21 мая: круглый стол «Управление безопасностью – управление рисками»

В рамках международного форума Positive Hack Days 21 мая пройдет круглый стол «Управление безопасностью – управление рисками». В нем примут участие ведущие специалисты отрасли:

• Светлана Белялова, заместитель председателя правления ОАО «ВТБ»,
• Виталий Задорожный, директор по управлению операционными рисками компании «ВымпелКом»,
• Андрей Костин, директор по внутреннему контролю и управлению рисками Yota,
• Владимир Курбатов, начальник управления по информационной безопасности  ООО «ЛУКОЙЛ-ИНФОРМ».

Модератор круглого стола: Михаил Емельянников, Управляющий партнер Консалтингового агентства «Емельянников, Попова и партнеры».

Обсуждаться будут следующие вопросы:

1.      Может ли основной бизнес компании, в которой вы работаете, существовать без современных ИТ-технологий? Что произойдет с бизнесом, если информационная система выйдет из строя (упадет, перестанет быть доступной) и как долго можно будет продержаться без доступа к приложениям?

2.      Управление рисками информационной безопасности (ИБ) и в информационной сфере в целом – это часть общей системы менеджмента рисками в вашей организации или самостоятельное направление деятельности? Можно ли построить риск-менеджмент ИБ как отдельную область деятельности или управление ими возможно только в рамках общей системы управления бизнес-рисками?

3.      Насколько риск-менеджмент в области ИБ является приоритетным в вашей организации? К каким группам рисков относятся риски в области ИБ или это полностью самостоятельная группа?

4.      Можно ли строить систему ИБ  не управляя рисками, а используя, например, только лучшие практики? Ведь требования постановлений правительства, Банка России и приказов ФСТЭК № 17 и 21 – это фактически сборники лучших практик, хотя слова «риск-менеджмент» там и звучат. Может, можно сделать все проще?

5.      Оценка риска – всегда производная от вероятности реализации и значимости последствий. Последствия оценить можно и понятно  как это сделать. А как оценить вероятность реализации, учитывая что статистики, тем более узкоотраслевой, нет. Как можно оценивать вероятность без вероятностного распределения? Не похоже ли управление рисками на гадание на кофейной гуще?

6.      Скажите честно, риск-менеджмент ИБ пришел в вашу компанию от бизнеса или от ИБ? Почему?

Место и время: 21 мая, 16:00, Москва, центр Digital October.

Организатор: компания Positive Technologies.

Вместо новогоднего поздравления

Друзья, коллеги, партнеры, клиенты, читатели!

С наступающим Вас Новым 2014 годом!

Традиционного нового счастья (каждому – свое), новых впечатлений (обязательно – приятных), новых успехов (а как успехи могут быть старыми?). Будьте все здоровы, обязательно находите в гонке жизни время для себя и своих близких, для путешествий и хороших книг, новых фильмов и хобби.

Все мы еще поработаем! И еще как!

Накануне нового года все подводят итоги и рисуют прогнозы. Мы тоже не удержались, и, с подачи ассоциации BISA, высказали свою точку зрения. Интервью также в значительной части опубликовано вв журнале БДИ!

Для тех, кто не читал, - текст ниже.

Какие события этого года в сфере информационной безопасности (ИБ) вы считаете важными и почему?

Главное событие – бегство Эдварда Сноудена и его откровения. Между тем, что мы знаем, и тем, что произнесено вслух, существует очень большая разница. После откровений перебежчика (а Сноуден – именно он) последние иллюзии должны были исчезнуть даже у самых закоренелых скептиков и сторонников государственности. Все жители планеты Земля – под колпаком спецслужб, и степень вмешательства в нашу жизнь ограничивается только их, спецслужб, бюджетом.

Из российских событий я бы выделил очередное резкое обострение внимания законодателей и органов власти к теме персональных данных. Активность на этом направлении сенатора Руслана Гаттарова, парламентские слушания под председательством В.И. Матвиенко, создание межведомственного экспертного Совета Минкомсвязи, приказы ФСТЭК №№ 21 и 17, два новых приказа Роскомнадзора – по странам, обеспечивающим адекватную защиту прав субъектов персональных данных, и способам обезличивания, а также проект приказа ФСБ говорят о том, что тема персональных данных пока остается главным драйвером рынка в России. Это не очень хорошо для рынка, но это надо учитывать.

Какие тренды в сфере ИБ в этом году вы бы отметили?

Я не вижу сегодня принципиально новых трендов. Пожалуй, можно выделить активность провайдеров услуг в вопросе обеспечения безопасности облачных вычислений и поиски решений в проблематике использования больших данных и связанных с этой темой проблемами информационной безопасности. Причем не в контексте их конфиденциальности, она здесь – отнюдь не главное, а с точки зрения их доступности и возможности использования в реальном масштабе времени. Тема очень большая и очень новая, но явно не имеющая очевидных решений.

Каковы ваши прогнозы на будущее отрасли ИБ?

Отрасли придется решать очень много совсем непростых задач. Главная, на мой взгляд, - организация противодействия таргетированным атакам, для которых традиционные сигнатурные методы, используемые разработчиками антивирусного программного обеспечения и систем IDS/IPS, уже не работают и работать не будут. Несмотря на все уверения вендоров, эвристические методы выявления злонамеренной активности не работают или работают очень плохо. И это очень большая проблема, в первую очередь – для кредитно-финансовых учреждений, кражи денег из которых через системы ДБО (клиент-банк, мобильный банкинг, интернет-банкинг – название значения не имеет) стали такой же обыденностью, как ограбления банков в Америке в 30-е годы.

Вторая проблема, требующая решения – безопасность при реализации концепции BYOD, на которую накладывается наша российская специфика, связанная с обязательностью использования сертифицированных средств шифрования. Возвращение зоопарка технических средств, совсем по другим причинам бывшего головной болью служб ИБ в 90-е годы, сулит новые проблемы, поэтому и возникает необходимость принятия нетрадиционных решений, к которым готовы далеко не все специалисты, привыкшие сверять свою деятельность с лекалами ФСБ и ФСТЭК. Для решения этих проблем готовых лекал нет.

