Проект нового СТР-К - Форум по вопросам информационной безопасности

Тим, обязательной аттестацией.

В стакане ИСПДн разного класса и категории. Абсолютно разная цена вопроса при защите стакана по высшим требованиям и при защите каждой конкретной ИСПДн в соответствии с требованиями именно к конкретной ИСПДн. Ситуация усугубляется и тем что заказчик спрашивает у УРЗ что ему нужно купить (по своей безграмотности в хитросплетениях норм по защите информации и в связи стем что некоторые нормы а ля "тут бабушка надвое сказала" - "....оператор может"). Лицензиатов представлено на рынке (особено если исключить Москву и Питер) с гулькин клюв. Как правило одни дилер другого. Догадайтесь как формируются начальная муниципальная цена контракта и насколько серьёзно аукционное снижение. Так защищаем весь "стакан"? Или ИСПДн? Бухгалтерию 8 внутренних сотрудников (из них 6 обязаны публиковать сведения о доходах) защищаем по первому уровню иликлассу К1? Это муниципальная информационная система? А кто муниципальному заказчику скажет - расходы можно минимизировать вот такими и такими мерами - заинтересованный в прибыли лицензиат?

Пока даже намека не встречал на новую итерацию СТР_К.
все треп!
Важнее - чтобы в ГОСБЮДЖЕТЕ появилась отдельная строка - финансирование информационной безопасности.
Тогда появились бы в рамках нее НИР и ГОСТы и ТехРегламенты и приложение к Техрегламенту по ТЗИ в виде СТР-к
Только это никому не надо-ть!

Интересно - а кто нибудь догадается запретить книгу Сигурда о Роберте Вуде? Все доморощенные взрыватели черпают инструкции оттуда, например...

---
Вуд прочел о соединениях йода с азотом, которые можно получить, поливая
аммиаком кристаллы йода и давая им высохнуть на фильтровальной бумаге. Это
соединение -- весьма опасное взрывчатое вещество, совершенно безобидное,
пока оно не высохло, но в сухом виде детонирующее со взрывом при самом
легком прикосновении. Даже муха, севшая на порошок, может вызвать взрыв его.
Метод приготовления был так прост, что он не мог удержаться от искушения --
попробовать проделать это в лаборатории, где он должен был заниматься только
качественным анализом.
---

ЗЫ. Вот так.

доморощенный сисадмин - абсолютно также устроен, как лицензиат -две руки, две ноги и голове такие же тараканы. Курсы обучения может пройти что свой, что чужой.Инсайдером может быть и свой и чужой. Но к своему доверия больше -я его хорошо знаю и уверен в безупречности репутации. И свою сеть и своих пользователей он занает как 5 пальцев. Поэтому потенциально это более качественный защитник. Разница только в цене вопроса....А вот интересно - специальные исследования стоят недёшево. Хоть в одном серийно выпускаемом ПК хотя бы раз в жизни нашли шпионские прибамбасы????? А сколько при этом денег на эти исследования спущено????? ХОРОШИЙ БИЗНЕС!!!!!! И Глядя на то как с ПЭМИН борются тоже смеяться и плакать хочется....в помещениях пронизанных 3G и WIFI...ТОЖЕ ХОРОШИЙ БИЗНЕС!!!!

Уж если кто-то для бухгалтерской БД сельского поселения "привинтит" требования защищать по К1, либо по 1-му уровню защищённости ( а всё идёт к этому, и если считать её "муниципальной ИС" и считать актуальными угрозы 1-го и 2-го типа и распространить требования, такие же как у ГИС), то нужно иметь ввиду, что у бедняг нет средств достойный комп купить, чтобы там касперский худо-бедно ворочился и лицензию на виндоус не жалко было активировать. Цена такого компа со средствами защиты и аттестацией "взлетает" до уровня 50-100 тыров. При этом уважаемые авторитеты в области информационной безопасности ГАСы до сих пор не в состоянии защитить. При этом если заказчик не будет иметь ясной и понятной "книги Сигурда о Роберте Вуде" ( а представте колхозников, которые сейчас "вешаются" с электронными торгами, которые услышав фразу "сертификат ЭЦП", в ответ произносят "КТО ЗДЕСЬ?":)...Ясен пётр -такие колхозники безукоснительно делают то, что им говорит лицензиат. Но как может продавец диктовать условия покупателю? "Впарить" можно что угодно. А вот действительно верно то что стоимость защиты не должна превышать стоимость вреда от взлома. Вот именно с ясной и понятной "книги Сигурда о Роберте Вуде" нужно начинать. Без неё нельзя разместить заказ и добиться нормальной конкуренции на рынке защиты информации. (в идеале этим заниматься должны вообще не коммерческие структуры -но я этого не говорил:) А если средства защиты таковы, что их можно взломать зная " "книгу Сигурда о Роберте Вуде", то грош цена этим средствам защиты. Незачем их сертифицировать.

