Техническая защита коммерческой тайны - Форум по вопросам информационной безопасности

malotavr на 36601:
1. Ну зачем Вы передёргиваете? Разве я утверждал, что можно "уничтожить источники стихийных угроз", "источники угроз, находящиеся вне контролируемой зоны" и т.д. Вы написали, что "ни в какой ситуации ни про одну из угроз вы не можете сказать, что она устранена полностью" (см.: 36584). Я уточняю - можно и не одну! О видах и условиях речи не было. И не нужно приписывать другому то, что он не говорил (писал). Это не совсем корректно.
2. "Мы обсуждаем полноту предотвращения угроз". А я-то думал речь идёт о защите. Ведь это у Вас написано в 36584 "в оценке достаточности защиты всегда присутствует неопределенность".
3. Я не путаю никогда что есть диссертация, а что есть реальная работа. Я их просто объединяю. Я диссертацию писал не ради неё самой , а для того, чтобы изложить свои взгляды на проблему на научном уровне. И диссертация моя была направлена именно на решение вопроса "что есть безопасность" и "как её можно достичь". И я решил эти вопросы. Именно в диссертации. Философской. Т.е. на самом высоком уровне рефлексии. А потом раскрыл некоторые непонятные "технарям" вещи в своих статьях. И применительно к разным областям деятельности: информационной, экономической, экологической в частности. Не стоит путать нормальную философию с той, которой Вас пичкали в институте. Это две большие разницы, как говорят в Одессе. А знать элементарные понятия из философии, теории познания и психологии должен каждый, тем более, безопасник. Как можно вести речь о безопасности, если не знаешь что это такое? И об угрозах тоже. И о рисках.
4. Мы сейчас "ломаем копья" именно потому, что на предельном - философском - уровне проблема была решена неверно. Решена была экономистами и юристами, обладающими низким уровнем методологической подготовки. Они натворили дел, которые сейчас исправить, практически, невозможно. Без правильного философского обоснования ни одна проблема правильно решена быть не может!
Я тоже когда-то был "технарём" и думал только о технологиях решения ИБ. Но наступил момент, когда я понял, что дальше ничего путного на существующей базе построить не получится. И переквалифицировался в философы. И нашёл решение проблемы, а переписывал всякую философическую белиберду за другими. Поэтому прошу: не путайте философию и философию. И не обижайте философов. Не все из них несут ахинею.

Нефедьеву С.Г. на 36603:
1. А ссылок нет. Это моё утверждение. И, по-моему, вполне очевидное. А пример, который я привёл выше, его наглядно подтверждает.
2. Информация давно участвует в товарно-денежных отношениях. Но её цена носит всегда ситуативный и договорной характер. Иуда, например, за информацию о местонахождении Иисуса, по Библии, получил 30 сребреников. Другой кто мог и больше запросить, а кто-то и бесплатно сдать. История знает много разных примеров. А универсальной методы оценки информации нет и быть не может.

Амир,
будьте добры - перенесите наш спор в отдельную ветку. Что-нибудь типа "Философские аспекты безопасности" :)

1. Тогда вынужден повторить свое утверждение: ни в какой ситуации ни про одну из угроз вы не можете сказать, что она устранена полностью. Вы можете уничтожить источники этой угрозы, но только те, которые вам известны и которые вы способны уничтожить. Сделаете это - и останетесь в прежнем состоянии неопределенности: вам неизвестно, действительно ли вы уничтожили все источники угрозы.

2. OK, мы обсуждаем полноту защиты. Разницу между полнотой защиты и избыточностью защиты хорошо представляете? :)

3. Не решили. Вы подменили понятие безопасности ощущением отсутствия угрозы. у субъекта, производящего оценку ситуации.

В вашей парадигме безопасность - это ситуация, в которой возможность причинения вреда защищаемому объекту является несущественной по мнению некоторого субъекта, проиводящего оценку этой ситуации. Не знаю, как для вас, а для меня очевидно, что в любой ситуации любой субъект:
а) не обладает всей информацией обо всех возможных способах причинения вреда и
б) не обладает объемом знаний, достаточным для того, чтобы оценить все возможные негативные последствия всех этиз способов.