Третья проблема, которую придется решать – безопасность в среде виртуализации и облачной инфраструктуре. Здесь тоже нет готовых и очевидных решений, однако их отсутствие не может остановить технический прогресс. Концепция «один сервер – одно приложение» умерла окончательно, и попытка ей следовать ухудшает конкурентоспособность ее приверженцев, явные экономические преимущества передачи информационных систем на аутсорсинг, в том числе – в облака крупнейших провайдеров, которые могут сделать их использование значительно более дешевым, чем развертывание собственных мощностей, заставит искать и адекватные решения по защите данных и обеспечению безопасности их использования. Это вызов, на который неминуемо придется искать ответ всем без исключения игрокам рынка – и вендорам, и поставщикам услуг, и их покупателям.

Каковы ваши прогнозы на будущее рынка ИБ?

Они связаны с трендами, описанными в ответе на предыдущий вопрос. Но, самое, на мой взгляд, очевидное - неминуемое окончание эпохи способов борьбы с вредоносным программным обеспечением, к которым мы привыкли сегодня. Stuxnet, Duqu, Flame, Gauss говорят о том, что прежние методы противодействия безнадежно устарели. Рассказывать, как тушить пожар, после того, как все сгорело – бесполезно. Нужны принципиально новые, прорывные решения.

Каких вершин достигла Ваша компания в этом году?

Мы не альпинисты, и покорение вершин – не наш бизнес. Нашими заказчиками в этом году стали крупнейшие мировые и российские компании. Объем продаж существенно вырос. Авторитет компании укрепился. Все идет по нашему плану, и мы довольны.

Ваши рекомендации ИБ-специалистам в следующем году

Они не отличаются о тех, которые могли быть даны и в прошлом, и в позапрошлом году, и ранее. ИБ – сфера деятельности, задачей которой является защита бизнеса. Не решение своих локальных проблем, не укрепление положения внутри компании, а создание условий, позволяющих бизнесу увеличить прибыль. Если мы говорим о государственных структурах - обеспечить выполнение ими функций и полномочий, возложенных на эти структуры законами и нормативно-правовыми актами, не допуская сбоев и не нарушая права граждан, ради реализации прав и законных интересов которых государственные органы и функционируют. Определение своего места в строю – не всегда легкая и почти всегда не очень комфортная задача, но, не решив ее, успешно выполнить свои задачи нельзя.

Как вы оцениваете деятельность регуляторов в сфере ИБ за этот год? Что было сделано полезного. Что может помешать развитию отрасли? Какие вопросы были упущены и требуют рассмотрения в будущем?

Очень по-разному. Кто-то, как например, ФСТЭК, активно обратился к помощи профессионального и экспертного сообщества, и результаты не замедлили сказаться. Документы Службы, созданные в этом году – приказы №№ 17 и 21, к доработке которых на открытой платформе были приглашены все желающие специалисты, вызвали в целом весьма положительную реакцию, а планы подготовить к ним еще и методические рекомендации при активном и гласном подключении к работе представителей вендоров, интеграторов и заказчиков, ничего, кроме уважения и одобрения, вызывать не могут. Движутся в этом же направлении Минкомсвязь и Роскомнадзор, подключающие к созданию новых законодательных и нормативных актов специалистов-практиков в рамках деятельности экспертных сообществ при этих ведомствах. А кто-то по-прежнему полагается на свою компетенцию и предпочитает решать задачи регулирования самостоятельно, результатом чего являются жесткая критика принимаемых документов, в том числе – со стороны других государственных институтов.

Блогеры, львы, гладиаторы и интересующиеся коммерческой тайной

8-10 октября в павильоне № 7 Экспоцентра на Красной Пресне – традиционная осенняя выставка- конференция  «Инфобез-Экспо».

Наше агентство примет участие в трех мероприятиях. Во второй день конференции, 9 октября, с  12.30 до 14.00 пройдет блогер-панель на этот раз на тему «Стандартизация в информационной безопасности. Какие стандарты нужны и зачем». Тема животрепещущая, и обсудить ее приглашены коллеги, ведущие свои личные блоги, которые много и с удовольствием читают специалисты по информационной безопасности, и не только они.

Алексей Комаров (Злонов) расскажет про близкие каждому отечественному специалисту «Колбасу, дороги и стандарты ИБ», Александр Бондаренко (Security Insight) – про пришедший с Запада PCI DSS, его плюсы и минусы. Михаил Хромов (Ригельз Дыбр) поделится мыслями о том, почему нам нужны стандарты внутренние и для взаимодействия, а ваш покорный слуга (Рецепты безопасности от Емельянникова) – выпишет рецепт для лечения после прочтения стандартов на примере ГОСТ Р 53647.6-2012 и объяснит, почему принимать их вредно. Наталья Храмцовская (Кто не идёт вперед, тот идёт назад) раскроет секреты Международной организации по стандартизации ISO. А Андрей Прозоров (Жизнь 80 на 20) приготовит сюрприз, который преподнесет нам  непосредственно на месте.

Придуманный нами в прошлом году формат блогер-панели оказался вполне удачным и меняться не будет: каждое выступление длится 4-6 минут, а затем обсуждается блогерами и присутствующими в зале. Итого на каждый озвученный пост - 10-15 минут. Скучать будет некогда.

