информационная безопасность
без паники и всерьез
 подробно о проектеRambler's Top100
За кого нас держат?Портрет посетителя
BugTraq.Ru
Русский BugTraq
 Анализ криптографических сетевых... 
 Модель надежности двухузлового... 
 Специальные марковские модели надежности... 
 Три миллиона электронных замков... 
 Doom на газонокосилках 
 Умер Никлаус Вирт 
главная обзор RSN блог библиотека закон бред форум dnet о проекте
bugtraq.ru / форум / law
Имя Пароль
ФОРУМ
все доски
FAQ
IRC
новые сообщения
site updates
guestbook
beginners
sysadmin
programming
operating systems
theory
web building
software
hardware
networking
law
hacking
gadgets
job
dnet
humor
miscellaneous
scrap
регистрация





Легенда:
  новое сообщение
  закрытая нитка
  новое сообщение
  в закрытой нитке
  старое сообщение
  • Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
  • Новичкам также крайне полезно ознакомиться с данным документом.
Характер информации вытекает из бизнес проявлений. Ведь... 07.07.08 18:03  Число просмотров: 9074
Автор: Garick <Yuriy> Статус: Elderman
Отредактировано 07.07.08 18:10  Количество правок: 1
<"чистая" ссылка>
>
> > При разработке политик безопасности ИС необходимо
> исходить
> > из того, что "супостату" известно, что в ИС есть
> > (храниться/обрабатывается) инфа с "ограниченным
> доступом".
> Да, но при этом не известна сама информация (возможно даже
> её характер). Из этого собсно и следует концепция наличия
> "некритичного дублёра" критичной информации.
Характер информации вытекает из бизнес проявлений. Ведь информация - это отражение бизнеса. И просто так внеплановые проверки не происходят. Проверяющие также оптимизируют свою деятельность. Если пришли с проверкой - значит есть наработки. И бизнес аналитики из проверяющих не плохие, а вот системных аналитиков привлекут по необходимости :) И позиция кирпича - только будет сильнее злить, но никак не введет в заблуждение. Генерация фейка - это только на словах все так просто, а вот вести фейковую бухгалтерию и еще с бумажной массой - задача очень сложная. а встречная проверка? сразу покажет ошибки-несоотвествие и понеслось... :)
Или кто то думает, что контролеров заинтересуют медиа контент и рефераты??? :)


> > А желание выглядеть "кирпичом" - имхо идет от
> неуверенности
> > (ничего личного, только жизненные наблюдения) в своем
> > решении безопасности.
> > Не знаю я примеров, когда такая позиция "кирпича"
> спасала
> > при серьезных проверках. Есть примеры? :)
> Примеры есть, перечислять названия фирм, работающих по этой
> схеме не вижу смысла. Конкретный пример: продаём
> холодильники в кредит + потихоньку обналичивает деньги,
> используя так или иначе банк - дебетор. Соответственно
> бухгалтерия фактическая и бухгалтерия открытая будут
> немножко отличаться.
Меня мало интересуют примеры работающих -я не из проверяющих :) Меня интересовали примеры удачного решения "вопроса". Ведь основная задача этой системы - быть успешной при угрозах контроллирующих органов. А фейки от неуверенности в надежности системы.
В ехСССР в действительности всегда существует двойная бухгалтерия - в налогом и управленческом ракурсах. Тк законодательство, например, не разрешает все траты списывать на валовые затраты, а управленческий учет должен это учитывать.
Обналичников берут с чемоданом денег, а остальное - это повод раскрутить на больше фактов :)


>
> > Выносить или не выносить КИ из офиса - уже решается по
> > стойкости "человеческого фактора" носителя КИ.
> Возможно
> > сейф в кабинете гендиректора будет достаточно, а может
> и
> > есть необходимость в банковском сейфе или вынос КИ за
> > пределы государства, материка, вселенной :)
> Неа, как правило стойкость человеческого фактора отлична от
> нуля первые 30 секунд с момента начала более-менее
> серьёзной силовой операции, и всё что показывают нам в
> боевиках не соответствует действительности. Бит сам не был,
> слава богу, но был впечатлён работой бойцов.
> Говорить что-то по теме однозначно приходится, и лучше бы
> позаботиться заранее о том, чтобы это что-то было как можно
> более правдоподобно. Или, если это влечёт слишком много
> издержек (скупой в данном случае платит существенно
> больше), можно сделать так: система включается местным IT и
> требует согласование включения с безопасностью.
> Безопасность находится за пределами офиса, и для получения
> доступа ментам надо либо пытаться взломать сервер, либо
> добиваться включения у безопасности. То есть отвечать за
> стойкость ИС уже будет компания (некий бизнес-процесс в
> компании), а не отдельно взятый охранник\IT\админ, который,
> к тому же, может быть засланный :)
> Более того можно исключить IT (в доверии к которому мы
> усомнились тут, ну купили\напугали его) из "пищевой
> цепочки": часть КИ берётся из trusted ресурса, а часть - у
> специального человека (сидящего далеко от офиса с
> проверкой), который только и занимается согласованием
> включения серверов. Такой системы не видел, но это было бы
> логично и централизовано.
Ну вычислять за полдня это удаленщика и поставят его в розыск. Многие умеют "отлежаться на дне"? У каждого малины и забронированные чартеры в нейтральную страну. Через неделю максимум выловят у родственников. :) Хотя, возможно, он успеет уничтожить КИ. Тогда есть шанс уничтожить доступ к инфе и заблокировать работоспособность компании надолго. Не плохой ДОСик. Необходима система, у которой доступность к КИ соотвествовала угрозам. Если все серьезно - уничтожать, если лопухи пошмонать пришли - максимально удлинить время доступа к КИ. Как вариант - выписать ключ у американцев, если это не мега преступность. Можно смело уничтожать КИ. Вряд ли америкосы выдадут ключ налоговым органам :)
Еще не забываем, что где то должен быть бекап ключей (он обязателен). Для которого также надо прописать регламент уничтожения.

> Но эти варианты не прокатят, если безопасность\источник КИ
> возьмут за яйца официальным путём, к тому же явно будет
> видно, что нам есть что скрывать...
> Поэтому если уж совсем всё красиво хочется, то есть смысл
> вкладывать в производство фейка, зато в случае чего можно
> будет бросить собаке дозированную порцию костей.
О генерации фейка - см выше, раскрывается за пару часов :)
И ВСЕГДА есть слабые пользователи этой системы! Не создается же корпоративная система ради системы с одним пользователем! Которые сообщат о ее существовании и характере инфы. остальное - дело техники... :)
<law> Поиск 






Rambler's Top100
Рейтинг@Mail.ru


  Copyright © 2001-2024 Dmitry Leonov   Page build time: 1 s   Design: Vadim Derkach