Фактически в вашей парадигме положительное заключение о безопасности объекта может означать как полное отсутствие угроз, так и полную некомпетентность субъекта, давшего такое заключение (просто потому что он ничего не знает о возможных угрозах). Оно, конечно, "может знание скрывается в осознанном незнании" (c), но тем не менее я отказываюсь признавать незнание опасностей безопасностью.

Атаманов Г.А. | 36619
Бизнесу нужна была методика отнесения сведений к коммерчески значимым ещё 20 лет назад.
Методики нет до сих пор.
Интуитивно можно понять, что если раскрыть те или иные сведения, то "останешься с носом".
Кто-то понимает, а кто-то идёт на поводу у "Предлагающих дорогие ИТ-игрушки" при этом "давит любые возражения и доказательства об угрозах, которые несут эти игрушки". Нужно, чтобы было "круто", не так как у соседа, к примеру.

> "Но её цена носит всегда ситуативный и договорной характер"

Ситуативный. Ситуация — одноактность и неповторимость наступления множества событий, стечения всех жизненных обстоятельств и положений, открывающихся восприятию и деятельности человека (ист.: http://ru.wikipedia.org/wiki/%D0%A1%D0%B8%D1%82%D1%83%D0%B0%D1%86%D0%B8%D1%8F).
Ситуация - синонимы: положение, расположение, размещение, состояние, отношение, постановка, поза, позиция, обстановка; условия, обстоятельства (мн. ч.), жизнь.

"ситуативный характер" - насколько я понимаю этот термин, то это возникающие на временном промежутке от нуля до бесконечности, не одно, а множества множеств (факториал что ли?))) событий.

Казалось бы простая задача: классифицировать и оценить КОНКРЕТНЫЕ сведения, а мы начинаем уходить от этого с философским обоснованием.
Если что-то из философии "загнуть" руководству крупной коммерческой компании, обосновывая невозможность принятия защитных мер, то руководство будет вынуждено искать "более приземленного ИТ-ника". Такой уход от немедленного исполнения задачи к теории о том, может быть она выполнена или нет, с намёком на невозможность выполнения напоминает анекдот с бородой про "тяпочку с моторчиком".

Требуется ПРОСТАЯ МЕТОДИКА, позволяющая не специалисту посмотреть на ту информацию с которой он работает, классифицировать её и определить коммерческую ценность. После чего централизованно в масштабе организации "сдать" полученные результаты в "центр обработки".

Думаю, нам действительно следует прекратить этот диалог. В заключение позволю себе несколько замечаний. Вы, читая мои работы, упустили несколько важных вещей:
1. Безопасность - это даже не ситуация, а только её обозначение, название ситуации.
2. Ситуации, когда отсутствуют угрозы, быть не может никогда, потому что угроза есть специфическое состояние объект-объектных отношений. Угроза - это обещание и/или возможность причинить вред. Вред может причинить любой объект, даже самый безобидный.
3. Угроза не существует сама по себе. В природе нет угроз, как самостоятельных сущностей. Угроза всегда исходит от кого-нибудь или от чего-нибудь. Убрав (уничтожив) это что-то вы тем самым ликвидируете угрозу, исходящую от него. Угрозу! Но не класс угроз, что, видимо Вы имели ввиду. Но написали Вы так, как написали. А я прочитал именно так, как было написано.
4. Я понятий не подменял! Просто Вы не до конца их поняли. И приписываете мне то, с чем я, собственно, и боролся. Чувство безопасности - категория психологическая, иррациональная. Я же говорил и говорю о рациональном подходе к оценке ситуации, основанном на знании. А вы в качестве контраргумента мне приводите почти дословно мои же слова об относительности знания. А в подавляющем большинстве случаев вывод о наличии безопасности, действительно, есть следствие некомпетентности оценивающего ситуацию субъекта. Все и всегда находятся в опасности! Речь может идти только об относительной безопасности, а это категория субъективная. Если Вы в качестве критерия безопасности используете нормы, установленные регуляторами, то это никоим образом не повышает уровень Вашей безопасности вообще. От них Вы таким образом защититесь, но не от реального злоумышленника, и уж тем более от самых важных и действительно серьёзных угроз, коих в их моделях даже и нет.

