют. Если начальники – люди, то штук семь им самое оно, скорее всего.
Но один точно нельзя, а то есть сейчас такая смешная теория – натурально шаг назад по сравнению со средней температурой по больнице, т.к. незадачливые эскулапы не просто суммировали, но еще и на количество больных делили, а эти только суммируют. Первая засада в том, что эффективность – это уже два параметра – эффект и затраты, и по одному ее не оценишь. А вторая в том, что жизнь идет, и при попытке добавлять/убавлять слагаемые теряется ценность накопленных ранее измерений. Кому что даст информация, что безопасность изменилась с 1786 на 1844 или 1562, если сам состав метрики на добрую четверть поменялся вслед за целями.

з.ы. Ах, да! Если Вы – консалтер, то к Вам это не относится: для Вас эффективным является как раз таки копипейст "лучших практик", ибо большой выход продукта при минимуме затрат, но это уже другая эффективность – не ИБ.

Конформизм безопасности

Давно уже раздражает, с каким значением повелось говорить про связь ИБ с бизнесом - примерно как "с Пушкиным на дружеской ноге". А ведь принятие безопасностью целей и ценностей оунеров/си-лэвэла означает где-то отказ от своих собственных - не полный, понятно, но примирение и приспособление обещаются.
Если Вы - водитель, которому надо ко времени коробку в аэропорт отвезти, то в интересах эксплуатирующего Вас бизнеса дорожный регулятор вообще не фигурирует, а есть только время и коробка. Поэтому гаишника Вы должны преодолеть, а не победить, донеся, что он все неправильно понимает, Вы *дцать лет за баранкой, читали ПДД тринадцати стран на четырех языках, стояли у истоков Венской конвенции и в суде всем кузькину мать покажете.
В угоду интересам - это не романтика, а предательство идеалов и позорный прогиб под изменчивый.
"И сказал командир: Ты - корабль конвоя. Мы дошли, значит, этим ты все доказал!". Барда недолюбливаю, но текст сильный (как стих судить не хочется). Абсолютно про ИБ.
з.ы. Надеюсь, что Астахову его никто не сольет для ИБ-шного сборника. Ох, какой же я ему сосватал трэшняк про кровавую гэбню - он так юмора и не понял, хотя я именно на текст упирал.