Техническая защита коммерческой тайны - Форум по вопросам информационной безопасности

В добавление 36536.
Тем, кто не связан с "подчётом денег предприятия" для понимания термина "чистая прибыль": http://www.kakprosto.ru/kak-30299-kak-rasschitat-formulu-pribyli

В 36536 была ошибка в расчёте чистой прибыли. Вложения в развитие материально-технической базы осуществляются за счёт этой самой прибыли

2 Нефедьев С.Г. 36512
цит. Возможно, что Вы уже прочитали материалы, предлагаемые к ознакомлению Атамановым Г.А.

Не все успел.
Написано своеобычно.
Стиль мне совсем не близок. Слишком С_ЗАПОДВЫВЕРТОМ.
Я думаю проще и пытаюсь излагать ПО_КРЕСТЬЯНСКИ-ПРОЛЕТАРСКИ.
У каждого свои привычки.
Я человек системы и команды.
Если возникнут некие общие правила и единое целеполагание - готов поддержать.
Несмотря на общую инертность - думаю найдутся единомышленники.
Пока не понял - куда идти и что получим на выходе.
Не считаю возможным критиковать т.к. многое по смыслу я разделяю, но мной еще не до конца понятно то, что сподвигло автора, кроме задания прямого руководства.
Сайты очень необычны, - там нет кроме уважаемого автора ничего равноценного.
Он там получается один пишет - остальные "с ложками"... типа рядом постояли.
Думаю г. Атаманов и сам может начать свой глоссарий - так будет корректнее.
Если нужна помощь - я готов, но пока не понял чем это будет отличаться от ВИКИ.
И какое доверие будет к ценности.

Частное мнение - не больше.
Вот и чужие глоссарии все только критикуют, не предлагая своего.

Вот закинул в поиск - глоссарий.
нашлось http://www.glossary.ru/_proj_.htm
Получается проще это наполнять, чем что-то новое затевать.
Но тут что-то насчет оплаты не разобрался - они платят или им платить?
Видимо на альтруизме ничего не построить без своей площадки?

вот цитата тут выше из темы про ссылки на глоссарии
tao, Госструктура 36514
но пока информация выкладываемая будет не систематизирована (в виде отдельных сылок на перечни) использовать ее весьма проблематично, сам поиск долгий, а результат не предсказуем. В качестве предложения....На мой взгляд было бы лучше если в рамках этого сайта (форума) была бы организована энциклопедия, тезаурус (типа википедии) "термин и его трактовки с сылкой на нормативные акты откуда они взяты (где они используются)", удобный поиск (можно взять за основу существующий на форуме) и где бы "каждый" (или определенный) мог бы наполнять его. Но, я также понимаю, что это ляжет тяжким бременем на администраторов (модераторов), что бы реализовать этот подход (возможности наполнения и корректировки терминов и трактовок) и разработки формализованной структуры предоставления этих данных.....
В идеале подобный и ему аналогичные тезаурусы должны быть на каждом сайте соответствующего регулятора размещены, так было бы правильнее....

Круг замкнулся - челюсти сомкнулись на своем-же хвосте.

Однажды я услышал такую фразу: "На таких должностях нужно думать одно, говорить другое, а делать третье".

Исходя из того, что одна из угроз - это действия регуляторов, используем глоссарий со ссылками на законодательство.

Но защищаем себя в соответствии с логикой, которая отсутствует в предлагаемых "партией и правительством" документах.

Прохожему на 36551:
Работы писались под определённый формат (философский) и для определённых изданий. Скоро в журнале "Защита информации. Инсайд" планируется к выходу цикл статей под рубрикой "Азбука безопасности", где я пытаюсь в более доходчивой форме изложить свою концепцию безопасности, которую назвал ситуативной. Первые две уже готовы, а в следующих учту замечания по поводу "вывертов". В статьях я пытаюсь дать определения основных понятий теории безопасности с позиций логики и здравого смысла. В том или ином виде всё это было напечатано раньше именно для того, чтобы обсудить, устранить недостатки и исправить неточности. Но не срослось. Сейчас надеюсь на помощь участников форума:подскажете, поправите, а то и поможете?