На третий день, 10 октября, я с 12.30 до 14.00 проведу в конференц-зале № 2 мастер-класс, на котором подготовлю ответы на шесть вопросов о коммерческой тайне, которые вы всегда хотели узнать, но стеснялись спросить:

1. Кому и зачем надо устанавливать режим коммерческой тайны?
2. Как можно защитить результаты интеллектуальной деятельности, в чем достоинства и недостатки различных режимов защиты (патентное и авторское право, институт коммерческой тайны)?
3. Можно ли защищать секреты производства и иные сведения, ограничив доступ к информации и не устанавливая режим коммерческой тайны?
4. Какие режимные меры необходимо принять и как регулировать, отношения с работниками и контрагентами?
5. Правомерен ли контроль за использованием работниками средств хранения, обработки и передачи информации при реализации режимных мер?
6. Можно ли защитить свои интересы в суде?

Времени на этот раз для обстоятельного погружения в тему достаточно, поэтому я с удовольствием отвечу на другие волнующие слушателей вопросы. Готовьте.

А закончится конференция традиционным конкурсом продуктов и услуг «Львы и гладиаторы» (10 октября, 14.30-16.00, конференц-зал № 1). Трепать бойцов, выступающих за гладиаторские школы российских и зарубежных вендоров, будут ветераны информационных битв, компетентность и объективность которых никто не рискнет поставить под сомнение. Среди них Дмитрий Устюжанин из «Вымпелкома», Олег Маслов из «Фосагро», Алексей Волков из «Северстали», Артем Кроликов из «АльфаСтрахования», Алексей Овчинников из «X5 Retail Group».

В прошлом году некоторые гладиаторы пожаловались, что львы были недостаточно агрессивны, и им было не страшно на арене. На этот раз мы договорились со львами, что обедать они в день конкурса не будут, так что гладиаторам понадобятся дополнительные доспехи. Пусть готовятся к не самым приятным вопросам.

Будет на конференции и много другого интересного.

Дмитрий Костров, в этом году ушедший из бизнеса в непростую по нынешним временам  жизнь госслужащего и ставший заместителем директора департамента Минкомсвязи, проведет в первый день планарное заседание «Текущая ситуация в мировом киберпространстве. Реальное положение дел. Мнения», на котором обещает разобраться с модными словами «кибер» и «электронный» (-е), которые подставляют сейчас к чему угодно, и проанализировать, как с ними сочетается слово «безопасность». Андрей Москвитин приоткроет тайны Microsoft и расскажет, как обеспечивается безопасность облачной инфраструктуры гиганта и как разместить там информационные системы персональных данных.

Не только интересным, но и непредсказуемым обещает быть обсуждение во второй день темы безопасности АСУ ТП на круглом столе, модерируемом лидерами двух компаний, конкурирующих в одном и том же сегменте рынка – Сергеем Гордейчиком из Positive Technologies и Ильей Медведовским из Digital Security.

Алексей Волков проведет круглый стол «Блеск и нищета DLP-систем», а Рустем Хайретдинов расскажет, как бороться с утечками, сбалансированно используя технические, методические, юридические и кадровые средства.

Дмитрий Устюжанин во второй раз будет ставить опыты в Лаборатории мобильной безопасности. Посетители получат возможность скачать и протестировать понравившееся решение на своем устройстве. Выступающие предоставят несколько тестовых смартфонов, на которых заинтересовавшиеся смогут протестировать предлагаемые продукты. Предложивший лучшее по мнению зрителей решение будет награжден призом. Обещают, что эксклюзивным.

На конференции не будут обойдены стороной проблемы обеспечения безопасности банков, борьбы с мошенничеством и другие.

Надеюсь, что, как и раньше, интересное для себя найдет каждый пришедший на выставку-конференцию. Пригласительные билеты можно оформить здесь.

Информационная безопасность железных дорог

По просьбе журнала для менеджмента РЖД я написал статью о проблемах информационной безопасности, которые в первую очередь затрагивают интересы бизнеса транспортников. На мой взгляд, это безопасность АСУ ТП, особенно использующих интернет в качестве транспорта, персональные данные пассажиров, on-line бронирование и приобретение билетов, коммерческая тайна. Если покопаться в интернете, окажется, что сайты и информационные системы железных дорог – одни из самых атакуемых. И то, что ЧП там происходят в основном в силу человеческого фактора, как нам сообщают СМИ, – это еще большой вопрос. Упражнения на PH Days со SCADA от Siemens как-то такой уверенности не вселяют. Правда, в том же журнале менеджеры перевозчиков, довольно далекие от безопасности, уверяют, что все у них хорошо. Но показалось важным, что значительная часть номера весьма специфического журнала со специфической же аудиторией посвящена проблемам безопасности. Не антитеррористической деятельности, не транспортной безопасности и не кадровой даже. Информационной.

Говорят, журнал читает не просто менеджмент, а топ-менеджмент железнодорожного монополиста. Если так, может, кто-то действительно прочитает и задумается.

Если нет мифов [в информационной безопасности], их надо придумать

Тема мифотворчества в информационной безопасности – одна из самых популярных. Их, эти мифы, любят рассматривать и опровергать, аргументируя свою позицию ссылками на мировой и личный опыт. Их собирают и систематизируют, рассматривают под лупой и в целом.

Прочтение последнего, по времени появления, материала, очередного борца с иллюзиями, на этот раз – из глубоко уважаемой компании Gartner, натолкнуло меня на мысль, что эти мифы порой создаются не коллективным творчеством масс специалистов, заблудших в поисках ответов на бесконечные «вызовы времени», и ищущих пути защиты и спасения, а рождаются в тихих кабинетах аналитиков с целью опровергнуть их затем публично и успешно.

Судите сами. Примерно месяц назад в зарубежных ИТ- и ИБ-изданиях (например, здесь) активно цитировалась публикация Jay Heiser из упомянутой компании. Похоже, это изначально была даже не статья, а презентация, но найти ее на сайте Gartner мне не удалось. Перевели ее и российские «Открытые системы».

Обсуждения высказанной точки зрения практически не было, все просто перепечатывали текст. Свое мнение хотелось высказать сразу, но времени не было совсем. Коль скоро тема не обсуждалась, а актуальности не потеряла, думаю, это возможно сделать и сейчас.

