Контроль защищенности - Форум по вопросам информационной безопасности

sekira
Не лукавьте. Или вас и впрямь память подводит?
Речь идет о необходимости учета канала ПЭМИН при защите ИС, обрабатывающих КИ.
Вы отстаиваете точку зрения, что обоснование отказа от ПЭМИН должно заключаться в исследовании на их наличие и оценке возможности утечки с учётом условий размещения. Я же утверждаю, опираясь, замечу, на документы ФСТЭК в т.ч, что канал ПЭМИН принимается во внимание только если есть на этот счет точные недвусмысленные указания регуляторов (ФСТЭК, ФСБ), вышестоящих ведомств, указаний (хотелок) заказчика.
Ваша позиция защищает интересы вашего бизнеса (ОА). Моя же обосновывает, что учет ПЭМИН - неэффективная трата средств, выделенных на ЗИ. В КИ ПЭМИН не рассматривается, за исключением приведённых выше случаев. Вы же любите покричать, что отказ от ПЭМИН должен быть обоснован. При чём форму обоснования принимаете только одну, ту в которой вам всё равно должны заплатить. Так вот обоснование отказа вы сами выше привели. Только признать, что это оно и есть - неубойное, аргументированное, всем понятное и доступно, стрёмно как то.

Что-то ссылка Ваша не ау... не открывается вобщем :)

sekira, так что вы там за девайс надыбали за миллион деревянных?

Для Некто, 29667:
Это же надо высказывание, что "у ФСТЭКа нет методик" перевернуть во фразу "И в ведомствах враги и дураки. Понимаю - бизнес". Более того, каждый, кто не давал ответа на указанные Вами вопросы, становился заразой! А если вдруг человек Вам что-то начинает говорить, Вы "включаете" одно (точно по-Станиславскому): "Не верю!". Если Вам удобно жить с "пэминофобией" - живите, КТО ВАМ МЕШАЕТ?! Не хотите - не делайте. Сугубо Ваше дело, аналогично желанию посыпать пеплом отдельные части тела...

Сам я не фанатик ПЭМИНа, но отрицать наличие такого канала утечки мне не позволяет физика. Такой канал есть - и это факт. А факт, как известно, самая упрямая в мире «вещь». Каждый от этого факта «закрывается» по-своему и в силу отсутствия внятных требований и единого контроля со стороны регуляторов.
Закладки - это тоже дорогой канал утечки информации, да ещё и сопряжён зачастую с их незаконным производством и распространением. Давайте будем говорить, что и они не актуальны в силу отсутствия требований и методик по конфе и ПДн, и что высоких должностных лиц и крупных бизнесменов не прослушивают с их помощью. Это же так просто либо сказать, что отсутствуют требования госорганов на сей счёт, либо СДЕЛАТЬ СПИСОК УМНЫХ ВОПРОСОВ, который выдаст желаемое за действительное. Уже после этого «неугодный» канал просто сам собой растворяется и меняются законы физики.

К слову о персональных данных: они ведь тоже «разные» бывают. Одно дело ПДн 3 категории у специалиста по защите информации форума, другое дело ПДн 1 категории у премьера или президента. Ценность таких данных (как и любой другой информации ограниченного доступа!!!) определяется значимостью в социуме и зависит от пространства, времени и субъектов (лиц). А для технического канала, такого как ПЭМИН, это просто информативный сигнал, который существует вне зависимости от социальной ценности в нём информации, наличия/отсутствия методик оценки этого сигнала, законодательной базы и кошелька собственника информации. Пример банальный, но яркий.

Если Вы такой дотошный, то может ответите, что именно в моих высказываниях по поводу ПЭМИНа было не правильным и почему? И если Вас не затруднит, в этот раз, пожалуйста, постарайтесь обойтись без «переключений» на г-жу Нуждину и Управление по СФО, как это было в прошлый раз (24404). За ранее спасибо.

msergey, ЛабТЗИ

>>>Закладки - это тоже дорогой канал утечки информации, да ещё и сопряжён зачастую с их незаконным производством и распространением.

ЗПУ можно приобрести от 500 рублей (в Вашем контексте этот канал рассматривается в плане реализации угрозы верно? а не в плане перекрытия этой угрозы от нелин. локации, ГШ и банальных досмотровых зеркал.) Если нет, то я рассматриваю его Именно так, отсюда и выводы можно делать соответствующие.
От угрозы ЗПУ можно уйти орг. мерами (если стоимость информации не вилика)

>>> К слову о персональных данных: они ведь тоже «разные» бывают. Одно дело ПДн 3 категории у специалиста по защите информации форума, другое дело ПДн 1 категории у премьера или президента. Ценность таких данных (как и любой другой информации ограниченного доступа!!!) определяется значимостью в социуме и зависит от пространства, времени и субъектов (лиц).
Уважаемый msergey, ЛабТЗИ
следуя Вашему яркому примеру, из за двух (сужу по делам) не очень нужных субъектов стоит выкинуть 6% ВВП


В ЛПУ,ГУЗ,МУЗ и т.п. защищать стоит не диагноз! А сам факт обращения субъекта за помощью (как вывод только регистратуру), остальное все можно обезличить!

msergey
Начнем с конца. В том, что вы в той дискуссии пургу гнали г-жа Нуждина не виновата. Полагаю, что ввязываясь в дискуссию неплохо изучить обсуждаемый предмет поглубже, если уж за опытного специалиста себя выдаете. Но речь там была не о том.

