Aleksey Lukatskiy, profile picture
Uploaded byAleksey Lukatskiy
PDF, PPTX17,082 views

Альтернативный курс по информационной безопасности

Документ охватывает образование в области информационной безопасности (ИБ) в России, включая виды образовательных программ и требования к выпускникам. Описаны степени обучения и специализации, а также навыки, которые должны развивать бакалавры и магистры в сфере ИБ. Упоминаются основные дисциплины, актуальные для получения знаний и квалификации в области защиты информации.

Embed presentation

Download as PDF, PPTX
Альтернативный курс ИБ для современного безопасника Лукацкий Алексей, консультант по безопасности
ПОЧЕМУ У НАС ТАКОЕ ОБРАЗОВАНИЕ ПО ИБ?
Виды образования в РФ • Общее образование – Дошкольное – Начальное – Среднее • Профессиональное образование – Начальное – Среднее – Высшее • Бакалавриат • Магистратура • Послевузовское профессиональная образование – Аспирантура, докторантура – Повышение квалификации – Переподготовка
Кто и что готовит специалистов по ИБ? • В учебно-методическое объединение ВУЗов России по образованию в области информационной безопасности входит свыше 70 учебных заведений со всех регионов России • Обучение проводится по федеральным государственным образовательным стандартам (ФГОСам), являющихся основой для основных образовательных программ • Выделяется 3 степени обучения в ВПО Аспирант (3 года) Аспирант (3 года) Магистр (2 года) Магистр (2 года) Бакалавр (4 года) Бакалавр (4 года) Специалист (5.5 лет) Специалист (5.5 лет)
Кого готовят ВУЗы? Бакалавриат • 090900 Информационная безопасность Магистратура • 090900 Информационная безопасность Специалитет • 030901 Правовое обеспечение национальной безопасности • 090301 Компьютерная безопасность • 090302 Информационная безопасность телекоммуникационных систем • 090303 Информационная безопасность автоматизированных систем • 090305 Информационно- аналитические системы безопасности • 090915 Безопасность информационных технологий в правоохранительной сфере • Специалитет подразумевает специализации
Специализации по специальности «Компьютерная безопасность» • Анализ безопасности компьютерных систем • Математические методы защиты информации • Безопасность распределенных компьютерных систем • Разработка защищенного программного обеспечения • Безопасность высокопроизводительных вычислительных систем • Безопасность программного обеспечения мобильных систем • Информационно-аналитическая и техническая экспертиза компьютерных систем • Информационная безопасность объектов информатизации на базе компьютерных систем
Специализации по специальности «Информационная безопасность автоматизированных систем» • Автоматизированные информационные системы специального назначения • Высокопроизводительные вычислительные системы специального назначения • Информационная безопасность автоматизированных систем критически важных объектов • Безопасность открытых информационных систем • Информационная безопасность автоматизированных банковских систем • Защищенные автоматизированные системы управления • Обеспечение информационной безопасности распределенных информационных систем • Создание автоматизированных систем в защищенном исполнении
Специализации по специальности «Информационная безопасность телекоммуникационных систем» • Мониторинг в телекоммуникационных системах • Системы представительской связи • Сети специальной связи • Инструментальный контроль информационной безопасности телекоммуникационных систем • Системы специальной связи и информации для органов государственной власти • Информационная безопасность космических телекоммуникационных систем • Разработка защищенных телекоммуникационных систем • Системы подвижной цифровой защищенной связи • Защита информации в радиосвязи и телерадиовещании • Защита информации в системах связи и управления • Информационная безопасность мультисервисных телекоммуникационных сетей и систем на транспорте • Безопасность телекоммуникационных систем информационного взаимодействия
ФГОСы меняются каждые 4 года! • Стандарты высшего профессионального образования: – первого поколения (утверждались с 2000 года) – второго поколения (утверждались с 2005 года), ориентированные на получение студентами знаний, умений и навыков; – третьего поколения (утверждаются с 2009 года), согласно которым высшее образование должно вырабатывать у студентов общекультурные и профессиональные компетенции • С 1 сентября 2013 года согласно закону «Об образовании в Российской Федерации» должны утверждаться стандарты нового поколения
Виды деятельности для выпускников по ИБ • Магистр – проектная – научно-исследовательская – научно-педагогическая – организационно-управленческая • Бакалавр – эксплуатационная – проектно-технологическая – экспериментально-исследовательская – организационно-управленческая • Специалист – научно-исследовательская – проектная – контрольно-аналитическая – организационно-управленческая – эксплуатационная
Что должен уметь бакалавр по ИБ после 4-х лет обучения? • Эксплуатационная деятельность – Установка, настройка, эксплуатация и поддержание в работоспособном состоянии компонентов системы обеспечения информационной безопасности с учетом установленных требований – Участие в проведении аттестации объектов, помещений, технических средств, систем, программ и алгоритмов на предмет соответствия требованиям защиты информации – Администрирование подсистем информационной безопасности объекта • Проектно-технологическая деятельность – Сбор и анализ исходных данных для проектирования систем защиты информации, определение требований, сравнительный анализ подсистем по показателям информационной безопасности – Проведение проектных расчетов элементов систем обеспечения информационной безопасности – Участие в разработке технологической и эксплуатационной документации – Проведение предварительного технико-экономического обоснования проектных расчетов
Что должен уметь бакалавр по ИБ после 4-х лет обучения? • Экспериментально-исследовательская деятельность – Сбор, изучение научно-технической информации, отечественного и зарубежного опыта по тематике исследования; – Проведение экспериментов по заданной методике, обработка и анализ результатов; – Проведение вычислительных экспериментов с использованием стандартных программных средств • Организационно-управленческая деятельность: – Осуществление организационно-правового обеспечения информационной безопасности объекта защиты – Организация работы малых коллективов исполнителей с учетом требований защиты информации; – Совершенствование системы управления информационной безопасностью; – Изучение и обобщение опыта работы других учреждений, организаций и предприятий в – Области повышения эффективности защиты информации и сохранения государственной и других видов тайны – Контроль эффективности реализации политики информационной безопасности объекта
Что должен уметь специалист по ИБ после 5.5 лет обучения? • Научно-исследовательская деятельность: – сбор, обработка, анализ и систематизация научно-технической информации, отечественного и зарубежного опыта по проблемам компьютерной безопасности; – проведение измерений и наблюдений, составление описания проводимых исследований, подготовка данных для составления обзоров, отчетов и научных публикаций; – изучение и обобщение опыта работы других учреждений, организаций и предприятий по способам использования методов и средств обеспечения информационной безопасности с целью повышения эффективности и совершенствования работ по защите информации на конкретном объекте; – разработка математических моделей защищаемых процессов и средств защиты информации и систем, обеспечивающих информационную безопасность объектов; – обоснование и выбор рационального решения по уровню обеспечения защищенности компьютерной системы с учетом заданных требований; – подготовка научно-технических отчетов, обзоров, публикаций по результатам выполненных исследований;
Что должен уметь специалист по ИБ после 5.5 лет обучения? • Проектная деятельность: – сбор и анализ исходных данных для проектирования систем защиты информации; – разработка технических заданий на проектирование, эскизных, технических и рабочих проектов систем и подсистем защиты информации с учетом действующих нормативных и методических документов; – разработка проектов систем и подсистем управления информационной безопасностью объекта в соответствии с техническим заданием; – проектирование программных и аппаратных средств защиты информации в соответствии с техническим заданием с использованием средств автоматизации проектирования; – сопровождение разработки технического и программного обеспечения системы информационной безопасности;
Что должен уметь специалист по ИБ после 5.5 лет обучения? • Контрольно-аналитическая деятельность: – проведение контрольных проверок работоспособности и эффективности применяемых программно-аппаратных средствах защиты информации; – предварительная оценка, выбор и разработка необходимых методик поиска уязвимостей; – применение методов и методик оценивания безопасности компьютерных систем при проведении контрольного анализа системы защиты; – выполнение экспериментально-исследовательских работ при проведении сертификации программно-аппаратных средств защиты и анализ результатов; – проведение экспериментально-исследовательских работ при аттестации объектов с учетом требований к обеспечению защищенности компьютерной системы; – проведение инструментального мониторинга защищенности компьютерных систем; – подготовка аналитического отчета по результатам проведенного анализа и выработка предложений по устранению выявленных уязвимостей
Что должен уметь специалист по ИБ после 5.5 лет обучения? • Организационно-управленческая деятельность: – организация работы коллектива исполнителей, принятие управленческих решений в условиях спектра мнений, определение порядка выполнения работ; – поиск рациональных решений при разработке средств защиты информации с учетом требований качества, надежности и стоимости, а также сроков исполнения; – осуществление правового, организационного и технического обеспечения защиты информации; – организация работ по выполнению требований режима защиты информации, в том числе информации ограниченного доступа (сведений, составляющих государственную тайну и конфиденциальной информации)
Что должен уметь специалист по ИБ после 5.5 лет обучения? • Эксплуатационная деятельность: – установка, настройка, эксплуатация и обслуживание аппаратно-программных средств защиты информации; – проверка технического состояния и остаточного ресурса оборудования защиты информации, организация профилактических проверок и текущего ремонта; – приемка и освоение программно-аппаратных средств защиты информации; – составление инструкций по эксплуатации аппаратно-программных средств защиты информации; – обеспечение эффективного функционирования средств защиты информации с учетом требований по обеспечению защищенности компьютерной системы; – администрирование подсистем информационной безопасности компьютерных систем; – обеспечение восстановления работоспособности систем защиты информации при возникновении нештатных ситуаций; – проведение аттестации технических средств, программ, алгоритмов на предмет соответствия требованиям защиты информации по соответствующим классам безопасности или профилям защиты
Что должен уметь магистр по ИБ после 6-ти лет обучения? • Проектная деятельность – системный анализ прикладной области, выявление угроз и оценка уязвимости информационных систем, разработка требований и критериев информационной безопасности, согласованных со стратегией развития информационных систем; – концептуальное проектирование сложных систем, комплексов средств и технологий обеспечения информационной безопасности; – обоснование выбора функциональной структуры, принципов организации технического, программного и информационного обеспечения систем, средств и технологий обеспечения информационной безопасности объектов защиты; – разработка систем и технологий обеспечения информационной безопасности; – адаптация к защищаемым объектам современных методов обеспечения информационной безопасности на основе отечественных и международных стандартов • Научно-исследовательская деятельность – анализ фундаментальных и прикладных проблем информационной безопасности в условиях становления современного информационного общества; – разработка планов и программ проведения научных исследований и технических разработок, подготовка отдельных заданий для исполнителей; – выполнение научных исследований по выбранной теме; – подготовка по результатам научных исследований отчетов, статей, докладов на научных конференциях
Что должен уметь магистр по ИБ после 6-ти лет обучения? • Научно-педагогическая деятельность – выполнение педагогической работы в средних специальных и высших учебных заведениях в должностях преподавателя и ассистента под руководством ведущего преподавателя и профессора (доцента) по дисциплинам направления; – разработка методических материалов, используемых студентами в учебном процессе • Научно-исследовательская деятельность – анализ фундаментальных и прикладных проблем информационной безопасности в условиях становления современного информационного общества; – разработка планов и программ проведения научных исследований и технических разработок, подготовка отдельных заданий для исполнителей; – выполнение научных исследований по выбранной теме; – подготовка по результатам научных исследований отчетов, статей, докладов на научных конференциях