Нефедьеву С.Г. на 36555:
Согласен с Вами. Более того, думается, что логика отсутствует во всех без исключения документах по безопасности, особенно в ГОСТах. Методики расчёта на основе вероятностей или степеней защищённости, ценностей активов и т.д. и т.п. - это полный абсурд. Для доказательства этого тезиса я предложил бы разработчикам таких документов испытать на себе бронежилет, который пробивается автоматной пулей в 30% случаев .... Другой пример - Ходарковский. Степень защиты информационного ресурса - высокий. Результат - потерял всё, в т.ч. свободу. Поэтому считаю, что в безопасности все методики и все оценки должны строиться на основе булевой алгебры: либо "0", либо "1". Третьего не дано. КУИ либо есть, либо его нет. Мы его либо защищаем, либо нет. Если канал закрыт не на все 100%, значит, он не закрыт. Это точно так же, как женщина не может быть чуточку беременной или беременной на 50 или 70%. Она либо беременна, либо нет. А вот диагностика может носить вероятностный характер. Мы можем быть уверены в результате на все 100 или не на все. Последнее случается, если диагност плохой или аппаратура - дрянь, или дрянь - методика её применения.

Мысли в слух на высказывание Атаманова Г.А. "Поэтому считаю, что в безопасности все методики и все оценки должны строиться на основе булевой алгебры: либо "0", либо "1". Третьего не дано. КУИ либо есть, либо его нет. Мы его либо защищаем, либо нет."
Мир не делится на "чёрное" и "белое" (да - нет, есть - нет и т.п.). В некоторых случаях действительно КУИ либо есть, либо его нет. Но такое не всегда бывает. Чаще бывает так, что КУИ есть, но он не актуален для данного конкретного объекта. Например, контролируемая зона 50 метров, а излучения ПЭМИ информативного сигнала 8 метров. Т.е. канал утечки есть, но проведение его защиты не актуально. И с другими КУИ можно привести достаточно много аналогичных примеров.
В такой логике "третьего не дано" на учитывается ценность (выражаясь философскими термином аксиологический аспект) защищаемой информации. Считаю, что именно ценность информации и является определяющим "параметром" в выборе методов и средств защиты. Ценность информации может зависеть от пространства (территории), времени и круга лиц (субъектов). От этого в первую очередь и должны зависеть способы и методы защиты.
От пространства: на одной территории за определённую информацию готовы заплатить больше деньги, а в другой местности за эту же информацию никто ничего не заплатит. От времени: информация со временем "устаревает" (так сказать теряет свою актуальность) или наоборот "наращивает" (приобретает актуальность). Отсюда и изменение её ценности, а следовательно и изменение способов и методов защиты. Что же касается круга лиц (субъектов), то здесь очевидно: если для кого-то какая-то информация не представляет ценность, то она ему "даром не нужна" (она не представляет для него интереса, ценности). А если эта информация нужна, то от степени "нужды" будут использоваться способы и методы получения либо защиты этой информации.

Попробую "с хвоста":
Для кого пишутся методики?
Для людей.
В чём ценность методики?
Ценность методики в том, что её использовать может человек, не обладающий специальными знаниями.
Если закон делает ссылку на методики, которые могут быть понятны только специалистам, то он также носит "специальный" характер и в сущности обыкновенному человеку, для которого якобы предназначается, фактически не понятен.
Это будем говорить и тема для всевозможных злоупотреблений, так как тректовать закон будут именно специалисты в своих интересах, и если эти интересы не будут совпадать с интересами обыкновенных граждан, решающих те же задачи, то интересы специалистов будут соблюдены при любом раскладе.