В публикации приводятся и опровергаются 10 мифов. Почему 10? Число красивое! Но как-то сразу вызывает подозрения. Если бы их было 8 или 11, у меня лично это доверия вызвало бы больше. Но Gartner число 10 очень любит. Погуглите, кто не верит.

По прочтении материала появилось устойчивое впечатление, что так, как опровергаемые автором специалисты, я не думаю, и, самое главное, не думал никогда. Более того, из разговоров с моими коллегами, партнерами, клиентами, из того, что я слышу на конференциях и читаю в интернете, складывается мнение, что так никто вокруг меня тоже не думает.

Но если заблуждение не является массовым, то откуда могут появиться мифы? Только из пробирки.

Итак, по порядку. Перевод немного не совпадает с «Открытыми системами», да не обидятся на меня коллеги.

Миф № 1. Этого не случится со мной. Среди специалистов по информационной безопасности этот миф родиться просто не мог, иначе место работы автоматически закрывается. Среди мифотворцев автор упоминает еще загадочных «бизнес-менеджеров». Если речь идет о топах, влияющих на процесс, то там мифы совсем другие: «Жили без этого, и еще поживем», «Столько лет ничего не случалось, с чего вдруг это случится?» и т.д. Но «Со мной не случится» - это уже какой-никакой, а риск-менеджмент: выявление угрозы, оценка риска и принятие решения по управлению им. А реальные мифы основаны на самом отрицании наличия угрозы и необходимости противодействия рискам.

Миф № 2. Бюджет на ИБ – это 10% общих затрат на ИТ. Это не миф. Это известный каждому просителю бюджета аргумент, основанный на «лучших практиках». Все знают, что никто никогда этой величины не считал, статистики нет, но как-то обосновывать свою долю в ИТ-проекте надо. Если это проект чисто айтишный, все знают, что 10% не видать, как своих ушей без зеркала. Но если удастся убедить руководство в открытии ИБ-проекта, бюджет будет не 10, а все 100%.

Миф № 3. Риски безопасности могут быть оценены количественно. Можно было бы ограничиться коротким «ха-ха». Наличие мифа как такового, во всяком случае, в России, опровергается наличием в методике актуализации угроз ФСТЭКа слов «Вербальные градации вероятности реализации угрозы», «Вербальная интерпретация возможности реализации угрозы» и «Вербальный показатель опасности угрозы». Количественно, говорите?

Миф № 4. Мы обеспечили физическую безопасность (или SSL), и теперь вы знаете, что ваши данные в безопасности. Само наличие в английской версии местоимений «мы» и «вы» готовит о том, что миф распространяется кем-то, не пользователем. Заказчиков, которые поверили бы в достаточность только физических мер защиты или использования криптографии, (см. Миф № 10) я не встречал никогда. Даже когда сам начинал быть заказчиком. И совершенно не понимаю, из каких реальных условий такой миф мог бы родиться.

Миф № 5. Уменьшение срока действия пароля и его усложнение снижают риски. А вот тут стоп. Это вовсе не миф, пока, во всяком случае. Отнесение этого утверждения к мифу основывается на высокомерном утверждении, что сама идея использования паролей глубоко ошибочна, потому что они не ломаются, а перехватываются. Многофакторная аутентификация, токены и биометрия, одноразовые пароли генераторов случайных чисел и систем синхронизации времени – это все здорово, но зачем они там, где стоимость информации меньше, чем системы аутентификации. Поживем еще с паролями. А тогда и время действия пароля, и его длина, и сложность имеют значение. И снижают риски.

Миф № 6. Выделение ИБ из ИТ автоматически обеспечивает хорошую (в подлиннике – good) безопасность. Что, правда, кто-то когда-то так думал? Автоматически? Да, во многих случаях (не всегда!) переподчинение ИБ руководителю службы безопасности или даже первому лицу (зависит от бизнеса) способствует снижению рисков, почему – написано многобукв. Но никогда это не рассматривается как панацея. Никакая оргмера не может ею стать. И кому, как не Gartner, это знать. Да и многие компании, делающие бизнес исключительно на ИТ (дата-центры, например), не имеют служб ИБ. Не читают они мифов древней Греции нового Gartner.

Миф № 7. Следование безопасным практикам – проблема руководителя ИБ. Миф какой-то путаный, непоследовательный. Тут и переложение на CISO (по-русски – руководитель службы информационной безопасности) всех проблем, и его неспособность дать ответы на все вопросы. Но на самом деле – это тоже не миф, а суровая реальность. Если произойдет инцидент ИБ, и ответственный за ИБ будет доказывать, что он сделал, все, что мог, а его не слушали, ответом будет «Плохо убеждали». Проверено. Переложить ответственность на чужие плечи не удастся. ИБ – проблема CISO. И хороший CISO отличается от плохого не наличием международных сертификатов, а умением строить отношения в компании. C ИТ-подразделением. С финдиректором. С директором по рискам, если он есть. С гендиректором, если сможет выйти на этот уровень. Но отвечает за все он. И это не миф. 

Миф № 8. Покупка универсального средства решает все проблемы. Ага. Серебряная пуля. Волшебная кнопка. Философский камень. Нет такого. Даже самые наглые продавцы в ИБ не пытаются его продавать. А это говорит о многом.

Миф № 9. Примем политику, и все проблемы будут решены. Даже самые замшелые консервативные адепты бумажной безопасности (ну вроде меня) никогда не говорили, что сама по себе политика решает проблемы безопасности. Проблемы решают выстроенные, в соответствии с политикой, процедуры и применяемые в соответствии с ней же средства. Миф высосан из пальца.