О преподавательском составе • Преподаватели профессионального цикла должны иметь базовое образование и (или) ученую степень, соответствующие профилю преподаваемой дисциплины, или опыт деятельности в сфере обеспечения информационной безопасности – Не менее 70 процентов преподавателей, обеспечивающих учебный процесс по профессиональному циклу, должны иметь ученые степени или ученые звания • К образовательному процессу должно быть привлечено не менее 5% преподавателей из числа действующих руководителей и работников профильных организаций, предприятий и учреждений • До 10% от общего числа преподавателей, имеющих ученую степень и (или) ученое звание может быть заменено преподавателями, имеющими стаж практической работы по данному направлению на должностях руководителей или ведущих специалистов не менее 5 последних лет
Основные образовательные программы • 3 цикла – гуманитарный, социальный и экономический цикл; – математический и естественнонаучный цикл; – профессиональный цикл • Каждый учебный цикл имеет базовую (обязательную) часть и вариативную, устанавливаемую ВУЗом
Трудоемкость блоков дисциплин 11% 27% 43% 5% 1% 6% 7% Трудоемкость Гуманитарный, социальный и экономический цикл Математический и естественно-научный цикл Профессиональный цикл Специализация Физкультура Учебная и производственная практика Итоговая аттестация
ПРЕПОДАВАЕМЫЕ ДИСЦИПЛИНЫ
Основные дисциплины • Основы ИБ • Аппаратные средства вычислительной техники • Программно-аппаратные средства защиты информации • Криптографические методы защиты информации • Организационное и правовое обеспечение информационной безопасности • Документоведение • Управление информационной безопасностью • Техническая защита информации • Сети и системы передачи информации • Безопасность жизнедеятельности • Языки программирования • Технологии и методы программирования
Основные дисциплины • Электротехника • Электроника и схемотехника • Информационные технологии
Рекомендованные УМО дисциплины • Гуманитарные аспекты информационной безопасности • Экономика защиты информации (отрасли) • Профессиональная этика • Психология и педагогика • Психология общения • Социальная психология • Язык делового общения • Деловой язык • Русский язык и культура речи • Основы социологии • История религий • Документационное обеспечение управления • Организационные основы деятельности предприятий
Рекомендованные УМО дисциплины • Математическая логика и теория алгоритмов • Языки ассемблера • Операционные системы • Вычислительные сети • Системы управления базами данных • Теоретические основы компьютерной безопасности • Методы оценки безопасности компьютерных систем • Основы теории кодирования • Математическое моделирование систем и сетей телекоммуникаций • Математические основы цифровой обработки сигналов • Физические основы ВОЛС • Теория информации
Рекомендованные УМО дисциплины • Функциональный процесс и организация предприятия • Социально-психологические основы управленческой деятельности • Управление рисками • Физические основы защиты информации • Международные и российские нормативные акты и стандарты по информационной безопасности • Технические средства охраны • Электронный документооборот • Защита и обработка конфиденциальных документов • Перевод специальных текстов • Проверка информационной защищенности на соответствие нормативным документам
Особенности образования • Для специалитета (специальности 0903хх) ВУЗу нужна лицензия на гостайну • Наличие вариативности в профессиональном цикле, допускающая изучение предметов по выбору студента • Ориентация на преподавателей- теоретиков, не имеющих практического опыта работы • Технологичность изучаемых дисциплин • Отсутствие ориентации на бизнес- потребности Система управления (Security Governance) Система управления (Security Management) Технические средства (Security System)
ЧЕГО НЕ ХВАТАЕТ?
Альтернативные (дополнительные) дисциплины • Оценка соответствия • Психология восприятия рисков • Оценка эффективности ИБ • Теория организации • Теория систем • Обеспечение непрерывности бизнеса • Отраслевая специфика • Security Governance • Повышение осведомленности • Управление инцидентами • Маркетинг безопасности • Архитектура безопасности • Киберпреступность • Аудит • Аутсорсинг и безопасность • Экспорт и импорт средств защиты информации • Международное взаимодействие
ЧТО ТАКОЕ ИБ?
Как я понимаю ИБ?! • Информационная безопасность - состояние защищенности интересов стейкхолдеров предприятия в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества, государства и бизнеса • Очень емкое и многоуровневое определение • Может без изменения применяться в ЛЮБОЙ организации – Меняться будет только наполнение ее ключевых элементов – стейкхолдеры, информационная сфера, интересы
Стейкхолдеры ИБ • ИТ • ИБ • Юристы • Служба внутреннего контроля • HR • Бизнес-подразделения • Руководство • Пользователи Внутри предприятия Внутри предприятия • Акционеры • Клиенты • Партнеры • Аудиторы Снаружи предприятия Снаружи предприятия • ФСТЭК • ФСБ • Роскомнадзор • СВР • МО • Банк России РегуляторыРегуляторы
Информационная сфера • Информационная сфера - это совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и использование информации, а также системы регулирования возникающих при этом отношений • Обычно мы защищаем только информацию и информационную инфраструктуру
Почему мы защищаем информационные активы и ресурсы? Она имеет ценностьОна имеет ценность Имеет ценность для васИмеет ценность для вас Снижает неопределенность при принятии решений Снижает неопределенность при принятии решений Влияет на поведение людей, приводящее к экономическим последствиям Влияет на поведение людей, приводящее к экономическим последствиям Нематериальный актив (собственная стоимость) Нематериальный актив (собственная стоимость) Не имеет ценности для вас, но имеет для кого-то еще Не имеет ценности для вас, но имеет для кого-то еще Если ей воспользуются другие, то вы понесете убытки или проиграете в конкурентной борьбе Если ей воспользуются другие, то вы понесете убытки или проиграете в конкурентной борьбе Ее защита требуется государством / регулятором Ее защита требуется государством / регулятором Она не имеет ценности, но ее принято защищать Она не имеет ценности, но ее принято защищать
Интересы стейкхолдеров • Универсального списка интересов не существует – у каждого предприятия на каждом этапе его развития в различном окружении при различных руководителях интересы различны ИБ • Конфиденциальность • Целостность • Доступность Юристы • Соответствие • Защита от преследования • Новые законы Регуляторы • Соответствие Пользователи • Тайна переписки • Бесперебойный Интернет • Комфорт работы Акционеры • Рост стоимости акций • Контроль топ- менеджмента • Прозрачность ИТ • Доступность сервисов • Интеграция • Снижение CapEx
У разной ИБ и угрозы разные! Традиционные • Вредоносное ПО • DDoS • Утечки • НСД • Превышение привилегий • Нарушение работоспособности приложения • Кража ключей ЭП Нетрадиционные • Приход регулятора с проверкой • Отсутствие лицензии ФСБ у предприятия • Отсутствие сертификата ФСТЭК на систему защиты • Внесение изменения в аттестованный объект информатизации
SECURITY GOVERNANCE
Опрос ISACA • Опрос «Critical Elements of Information Security Program Success», ISACA • Опрос 157 руководителей в 8 странах – Канада, Франция, Германия, Израиль, Италия, Япония, США, Венесуэла • Отрасли – Финансы, транспорт, ритейл, государство, промышленность, здравоохранение, консалтинг, коммунальные услуги • 35 критических факторов успеха – Культура, люди, бюджет и финансы, организация, технологии, законы и стандарты, метрики, повышение осведомленности и обучение
Метрики Что и как измерять 55 Процесс взаимодействия Двусторонняя связь 22 Общий язык Бизнес первичен 11 Выход на руководство Сила и влияние 44 33 Система убеждения Маркетинг и PR 5 критериев успеха
 Governance (в бизнесе) – действие по разработке и последовательному управлению связанных в единое целое политиками, процессами и правильными решениями в данной области ответственности  . . . связь между бизнесом и управлением ИТ  . . . стратегические ИТ-решения, за которые отвечает корпоративный менеджмент, а не CIO или другие ИТ-менеджеры  . . . ИТ Governance – это подмножество Corporate Governance, фокусирующееся на информационных системах  …подтверждение того, что ИТ-проекты легко управляются и глубоко влияют на достижение бизнес-целей организации  ИТ Governance подразумевает систему, в которой все ключевые роли, включая совет директоров и внутренних клиентов, а также связанные области, такие как, например, финансы, делают необходимый вклад в процесс принятия ИТ-решений  …взаимосвязь между ИТ, инициативами соответствия (compliance), управлением рисками и корпоративной бизнес-стратегией Определения Governance
Связь с другими ИТ-дисциплинами • IT governance поддерживает следующие дисциплины: – Управление ИТ-активами – Управление ИТ-портфолио – Архитектура предприятия – Управление проектами – Управление программами – Управление ИТ-сервисами – Оптимизация бизнес-технологий
Are we doing the right things? Are we doing the right things? Are we doing them the right way? Are we doing them the right way? Are we getting them done well? Are we getting them done well? Are we getting the benefits? Are we getting the benefits? Are we getting the benefits? Are we doing the right things? Are we doing the right things? Are we doing the right things? Мы делаем правильные вещи? Are we doing them the right way? Are we doing them the right way? Are we doing them the right way? Мы делаем это правильно? Are we getting them done well? Are we getting them done well? Are we getting them done well? Мы преуспели в достижении? Are we getting the benefits? Are we getting the benefits? Are we getting the benefits? Are we getting the benefits? Are we getting the benefits? Мы получаем преиму- щества? Стратегический вопрос. Инвестиции: В соответствие с нашим видением? Соответствуют нашим бизнес-принципам? Содействуют нашим стратегическим целям? Обеспечивают оптимальное значение, затраты и уровень рисков? Вопрос ценности. Мы имеем: • Очевидное понимание ожидаемых преимуществ? • Релевантные метрики? • Эффективные преимущества реализации процесса? Архитектурный вопрос. Инвестиции: В соответствие с нашей архитектурой? Соответствуют нашим архитектурным принципам? Содействуют созданию архитектуры? В соответствие с другими инциативами? Вопрос реализации. Мы имеем: Эффективный процесс управления изменениями и реализации? Компетентные и доступные технические и бизнес-ресурсы для реализации: Требуемых возможностей; и Организационных изменений, требуемых для достижения возможностей. Источник: Fujitsu Consulting На какие вопросы отвечает Governance?
ИБ Governance • Способность показать, как ИБ связана с бизнес-стратегией • Способность показать, как ИБ несет ценность бизнесу • Способность показать, как ИБ управляет рисками • Способность показать, как ИБ управляет ресурсами • Способность показать, как ИБ управляет достижением целей
Структура ИБ Governance
ОЦЕНКА ЭФФЕКТИВНОСТИ ИБ
Почему мы отказываемся измерять? • Это нематериально, а значит неизмеримо • Отсутствуют методы измерения • «Проценты, статистика… С помощью них можно доказать все, что угодно» • «Чтобы оценить этот показатель, нужно потратить миллионы рублей. А менее масштабный проект дает большую погрешность» • Важные для предприятия проекты пропускаются в пользу слабых только потому, что во втором случае методы оценки ожидаемого эффекта всем известны, а в первом нет
Проблемы измерений • Принятие решений часто требует количественной оценки предполагаемых нематериальных активов или вопросов • Многие считают такую оценку невозможной, а нематериальное неподдающимся измерению – Именно это часто является причиной отказа от многих проектов (предубеждение пессимизма) • Раз это невозможно, то мало кто пытается это сделать • Но – Если какой-либо объект/явление можно наблюдать тем или иным образом  существует метод его измерения
Что мы хотим измерять в ИБ? • Какой уровень опасности нам грозит? – Что мы потеряем? • Оценка нематериальных активов • Оценка информации • Оценка материальных активов • ALE – Какова вероятность ущерба? – Что нам грозит? – Насколько мы уязвимы? • Какая СЗИ лучше? – Лучше = дешевле, функциональнее, быстрее окупается, быстрее работает… • Как мы соотносимся с другими?
Что мы хотим измерять в ИБ? (продолжение) • Сколько денег на безопасность надо? – Сколько мы потратим? Почему столько? – Какова отдача? И есть ли она? – Выгоден ли этот проект по ИБ? – Рискованны ли инвестиции в ИБ? • Мы соответствуем требованиям? – Стандартов – SLA – Регуляторов
Что мы хотим измерять в ИБ? (окончание) • Насколько мы защищены? – На каком уровне находимся? – Стало ли лучше по сравнению с прошлым? • Сколько времени потребуется? – На проникновение / распространение вредоносного ПО? – На внедрение СЗИ? – На возврат в исходное состояние после атаки? • Оптимально ли – Мы движемся к цели? – Тратим деньги? – Настроена система защиты?
