Техническая защита коммерческой тайны - Форум по вопросам информационной безопасности

> Канал утечки, закрытый даже на 90%, остаётся каналом утечки.

Правильно.

Угроза остается угрозой независимо от наличия или отсутствия способов ее реализации. Ни в какой ситуации ни про одну из угроз вы не можете сказать, что она устранена полностью - вы можете только пресечь известные вам способы ее реализации. При этом наличие неизвестного вам способа реализации угрозы не обязательно означает, что "диагност, аппаратура или методика - дрянь": новые и весьма неожиданные способы реализации известных угроз изобретаются регулярно.

Так что в оценке достаточности защиты всегда присутсвует неопределенность, и ее приходится компенсировать такими искустенными понятиями, как "уровень доверия", "риск", "целесообразность". Да, это костыли. но занимать позицию "это - абсурд" неразумно :)

Я знаком с вашим подходом, чем и вызвано крайне негативное отношение к вашим утверждениям. С вашей стороны было чересчур самонадеянно утверждать, что "основная масса т. н. исследований является, в лучшем случае, интерпретацией, а, чаще, изложением ошибочных точек зрения нескольких именитых авторов" без малейшего обоснования данного тезиса.

> Думаю, что не стоит применять практику "выдергивания" из контекста доказательства фраз с последующим их использованием для обратного.

Напрасно - это называется "контрпример". Если вы создали общую теорию, а вам привели частный пример, укладывающийся в вашу аксиоматику и противоречащий вашей теории, значит ваша теория неверна.

Конечно восприятие письменного текста тяжелее, чем допустим мысли, изложенной в разговоре.
Возможно Малотавр, Вы меня немного не так поняли.
Я именно говорю о "выдёргивании". Пример навеян недавним постом Н. Старикова:
http://nstarikov.livejournal.com/575530.html

Что-то мы уходим от темы технической защиты сведений, имеющих коммерческую ценность.

Наверное "зациклило", но я повторюсь.
Есть ли у кого предложения, чтобы к таким сведениям относить информацию не по качественным и вероятностным критериям, а по количественным? Ну если информация - это товар, а любой товар имеет стоимость, а стоимость соответственно имеет количественное выражение.
То есть вред, который может быть причинён некоему коммерсанту, путем использования его информации, в деньгах, к примеру.
Коммерсанты это поймут лучше. А это значит, что можно будет "преподнести" идею о защите информации "на таком блюдечке"

Малотавру на 36584:

1. "Угроза остается угрозой". И это правильно. Основная масса угроз никогда не будет реализована. Выявить из общего количества возможных в принципе угроз те, которые могут быть реализованы в отношении данного объекта защиты - самая важная задача защитника.
2. Угроза может быть устранена полностью, если уничтожить источник угроз.
3. В любой системе защиты присутствует (должна присутствовать) избыточность. Она может быть структурной, а может быть и функциональной: мы не можем знать со 100% уверенностью кто будет нападать и какие средства при этом использовать. Но избыточность эта должна быть разумной. Она не может быть измерена ни в %, ни в разах, ни в других единицах. Это исключительно субъективная безразмерная величина - результат работы эксперта. И результат это целиком и полностью зависит от знаний этого эксперта, умения ими пользоваться и от его совести. Все составляющие - субъективны и субъектны.
4. "основная масса т. н. исследований является, в лучшем случае, интерпретацией, а, чаще, изложением ошибочных точек зрения нескольких именитых авторов" - такой вывод я ведь сделал не сразу. Этому предшествовало знакомство с сотнями, а то и тысячами работ. Я в Интернете нашёл ссылки на более чем 2 тыс. диссертаций. Во всех одно и то же - "безопасность есть состояние защищённости". Встречаются небольшие вариации на тему, но тема-то одна! А это не просто глупость. И объекты одни и те же - личность, общество, государство. Разве это не абсурд? Какие ещё нужны Вам аргументы? Они есть в моих работах. Раскиданы, может быть, но они есть. Примените ещё раз контрпример - укажете мне ссылку хоть на одну работу, где нет откровенных методологических "ляпов", и я буду Вам премного благодарен. Искренне.
5. Буду не менее благодарен, если Вы найдёте логические ошибки и/или откровенные софизмы в моих работах и на них укажете. Исправлю или объясню почему так. На конструктивную критику, собственно, и рассчитывал, когда вступал в полемику.

Нефедьеву С.Г. на 36587:

Проблема состоит в том, что ценность информации определяется 1) её достоверностью и 2) тезаурусом приёмника и его способностями. А это оценить в принципе невозможно.
Какова стоимость фразы: "Завтра дефолт".
Для крестьянина тульской губернии - нулевая.
Для нищего экономиста - высокая.
Для крутого бизнесмена - высокая.
Результат использования:
Для крестьянина тульской губернии - нулевой.
Для нищего экономиста - нулевой.
Для крутого бизнесмена - высокий.
Крестьянин ничего не понял и не воспользовался.
Нищий экономист всё понял, но не смог воспользоваться.
Крутой бизнесмен и понял и воспользовался.
При этом для первых двух результат не зависит от достоверности, а для последнего - очень зависит. Информация достоверная - разбогател, ложная - разорился.
Как это можно оценить однозначно?
Пример примитивный. В реальной жизни всё сложнее. Но, главное, опять всё субъективно и субъектно. В общем: сплошной релятивизм.