Миф № 10. Шифрование является лучшим способом сохранить ваши важные данные в безопасности. Никто из практиков так не думает и не думал. Никогда. А уж у нас, учитывая специфику использования средств шифрования, к ней прибегают только тогда, когда обойтись без нее решительно невозможно. С автором не поспоришь в том, что для применения криптографии надо иметь соответствующий опыт и знания. Но вот в то, что это «чаша Грааля» или «волшебная пуля» может поверить только дилетант, начитавшийся кривых учебников по криптографии. Если наивные до такой степени дилетанты в сфере ИБ вообще существуют.

Так зачем творить несуществующие мифы, спросите вы меня. Читайте сигнатуры аналитика к снадобьям от мифов (Cure в тексте): выявление первопричин проблем системы безопасности, создание программы информационной безопасности внутри корпоративной культуры, методический анализ рисков и приоритетов, многолетние планы обеспечения безопасности и т.д.

У вас еще есть вопросы?

Панегирик выставочному бизнесу [в области информационной безопасности]

Все, наверное, помнят замечательный диалог про долму в классическом «Мимино». Причиной непопулярности этого блюда в определенных регионах может быть, по мнению героя Фрунзика Мкртычана, исключительно то, что там просто не умеют готовить долму. Именно этот эпизод всегда приходит мне на память, когда начинаются дискуссии о российских выставках по информационной безопасности.

Сейчас, в период очередного роста количества мероприятий по информационной безопасности, потянуло меня вернуться к теме умирающего выставочного бизнеса в нашей отрасли. Непосредственным толчком к написанию поста стала замечательная фраза в очередном приглашении на очередную выставку: «Поэтому на всякий случай я сама внесла вас в список зарегистрированных посетителей... Теперь вам достоточно просто распечатать и предъявить это письмо со штрихкодом на регистрации в павильоне выставки» (все особенности изложения сохранены). Вот и я, не посетив выставку, пополнил число «зарегистрированных посетителей», которых в очередной раз опять станет тысяч 5-6. Когда же оказываешься на выставке, видишь примерно следующее:

И это первая половина 3-го дня выставки! Выставка с тем же брендом в Лондоне выглядит примерно так:

А вот в «огромном» городе Утрехте «лидирующей» в этом сегменте рынка Голландии год назад аналогичная выставка выглядела так:

По аудированной отчетности, в Лондоне в этом году на выставке за 3 дня побывало 12,5 тыс. уникальных посетителей, на 19% больше, чем в прошлом году. В 2013 ждут (и, думаю, дождутся) 15 тысяч. В Утрехте в этом году на выставку пришли 7926 специалистов.

Почему ТАК? Причин много. Есть внешние, от нас не зависящие. Есть внутренние, обусловленные традиционным подходом к подобным мероприятиям.

Главная из внешних причин – российский рынок закрытый, зарегулированный и протекционистский, никому, кроме нас, не интересен. Солидарен с А.Лукацким. У меня после посещений компаний Силиконовой долины сложилось такое же впечатление – понять Россию там не могут и рисковать не хотят. Поэтому за восемь лет с момента первой подобной выставки в Москве в 2004 году, ставшей настоящим взрывом, с московских площадок ушли все серьезные западные вендоры и не пришли восточные.

Последними гвоздями в крышку сами знаете чего стал отказ от участия в выставке производителей антивирусных продуктов, в том числе российских, которые традиционно занимают на подобных экспозициях центральное место и самые большие площади. Лицензирование производства, сертификация продукции, ограничительные барьеры на ввоз криптографии, даже той, которая без ограничений используется во всем остальном мире, никак притоку экспонентов из-за рубежа не способствуют. Да и объем российского рынка средств защиты информации, как бы так помягче сказать, не тот, чтобы стоило тратить деньги на рекламу, локализацию и техническую поддержку продуктов на русском языке.

Но главные проблемы, как мне кажется, даже не эти, а сугубо внутренние. Российские производители особого смысла готовить к выставке запуск нового продукта не видят, а к полноценному показу уже имеющихся относятся с прохладцей. Соответственно, нет и интереса посетителей. Зачем? Если что-то хочется посмотреть, к серьезному заказчику мухой привезут в офис с презентацией, продактами и продавцами. А несерьезный, готовый купить по мелочи, продавцам не очень интересен. Да и с новинками по разным причинам не очень густо. Тема № 1 по количеству посетителей на стендах в Утрехте – облачные вычисления и безопасность облаков – 32% посетителей зашли и посмотрели. Тема № 3 - Mobile Device/BYOD Security, двадцати процентам это было интересно. У нас тоже эти темы в топах, но в конференц-части. Потому как на стендах продемонстрировать по этим направлениям нечего.

Вторая проблема – отечественные компании (в том числе дочки-внуки-племянники зарубежных) на выставках работать, как правило, не умеют. Если в Лондоне вы неосторожно встретились глазами со стендистом – все, не отвертитесь. Посещение стенда становится обязательным и неотвратимым. И пока вам не расскажут все, что считают нужным (а вдруг вам завтра понадобится), уйти не удастся. Причем стендисты ловят вас в проходах, на подступах и бегут навстречу, едва заметят взгляд в сторону стенда. В Москве до вас дела нет никому. Не хочу выкладывать фотографии играющих на компах, жующих и спящих работников стендов, дабы никого не обижать. Многие из читающих этот пост там были и сами видели.

Ну, и наконец, безумное решение о проведении двух полностью аналогичных выставок в одном, пусть и большом городе, с интервалом фактически в неделю. Гвоздь последний. Совершенно не хочу рассуждать на тему, почему и отчего. Ответы очевидны.