Финансовые методы оценки ИБ • «Инвестиционные» – Total Value of Opportunity (TVO) – Total Economic Impact (TEI) – Rapid Economic Justification (REJ) • «Затратные» – Economic Value Added (EVA) – Economic Value Sourced (EVS) – Total Cost of Ownership (TCO) – Annual Lost Expectancy (ALE) • «Контекстуальные» – Balanced Scorecard – Customer Index – Information Economics (IE) – IT Scorecard • «Количественные вероятностные» – Real Options Valuation – iValue – Applied Information Economics (AIE) – COCOMO II and Security Extensions
МЕСТО НПА ПО ИБ В ЗАКОНОДАТЕЛЬСТВЕ
Иерархия нормативно-правовых актов Международный договор Международный договор КонституцияКонституция Федеральные конституционные законы Федеральные конституционные законы Основы законодательства Основы законодательства КодексыКодексы Федеральные законы Федеральные законы Указы и Распоряжения Президента РФ Указы и Распоряжения Президента РФ Постановления и Распоряжения Правительства РФ Постановления и Распоряжения Правительства РФ Акты министерств и ведомств Акты министерств и ведомств Конституции и Уставы субъектов РФ Конституции и Уставы субъектов РФ Законы субъектов РФ Законы субъектов РФ Акты органов местного самоуправления Акты органов местного самоуправления
Каких знаний не хватает? • Юридическая сила нормативных актов • Процедура принятия нормативных актов • Вступление в силу нормативного акта • Прекращение действия нормативного акта • Доктринальные принципы – «Все, что не запрещено, разрешено» и наоборот – Каждое правонарушение подразумевает ответственность – Последующее отменяет предыдущее – Приоритет специального закона по отношению к общему закону – Незнание закона не освобождает от ответственности – Неопубликованные законы не применяются – Отягчающий закон обратной силы не имеет – «Презумпция невиновности»
Оценка соответствия ≠ сертификация Оценка соответствия Оценка соответствия Госконтроль и надзор Госконтроль и надзор АккредитацияАккредитация ИспытанияИспытания РегистрацияРегистрация Подтверждение соответствия Подтверждение соответствия Добровольная сертификация Добровольная сертификация Обязательная сертификация Обязательная сертификация Декларирование соответствия Декларирование соответствия Приемка и ввод в эксплуатацию Приемка и ввод в эксплуатацию В иной формеВ иной форме
ПСИХОЛОГИЯ
Психология • Психология – наука о поведении и психических процессах или • Психология – это область научного знания, исследующая особенности и закономерности возникновения, формирования и развития (изменения) психических процессов (ощущение, восприятие, память, мышление, воображение), психических состояний (напряжённость, мотивация, фрустрация, эмоции, чувства) и психических свойств (направленность, способности, задатки, характер, темперамент) человека • Психология должна отвечать на вопрос о том, почему человек ведет себя так или иначе
Что может подсказать психология? • Общая психология – Какие мотивы определяют поведение людей? – Почему мы замечаем одни вещи и не видим другие? • Психология развития (возрастная психология) – Как меняется поведение человека в зависимости от возраста? – Чего ожидать от молодежи, а чего от «стариков»? • Дифференциальная психология – Чем отличается поведение различных социальных, классовых, этнических, возрастных и иных групп? • Клиническая психология – Как ведет себя человек во время острого психического расстройства, дискомфорта или тяжелого известия?
Что может подсказать психология? • Педагогическая психология – Как донести до пользователей нужную мысль? – Как повысить эффективность обучения и повышения осведомленности пользователей? • Психология труда – Как повысить производительность сотрудников службы ИБ? – Как мотивировать сотрудников? – Как преодолеть кризис профессионального развития? – Стресс- и конфликт-менеджмент • Социальная психология – Как человек ведет себя обществе или социальной группе? • Юридическая психология – Формирование модели нарушителя
Что может подсказать психология? • Когнитивная психология – Как принимаются решения? – Как работает память?
Как аутентифицировать сотрудников азиатского офиса?
Куда девать токен или смарткарту?
ТЕОРИЯ ОРГАНИЗАЦИИ
Почему так сложно идут изменения в области ИБ? • Все жаждут прогресса, но никто не хочет изменений • Люди инертны – Склонны верить тому, что узнали в самом начале (ВУЗе, первой работе и т.д.) – Ленивы и не будут упорно трудиться ради изменений – Людей устраивает средний результат. Это зона комфорта. Best Practices никому не нужны (как и мировые рекорды) – Люди считают свои решения лучшими • Чтобы пересмотреть точку зрения, человека надо долго переубеждать или показать воочию • Изменения происходят не вдруг – имейте терпение
А вы учитываете «центры Силы» в компании? • Центр восприятия информация – Те, кто воспринимают информацию благосклонно • Центр неудовлетворенности – Те, кто недовольны текущим положением дел • Центр власти – Те, кто принимают решения • Центр противодействия – Те, кто не хотят изменений
А свойства иерархий учитываете? • Дуализм – Элемент системы обладает как индивидуальными, так и системными свойствами • Они могут противоречить друг другу и тогда возникает конфликт – Чем сложнее иерархия, тем меньше индивидуальных качеств остается на нижних уровнях – остаются «винтики», легкозаменяемые элементы четко прописанного процесса • Именно поэтому крупные организации так привержены процессному подходу • Именно поэтому ISO 27001 – это стандарт, ориентированный, в первую очередь, на крупные предприятия
О свойствах иерархий • Диктатура верхних уровней над нижними • Нечувствительность верхних уровней к изменениям на нижних – Главное для верхнего уровня, чтобы нижний уровень выполнял свои функции – Именно поэтому важно попасть CISO на верхний уровень иерархии • Высокая чувствительность нижних уровней к изменениям на верхних – «Верхи не могут, а низы не хотят…» • Чем выше уровень, тем гибче структура – Нижние уровни – жесткая иерархия и связи (субординация)
Типы руководителей • Существуют различные типы руководителей – Каждый имеет свои сильные и слабые стороны • Идеальных руководителей не существует – Только в учебниках • Учебники и школы менеджмента говорят «должен» – На практике идеального руководителя не бывает • Необходимо учитывать «психологический портрет» руководителя
Как понять мотивацию пользователя и руководителя?! Что он видит? • На что похожа его среда? • Кто его окружает? • С кем он дружит? • С чем он сталкивается ежедневно? • С какими проблемами встречается? • На что похожа его среда? • Кто его окружает? • С кем он дружит? • С чем он сталкивается ежедневно? • С какими проблемами встречается? Что он слышит? • Что говорят его друзья? • Кто и как реально воздействует на него? • Какие медиаканалы на него влияют? • Что говорят его друзья? • Кто и как реально воздействует на него? • Какие медиаканалы на него влияют? Что он чувствует/думает? • Что для него реально важно? • Что его трогает? • Его мечты и стремления? • Что для него реально важно? • Что его трогает? • Его мечты и стремления? Что он говорит/делает? • Как он себя держит? • О чем он может рассказать окружающим? • Как он себя держит? • О чем он может рассказать окружающим? Что его тревожит • Каковы его разочарования? • Какие препятствия между ним и его мечтами? • Чего он боится? • Каковы его разочарования? • Какие препятствия между ним и его мечтами? • Чего он боится? К чему он стремится • Чего он действительно хочет достичь? • Что для него мерило успеха? • Какие стратегии он мог бы использовать для достижения успеха? • Чего он действительно хочет достичь? • Что для него мерило успеха? • Какие стратегии он мог бы использовать для достижения успеха?
ПСИХОЛОГИЯ ВОСПРИЯТИЯ РИСКОВ
Психология восприятия риска • Даже при наличии фактов и достаточного объема информации об анализируемой системе у экспертов существует сложность с восприятием риска • Безопасность основана не только на вероятности различных рисков и эффективности различных контрмер (реальность), но и на ощущениях • Ощущения зависят от психологических реакций на риски и контрмеры – Чего вы больше опасаетесь – попасть в авиакатастрофу или автоаварию? – Что вероятнее – пасть жертвой террористов или погибнуть на дороге?
Реальность и ощущения • Реальность безопасности ≠ ощущения безопасности • Система может быть безопасной, даже если мы не чувствуем и не понимаем этого – Мы можем думать, что система в безопасности, когда это не так • Психология восприятия риска безопасности – Поведенческая экономика – Психология принятия решений – Психология риска – Неврология
ОТРАСЛЕВАЯ СПЕЦИФИКА
Мы знаем как защищать банк? • Требования законодательства (ФЗ-161 и нормативы Банк России) • Требования PCI DSS • Требования к защите информации при работе на фондовых площадках • Требования к защите банкоматов • Требования к защите мобильного банкинга • …
Защита индустриальных сетей ≠ защита банка Site Business Planning and Logistics Network Batch Control Discrete Control Supervisory Control Hybrid Control Supervisory Control Enterprise Network Patch Mgmt Web Services Operations AV Server Application Server Email, Intranet, etc. Production Control Historian Optimizing Control Engineering Station Continuous Control Terminal Services Historian (Mirror) Site Operations and Control Area Supervisory Control Basic Control Process ЛВС АСУТП Зона корпора- тивной ЛВС DMZ Уровень 5 Уровень 3 Уровень 1 Уровень 0 Уровень 2 Уровень 4 HMI HMI МСЭ и IPS МСЭ и IDS
Пример: ИБ для нефтегазовой отрасли IT PCN Utility Поддерживающие взаимодействия B2B Надежное сегментирование сети с помощью VRF через MPLS VPN и оптику -------------------------------------------- Обеспечение бесперебойности Снижение OPEX Защита инвестицийСегментация и разграничение доступа к активам при доступе к ним с рабочего ПК/планшетника ------------------------------------ Эффективное взаимодействие с третьими лицами Обеспечение бесперебойности Подводная оптика Наземная оптика Буровое судно Судно снабжения
Смена парадигмы = смена в образовании • Многие отрасли переходят на мобильные и облачные технологии • Требуется совершенно иной подход к безопасности
ИБ И КОНТРАГЕНТЫ
Приоритеты ИБ на 12 месяцев 0 20 40 60 80 100 Защита данных Threat management Соответствие Непрерывность бизнеса Управление рисками Безопасность приложений Снижение затрат и рост… Связь с целями бизнеса Управление доступом (IAM) Повышение осведомленности и… ИБ контрагентов Аутсорсинг ИБ Источник: Forrester. Аудитория – компании Европы и США с численностью свыше 1000 человек
При аутсорсинге меньше защиты и больше контроля! Своя ИТ- служба Хостинг- провайдер IaaS PaaS SaaS Данные Данные Данные Данные Данные Приложения Приложения Приложения Приложения Приложения VM VM VM VM VM Сервер Сервер Сервер Сервер Сервер Хранение Хранение Хранение Хранение Хранение Сеть Сеть Сеть Сеть Сеть - Контроль у заказчика - Контроль распределяется между заказчиком и аутсорсером - Контроль у аутсорсера
А МЫ ЗНАЕМ СВОИХ ПРОТИВНИКОВ?
Шаблон бизнес-модели Ключевые партнеры Ключевые виды деятельности Ценностные предложения Взаимоотношения с клиентами Потребительские сегменты Ключевые ресурсы Каналы сбыта Структура издержек Потоки поступления доходов
Разные доходы от одного продукта – ботнета Создание ботнета Создание ботнета БотнетБотнет Сдать в аренду Сдать в аренду ИспользоватьИспользовать ПродатьПродать DDoSDDoS Рассылка спама Рассылка спама Установка scareware Установка scareware Кража данных Кража данных ФишингФишинг Поисковый спам Поисковый спам Продажа PAN Продажа PAN Продажа account Продажа account Продажа ПДн Продажа ПДнСтоимость $0.5 за бот для небольших ботнетов $0.1-0.3 за бот для крупных ботнетов Аренда $2000 в месяц за 1000 писем в минуту
В киберпреступности у каждого своя роль • Менеджер по продажам • Кассир • Маркетолог • Логист • Водитель • HR • Генеральный директор • Айтишник • Охранник • Инженер • Разработчик • Дроп (разводной / неразводной) • Дроповод • Обнальщик • Заливщик / Даунлоадер • Селлер • Abuse-хостер • Гарант • Кодер
Гарант = криминальный арбитраж • Задача гаранта — быть независимым и гарантировать получение услуг/товаров покупателем и денег продавцом ГарантГарант КардерыКардеры ВымогателиВымогатели СпамерыСпамеры КонкурентыКонкуренты Владелец ботнета Владелец ботнета ГарантГарант Разработчик malware Разработчик malware Разработчик ExploitKit Разработчик ExploitKit Abuse-хостерAbuse-хостер Упаковщик malware Упаковщик malware
День из жизни мула (дроппера) Мне нужна работа Нанимается и передается дропповоду Дроповод обеспечивает мула инструкциями для открытия банковского счета Дроповод координирует трансфер денег от операторов к мулам Мул получает деньги и переводит их на указанные счета или обналичивает Дроповод получает деньги или вновь переводит их Мул арестовывается или уходит с работы
Деньги играют важную роль, но есть и другие мотивы • Отсутствие желания заработать не означает отсутствие бизнес- модели – Anonymous, Lulzsec демонстрируют это в полной мере Кибер- террористы Кибер- воины Хактивисты Писатели malware Старая школа Фрикеры Самураи Script kiddies Warez D00dz Сложность + + + + + Эго + + + + Шпионаж + + Идеология + + + + + Шалость + + + Деньги + + + + + Месть + + + + Источник: Furnell, S. M
В ЗАКЛЮЧЕНИЕ
Новый взгляд на информационную безопасность
© Cisco и (или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация CiscoBRKSEC-1065 92 Благодарю вас за внимание security-request@cisco.com