1. Где это я отрицал факт существования ПЭМИН?
С чего это вдруг наличие объективно существующего физического явления обязывает всех без разбору тратить деньги на его "закрытие".
2. Затраты на получение информации по каналу ПЭМИН объективно поддаются оценке и могут быть использованы при определении опасности утечки информации по этому каналу. Что собственно и делалось при разработке моделей.
Я не оперирую понятиями "хочу-нехочу". И указал случаи. когда НАДО. Вопросы, которые поставил я, вряд ли можно отнести к категории "желаемое". Это очень даже действительное.
3. По поводу "закладок". Не надо передёргивать! Когда этот канал должен учитываться рукдоки определяют. И даже в ГТ в ряде случаев он отнесён на решение руководителя организации. Он не дёшев, этот канал. Но! по совокупным затратам он в разы, если не на порядки, дешевле, а главное эффективнее.
4. ПДн "особых" товарищей (или господ) защищают специальные люди, которые получают специально отпечатанные деньги, и пользуются при этом специально написанными инструкциями. И, что характерно, обходятся без нашего с вами скромного участия. Потому, увязывать теплое (социальный статус) и мягкое (объективную реальность данную нам в ощущениях (зарегистрированные измерительной аппаратурой излучения и\или наводки, модулированные информативным сигналом)) - демагогия. Для остальных на первый план выходят законы экономики. Надеюсь вы их отрицать не будете?

Я вам "верю"! А о том, что текущий по проводнику переменный ток создает вокруг себя электромагнитное поле даже знаю. Но это не мешает мне быть уверенным в том, что вы как представитель предприятия зарабатывающего на защите от утечки информации по ТКУИ, РАЗВОДИТЕ заказчика НА БАБКИ, втюхивая ему работы по защите от ПЭМИН. Вы попробуйте разок до заключения договора показать заказчику расчетец, который мы тут с sekirой совместными усилиями соорудили, а потом поделитесь, что из этого вышло. Вы пользуетесь неинформированностью заказчика, слабостью его специалистов по ЗИ (если они вообще есть), односторонне подаёте информацию при обосновании опасности утечки по ПЭМИТН и отнимаете при этом деньги, которые могли быть направлены на закрытие других, куда более опасных угроз и уязвимостей. Но что делать - бизнес.

Для Некто
"Вы отстаиваете точку зрения, что обоснование отказа от ПЭМИН должно заключаться в исследовании на их наличие и оценке возможности утечки с учётом условий размещения."

Такого не говорил! Я отстаиваю точку зрения что для каждого объекта необходим персональный подход!!! В соответствии с нормативными документами!

"Я же утверждаю, опираясь, замечу, на документы ФСТЭК в т.ч, что канал ПЭМИН принимается во внимание только если есть на этот счет точные недвусмысленные указания регуляторов (ФСТЭК, ФСБ), вышестоящих ведомств, указаний (хотелок) заказчика"

Дак у нас с Вами абсолютно одинаковый взгляд на вещи!!

"Ваша позиция защищает интересы вашего бизнеса (ОА). Моя же обосновывает, что учет ПЭМИН - неэффективная трата средств, выделенных на ЗИ."

Давайте мухи отдельно котлеты отдельно.
Аттестовалли кучу объектов по КИ не проводя измерения по ПЭМИН!!

"sekira, так что вы там за девайс надыбали за миллион деревянных?"

Если 2-3 метра (монитор, клавиатура) :
- широкополосный приемник с хорошей чувствительностью и избирательностью, желательно с дисплеем отображения спектра;
- генератор горизонтальной и вертикальной синхронизации;
- видеомонитор многолучевого сканирования с экранированными кабелями;
- активная направленная антенна (с фазированной решеткой) с экранированными кабелями;
- видеомагнитофон.
(можно и за меньше купить)

msergey, ЛабТЗИ подерживаю высказывания! Нужно конкретно подходить к каждому объекту.

"Вы попробуйте разок до заключения договора показать заказчику расчетец, который мы тут с sekirой совместными усилиями соорудили, а потом поделитесь, что из этого вышло. Вы пользуетесь неинформированностью заказчика, слабостью его специалистов по ЗИ (если они вообще есть), односторонне подаёте информацию при обосновании опасности утечки по ПЭМИТН и отнимаете при этом деньги, которые могли быть направлены на закрытие других, куда более опасных угроз и уязвимостей. Но что делать - бизнес."

Кто вам такое сказал? Вы что лично смотрели все отчетные документы по аттестации объектов?

