Опубликовал презентацию доклада «Всех аудиторов «посодют»?! Юридические аспекты консалтинга в области ИБ»:
http://www.ptsecurity.ru/news_page.asp?id=75
Обратная связь приветствуется.
четверг, 19 ноября 2009 г.
понедельник, 9 ноября 2009 г.
Всех аудиторов «посодют»?! Серия 2.
В рамках II Межотраслевого Форума директоров по информационной безопасности решил собраться с мыслями и поднять снова эту щекотливую тему. Пора уже скомпилировать статью, но... Конец года...
Презентацию, естественно выложу.
Всех аудиторов «посодют»?! Юридические аспекты консалтинга в области ИБ
Сергей Гордейчик, Positive Technologies
В последнее в профессиональной среде широко обсуждаются различные юридические вопросы проведения тестов на проникновение и аудитов информационной безопасности. Как часто бывает, при столкновении физиков с лириками, дискуссия зачастую порождает совершенно противоположные мнения, вплоть до срочной необходимости привлечения всех аудиторов к уголовной ответственности по широкому спектру статей. В рамках доклада делается попытка свести воедино все вопросы и рассмотреть их с точки зрения российского законодательства и сложившийся практики
Презентацию, естественно выложу.
Всех аудиторов «посодют»?! Юридические аспекты консалтинга в области ИБ
Сергей Гордейчик, Positive Technologies
В последнее в профессиональной среде широко обсуждаются различные юридические вопросы проведения тестов на проникновение и аудитов информационной безопасности. Как часто бывает, при столкновении физиков с лириками, дискуссия зачастую порождает совершенно противоположные мнения, вплоть до срочной необходимости привлечения всех аудиторов к уголовной ответственности по широкому спектру статей. В рамках доклада делается попытка свести воедино все вопросы и рассмотреть их с точки зрения российского законодательства и сложившийся практики
Ищу человека
Скопилось огромное количество дел на работе, которыми готов поделится с хорошим(и) человек-ом(-ами). На постоянной основе и за адекватное вознаграждение, естественно.
Как уже говорил - работы много, и пока есть возможность выбирать. Как пишут на ценниках - работа в асс. :) Не смотря, на то, что практически все связанно с MaxPatrol, широта и глубина продукта (plug) позволяют захватывать, пахать, расширять и углублять широченный пласт информационной безопасности, что полезно для головы.
Консалтинг
Широкий пласт задач, связанный с запуском и поддержкой у Заказчиков процессов управления уязвимостями и соотвествия стандартам.
• Разработка и адаптация регламентов и проч. с учетом использования средств автоматизации.
• Разработка и адаптация существующих технических стандартов и типовых профилей защиты.
• Реализация типовых профилей защиты и процесса мониторинга ИБ в рамках MaxPatrol.
• Разработка набора ключевых показателей эффективности и метрик безопасности для оценки эффективности внедляемых процессов.
• Реализация ключевых показателей эффективности и метрик безопасности в рамках MaxPatrol.
• Поддержка и оптимизация процессов.
• И т.д. и т.п.
Причем для нас крайне важно, чтобы процессы "крутились", продукт использовался, поэтому реализации только первого этапа недостаточно :). Это плавно подводит нас к следующей задаче.
Сервисные услуги
Можете называть это, если угодно "аутсорсингом". Суть та же, что и в предудущем случае, но степень включения во внутренние процессы выше. Ну и капитальные расходы на OPEX перенести можно :)
Развитие MaxPatrol
Тут есть где развернуться фантазии.
Пресейл
Заказчики/конференции/публикации/демонстрации/пилотные проекты/спецификации/сопроводжение работ интеграторов.....
Внедрение
Обследование/Опытная эксплуатация/ПИ/Промышленная эусплуатация/ТРП (в алфавитном порядке)
Понятно, что не все и не одновременно. Вполне можно сосредоточится на чем-то одном, или чередовать по желанию/необходимости.
Где работать?
http://www.ptsecurity.ru/contacts.asp
С кем работать?
http://www.ptsecurity.ru/analytics.asp
http://malotavr.blogspot.com/
http://devteev.blogspot.com/
Если интересно или есть вопросы, пишите в почту или сюда.
Как уже говорил - работы много, и пока есть возможность выбирать. Как пишут на ценниках - работа в асс. :) Не смотря, на то, что практически все связанно с MaxPatrol, широта и глубина продукта (plug) позволяют захватывать, пахать, расширять и углублять широченный пласт информационной безопасности, что полезно для головы.
Консалтинг
Широкий пласт задач, связанный с запуском и поддержкой у Заказчиков процессов управления уязвимостями и соотвествия стандартам.
• Разработка и адаптация регламентов и проч. с учетом использования средств автоматизации.
• Разработка и адаптация существующих технических стандартов и типовых профилей защиты.