More Related Content

PDF
пр Сколько зарабатывают специалисты по ИБ в России 2016
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PPTX
Сколько зарабатывают специалисты по информационной безопасности в России
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
Мастер-класс по моделированию угроз
byAleksey Lukatskiy
 
PDF
Бизнес-модели в деятельности безопасника
byAleksey Lukatskiy
 
PDF
пр Лучшие практики SOC
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
пр Сколько зарабатывают специалисты по ИБ в России 2017
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
Эксперт, Блогер, Евангелист #поИБэ. Как я докатился до такой жизни/кейс-чемпи...
byRISClubSPb
 
PDF
Финансовое обоснование инвестиций в ИБ банка
byAleksey Lukatskiy
 
пр Сколько зарабатывают специалисты по ИБ в России 2016
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Сколько зарабатывают специалисты по информационной безопасности в России
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Мастер-класс по моделированию угроз
byAleksey Lukatskiy
 
Бизнес-модели в деятельности безопасника
byAleksey Lukatskiy
 
пр Лучшие практики SOC
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
пр Сколько зарабатывают специалисты по ИБ в России 2017
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Эксперт, Блогер, Евангелист #поИБэ. Как я докатился до такой жизни/кейс-чемпи...
byRISClubSPb
 
Финансовое обоснование инвестиций в ИБ банка
byAleksey Lukatskiy
 

What's hot

PDF
пр Про SOC: Зачем это надо и когда начать думать про строительство
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
пр 5 почему аутсорсинга ИБ
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
SOC vs SIEM
byAleksey Lukatskiy
 
PDF
UEBA – поведенческий анализ, а не то, что Вы подумали
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PPTX
Iso 27001 внедрение технических защитных мер
byAlexey Evmenkov
 
PDF
пр Про развитие в ИБ для студентов
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
пр Модель зрелости Dlp
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
пр Что ожидают работодатели от молодых специалистов
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
пр Разработка комплекта документов по управлению ИБ (прозоров)
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
пр Куда идет ИБ в России? (региональные аспекты)
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
пр Спроси эксперта. Все, что вы хотели узнать про «дыры» в коде, но не у кого...
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
пр После внедрения Dlp (прозоров)
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
Концепция активной обороны
byAleksey Lukatskiy
 
PDF
пр Про интегральные метрики ИБ
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
Кратко про тенденции ИБ к обсуждению (Код ИБ)
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
Модель угроз биометрии
byAleksey Lukatskiy
 
PDF
Человек смотрящий/очный семинар RISC
byRISClubSPb
 
PDF
пр 03.JSOC inside
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
пр От Догматичной к Прагматичной иб
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PDF
ИБ-игры для взрослых в стиле Agile
byAleksey Lukatskiy
 
пр Про SOC: Зачем это надо и когда начать думать про строительство
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
пр 5 почему аутсорсинга ИБ
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
SOC vs SIEM
byAleksey Lukatskiy
 
UEBA – поведенческий анализ, а не то, что Вы подумали
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Iso 27001 внедрение технических защитных мер
byAlexey Evmenkov
 
пр Про развитие в ИБ для студентов
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
пр Модель зрелости Dlp
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
пр Что ожидают работодатели от молодых специалистов
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
пр Разработка комплекта документов по управлению ИБ (прозоров)
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
пр Куда идет ИБ в России? (региональные аспекты)
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
пр Спроси эксперта. Все, что вы хотели узнать про «дыры» в коде, но не у кого...
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
пр После внедрения Dlp (прозоров)
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Концепция активной обороны
byAleksey Lukatskiy
 