В предыдущие годы выставки жили за счет деловой программы. Аналога ей не было, да и нет. Но такая деловая программа может существовать только рядом с такими выставками. На простой вопрос «Кто будет платить за посещение тысяч людей?» ответы очевидны. Если вендоры – нередко получаем унылые рекламные выступления, которых и так выше крыши и с которых слушатели на других мероприятиях сбегают десятками после появления первых слайдов с ТТХ (хотя, конечно, есть умельцы, которые свой продукт желанной конфеткой представят – на тех же «Львах и гладиаторах» масса примеров, и зрители туда собираются). Если слушатели – то нет, они платить не будут. Во всяком случае, столько людей собрать в одном месте не удастся. За последние годы появилась масса отличных мероприятий совершенно нового формата и качества -у Позитививов, Диджитал секьюрити, Инфовотча. Они интересны и очень нужны, но они другие и о другом, конференций-выставок не заменят. Как и официоз Инфофорума, и тусовочность Инфоберега.

Что-то мне говорит, что мы теряем выставки-конференции. Очень жаль. На них временами и местами было очень интересно. На них поднимались вопросы, которые сложно обсуждать в другом месте и в форматах, редких для любых мероприятий. На них приходили все, кто хочет, а не те, кто заплатил или кого пригласили. На них было очень много «народного», наверное, другого слова подобрать не смог. Мне кажется, при желании можно, хотя и сложно, все поправить. Подумать об оформлении стендов, позволяющем понять, что конкретно там представляется. Поработать со стендистами, показать и рассказать им, как это делается во всем мире. Приберечь выход нового продукта и «выстрелить» им на выставке. Придумать нестандартное мероприятие на деловой программе, чтобы народ на него повалил. А можно ничего не делать. Свято место пусто не бывает. Но пока появится новое, пройдет время. Потерянного времени всегда жалко.

Традиционная битва на арене информационной безопасности

5 октября международная выставка-конференция «INFOBEZ-EXPO» традиционно завершится битвой львов и гладиаторов под девизом "Это весело, это быстро, это мучительно". С удовольствием провожу это конкурс (шоу?) уже который раз. Такого накала страстей, таких эмоций и такой живой реакции присутствующих нет, наверное, ни на одном мероприятии по информационной безопасности.

Для тех, кто не в курсе, очень коротко «правила боя».

Семь «гладиаторов» – представителей 7 компаний-разработчиков и поставщиков средств защиты информации представляют свои наиболее интересные, с их точки зрения, решения для рынка информационной безопасности. На каждое представление отводится 10 мин, из них 4 мин – выступление «гладиатора» (без презентации, только устно), 6 мин – ответы на вопросы семи экспертов («львов»). В качестве экспертов приглашаются представители компаний-потребителей услуг информационной безопасности, обладающие большим авторитетом среди специалистов и имеющие опыт практического построения систем безопасности в роли заказчика.

Цель «гладиаторов» – убедить «львов» приобрести свой продукт. По окончании представления продуктов проводится открытое голосование «купил бы - не купил бы». Компания, продукт которой получит наибольшее количество голосов «купил бы», объявляется победителем. При равенстве голосов между «львами» проводится дополнительное совещание, «гладиаторам» (представителям компаний-претендентов) могут быть заданы дополнительные вопросы (на всех – до 10 мин), после чего проводится повторное голосование, но только по продуктам-победителям первого тура. Гладиатору-победителю вручается приз – гладиаторский меч.

Такой необычный формат всегда собирает полный зал. Страсти кипят. Во время одного из конкурсов, когда из-за форс-мажора львов-судей оказалась четное количество, голосовали в финале трижды, и все три раза голоса делились «три на три». Ведущий (я) не голосует. Пришлось обращаться к помощи зала, который традиционным жестом гладиаторских арен – большой палец вверх или вниз – и определил в конце концов победителя (см. фото). Так что девиз оправдывается полностью. Кому-то это очень весело, а кому-то – весьма мучительно.

В этом году на конкурсе, как обычно, семь решений, хороших, но совсем разных:

1.  Центр мониторинга и управления безопасностью предприятия Security Vision от компании «АйТи».

2.  Криптобиблиотека BHCryptography от «Газинформсервиса». 

3.  Решение SafeCopy для защиты конфиденциальных корпоративных документов при их обработке, хранении и печати компании «Инновационные технологии».

4.  DLP-система «Мониториум» компании «Трафика».

5.  Решение для защиты сетей от DoS/DDoS атак FortiDDoS компании Fortinet.

6.  Система предотвращения атак нового поколения Next Generation Intrusion Prevention System компании Hewlett Packard.

7.  Решение для удаленного защищенного доступа к ресурсам предприятия StoneGate SSL VPN от компании StoneSoft.

Среди гладиаторов – в основном дебютанты. Но есть один ветеран, весь такой в шрамах. По непроверенной информации, обещал порвать и конкурентов, и львов.

А львами у нас в этом году будут:

1.  Волков Алексей Николаевич, Начальник отдела эксплуатации средств защиты информации Управления по защите информации Генеральной дирекции ОАО «Северсталь».

2.  Кроликов Артем Евгеньевич, Руководитель управления ИБ ДИТ Штаб-квартиры ОАО «АльфаСтрахование».

3.  Маслов Олег Валерьевич, Начальник управления информационной безопасности ЗАО «ФосАгро АГ».

4.  Овчинников Алексей Геннадьевич, Начальник Управления по Информационной безопасности X5 Retail Group.

5.  Устюжанин Дмитрий Дмитриевич, Руководитель департамента информационной безопасности ОАО «ВымпелКом».

6.  Шубин Александр Сергеевич, Главный специалист Службы информационной безопасности ОАО Банк «Возрождение».

Седьмое имя пока держим в секрете, а то совсем интрига пропадет.

Так что милости просим. Хлеба не обещаем, но зрелище будет. 5 октября 2012 года с 14:30 до 16:00 в московском Экспоцентре на Красной Пресне (конференц-зале «ФОРУМ», павильон 7). Для всех посетителей выставки вход свободный.

Дайджест изменений законодательства по информационной безопасности за прошедший год

В четверг провел организованный Учебным Центром «Информзащита» вебинар «Изменения законодательства в области информационной безопасности и практики его правоприменения». Тяга к знаниям границ не знает, но организатор все же был вынужден остановить запись на вебинар за 10 дней до его начала, так как количество записавшихся достигло 500 человек и превысило технические возможности.