2 Евген, муниципальный район 44231
Эти-же мысли но другими словами я уже здесь высказывал при обсуждении СКЗИ в виде необслуживаемого черного ящика и открытых нормах по СКЗИ

повторюсь
Прохожий 11366 28.06.2009 13:10
Вот еще добавил бы
А штаты для операторов СКЗИ в ОПД отдельные Будут?

http://www.itsec.ru/forum.php?sub=3411&from=-1

Переплюнем дедушку Ленина - Каждая кухарка должна быть оператором СКЗИ!!!
Из статьи "Удержат ли большевики государственную власть?" (1917) В. И. Ленина (1870-1924).
В первоисточнике: "Мы не утописты. Мы знаем, что любой чернорабочий и любая кухарка не способны сейчас вступить в управление государством.
Но мы [...] требуем немедленного разрыва с тем предрассудком, будто управлять государством, нести будничную, ежедневную работу управления в состоянии только богатые или из богатых семей взятые чиновники. Мы требуем, чтобы обучение делу государственного управления велось сознательными рабочими и солдатами и чтобы начато было оно немедленно, т. е. к обучению этому немедленно начали привлекать всех трудящихся, всю бедноту".

Сделаем из каждой кухарки криптографа и исполним пп 1119!


Прохожий 44155 31.05.2013 11:51
Пока даже намека не встречал на новую итерацию СТР_К.
все треп!
Важнее - чтобы в ГОСБЮДЖЕТЕ появилась отдельная строка - финансирование информационной безопасности.
Тогда появились бы в рамках нее НИР и ГОСТы и ТехРегламенты и приложение к Техрегламенту по ТЗИ в виде СТР-к
Только это никому не надо-ть!

Да не очень то мы и кухарки. В отличие от лицензиатов я имею представление о телоии электромагнитного поля, преобразованиях Фурье спектре сигнала и кое чего о писке и обнаружении сигналов на фоне помех и т.п.Лучше слово ПЭМИН они в моём присутствии пусть не произносят. Уверен что большинство закона ома не знают. а по поводу кухарок -каждый системный администратор должен обучаться защите информации, а не обращаться к сторонним организациям. На одной кухен двух кухарок не бывает!!!

Если б вы, Евген, ещё научились мысли свои излагать кратко, вопросы формулировать точно и текст на абзацы разбивать - цены б вам не было.

Извините- утратил такую способность при попытке разобраться в НПА по ИБ.
Но попробую:
Что я (как муниципальный заказчик) должен сделать, чтобы с минимальными затратами обеспечить защиту информации?
Можно ли создать методические рекомендации, в которых порядок действий будет представлен пошагово?
Можно ли в комментарии к каждому шагу дать ссылку на соответствующий нормативно-правовой акт?
Можно ли чётко и однозначно указать, на каих шагах я обязан обратиться к лицензиатам (либо получить лицензию)?
Можно ли чётко указать, что ИТ-подразделение оператора вправе сделать самостоятельно, не обращаясь к платным услугам фирм, предлагающим свои услуги в области защиты информации?
Вправе ли ИТ-подразделение оператора с помощью системы информационной безопасности, спроектированной и сданной в эксплуатацию лицензиатами ФСТЭК и ФСБ, далее самостоятельно осуществлять контроль за соблюдением требований по информационной безопасности? (продолжать администрировать свою ЛВС, систему защиты информации, использовать средства монитоинга событий ИБ, использовать средства контроля).
Возможно ли получить ответы на эи вопросы от лиц, материально не заинтересованных?
вот.всё.:)