пр Про интегральные метрики ИБ
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Кратко про тенденции ИБ к обсуждению (Код ИБ)
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Модель угроз биометрии
byAleksey Lukatskiy
 
Человек смотрящий/очный семинар RISC
byRISClubSPb
 
пр 03.JSOC inside
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
пр От Догматичной к Прагматичной иб
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
ИБ-игры для взрослых в стиле Agile
byAleksey Lukatskiy
 

Viewers also liked

PDF
Аудит информационной безопасности АСУ ТП
byКомпания УЦСБ
 
PPTX
Марат Хазиев (Астерит) - Аудит информационной безопасности
byExpolink
 
PDF
Методологии аудита информационной безопасности
byPositive Hack Days
 
PPT
Внедрение СУИБ, соответствующей ИСО 27001 в ИТ компании
bySQALab
 
PPT
Аудит СУИБ
byAlexander Dorofeev
 
PDF
ИБ АСУ ТП NON-STOP. Серия 4. Практика проведения аудитов информационной безоп...
byКомпания УЦСБ
 
PPTX
Softline: Информационная безопасность
bySoftline
 
PDF
Регулирование ИБ в России во второй половине 2012 года
byAleksey Lukatskiy
 
PDF
Разработка средств защиты в России и на Западе: разность подходов
byAleksey Lukatskiy
 
PPTX
Экспресс-анализ российского рынка ИБ в условиях курса на импортозамещение
byAleksey Lukatskiy
 
PDF
Security trends for Russian CISO
byAleksey Lukatskiy
 
PDF
Психология в деятельности CISO
byAleksey Lukatskiy
 
PDF
Crypto regulations in Russia
byAleksey Lukatskiy
 
PDF
News in FZ-152
byAleksey Lukatskiy
 
PDF
Future security regulations in Russia
byAleksey Lukatskiy
 
PDF
Vertical approaches for personal data standartization
byAleksey Lukatskiy
 
PPS
Конфидент. Евгений Мардыко. "Рынок ИБ - тенденции 2016. Взгляд российского ра...
byExpolink
 
PDF
Business model of cybercrime
byAleksey Lukatskiy
 
PDF
Как писать?
byAleksey Lukatskiy
 
PPS
Аудит информационной безопасности
byKaznetmedia
 
Аудит информационной безопасности АСУ ТП
byКомпания УЦСБ
 
Марат Хазиев (Астерит) - Аудит информационной безопасности
byExpolink
 
Методологии аудита информационной безопасности
byPositive Hack Days
 
Внедрение СУИБ, соответствующей ИСО 27001 в ИТ компании
bySQALab
 
Аудит СУИБ
byAlexander Dorofeev
 
ИБ АСУ ТП NON-STOP. Серия 4. Практика проведения аудитов информационной безоп...
byКомпания УЦСБ
 
Softline: Информационная безопасность
bySoftline
 
Регулирование ИБ в России во второй половине 2012 года
byAleksey Lukatskiy
 
Разработка средств защиты в России и на Западе: разность подходов
byAleksey Lukatskiy
 
Экспресс-анализ российского рынка ИБ в условиях курса на импортозамещение
byAleksey Lukatskiy
 
Security trends for Russian CISO
byAleksey Lukatskiy
 
Психология в деятельности CISO
byAleksey Lukatskiy
 
Crypto regulations in Russia
byAleksey Lukatskiy
 
News in FZ-152
byAleksey Lukatskiy
 
Future security regulations in Russia
byAleksey Lukatskiy
 
Vertical approaches for personal data standartization
byAleksey Lukatskiy
 
Конфидент. Евгений Мардыко. "Рынок ИБ - тенденции 2016. Взгляд российского ра...
byExpolink
 
Business model of cybercrime
byAleksey Lukatskiy
 
Как писать?
byAleksey Lukatskiy
 
Аудит информационной безопасности
byKaznetmedia
 

Similar to Альтернативный курс по информационной безопасности

PDF
Учебный центр "Информзащита". Андрей Степаненко. "Квалифицированный сотрудник...
byExpolink
 
PPT
Информационная безопасность. Лекция 2.
byАлександр Лысяк
 
PPT
Информационная безопасность. Лекция 1. Основы ИБ и принципы построения СОИБ.
byАлександр Лысяк
 
DOC
лекции аис
byAnastasia Snegina
 
PDF
Организация профессиональной переподготовки по направлению «Информационная бе...
byATOL Drive
 
PDF
Что ожидают работодатели от молодых специалистов?
byPositive Hack Days
 
PPTX
Infosec Research Group
bytegia
 
PPSX
специалист по информационной безопасности
byKrasnov Aleksey
 
PDF
Обеспечение защиты информации на стадиях жизненного цикла ИС
bySelectedPresentations
 
PPTX
ЮУрГУ Прикладная информатика
byCaustaveric
 
PDF
Кто такой специалист по иб
byTeymur Kheirkhabarov
 
PDF
Учебные курсы по безопасности АСУ ТП
byКомпания УЦСБ
 
PPTX
вводная презентация
byAnastasia Belyashova
 
PPTX
Обеспечение информационной безопасности систем, внедряемых в рамках ИТ-проектов
byMax Shalomovich
 
PDF
Почему у нас все так, а не иначе в области ИБ?
byAleksey Lukatskiy
 
PPTX
Кому доверить информационную безопасность в бизнесе
byMUK
 
PPT
Кадры, Инфтрукция по Сборке
byPositive Hack Days
 
PDF
пр законодательство по иб для вузов 2014 08
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
PPT
SECR
byAlexander Babich
 
PPSX
презентация иб
byМаксим Кучумов
 
Учебный центр "Информзащита". Андрей Степаненко. "Квалифицированный сотрудник...
byExpolink
 
Информационная безопасность. Лекция 2.
byАлександр Лысяк
 
Информационная безопасность. Лекция 1. Основы ИБ и принципы построения СОИБ.
byАлександр Лысяк
 
лекции аис
byAnastasia Snegina
 
Организация профессиональной переподготовки по направлению «Информационная бе...
byATOL Drive
 
Что ожидают работодатели от молодых специалистов?
byPositive Hack Days
 
Infosec Research Group
bytegia
 
специалист по информационной безопасности
byKrasnov Aleksey
 
Обеспечение защиты информации на стадиях жизненного цикла ИС
bySelectedPresentations
 
ЮУрГУ Прикладная информатика
byCaustaveric
 
Кто такой специалист по иб
byTeymur Kheirkhabarov
 
Учебные курсы по безопасности АСУ ТП
byКомпания УЦСБ
 
вводная презентация
byAnastasia Belyashova
 
Обеспечение информационной безопасности систем, внедряемых в рамках ИТ-проектов
byMax Shalomovich
 
Почему у нас все так, а не иначе в области ИБ?
byAleksey Lukatskiy
 
Кому доверить информационную безопасность в бизнесе
byMUK
 
Кадры, Инфтрукция по Сборке
byPositive Hack Days
 
пр законодательство по иб для вузов 2014 08
byAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
SECR
byAlexander Babich
 
презентация иб
byМаксим Кучумов
 

More from Aleksey Lukatskiy

PDF
Презентация по ИБ для руководства компании
byAleksey Lukatskiy
 
PDF
От разрозненных фидов к целостной программе Threat intelligence
byAleksey Lukatskiy
 
PDF
ICS Cyber Security Effectiveness Measurement
byAleksey Lukatskiy
 
PDF
Новая концепция кибербезопасности Zero Trust
byAleksey Lukatskiy
 
PDF
Уральский форум 2020 за 15 минут
byAleksey Lukatskiy
 
PDF
Техническая защита персональных данных в соответствие с GDPR и ФЗ-152
byAleksey Lukatskiy
 
PDF
Измерение эффективности SOC. 3 года спустя
byAleksey Lukatskiy
 
PDF
Один зеродей и тысяча ночей без сна
byAleksey Lukatskiy
 
PDF
17 способов проникновения во внутреннюю сеть компании
byAleksey Lukatskiy
 
PDF
13 советов, от которых зависит успешность вашего SOC
byAleksey Lukatskiy
 
PDF
Тенденции киберугроз. Что необходимо знать?
byAleksey Lukatskiy
 
PDF
Измерение эффективности ИБ промышленных систем
byAleksey Lukatskiy
 
PDF
Дашборды по ИБ АСУ ТП
byAleksey Lukatskiy
 
PDF
4 сценария мониторинга ИБ изолированных промышленных площадок
byAleksey Lukatskiy
 
PDF
Как правильно выборать аутсорсингового партнера
byAleksey Lukatskiy
 
PDF
Кибербезопасность прорывных технологий
byAleksey Lukatskiy
 
PDF
Аутсорсинг. Управление рисками информационной безопасности
byAleksey Lukatskiy
 
PDF
Чеклист организации, выстраивающей стратегию безопасного удаленного доступа
byAleksey Lukatskiy
 
PDF
Бизнес-метрики ИБ для руководства финансовой организации
byAleksey Lukatskiy
 
PDF
Как ловить кибермафию с помощью DNS
byAleksey Lukatskiy
 
Презентация по ИБ для руководства компании
byAleksey Lukatskiy
 
От разрозненных фидов к целостной программе Threat intelligence
byAleksey Lukatskiy
 
ICS Cyber Security Effectiveness Measurement
byAleksey Lukatskiy
 
Новая концепция кибербезопасности Zero Trust
byAleksey Lukatskiy
 
Уральский форум 2020 за 15 минут
byAleksey Lukatskiy
 
Техническая защита персональных данных в соответствие с GDPR и ФЗ-152
byAleksey Lukatskiy
 
Измерение эффективности SOC. 3 года спустя
byAleksey Lukatskiy
 
Один зеродей и тысяча ночей без сна
byAleksey Lukatskiy
 
17 способов проникновения во внутреннюю сеть компании
byAleksey Lukatskiy
 
13 советов, от которых зависит успешность вашего SOC
byAleksey Lukatskiy
 
Тенденции киберугроз. Что необходимо знать?
byAleksey Lukatskiy
 
Измерение эффективности ИБ промышленных систем
byAleksey Lukatskiy
 
Дашборды по ИБ АСУ ТП
byAleksey Lukatskiy
 
4 сценария мониторинга ИБ изолированных промышленных площадок
byAleksey Lukatskiy
 