Вот теперь всё. Ставлю большую и жирную точку. Не буду больше докучать своими рассуждениями. Определённые выводы я для себя сделал: у нас очень разные тезаурусы. Я живу в своей системе понятий, Вы в устоявшейся и общепринятой. Мне Вас понять проще, я эту систему знаю. Вам сложнее - Вы мою, если и знаете, то очень поверхностно. И, главное, не хотите меня понять. А переливать из пустого в порожнее устоявшейся парадигмы у меня нет ни желания, ни времени.
Тем не мене, спасибо за диалог. Было интересно столкнуться с таким подходом и отношением. С уважением, Атаманов Г.А.

Нефедьеву С.Г. на 36621:

Я тут как-то вспоминал, как во времена СССР в армии секретили количество чая, выдаваемого со склада в столовую: исходя из того, что по норме на одного солдата было положено 1 грамм чая, можно было легко вычислить количество личного состава в части. Скрывали, тратили деньги и время. А сейчас думаешь: а зачем? Какова была ценность этой информации? А какая у неё была цена? Методику кто-то придумал, в Перечень включил, неспециалисты тупо классифицировали и ... страна в итоге развалилась, не выдержав бремени таких вот и многих других подобных, но абсолютно ненужных, затрат.
И фирма любая развалится, если даже будет методика идеальная придумана (что, правда, невозможно), если к её выполнению будут подходить так же тупо, как в приведенном примере. Безопасник, как врач: один посмотрел больного, назначил лечение и больной выздоровел, а другой такое лечение назначил, что больной умер. Оба по одной методике работали, только результат - разный. Или другой пример: один мерчендайзер товар по себестоимости продать не может, а другой - тройную цену за него же берёт. По методике? Нет! По способностям!
У безопасника тоже всё (или почти всё) зависит от способностей. Способностей определить истинную ценность информации, убедить руководителя в необходимости её защиты, верно определить угрозы, правильно выстроить систему защиты. Всё это - работа творческая, под шаблон не подгоняется.

Атаманов Г.А. | 36638

>"У безопасника тоже всё (или почти всё) зависит от способностей. Способностей определить истинную ценность информации, убедить руководителя в необходимости её защиты, верно определить угрозы, правильно выстроить систему защиты. Всё это - работа творческая, под шаблон не подгоняется".

Видимо Вы говорите о каком-то "идеальном" предприятии, на котором работает до 100 человек, предприятие выпускает одно наименование товаров, ни имеет контрагентов, не имеет "дочек". При этом при всём ЛВС такого предприятия не имеет выхода в Интернет, а руководство предприятия прошло соответствующее обучение и непосредственно заинтересовано в режиме коммерческой тайны и поэтому служба безопасности информации находится "над службой, внедряющей ИТ" и "над службой оптимизирующей бизнес-процессы".

В общем фраза о том, что нужно говорить об одном, думать о другом, а делать третье, фактически ещё раз подтвердила своё право на существование.

Нефедьевe С.Г. | 36640

> "Видимо Вы говорите о каком-то "идеальном" предприятии, на котором работает до 100 человек, предприятие выпускает одно наименование товаров, ни имеет контрагентов, не имеет "дочек"".

Нет. Я не об объектах, а о подходах. Объекты могут быть разные, подходы всегда одни.
А СЗИ не должна быть "выше". Она должна быть подчинена задаче обеспечения непрерывности и успешности бизнеса. И если для этого потребуется "говорить об одном, думать о другом, а делать третье", то значит так и надо. Только нужно знать что говорить, о чём думать и что делать. А для этого надо много знать и многое уметь.

Атаманов Г.А. | 36656
Если так, то почему общепринятый подход в определении того, что нужно защищать, "не прокатывает"?

Нефедьев С.Г. | 36658

Общепринятый подход потому и "не прокатывает", что он абсолютно неверный. То, что он принят всеми, ещё ничего не значит. Раньше тоже все думали, что Земля плоская и держится на трёх китах (слонах, черепахах и т.п.). Оказались неправы. Все. А того, кто первым с этим не согласился, сожгли на костре. Печальная история. Истинное знание иногда пробивается с большим трудом, а "все" бывают очень упрямы в своём невежестве и очень жестоки. Это уже так, к слову.