После часового дайджеста по затрагиваемым проблемам больше 40 минут отвечал на вопросы в чате. Как ни прискорбно, основная масса по-прежнему касается законодательства о персональных данных. Прискорбно, потому что тема формального соответствия, подкрепляемая поручением гаранта довести до конца дело с изменением штрафов, направляет работу огромного количества специалистов в сторону решения проблем, далеко не всегда критичных для организаций и предприятий с точки зрения реальных потребностей бизнеса. А это значит, что на действительно серьезные проблемы (а иногда и просто на их выявление) сил, ресурсов и времени будет недостаточно.

Для тех, кто не слушал или не успел записаться, но кому интересно – выкладываю презентацию. И еще раз - это не анализ проблем и не рецепты их решения. Это дайджест, ограниченный всего лишь 60 минутами. Поэтому многого там нет, а что-то – только очень кратко упомянуто. Но для тех, у кого следить за динамикой принятия нормативно-правовых актов нет ни возможностей, ни большого желания, презентация может быть полезной – хотя бы для того, чтобы просто сделать пометки и поглубже разобраться.

Infosecurity Europe 2012: что показывали и что говорили

Лондонская выставка Infosecurity Europe по-прежнему остается крупнейшим и важнейшим событием для специалистов по безопасности. Вот и в этом году за три дня, с 24 по 26 апреля, стенды 330 компаний и шесть залов деловой программы посетили 12,5 тысяч специалистов. Правда, просящиеся на язык и на клавиатуру слова «крупнейшим и важнейшим событием для специалистов Европы», использованные и организаторами, внутренний цензор безжалостно вычеркнул. Иностранцев в этом году было чуть более 1000 человек – для европейской выставки откровенно мало.

Слоган нынешней выставки – «Безопасное мышление, безопасная работа. Безопасные инвестиции, безопасный бизнес». Тема интеграции информационной безопасности с бизнесом – основная. Как квинтэссенция – девиз Cisco на выставке: «Security That Means Business».

С переездом выставки в Earl Court техническая оснащенность и удобство работы посетителей выставки поднялись на ту высоту, дальнейшее увеличение которой просто не имеет смысла. Автоматы на входе для получения бейджа посетителя по высланному на мыло коду. Идеальная разметка в зале, позволяющая по нумерованным буквами и цифрами улицам быстро найти любой нужный стенд. Звукоизолированные залы деловой программы. Огромные площади для общения, работы в интернете, питания, просмотра трансляций из переполненных залов теми, кто туда попасть не смог. Стендисты с ридерами бейджей. И, наконец, большущие стенды, рассчитанные на напряженную работу – от презентаций (которых на стендах, как показалось, стало меньше по сравнению с предыдущими годами) до деловых переговоров, которые ведутся весьма активно.

Что заботит наших коллег в Британии? Да практически все то, что и нас – облака, сплетенные в узел с виртуализацией и примкнувшей к ним проблемой больших данных, консьюмеризация и близкая к ней тема BYOD, безопасность платежей, соответствие (слово какое-то нехорошее, в общем – compliance), риск-ориентированный подход к информационной безопасности, новые угрозы в цифровом мире, социальная инженерия.

Но при внешней схожести обсуждаемых вопросов и предлагаемых решений более глубокое вхождение в тему выявляет и серьезные различия почти во всем, кроме, наверное, применения облачных архитектур. Для них та же главная проблема – безопасность сервисов, в первую очередь, связанных с идентификацией пользователя и ресурса провайдера, защитой данных при передаче и организации хранения, контролем за уничтожением информации и возможностью миграции при отказе от услуг в конкретном облаке. Но и здесь есть существенное отличие – на западе вопрос шифрования передаваемых и хранимых данных не вызывает никаких сомнений, а повсеместное применение для этих целей протокола https (SSL, TLS) упрощает решение задачи до минимума. «Большие» вендоры убеждают в полной безопасности облаков и утверждают, что миграция из дата-центров в облака уже состоялась.

С консьюмеризацией и использованием дивайсов пользователей интереснее. Сама по себе задача создания единых правил для совершенно разных платформ выглядит уже крайне нетривиальной. Одна из дискуссий в главном зале в связи с этим была названа откровенно провокационно: «Принеси свою собственную политику». Поэтому и решения предлагаются нетривиальные, особенно в проекции на российскую ситуацию. Основной путь снижения рисков – страхование! Всерьез обсуждается страхование информации, обрабатываемой и хранимой на устройствах, не принадлежащих компании. Проблема контроля защищенности личных устройств и безопасности установленных на них приложений. И, наконец, одна из сложнейших – идентификация, аутентификация и авторизация пользователя мобильного устройства при доступе к корпоративным ресурсам. Основных решений предлагается два – (1) с использованием третьей доверенной стороны, куда обратиться можно с чем угодно, а уже она, в соответствии с корпоративной политикой, авторизует пользователя и (2) решения для идентификации и авторизации, устанавливаемые на большое количество платформ. С этим тоже интересно. По первой проблеме некоторыми спикерами вообще ставилась под вопрос возможность существования третьей доверенной стороны. По второй - общим трендом становится утверждение о смерти одноразовых паролей и двухфакторной аутентификации с применением токенов.

С оценкой соответствия все не так как у нас, ну или почти все. Пересечение идет по PCI DSS, ну и, частично – по британскому закону о защите данных (Data Protection Act), аналогу нашего закона о персональных данных. Кстати, это единственный случай, когда в деловой программе вспомнили про персональные данные. На стендах участников по этой проблеме – вообще ничего. Гораздо больше британский бизнес волнует SOX, борьба с инсайдом и другие вопросы соответствия, связанные именно с бизнесом.