Как правильно выборать аутсорсингового партнера
byAleksey Lukatskiy
 
Кибербезопасность прорывных технологий
byAleksey Lukatskiy
 
Аутсорсинг. Управление рисками информационной безопасности
byAleksey Lukatskiy
 
Чеклист организации, выстраивающей стратегию безопасного удаленного доступа
byAleksey Lukatskiy
 
Бизнес-метрики ИБ для руководства финансовой организации
byAleksey Lukatskiy
 
Как ловить кибермафию с помощью DNS
byAleksey Lukatskiy
 

Альтернативный курс по информационной безопасности

  • 1.
    Альтернативный курс ИБдля современного безопасника Лукацкий Алексей, консультант по безопасности
  • 2.
    ПОЧЕМУ У НАСТАКОЕ ОБРАЗОВАНИЕ ПО ИБ?
  • 3.
    Виды образования вРФ • Общее образование – Дошкольное – Начальное – Среднее • Профессиональное образование – Начальное – Среднее – Высшее • Бакалавриат • Магистратура • Послевузовское профессиональная образование – Аспирантура, докторантура – Повышение квалификации – Переподготовка
  • 4.
    Кто и чтоготовит специалистов по ИБ? • В учебно-методическое объединение ВУЗов России по образованию в области информационной безопасности входит свыше 70 учебных заведений со всех регионов России • Обучение проводится по федеральным государственным образовательным стандартам (ФГОСам), являющихся основой для основных образовательных программ • Выделяется 3 степени обучения в ВПО Аспирант (3 года) Аспирант (3 года) Магистр (2 года) Магистр (2 года) Бакалавр (4 года) Бакалавр (4 года) Специалист (5.5 лет) Специалист (5.5 лет)
  • 5.
    Кого готовят ВУЗы? Бакалавриат •090900 Информационная безопасность Магистратура • 090900 Информационная безопасность Специалитет • 030901 Правовое обеспечение национальной безопасности • 090301 Компьютерная безопасность • 090302 Информационная безопасность телекоммуникационных систем • 090303 Информационная безопасность автоматизированных систем • 090305 Информационно- аналитические системы безопасности • 090915 Безопасность информационных технологий в правоохранительной сфере • Специалитет подразумевает специализации
  • 6.
    Специализации по специальности«Компьютерная безопасность» • Анализ безопасности компьютерных систем • Математические методы защиты информации • Безопасность распределенных компьютерных систем • Разработка защищенного программного обеспечения • Безопасность высокопроизводительных вычислительных систем • Безопасность программного обеспечения мобильных систем • Информационно-аналитическая и техническая экспертиза компьютерных систем • Информационная безопасность объектов информатизации на базе компьютерных систем
  • 7.
    Специализации по специальности«Информационная безопасность автоматизированных систем» • Автоматизированные информационные системы специального назначения • Высокопроизводительные вычислительные системы специального назначения • Информационная безопасность автоматизированных систем критически важных объектов • Безопасность открытых информационных систем • Информационная безопасность автоматизированных банковских систем • Защищенные автоматизированные системы управления • Обеспечение информационной безопасности распределенных информационных систем • Создание автоматизированных систем в защищенном исполнении
  • 8.
    Специализации по специальности«Информационная безопасность телекоммуникационных систем» • Мониторинг в телекоммуникационных системах • Системы представительской связи • Сети специальной связи • Инструментальный контроль информационной безопасности телекоммуникационных систем • Системы специальной связи и информации для органов государственной власти • Информационная безопасность космических телекоммуникационных систем • Разработка защищенных телекоммуникационных систем • Системы подвижной цифровой защищенной связи • Защита информации в радиосвязи и телерадиовещании • Защита информации в системах связи и управления • Информационная безопасность мультисервисных телекоммуникационных сетей и систем на транспорте • Безопасность телекоммуникационных систем информационного взаимодействия
  • 9.
    ФГОСы меняются каждые4 года! • Стандарты высшего профессионального образования: – первого поколения (утверждались с 2000 года) – второго поколения (утверждались с 2005 года), ориентированные на получение студентами знаний, умений и навыков; – третьего поколения (утверждаются с 2009 года), согласно которым высшее образование должно вырабатывать у студентов общекультурные и профессиональные компетенции • С 1 сентября 2013 года согласно закону «Об образовании в Российской Федерации» должны утверждаться стандарты нового поколения
  • 10.
    Виды деятельности длявыпускников по ИБ • Магистр – проектная – научно-исследовательская – научно-педагогическая – организационно-управленческая • Бакалавр – эксплуатационная – проектно-технологическая – экспериментально-исследовательская – организационно-управленческая • Специалист – научно-исследовательская – проектная – контрольно-аналитическая – организационно-управленческая – эксплуатационная
  • 11.
    Что должен уметьбакалавр по ИБ после 4-х лет обучения? • Эксплуатационная деятельность – Установка, настройка, эксплуатация и поддержание в работоспособном состоянии компонентов системы обеспечения информационной безопасности с учетом установленных требований – Участие в проведении аттестации объектов, помещений, технических средств, систем, программ и алгоритмов на предмет соответствия требованиям защиты информации – Администрирование подсистем информационной безопасности объекта • Проектно-технологическая деятельность – Сбор и анализ исходных данных для проектирования систем защиты информации, определение требований, сравнительный анализ подсистем по показателям информационной безопасности – Проведение проектных расчетов элементов систем обеспечения информационной безопасности – Участие в разработке технологической и эксплуатационной документации – Проведение предварительного технико-экономического обоснования проектных расчетов
  • 12.
    Что должен уметьбакалавр по ИБ после 4-х лет обучения? • Экспериментально-исследовательская деятельность – Сбор, изучение научно-технической информации, отечественного и зарубежного опыта по тематике исследования; – Проведение экспериментов по заданной методике, обработка и анализ результатов; – Проведение вычислительных экспериментов с использованием стандартных программных средств • Организационно-управленческая деятельность: – Осуществление организационно-правового обеспечения информационной безопасности объекта защиты – Организация работы малых коллективов исполнителей с учетом требований защиты информации; – Совершенствование системы управления информационной безопасностью; – Изучение и обобщение опыта работы других учреждений, организаций и предприятий в – Области повышения эффективности защиты информации и сохранения государственной и других видов тайны – Контроль эффективности реализации политики информационной безопасности объекта
  • 13.
    Что должен уметьспециалист по ИБ после 5.5 лет обучения? • Научно-исследовательская деятельность: – сбор, обработка, анализ и систематизация научно-технической информации, отечественного и зарубежного опыта по проблемам компьютерной безопасности; – проведение измерений и наблюдений, составление описания проводимых исследований, подготовка данных для составления обзоров, отчетов и научных публикаций; – изучение и обобщение опыта работы других учреждений, организаций и предприятий по способам использования методов и средств обеспечения информационной безопасности с целью повышения эффективности и совершенствования работ по защите информации на конкретном объекте; – разработка математических моделей защищаемых процессов и средств защиты информации и систем, обеспечивающих информационную безопасность объектов; – обоснование и выбор рационального решения по уровню обеспечения защищенности компьютерной системы с учетом заданных требований; – подготовка научно-технических отчетов, обзоров, публикаций по результатам выполненных исследований;
  • 14.
    Что должен уметьспециалист по ИБ после 5.5 лет обучения? • Проектная деятельность: – сбор и анализ исходных данных для проектирования систем защиты информации; – разработка технических заданий на проектирование, эскизных, технических и рабочих проектов систем и подсистем защиты информации с учетом действующих нормативных и методических документов; – разработка проектов систем и подсистем управления информационной безопасностью объекта в соответствии с техническим заданием; – проектирование программных и аппаратных средств защиты информации в соответствии с техническим заданием с использованием средств автоматизации проектирования; – сопровождение разработки технического и программного обеспечения системы информационной безопасности;
  • 15.
    Что должен уметьспециалист по ИБ после 5.5 лет обучения? • Контрольно-аналитическая деятельность: – проведение контрольных проверок работоспособности и эффективности применяемых программно-аппаратных средствах защиты информации; – предварительная оценка, выбор и разработка необходимых методик поиска уязвимостей; – применение методов и методик оценивания безопасности компьютерных систем при проведении контрольного анализа системы защиты; – выполнение экспериментально-исследовательских работ при проведении сертификации программно-аппаратных средств защиты и анализ результатов; – проведение экспериментально-исследовательских работ при аттестации объектов с учетом требований к обеспечению защищенности компьютерной системы; – проведение инструментального мониторинга защищенности компьютерных систем; – подготовка аналитического отчета по результатам проведенного анализа и выработка предложений по устранению выявленных уязвимостей
  • 16.
    Что должен уметьспециалист по ИБ после 5.5 лет обучения? • Организационно-управленческая деятельность: – организация работы коллектива исполнителей, принятие управленческих решений в условиях спектра мнений, определение порядка выполнения работ; – поиск рациональных решений при разработке средств защиты информации с учетом требований качества, надежности и стоимости, а также сроков исполнения; – осуществление правового, организационного и технического обеспечения защиты информации; – организация работ по выполнению требований режима защиты информации, в том числе информации ограниченного доступа (сведений, составляющих государственную тайну и конфиденциальной информации)
  • 17.
    Что должен уметьспециалист по ИБ после 5.5 лет обучения? • Эксплуатационная деятельность: – установка, настройка, эксплуатация и обслуживание аппаратно-программных средств защиты информации; – проверка технического состояния и остаточного ресурса оборудования защиты информации, организация профилактических проверок и текущего ремонта; – приемка и освоение программно-аппаратных средств защиты информации; – составление инструкций по эксплуатации аппаратно-программных средств защиты информации; – обеспечение эффективного функционирования средств защиты информации с учетом требований по обеспечению защищенности компьютерной системы; – администрирование подсистем информационной безопасности компьютерных систем; – обеспечение восстановления работоспособности систем защиты информации при возникновении нештатных ситуаций; – проведение аттестации технических средств, программ, алгоритмов на предмет соответствия требованиям защиты информации по соответствующим классам безопасности или профилям защиты