• Реализация типовых профилей защиты и процесса мониторинга ИБ в рамках MaxPatrol.
• Разработка набора ключевых показателей эффективности и метрик безопасности для оценки эффективности внедляемых процессов.
• Реализация ключевых показателей эффективности и метрик безопасности в рамках MaxPatrol.
• Поддержка и оптимизация процессов.
• И т.д. и т.п.
Причем для нас крайне важно, чтобы процессы "крутились", продукт использовался, поэтому реализации только первого этапа недостаточно :). Это плавно подводит нас к следующей задаче.
Сервисные услуги
Можете называть это, если угодно "аутсорсингом". Суть та же, что и в предудущем случае, но степень включения во внутренние процессы выше. Ну и капитальные расходы на OPEX перенести можно :)
Развитие MaxPatrol
Тут есть где развернуться фантазии.
- Конкурентный анализ.
- Формирование требований к системе.
- Мониторинг перспективных разработок в области Compliance Management.
- Формализация и кросс-проекции требований государственных, отраслевых, международных стандартов.
- Формализация требований к безопасности и формирорание технических стандартов к различным системам (а-ля CIS, только правильных).
- ...
Пресейл
Заказчики/конференции/публикации/демонстрации/пилотные проекты/спецификации/сопроводжение работ интеграторов.....
Внедрение
Обследование/Опытная эксплуатация/ПИ/Промышленная эусплуатация/ТРП (в алфавитном порядке)
Понятно, что не все и не одновременно. Вполне можно сосредоточится на чем-то одном, или чередовать по желанию/необходимости.
Где работать?
http://www.ptsecurity.ru/contacts.asp
С кем работать?
http://www.ptsecurity.ru/analytics.asp
http://malotavr.blogspot.com/
http://devteev.blogspot.com/
Если интересно или есть вопросы, пишите в почту или сюда.
воскресенье, 1 ноября 2009 г.
Семинар RISSPA от 29.10.2009
Довелось выступить на довольно интересном мероприятии: семинар RISSPA "Технический взгляд на актуальные угрозы информационной безопасности". Этакий междусобойчик российских вайтхэтов и гуру менеджмента ИБ. В принципе понравилось - непринужденно и по делу. Из докладов произвело впечатление выступление Ильи Сачкова из Group IB. Несмотря на прессинг со стороны оппонентов (как оказалось - соратников и конкурентов).
Мой доклад:
Запись online трансляции (c эклюзивной привет-одей заставкой):
Презентации других выступающих:
http://risspa.org/12seminar
Отзывы и обсуждения:
http://securityaudit.blogspot.com/2009/10/blog-post_29.html
http://iso27000.ru/blogi/oleg-bezopasnik/seminar-ot-risspa-tehnicheskii-vzglyad-na-aktualnye-ugrozy-informacionnoi-bezopasnosti/
В целом мероприятие удалось, огромное спасибо организаторам и спонсорам.
Мой доклад:
Pt Risspa Wi Fi 20091029
View more presentations from RISSPA.
Запись online трансляции (c эклюзивной привет-одей заставкой):
Презентации других выступающих:
http://risspa.org/12seminar
Отзывы и обсуждения:
http://securityaudit.blogspot.com/2009/10/blog-post_29.html
http://iso27000.ru/blogi/oleg-bezopasnik/seminar-ot-risspa-tehnicheskii-vzglyad-na-aktualnye-ugrozy-informacionnoi-bezopasnosti/
В целом мероприятие удалось, огромное спасибо организаторам и спонсорам.
среда, 28 октября 2009 г.
Выступление на "Разработке ПО 2009"
Сегодня выступал на мероприятии, которое странным образом оказалось знакомым. Пока готовил презентацию, понял, что такое уже делал. Посмотрел и действительно, с подобным докладом выступал на SQL Days. Но сейчас доклад получился более помпезным. Видимо окружение обязовало.
На этом же круглом столе выступал также Юрий Гуревич из Microsoft Research. Оказывается Microsoft упорно пишит аналог MaxPatrol. Я в шоке :). Придется интегрироваться... Пообщались, проблемы теже. В том числе и управление требованиями. И тоже пока не решена.
К сожалению, работа не дала возможности остаться на все выступления. Пришлось убежать.
На этом же круглом столе выступал также Юрий Гуревич из Microsoft Research. Оказывается Microsoft упорно пишит аналог MaxPatrol. Я в шоке :). Придется интегрироваться... Пообщались, проблемы теже. В том числе и управление требованиями. И тоже пока не решена.
К сожалению, работа не дала возможности остаться на все выступления. Пришлось убежать.
понедельник, 26 октября 2009 г.
Мероприятия на этой неделе
В среду и в четверг буду участвовать в конференции "Разработка ПО 2009" (CEE-SECR 2009, http://cee-secr.org/) и очередном семинаре RISSPA.
http://cee-secr.org/round-tables/information-security-of-computer-systems/
Безопасность прикладных систем. Разработчик, аудитор, пользователь.