Методики "напичканы" вероятностными величинами. При этом коэффициенты, используемые в методиках, "плавают", являются постоянно изменяющимися в зависимости от развития технологий, позволяющих регистрировать параметры сигналов и окружающей среды. Неоднократно повторялось на всех уровнях, что развитие методов и средств защиты идёт с опозданием по отношению к методам и средствам ведения разведки.
Если есть ТКУИ - значит не сегодня-завтра будет и регистратор, способный его использовать.
Поэтому мысль Атаманова Г.А. про "да-нет" является рациональной. Денег меньше уйдёт и нервов.

И всё же каков "порог", за которым информация обретает ценность?

> Для доказательства этого тезиса я предложил бы разработчикам таких документов испытать на себе бронежилет, который пробивается автоматной пулей в 30% случаев "

О, сколько вам открытий чудных готовит просвещенья дух :)

В качестве контраргумента предлагаю вам лично надеть сертифицированный бронежилет 5 класса и встать под очередь из АКМ с расстояния 10 метров (см., условия проведения испытаний на пулестойкость по ГОСТ 51112). Если выживете после болевого шока - расскажете нам про "защита либо обеспечивается, либо нет"

Если вы удосужитесь ознакомиться с темой, то с удивлением узнаете, что:
1. Бронематериал гарантирует непробитие только при стрельбе определеннным боеприпасом с определенного расстояния при определенном угле встречи с пулей. В реальных условиях эксплуатации эти условиявыполняются лишь с некоторой вероятностью.
2. Испытания бронематериала лишь частично учитывают заброневое действие пули, в частности - не учитывают контузионное действие.

Т.е. 100% пулестойкость означает всего лишь лишь некоторую вероятность остаться в живых при реальных условиях эксплуатации изделия. Так что для меня лично тезис про "100% закрытие" означает недостаточное знакомство с предметной областью автора данного тезиса.

malotavr на 36577:
То, о чём пишете Вы в прикладном аспекте, изложено в моей статье "Методология безопасности" и ряде других в аспекте теоретическом.
Приведенный мной пример, видимо, был не совсем удачен, т.к. был неверно понят и трактован. Вы не обратили внимание на такую деталь: я имел ввиду, что необходимо различать онтологические аспекты (т.е. как есть на самом деле), гносеологические (что мы об этом знаем) и аксиологические (как мы к этому относимся). Некоторые сюда приплетают ещё и праксиологический (т.е. что мы делаем в отношении того, что знаем, о том, что есть). Получается совсем неудобоворимая вещь. Если упростить, как то рекомендует Прохожий, то ту же мысль можно сформулировать так: мухи (должны быть) - отдельно, а котлеты - отдельно. Ситуация усугубляется ещё и тем, что информационное взаимодействие - это значительно более сложный процесс, нежели взаимодействие физическое. Канал утечки, закрытый даже на 90%, остаётся каналом утечки. Причём, неважно чего - информации, бензина, денег и т.д. Если в отношении бензина и денег можно вести разговор о минимально допустимом вреде, то к информации такой подход не всегда допустим.
Если Вы ознакомитесь с моим подходом к трактовке безопасности и принципах её обеспечения, то, думаю, обнаружите, что мы говорим об одном и том же, только по-разному. А за замечание спасибо. Учту.

Атаманов: "бронежилет, который пробивается автоматной пулей в 30% случаев";
Малотавр: "100% пулестойкость означает всего лишь лишь некоторую вероятность остаться в живых при реальных условиях эксплуатации изделия".

Первый идёт от общего к частному, Второй - от частного к общему.
Нефедьев, резюме: "бронежилет не панацея".

Думаю, что не стоит применять практику "выдергивания" из контекста доказательства фраз с последующим их использованием для обратного. Если выдергивать отдельные частности и придавать им автономный статус, то за ними перестаёт угадываться целое. Подойдите к картине близко-близко - мазня, отойдите - шедевр.