  • 18.
    Что должен уметьмагистр по ИБ после 6-ти лет обучения? • Проектная деятельность – системный анализ прикладной области, выявление угроз и оценка уязвимости информационных систем, разработка требований и критериев информационной безопасности, согласованных со стратегией развития информационных систем; – концептуальное проектирование сложных систем, комплексов средств и технологий обеспечения информационной безопасности; – обоснование выбора функциональной структуры, принципов организации технического, программного и информационного обеспечения систем, средств и технологий обеспечения информационной безопасности объектов защиты; – разработка систем и технологий обеспечения информационной безопасности; – адаптация к защищаемым объектам современных методов обеспечения информационной безопасности на основе отечественных и международных стандартов • Научно-исследовательская деятельность – анализ фундаментальных и прикладных проблем информационной безопасности в условиях становления современного информационного общества; – разработка планов и программ проведения научных исследований и технических разработок, подготовка отдельных заданий для исполнителей; – выполнение научных исследований по выбранной теме; – подготовка по результатам научных исследований отчетов, статей, докладов на научных конференциях
  • 19.
    Что должен уметьмагистр по ИБ после 6-ти лет обучения? • Научно-педагогическая деятельность – выполнение педагогической работы в средних специальных и высших учебных заведениях в должностях преподавателя и ассистента под руководством ведущего преподавателя и профессора (доцента) по дисциплинам направления; – разработка методических материалов, используемых студентами в учебном процессе • Научно-исследовательская деятельность – анализ фундаментальных и прикладных проблем информационной безопасности в условиях становления современного информационного общества; – разработка планов и программ проведения научных исследований и технических разработок, подготовка отдельных заданий для исполнителей; – выполнение научных исследований по выбранной теме; – подготовка по результатам научных исследований отчетов, статей, докладов на научных конференциях
  • 20.
    О преподавательском составе •Преподаватели профессионального цикла должны иметь базовое образование и (или) ученую степень, соответствующие профилю преподаваемой дисциплины, или опыт деятельности в сфере обеспечения информационной безопасности – Не менее 70 процентов преподавателей, обеспечивающих учебный процесс по профессиональному циклу, должны иметь ученые степени или ученые звания • К образовательному процессу должно быть привлечено не менее 5% преподавателей из числа действующих руководителей и работников профильных организаций, предприятий и учреждений • До 10% от общего числа преподавателей, имеющих ученую степень и (или) ученое звание может быть заменено преподавателями, имеющими стаж практической работы по данному направлению на должностях руководителей или ведущих специалистов не менее 5 последних лет
  • 21.
    Основные образовательные программы •3 цикла – гуманитарный, социальный и экономический цикл; – математический и естественнонаучный цикл; – профессиональный цикл • Каждый учебный цикл имеет базовую (обязательную) часть и вариативную, устанавливаемую ВУЗом
  • 22.
    Трудоемкость блоков дисциплин 11% 27% 43% 5% 1% 6% 7% Трудоемкость Гуманитарный,социальный и экономический цикл Математический и естественно-научный цикл Профессиональный цикл Специализация Физкультура Учебная и производственная практика Итоговая аттестация
  • 23.
  • 24.
    Основные дисциплины • ОсновыИБ • Аппаратные средства вычислительной техники • Программно-аппаратные средства защиты информации • Криптографические методы защиты информации • Организационное и правовое обеспечение информационной безопасности • Документоведение • Управление информационной безопасностью • Техническая защита информации • Сети и системы передачи информации • Безопасность жизнедеятельности • Языки программирования • Технологии и методы программирования
  • 25.
    Основные дисциплины • Электротехника •Электроника и схемотехника • Информационные технологии
  • 26.
    Рекомендованные УМО дисциплины •Гуманитарные аспекты информационной безопасности • Экономика защиты информации (отрасли) • Профессиональная этика • Психология и педагогика • Психология общения • Социальная психология • Язык делового общения • Деловой язык • Русский язык и культура речи • Основы социологии • История религий • Документационное обеспечение управления • Организационные основы деятельности предприятий
  • 27.
    Рекомендованные УМО дисциплины •Математическая логика и теория алгоритмов • Языки ассемблера • Операционные системы • Вычислительные сети • Системы управления базами данных • Теоретические основы компьютерной безопасности • Методы оценки безопасности компьютерных систем • Основы теории кодирования • Математическое моделирование систем и сетей телекоммуникаций • Математические основы цифровой обработки сигналов • Физические основы ВОЛС • Теория информации
  • 28.
    Рекомендованные УМО дисциплины •Функциональный процесс и организация предприятия • Социально-психологические основы управленческой деятельности • Управление рисками • Физические основы защиты информации • Международные и российские нормативные акты и стандарты по информационной безопасности • Технические средства охраны • Электронный документооборот • Защита и обработка конфиденциальных документов • Перевод специальных текстов • Проверка информационной защищенности на соответствие нормативным документам
  • 29.
    Особенности образования • Дляспециалитета (специальности 0903хх) ВУЗу нужна лицензия на гостайну • Наличие вариативности в профессиональном цикле, допускающая изучение предметов по выбору студента • Ориентация на преподавателей- теоретиков, не имеющих практического опыта работы • Технологичность изучаемых дисциплин • Отсутствие ориентации на бизнес- потребности Система управления (Security Governance) Система управления (Security Management) Технические средства (Security System)
  • 30.
  • 31.
    Альтернативные (дополнительные) дисциплины •Оценка соответствия • Психология восприятия рисков • Оценка эффективности ИБ • Теория организации • Теория систем • Обеспечение непрерывности бизнеса • Отраслевая специфика • Security Governance • Повышение осведомленности • Управление инцидентами • Маркетинг безопасности • Архитектура безопасности • Киберпреступность • Аудит • Аутсорсинг и безопасность • Экспорт и импорт средств защиты информации • Международное взаимодействие
  • 32.
  • 33.
    Как я понимаюИБ?! • Информационная безопасность - состояние защищенности интересов стейкхолдеров предприятия в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества, государства и бизнеса • Очень емкое и многоуровневое определение • Может без изменения применяться в ЛЮБОЙ организации – Меняться будет только наполнение ее ключевых элементов – стейкхолдеры, информационная сфера, интересы
  • 34.
    Стейкхолдеры ИБ • ИТ •ИБ • Юристы • Служба внутреннего контроля • HR • Бизнес-подразделения • Руководство • Пользователи Внутри предприятия Внутри предприятия • Акционеры • Клиенты • Партнеры • Аудиторы Снаружи предприятия Снаружи предприятия • ФСТЭК • ФСБ • Роскомнадзор • СВР • МО • Банк России РегуляторыРегуляторы
  • 35.
    Информационная сфера • Информационнаясфера - это совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и использование информации, а также системы регулирования возникающих при этом отношений • Обычно мы защищаем только информацию и информационную инфраструктуру
  • 36.
    Почему мы защищаеминформационные активы и ресурсы? Она имеет ценностьОна имеет ценность Имеет ценность для васИмеет ценность для вас Снижает неопределенность при принятии решений Снижает неопределенность при принятии решений Влияет на поведение людей, приводящее к экономическим последствиям Влияет на поведение людей, приводящее к экономическим последствиям Нематериальный актив (собственная стоимость) Нематериальный актив (собственная стоимость) Не имеет ценности для вас, но имеет для кого-то еще Не имеет ценности для вас, но имеет для кого-то еще Если ей воспользуются другие, то вы понесете убытки или проиграете в конкурентной борьбе Если ей воспользуются другие, то вы понесете убытки или проиграете в конкурентной борьбе Ее защита требуется государством / регулятором Ее защита требуется государством / регулятором Она не имеет ценности, но ее принято защищать Она не имеет ценности, но ее принято защищать
  • 37.
    Интересы стейкхолдеров • Универсальногосписка интересов не существует – у каждого предприятия на каждом этапе его развития в различном окружении при различных руководителях интересы различны ИБ • Конфиденциальность • Целостность • Доступность Юристы • Соответствие • Защита от преследования • Новые законы Регуляторы • Соответствие Пользователи • Тайна переписки • Бесперебойный Интернет • Комфорт работы Акционеры • Рост стоимости акций • Контроль топ- менеджмента • Прозрачность ИТ • Доступность сервисов • Интеграция • Снижение CapEx
  • 38.
    У разной ИБи угрозы разные! Традиционные • Вредоносное ПО • DDoS • Утечки • НСД • Превышение привилегий • Нарушение работоспособности приложения • Кража ключей ЭП Нетрадиционные • Приход регулятора с проверкой • Отсутствие лицензии ФСБ у предприятия • Отсутствие сертификата ФСТЭК на систему защиты • Внесение изменения в аттестованный объект информатизации
  • 39.
  • 40.
    Опрос ISACA • Опрос«Critical Elements of Information Security Program Success», ISACA • Опрос 157 руководителей в 8 странах – Канада, Франция, Германия, Израиль, Италия, Япония, США, Венесуэла • Отрасли – Финансы, транспорт, ритейл, государство, промышленность, здравоохранение, консалтинг, коммунальные услуги • 35 критических факторов успеха – Культура, люди, бюджет и финансы, организация, технологии, законы и стандарты, метрики, повышение осведомленности и обучение
  • 41.
    Метрики Что и как измерять 55 Процесс взаимодействия Двусторонняясвязь 22 Общий язык Бизнес первичен 11 Выход на руководство Сила и влияние 44 33 Система убеждения Маркетинг и PR 5 критериев успеха
  • 42.
     Governance (вбизнесе) – действие по разработке и последовательному управлению связанных в единое целое политиками, процессами и правильными решениями в данной области ответственности  . . . связь между бизнесом и управлением ИТ  . . . стратегические ИТ-решения, за которые отвечает корпоративный менеджмент, а не CIO или другие ИТ-менеджеры  . . . ИТ Governance – это подмножество Corporate Governance, фокусирующееся на информационных системах  …подтверждение того, что ИТ-проекты легко управляются и глубоко влияют на достижение бизнес-целей организации  ИТ Governance подразумевает систему, в которой все ключевые роли, включая совет директоров и внутренних клиентов, а также связанные области, такие как, например, финансы, делают необходимый вклад в процесс принятия ИТ-решений  …взаимосвязь между ИТ, инициативами соответствия (compliance), управлением рисками и корпоративной бизнес-стратегией Определения Governance