Может быть я зря пытаюсь натолкнуть людей на форуме на девиз: "Если не мы, то кто же?"

Стоит не "размытая", а вполне конкретная задача. Требуется "склеить" методику отнесения сведений к коммерчески значимым в зависимости от их стоимости.

В виде сказки "на ха-ха": Государство отмахнулось от бизнеса и сказало: "Как хочешь, так и определяй, чего хочешь, то и защищай. Разоришься - твои проблемы. А я с себя снимаю ответственность и делаю тебя из ФГУПа обществом".
Бизнес сказал: "Ах так.... И перекупил у государства специалистов по защите информации". Но специалисты-то были заточены на решение задач в интересах государства и по его лекалам, а тут потребовалась реальная работа. Реально получается, что специалисты по ТЗИ сейчас нужны только в основном для того, чтобы "защититься от регуляторов", потому что хорошо знают их подходы и "наезды".

Так вот про задачу.
Чтобы что-то защищать, нужно определить это самое ЧТО-то и ГДЕ оно (что-то) "живёт". Именно отсюда начинается защита, в том числе и техническими мерами. Реально же бизнес споткнулся об эту проблему и "чешет репу".
Если не мы, то кто же сможет её разрешить?
Поэтому предлагаю не уклоняться "под различным соусом" от задачи.
Своё видение я показал. Добавлю только, что вместо 30% чистой прибыли бизнес может использовать к примеру числовой показатель своих "стратегических резервов". Будет угроза потратить резерв на восстановление "боеготовности", значит то, на что нацелена угроза должно быть защищено.

2. Вы не можете уничтожить источники стихийных угроз. Вы не можете уничтожить источники угроз, находящиеся вне контролируемой зоны. Вы не можете уничтожить персонал своих информационных систем. И даже для тех нескольких классов уроз, источники которых вы все-таки можете уничтожить, вы не можете гарантировать, что они не появятся вновь.

3. Мы обсуждаем полноту предотвращения угроз. Избыточность тут абсолютно не при чем.

4. Вы, пожалуйста, не путайте понятия "диссертация" и "исследование". Диссертация есть квалификациоюнная работа, целью котороя является начертание на визитке буковок "к(д).т.н." или "к(д).ф.-м.н.". И научная ценность подавляющего большинства диссертаций в области ИБ близка к нулю.

Что касается исследований, то исследоваия в области ИБ, за редким исключением, не направлены на решение задачи "что такое безопасность и как ее достичь" - в виду принципиальной неразрешимости данной задачи. Как правило, в этих исследованиях используются два метода:
- строится модель защищаемой системы в некоторой аксиоматической теории
- выделяется определенный класс угроз, которые изучаются экспериментальными методами.

В обоих случаях возникает проблема полноты проведенного исследования, отсюда - "вероятность", "уровень доверия" и т.п.

5. На мой взгляд, ошибочен сам подход к безопасности как к фиолсофской проблеме. Это проблемы мироздания можно изучать онтологическими или аксиологическими методами - в виду того, что от полученных выводов никому ни холодно и не жаркко :)

Атаманову Г.А. на 36590
> "Проблема состоит в том, что ценность информации определяется 1) её достоверностью и 2) тезаурусом приёмника и его способностями. А это оценить в принципе невозможно".

С кем поведёшься, того и наберёшься))). Воспользуюсь одним из коронных приёмов, который применяет Некто, Малотавр и Прохожий:

Дайте пожалуйста ссыылку на это утверждение.

Или мы информацию "запускаем" в товарно-денежные отношения и определяем условия пр которых она чего-то будет стоить (в зависимости от времени, достоверности, приёмника информации и т.д.) или же признаем своё поражение.
Понятное дело, что подобный вопрос, насколько мне удалось "пошарить" в нете, не ставился, и поэтому ответ на него может при определённых условиях иметь какую-либо материальную или моральную ценность. Но думаю, что это не повод уходить от его решения.
Он должен был быть решён ещё до "массового акционирования" государственных предприятий.

malotavr | 36601
>5. На мой взгляд, ошибочен сам подход к безопасности как к фиолсофской проблеме.

Надеюсь, что Вы не станете оспаривать необходимость соблюдения логической последовательности во всех сферах деятельности, в том числе в области безопасности информации.
Если так, то логика - это раздел философии , «наука о правильном мышлении», «искусство рассуждения» от λόγος — «речь», «рассуждение», «мысль») — наука о формах, методах и законах интеллектуальной познавательной деятельности, формализуемых с помощью логического языка.
(ист. : http://ru.wikipedia.org/wiki/%D0%9B%D0%BE%D0%B3%D0%B8%D0%BA%D0%B0).

Вы уж до упора-то всё не отрицайте, пригодится))). Кстати математика и логика вполне уживаются вместе.