В лучших традициях на выставке презентуются новинки. Если честно, железо-софт интересовали меньше. А вот представление ежегодного отчета исследования по безопасности PricewaterhouseCoopers 24 апреля было очень интересным. Главные итоги:

·   кибер-атак на крупные организации за год стало в два раза больше, в 15% случаев взлом удается;

·   политика безопасности нарушалась в 45% крупных организаций; 

·   лишь 26% организаций считают, что их сотрудники хорошо понимают  политику безопасности;

·   38% крупных организаций для защиты конфиденциальных данных пользуются услугами шифрования третьей доверенной стороны;

·   39% организаций используют шифрование для обеспечения конфиденциальности данных на смартфонах и планшетах;

·   только 20% крупных организаций оценивают возврат инвестиций в безопасность.

Несколько удивила оценка потерь в Великобритании от инцидентов безопасности – «миллиарды фунтов». Какая-то точность подозрительная.

Главные темы экспозиции ожидаемы (в порядке убывания количества предложений на стендах):

·   Управление рисками и достижение соответствия (именно вместе);

·   Сетевая безопасность и безопасность Интернета;

·   Облачная безопасность;

·   Безопасность приложений;

·   Безопасность мобильных устройств.

Неожиданным оказалось количество компаний, предлагающих решения класса DLP - около 50. Несмотря на то, что для данных продуктов использовалось устоявшееся определение Data Leakage Prevention, при детальном рассмотрении и беседах со стендистами оказалось, что термин по-прежнему остается в значительной степени маркетинговым и под этой вывеской продается неограниченно широкий спектр решений – от шифрования до контроля устройств ввода-вывода. Типичный пример – KeySecurePC, твердотельный SSD диск с операционной системой, приложениями, эмуляцией «форточек» и шифрованием по AES256. Из возможностей компа, к которому он подключается по USB-порту, используется только процессор, оперативная память, экран и клавиатура. На диски компьютера ничего не записывается. Все действия выполняются в замкнутой среде с обязательным шифрованием, но, как утверждает разработчик, не данных или файлов, а всей среды, где идет обработка. Туда же встроена функция гарантированного удаления ненужных данных. Производитель относит это решение тоже к DLP. Еще более неожиданным было позиционирование в этом классе разработчиков шредеров для жестких дисков.

Очень много предложений по управлению идентификацией, доступом, аутентификации и авторизации. Самых разных.

Системы обнаружения вторжений, межсетевые экраны и SIEM выставлялись исключительно  с приставками «нового поколения» или 2.0. Но в целом вендоров становится меньше, интеграторов и консультантов – больше. Из года в год. Увидеть на выставке традиционный блейд уже почти невозможно.

Интересными были стенды нишевых компаний, которые предлагали решения для очень узких, специфических, но сложных задач, таких, как контроль за действиями привилегированных пользователей и работой привилегированных приложений, безопасность мобильный платежей, анализ исходного кода, шифрования электронной почты, управления ключами в SSH и т.п. Ребята буром вгрызаются в проблему. Бизнес явно сделан с перспективой последующей продажи акулам.

А вот эти симпатичные ищейки будут для вас бесплатно бегать по интернету, искать поставщиков решений, сравнивать их (по своим, правда, критериям) и предлагать дистрибуторов приглянувшегося вендора. Сервис, как минимум, интересный. С полезностью будем разбираться.

Россиян на выставке впервые за последние годы не было. Увы. Огромный стенд Касперского нам не засчитали – как известно, это теперь английская компания.

Рассказывать можно очень долго. Выставка (как и голландская Infosecurity 2011) начисто опровергает популярное в последние годы среди российских участников рынка ИБ мнение о бессмысленности подобных мероприятий и отсутствии практической пользы от них. Видимо, дело не в мероприятии, а в отношении, умении, готовности, ну и т.д.

А что у нас? Готовимся к очередному Инфобезу-Экспо!

Пока собираются стендисты, деловая программа почти сверстана. У нас – свой путь. Похоже, минимум четыре мероприятия будут посвящены персональным данным (такова наша жизнь…) – пленарка «Безопасность персональных данных – наука и жизнь» с редкой возможностью послушать регуляторов (будем надеяться, всех сразу), круглые столы «Защита персональных данных в «облаках» (организатор – «Аладдин Р.Д.»), «Персональные данные в области медицинских ИКТ» (организатор – АРМИТ), и наконец, организуемая вашим покорным слугой блогер-панель «Персональные данные – год после новой редакции закона». Планируется, что на ней вы сможете услышать точку зрения тех, кого наиболее часто читаете – Алексея Лукацкого, Алексея Волкова, Александра Токаренко и Евгения Царева, ну, и мою, конечно. Планируем провести все очень живенько – минут пять каждому на новеллу о сложных проблемах правоприменения законодательства персданных по его выбору, потом обсуждение изложенной точки зрения участниками за столом и в зале.

Из другого «вкусненького» на деловой программе – совершенно новый формат «Лаборатории информационной безопасности» под управлением Дмитрия Устюжанина, аутсорсинг ИБ под чутким руководством Дмитрия Кострова, дела денежные (ДБО – Андрей Грициенко из Банка «Возрождение», стандартизация – Артем Сычев из «Россельхозбанка», PCI DSS – Юрий Лысенко из «Хоум Кредит Банка»), облачные проблемы государства и частных компаний (Дмитрий Климов/Олег Зюзин), трансграничное взаимодействие и электронные услуги (А.А.Домрачев из Минкомсвязи), информационное право под патронажем дважды доктора наук и профессора А.А.Стрельцова, традиционный исторический экскурс Сергея Рябко из «Эс-Терры», ну и, конечно, битва гладиаторов со львами в заключительный день. И это не все, и это не всё.

Так что скучно не будет. Правильные люди взялись за дело. Место встречи – Москва, Экспоцентр, 3-5 октября 2012 года.