Для Спеца по ЗИ, 29682:
>> следуя Вашему яркому примеру, из за двух (сужу по делам) не очень нужных субъектов стоит выкинуть 6% ВВП

Во-первых, закон № 152-ФЗ не моё «изобретение», а «плод» творчества Государственной Думы РФ, которая как раз и «пилит» бюджет на нужды. Вот этот вопрос опять же к ней. Меня лишь обязывают выполнять закон. Во-вторых, можно подумать, что в остальном бюджет расходуется так грамотно и безупречно…
Рассматривать суть проблемы исключительно из финансовых характеристик не всегда правильно. В своём высказывании я постарался обратить внимание на то, что ценность любой информации ограниченного доступа определяется значимостью в социуме и зависит от пространства, времени и субъектов (в части персональных данных это физические лица). Если Госдума сделала закон, Совфед его одобрил, а Президент подписал, значит: для территории нашего государства и период действия данного закона персональные данные являются ценными (с политической точки зрения). А для тех. канала – это просто информативный сигнал без стоимости, который есть в силу физики. Требования по защите этой «ценной» информации и контролёры, которые будут проверять выполнение предъявленных требований, определяются государством. И после всего это почему я должен давать ответы на вопросы целесообразности «заваренной государством каши» с персональными данными и искать деньги в бюджете?

>> В ЛПУ,ГУЗ,МУЗ и т.п. защищать стоит не диагноз! А сам факт обращения субъекта за помощью (как вывод только регистратуру), остальное все можно обезличить!

Что именно надо защищать в ЛПУ, ГУЗ, МУЗ и т.п. в рамках действующих требований по защите персональных данных – вопрос философский. Пример факта вынужденного обращения: каждый год мне, как и многим, приходится приходить в больницу и проходить флюорографию. Будите защищать этот феномен? Да или нет - я в любом случае рад за Вас.

Для Некто, 29683:
>> В том, что вы в той дискуссии пургу гнали г-жа Нуждина не виновата. Полагаю, что ввязываясь в дискуссию неплохо изучить обсуждаемый предмет поглубже, если уж за опытного специалиста себя выдаете. Но речь там была не о том.
Я не считаю, что в той дискуссии я «гнал пургу». А г-жу Нуждину, по непонятным причинам, стали упоминать именно Вы, когда «речь там была не о том». И если я ввязываюсь в дискуссию, то не для того чтобы просто поболтать.

По поводу ПЭМИНа:
Если Вы такой «весь объективный» почему Вы тогда не говорите о других недостатках деятельности по ЗИ? Неужели те, кто продаёт «железо» и ПО, кристальные люди и продают всё без избыточных требований и только то, что действительно нуждается заказчик (особенно, если заказчиком выступает госорган)?! Нет, эти ребята никогда не пользуются не знанием заказчика об управлении лицензионной политикой на предприятии, а юристы – IV части ГК РФ! Будьте же последовательны в своей объективности.
Если Вы думаете, что «расчётицами, сооружёнными на форуме» замените сложившуюся систему ценообразования на рынке, то Вы ошибаетесь. Для этого она слишком политизирована.
В своих рассуждениях я намеренно не касался экономической стороны вопроса, а рассматривал только техническую и нормативную стороны. Поскольку здесь хватает проблем и есть темы для обсуждения. Как я и думал, что в отношении моих личный рассуждений по поводу ПЭМИНа Вам сказать будет нечего, поэтому можете продолжать обвинять в «РАЗВОДИТЕ заказчика НА БАБКИ, втюхивая ему работы по защите от ПЭМИН» и т.п.

Поддержание дальнейшей дискуссии с Вами считаю не целесообразным и предлагаю остаться каждому при своём мнении. Мир Вам!

msergey, ЛабТЗИ

>>> Рассматривать суть проблемы исключительно из финансовых характеристик не всегда правильно.

А как же главные принципы ИБ Стоимость ЗИ =,< Стоимости самой И.?

>>>В своём высказывании я постарался обратить внимание на то, что ценность любой информации ограниченного доступа определяется значимостью в социуме и зависит от пространства, времени и субъектов (в части персональных данных это физические лица).

Я понимаю ход Ваших мыслей, это логично, но как нам сопоставить величину утраты скажем ПДн субъекта больного СПИДом (с раскрытием такой И) и величину утраты ПДн субъекта который капли от насморка выписывал?
Что бы Вы не говорили, а я скажу так: практик мало в этой области судебных; оценки будут всегда субъективные (если не будит соответствующих методик), и в приведенном мной примере, скорее всего моральный ущерб будит одинаково невелик.


>>> Что именно надо защищать в ЛПУ, ГУЗ, МУЗ и т.п. в рамках действующих требований по защите персональных данных – вопрос философский. Пример факта вынужденного обращения: каждый год мне, как и многим, приходится приходить в больницу и проходить флюорографию. Будите защищать этот феномен? Да или нет - я в любом случае рад за Вас.


Даже при подобном обращении Ваши ПДн заносят в регистратуре присваивают им порядковый № и все далее вы ходите по поликлинике обезличенным человеком, при выходе возвращаетесь в регистратуру и Вас "расшифровываю" и все дела.


Я работаю в органе исп. власти (не работаю в ГУЗ и т.п. мы рассматривали на примере К1 ПДн)