Техническая защита коммерческой тайны - Форум по вопросам информационной безопасности

Атаманов Г.А. | 36668

http://naukaxxi.ru/materials/76/
Определение объекта безопасности, корректное и полное выявление его структурных частей и определение приемлемого уровня их безопасности при условии сохранения функциональности и структурной целостности объекта как единого целого, является исходным условием обеспечения безопасности.

В общем виде совокупность действий по обеспечению безопасности можно представить следующим образом:
1. Определение объекта безопасности, конкретизация составных частей (элементов) его структуры, обладающих относительной самостоятельностью в структурном и функциональном плане.
2. Выявление «источников угроз»: объекты/субъекты; внутренние/внешние; естественные (природные)/искусственные (техногенные) и т.п.
3. Мониторинг элементов и сфер деятельности объекта, на которые может быть направлено деструктивное воздействие (совершено нападение).
4. Анализ возможных средств и методов реализации угроз.
5. Прогнозирование возможного ущерба от реализации угроз.
6. Ранжирование угроз по степени опасности (с учетом вероятности их реализации и размеров возможно причиненного ущерба).
7. Разработка мероприятий по противодействию угрозам.

Противодействие может осуществляться следующими способами:
внешним угрозам: уклонением от нападения; блокированием угроз, вплоть до уничтожения их источника; парированием атак;
внутренним угрозам: профилактикой; локализацией источника, вплоть до его устранения; повышением устойчивости к деструктивным воздействиям (выработкой иммунитета).

8. Реализация разработанных мероприятий по противодействию.
9. Контроль эффективности принятых мер.

>Общепринятый подход потому и "не прокатывает", что он абсолютно неверный.

Мы говорим не об одном и том же?

Есть объект - предприятие. Есть его активы - здания, персонал, техника, которые позволяют получить прибыль. Руководство предприятия ставит целью деятельности предприятия - получение прибыли.
Ну а дальше мои предшествующие сообщения.

В продолжение 36671:

Нефедьев С.Г. | 36536
Задача владельца активов не допустить ощутимого воздействия на свои активы со стороны внешних или внутренних по отношению к этим активам сил.

Объект - это все активы, в том числе прибыль.

Исходя из того, что невозможно защититься от всего и вся, выбирается пороговое значение суммы всех угроз, позволяющих создать вред активам. Каково значения порога?
Мною было предложено заимствовать показатель в 30% от возможностей по восстановлению активов после нанесенного ущерба (1/3 взята из необходимости 3-х кратного превышения сил над обороняющимся противником. То есть, оставшиеся 2/3 позволят провести "контратаку"). Возможности в количественном выражении определены как прибыль.

Таким образом, получилось, что доступ к информации о том, что можно использовать для нанесения ущерба, для локализации которого потребуется затратить от 30% прибыли и выше, требуется ограничить. При этом мною было подчёркнуто, что в зависимости от планов использования прибыли порог может быть уменьшен.

Это можно называть наверное по-разному: подходом, методикой, развитием "совокупности действий по обеспечению безопасности". Но оно не есть "эфемерно, вероятностно", оно "определённо", носит материальный характер и поэтому доступно для понимания.

По ограничению доступа к информации конечно же требуется уточнение.
Ограничение необходимо выполнять для той информации, для которой выбор защитных мер не позволяет устранить угрозы.

Может быть коряво сформулировано, но имелось ввиду примерно следующее: чтобы предотвратить угрозу выхода серверного оборудования из-за аварий водоснабжения и водоотведения целесообразно исключить близость помещения, в котором размещено данное оборудование, от соответствующих "водоводов".

Нефедьеву С.Г.

Да, видимо, об одном, но ведь это не общепринятый подход. Общепринятый - это обеспечение конфиденциальности, в первую очередь.
Что касается порога, то я где-то встречал (источник не могу сейчас назвать точно), что предельной величиной на Западе считается 60%. Если расходы на защиту информации превышают 60% её себестоимости, то защита становится нерентабельной. Но касается это не всякой информации, а только "чувствительной".
Предложенный Вами подход имеет полное право на широкое применение. Но возможно исходить не только из затрат на восстановление, но и из затрат на создание ресурса. Это дело вкуса (предпочтений) и, следовательно, очень субъективно.
В советские времена расходы на ПД ИТР составляли 3-5% от общих затрат на НИР, НОИКР, производство изделия. И вполне хватало. ЗИ была на высоте. Последующие события это показали. Понятно, что ситуация сейчас несколько иная, но подходы, навязываемые ныне т.н. регуляторами, не выдерживают никакой критики.

Этап определения информации, к которой требуется ограничить доступ, в зависимости от расчёта стоимости восстановления активов, не есть "расходы на защиту информации". На этом этапе расходы могут быть только на проведение аудита сторонней организацией. Если же аудит выполняется своими силами, то на данном этапе вообще ничего не нужно вкладывать, кроме желания руководства и "думалки" подчинённых.

О расходах подробнее.
В 30% закладываем сумму стоимости непосредственной защиты активов и стоимости мер по защите информации об этих активах.
Фактически по расходам на защиту информации можем выйти на советский показатель в 3-5%.