Все, что сделано руками людей далеко от совершенства. В результате ошибок проектирования, реализации и эксплуатации в компьютерных системах возникают уязвимости, т.е. свойства системы, использование которых злоумышленником может привести к ущемлению интересов владельца этой системы. Многие уязвимости обнаруживаются производителем на этапе разработки, тестирования и сопровождения продуктов, однако часть их обнаруживается владельцами систем, независимыми исследователями и аудиторами. В докладе предлагается обзор следующих вопросов:
- статистики распространенных проблем безопасности приложений';
- требований регуляторов в части безопасности прикладных систем (PCI DSS, 152-ФЗ «О персональных данных» и т.д.);
- существующих практик безопасной разработки, покупки и сопровождения прикладных систем;
- подходов к взаимодействию производителя или владельца ресурса и исследователя, обнаружившего проблему.
В рамках доклада анонсируется вторая версия классификации Web-узвимостей Web Application Security ConsortiumThreat Classification version 2.
http://risspa12.eventbrite.com/?ref=ecount
«(Бес)проводная (без)опасность»
В рамках доклада рассматриваются типичные проблемы, связанные с беспроводными технологиями, вопросы управления регулятивными требованиями в этой области, дается обзор передового опыта и принятых практик. Материал построен на практическом опыте компании Positive Technologies в области тестирования на проникновения и построения процессов Compliance Management.
http://cee-secr.org/round-tables/information-security-of-computer-systems/
Безопасность прикладных систем. Разработчик, аудитор, пользователь.
Все, что сделано руками людей далеко от совершенства. В результате ошибок проектирования, реализации и эксплуатации в компьютерных системах возникают уязвимости, т.е. свойства системы, использование которых злоумышленником может привести к ущемлению интересов владельца этой системы. Многие уязвимости обнаруживаются производителем на этапе разработки, тестирования и сопровождения продуктов, однако часть их обнаруживается владельцами систем, независимыми исследователями и аудиторами. В докладе предлагается обзор следующих вопросов:
- статистики распространенных проблем безопасности приложений';
- требований регуляторов в части безопасности прикладных систем (PCI DSS, 152-ФЗ «О персональных данных» и т.д.);
- существующих практик безопасной разработки, покупки и сопровождения прикладных систем;
- подходов к взаимодействию производителя или владельца ресурса и исследователя, обнаружившего проблему.
В рамках доклада анонсируется вторая версия классификации Web-узвимостей Web Application Security ConsortiumThreat Classification version 2.
http://risspa12.eventbrite.com/?ref=ecount
«(Бес)проводная (без)опасность»
В рамках доклада рассматриваются типичные проблемы, связанные с беспроводными технологиями, вопросы управления регулятивными требованиями в этой области, дается обзор передового опыта и принятых практик. Материал построен на практическом опыте компании Positive Technologies в области тестирования на проникновения и построения процессов Compliance Management.
понедельник, 19 октября 2009 г.
Статистика безопасности Web-приложений 2008
Опубликована статистика уязвимостей Web-приложений за 2008 г. консорциума Web Application Security Consortium (WASC). Ознакомиться с ней можно здесь.
Русский вариант для загрузки.
WASC Web Application Security Statistics 2008 (Russian)
Публикация содержит обзорную статистику уязвимостей Web-приложений, полученную в ходе работ по тестированиям на проникновение, аудитов безопасности и других работ, проводимых Компаниями, входящими в консорциум WASC в 2008 году. Всего статистика содержит данные о 12186 сайтах, в которых было обнаружено 97554 уязвимости различной степени риска.
Дмитрий Евтеев опубликовал сравнение с нашей статистикой:
Забавно, но между русским (первоначальным, как вы могли догадаться) и "word-wide" есть некоторые различия. Для соблюдения политесу был выкинут раздел 4.3 - сравнение различных методик . Вот он, свободный демократический мир :)
Русский вариант для загрузки.
WASC Web Application Security Statistics 2008 (Russian)
Публикация содержит обзорную статистику уязвимостей Web-приложений, полученную в ходе работ по тестированиям на проникновение, аудитов безопасности и других работ, проводимых Компаниями, входящими в консорциум WASC в 2008 году. Всего статистика содержит данные о 12186 сайтах, в которых было обнаружено 97554 уязвимости различной степени риска.
Дмитрий Евтеев опубликовал сравнение с нашей статистикой:
Забавно, но между русским (первоначальным, как вы могли догадаться) и "word-wide" есть некоторые различия. Для соблюдения политесу был выкинут раздел 4.3 - сравнение различных методик . Вот он, свободный демократический мир :)
Подписаться на:
Сообщения (Atom)