Определение информации, к которой требуется ограничить доступ, - это тоже одна из функций СЗИ и расходы на её выполнение необходимо учитывать. Вот только к аудиту стороннюю организацию, по-моему, лучше не привлекать. Это дополнительная угроза.

Атаманов Г.А. | 36728
Многие это интуитивно понимают, но внимают тем, кто твердит им о том, что договор о неразглашении позволит избежать реализации угроз со стороны аудитора.

При этом не принимается в расчет, что люди, которые работают у аудитора, могут по каким-то причинам (увольнение, работа в интересах конкурентов аудируемого и т.п.) "слить" достаточно важную информацию.

Согласен, что любая сторонняя организация, которая допускается к защищаемым сведениям, способна нанести вред. В связи с чем каждый должен или принять или отклонить такой риск.

Очередная авиакатастрофа. На сей раз новейший российский СуперДжет100.

11.05.2012. Ист.: http://www.km.ru/v-rossii/2012/05/11/pravitelstvo-rossii/katastrofa-superdzheta-napugala-administratsiyu-putina

Краткие "ключевые моменты" материала, требующие осмысления:
Самолет, словно конструктор «Лего», на 80% состоял из иностранных комплектующих, произведенных к тому же в разных странах.
Все старые конструкторские бюро были посажены на голодный паек, а их проекты задвинуты на задний план в угоду SSJ100.
«Боинг», выступивший одним из иностранных партнеров российского производителя SSJ100, умышленно направил нас в несуществующую рыночную нишу стоместных и меньше пассажирских самолетов, в которой не приходится ждать значительной экономической эффективности проекта.
У руководства страны какое-то странное отношение к отечественным лайнерам. Сначала бывший президент Дмитрий Медведев после прошлогодней авиакатастрофы под Ярославлем, не дожидаясь выводов комиссии, огульно оговорил, мягко выражаясь, вполне надежный отечественный Як-42, фактически призвав авиакомпании закупать импортные лайнеры, а сегодня чиновники рангом пониже готовы отказаться даже от самолета, на который уповали последние семь лет. Нелишним будет напомнить, что на его создание было потрачено из бюджета более $3 млрд.

И что же теперь? Кто станет покупать самолеты холдинга «Сухой», которых публично сторонится даже руководство страны-создателя, сомневаясь в их надежности?

От себя пожалуй скажу, что это уже целый "винигрет" из ИСТНК, коммерческой тайны, реформ и последствий решений руководства страны.

Ист. http://www.namakon.ru/monitoring.php?list=2&id=559&p=6

На сайте «Война и мир» опубликовано сообщение, что в 2011 году корпорация Pratt&Whitney (США) покинула Пермскую моторостроительную площадку, продав Объединённой двигателестроительной корпорации (ОДК) свои блокирующие пакеты акций в уставном капитале ОАО "Пермский моторный завод" и ОАО "Авиадвигатель" за 37 млн. долларов. Таким образом, пермские моторостроительные компании окончательно вернулись в лоно государства – явно затянувшихся политических и коммерческих игр по смене собственников.

Из осторожных слов С. Сопова, президента ООО "Корпорация "Авиализинг" можно сделать вывод, что американские «партнеры» приходили на «Пермские моторы», чтобы устранить конкурента.

В частности, Сопов заявил. - Видим ли мы сегодня двигатели, изготовленные совместно с P&W, на наших самолётах? Нет. С точки зрения развития комплекса результат очевидный: приход американцев на "Пермские моторы" привёл к тому, что на этой площадке полностью уничтожено серийное производство военных двигателей. Даже оснастки уже не осталось, чтобы их производить. А ведь это был единственный завод, который делал двигатели Д30-Ф6 для МИГ-31. («Мавр» свое дело сделал – удушил предприятие и ушел. Получается, российская сторона заплатила 37 млн. долларов за голые стены? – Намакон).

Конечно, собственники и руководители предприятий понимали, что будет уничтожено производство военной продукции. Но поскольку заказов на неё не было и не ожидалось, они "обнялись" с американцами, - говорит Сопов.

Примечание. Вот только нет сообщений, кто принимал решение о приватизации стратегического предприятия? Кто не обеспечил его заказами? Сколько лет лагерей получили эти лица? Кто принял участие в приватизационной цепочке и перепродал акции американцам? И, вообще, заработает ли когда-либо в России закон?

Малотавр, это подтверждает выссказывание о том, что "был ФГУП, стало ОАО....."?
В качестве "идеи", подлежащей проработке: акционирование позволило уйти предприятиям не только из под контроля органа исполнительной власти, полномочного в области ПД ИТР и ТЗИ, но и сделало невозможным полноценное воздействие на руководство предприятий, фактически выражавшее интересы геополитических противников РФ.

Да сколько можно усматривать злых пиндосов там где просто нужно не щелкать и расп..здяйничать, а делать хорошую технику. 100% виноваты не американцы, а лень, некомпетентность и коррупция.