  • 43.
    Связь с другимиИТ-дисциплинами • IT governance поддерживает следующие дисциплины: – Управление ИТ-активами – Управление ИТ-портфолио – Архитектура предприятия – Управление проектами – Управление программами – Управление ИТ-сервисами – Оптимизация бизнес-технологий
  • 44.
    Are we doing the right things? Arewe doing the right things? Are we doing them the right way? Are we doing them the right way? Are we getting them done well? Are we getting them done well? Are we getting the benefits? Are we getting the benefits? Are we getting the benefits? Are we doing the right things? Are we doing the right things? Are we doing the right things? Мы делаем правильные вещи? Are we doing them the right way? Are we doing them the right way? Are we doing them the right way? Мы делаем это правильно? Are we getting them done well? Are we getting them done well? Are we getting them done well? Мы преуспели в достижении? Are we getting the benefits? Are we getting the benefits? Are we getting the benefits? Are we getting the benefits? Are we getting the benefits? Мы получаем преиму- щества? Стратегический вопрос. Инвестиции: В соответствие с нашим видением? Соответствуют нашим бизнес-принципам? Содействуют нашим стратегическим целям? Обеспечивают оптимальное значение, затраты и уровень рисков? Вопрос ценности. Мы имеем: • Очевидное понимание ожидаемых преимуществ? • Релевантные метрики? • Эффективные преимущества реализации процесса? Архитектурный вопрос. Инвестиции: В соответствие с нашей архитектурой? Соответствуют нашим архитектурным принципам? Содействуют созданию архитектуры? В соответствие с другими инциативами? Вопрос реализации. Мы имеем: Эффективный процесс управления изменениями и реализации? Компетентные и доступные технические и бизнес-ресурсы для реализации: Требуемых возможностей; и Организационных изменений, требуемых для достижения возможностей. Источник: Fujitsu Consulting На какие вопросы отвечает Governance?
  • 45.
    ИБ Governance • Способностьпоказать, как ИБ связана с бизнес-стратегией • Способность показать, как ИБ несет ценность бизнесу • Способность показать, как ИБ управляет рисками • Способность показать, как ИБ управляет ресурсами • Способность показать, как ИБ управляет достижением целей
  • 46.
  • 47.
  • 48.
    Почему мы отказываемсяизмерять? • Это нематериально, а значит неизмеримо • Отсутствуют методы измерения • «Проценты, статистика… С помощью них можно доказать все, что угодно» • «Чтобы оценить этот показатель, нужно потратить миллионы рублей. А менее масштабный проект дает большую погрешность» • Важные для предприятия проекты пропускаются в пользу слабых только потому, что во втором случае методы оценки ожидаемого эффекта всем известны, а в первом нет
  • 49.
    Проблемы измерений • Принятиерешений часто требует количественной оценки предполагаемых нематериальных активов или вопросов • Многие считают такую оценку невозможной, а нематериальное неподдающимся измерению – Именно это часто является причиной отказа от многих проектов (предубеждение пессимизма) • Раз это невозможно, то мало кто пытается это сделать • Но – Если какой-либо объект/явление можно наблюдать тем или иным образом  существует метод его измерения
  • 50.
    Что мы хотимизмерять в ИБ? • Какой уровень опасности нам грозит? – Что мы потеряем? • Оценка нематериальных активов • Оценка информации • Оценка материальных активов • ALE – Какова вероятность ущерба? – Что нам грозит? – Насколько мы уязвимы? • Какая СЗИ лучше? – Лучше = дешевле, функциональнее, быстрее окупается, быстрее работает… • Как мы соотносимся с другими?
  • 51.
    Что мы хотимизмерять в ИБ? (продолжение) • Сколько денег на безопасность надо? – Сколько мы потратим? Почему столько? – Какова отдача? И есть ли она? – Выгоден ли этот проект по ИБ? – Рискованны ли инвестиции в ИБ? • Мы соответствуем требованиям? – Стандартов – SLA – Регуляторов
  • 52.
    Что мы хотимизмерять в ИБ? (окончание) • Насколько мы защищены? – На каком уровне находимся? – Стало ли лучше по сравнению с прошлым? • Сколько времени потребуется? – На проникновение / распространение вредоносного ПО? – На внедрение СЗИ? – На возврат в исходное состояние после атаки? • Оптимально ли – Мы движемся к цели? – Тратим деньги? – Настроена система защиты?
  • 53.
    Финансовые методы оценкиИБ • «Инвестиционные» – Total Value of Opportunity (TVO) – Total Economic Impact (TEI) – Rapid Economic Justification (REJ) • «Затратные» – Economic Value Added (EVA) – Economic Value Sourced (EVS) – Total Cost of Ownership (TCO) – Annual Lost Expectancy (ALE) • «Контекстуальные» – Balanced Scorecard – Customer Index – Information Economics (IE) – IT Scorecard • «Количественные вероятностные» – Real Options Valuation – iValue – Applied Information Economics (AIE) – COCOMO II and Security Extensions
  • 54.
    МЕСТО НПА ПОИБ В ЗАКОНОДАТЕЛЬСТВЕ
  • 55.
    Иерархия нормативно-правовых актов Международный договор Международный договор КонституцияКонституция Федеральные конституционные законы Федеральные конституционные законы Основы законодательства Основы законодательства КодексыКодексы Федеральные законы Федеральные законы Указыи Распоряжения Президента РФ Указы и Распоряжения Президента РФ Постановления и Распоряжения Правительства РФ Постановления и Распоряжения Правительства РФ Акты министерств и ведомств Акты министерств и ведомств Конституции и Уставы субъектов РФ Конституции и Уставы субъектов РФ Законы субъектов РФ Законы субъектов РФ Акты органов местного самоуправления Акты органов местного самоуправления
  • 56.
    Каких знаний нехватает? • Юридическая сила нормативных актов • Процедура принятия нормативных актов • Вступление в силу нормативного акта • Прекращение действия нормативного акта • Доктринальные принципы – «Все, что не запрещено, разрешено» и наоборот – Каждое правонарушение подразумевает ответственность – Последующее отменяет предыдущее – Приоритет специального закона по отношению к общему закону – Незнание закона не освобождает от ответственности – Неопубликованные законы не применяются – Отягчающий закон обратной силы не имеет – «Презумпция невиновности»
  • 57.
    Оценка соответствия ≠сертификация Оценка соответствия Оценка соответствия Госконтроль и надзор Госконтроль и надзор АккредитацияАккредитация ИспытанияИспытания РегистрацияРегистрация Подтверждение соответствия Подтверждение соответствия Добровольная сертификация Добровольная сертификация Обязательная сертификация Обязательная сертификация Декларирование соответствия Декларирование соответствия Приемка и ввод в эксплуатацию Приемка и ввод в эксплуатацию В иной формеВ иной форме
  • 58.
  • 59.
    Психология • Психология –наука о поведении и психических процессах или • Психология – это область научного знания, исследующая особенности и закономерности возникновения, формирования и развития (изменения) психических процессов (ощущение, восприятие, память, мышление, воображение), психических состояний (напряжённость, мотивация, фрустрация, эмоции, чувства) и психических свойств (направленность, способности, задатки, характер, темперамент) человека • Психология должна отвечать на вопрос о том, почему человек ведет себя так или иначе
  • 60.
    Что может подсказатьпсихология? • Общая психология – Какие мотивы определяют поведение людей? – Почему мы замечаем одни вещи и не видим другие? • Психология развития (возрастная психология) – Как меняется поведение человека в зависимости от возраста? – Чего ожидать от молодежи, а чего от «стариков»? • Дифференциальная психология – Чем отличается поведение различных социальных, классовых, этнических, возрастных и иных групп? • Клиническая психология – Как ведет себя человек во время острого психического расстройства, дискомфорта или тяжелого известия?
  • 61.
    Что может подсказатьпсихология? • Педагогическая психология – Как донести до пользователей нужную мысль? – Как повысить эффективность обучения и повышения осведомленности пользователей? • Психология труда – Как повысить производительность сотрудников службы ИБ? – Как мотивировать сотрудников? – Как преодолеть кризис профессионального развития? – Стресс- и конфликт-менеджмент • Социальная психология – Как человек ведет себя обществе или социальной группе? • Юридическая психология – Формирование модели нарушителя
  • 62.
    Что может подсказатьпсихология? • Когнитивная психология – Как принимаются решения? – Как работает память?
  • 63.
  • 64.
    Куда девать токенили смарткарту?
  • 65.
  • 66.
    Почему так сложноидут изменения в области ИБ? • Все жаждут прогресса, но никто не хочет изменений • Люди инертны – Склонны верить тому, что узнали в самом начале (ВУЗе, первой работе и т.д.) – Ленивы и не будут упорно трудиться ради изменений – Людей устраивает средний результат. Это зона комфорта. Best Practices никому не нужны (как и мировые рекорды) – Люди считают свои решения лучшими • Чтобы пересмотреть точку зрения, человека надо долго переубеждать или показать воочию • Изменения происходят не вдруг – имейте терпение
  • 67.
    А вы учитываете«центры Силы» в компании? • Центр восприятия информация – Те, кто воспринимают информацию благосклонно • Центр неудовлетворенности – Те, кто недовольны текущим положением дел • Центр власти – Те, кто принимают решения • Центр противодействия – Те, кто не хотят изменений
  • 68.
    А свойства иерархийучитываете? • Дуализм – Элемент системы обладает как индивидуальными, так и системными свойствами • Они могут противоречить друг другу и тогда возникает конфликт – Чем сложнее иерархия, тем меньше индивидуальных качеств остается на нижних уровнях – остаются «винтики», легкозаменяемые элементы четко прописанного процесса • Именно поэтому крупные организации так привержены процессному подходу • Именно поэтому ISO 27001 – это стандарт, ориентированный, в первую очередь, на крупные предприятия
  • 69.
    О свойствах иерархий •Диктатура верхних уровней над нижними • Нечувствительность верхних уровней к изменениям на нижних – Главное для верхнего уровня, чтобы нижний уровень выполнял свои функции – Именно поэтому важно попасть CISO на верхний уровень иерархии • Высокая чувствительность нижних уровней к изменениям на верхних – «Верхи не могут, а низы не хотят…» • Чем выше уровень, тем гибче структура – Нижние уровни – жесткая иерархия и связи (субординация)
  • 70.
    Типы руководителей • Существуютразличные типы руководителей – Каждый имеет свои сильные и слабые стороны • Идеальных руководителей не существует – Только в учебниках • Учебники и школы менеджмента говорят «должен» – На практике идеального руководителя не бывает • Необходимо учитывать «психологический портрет» руководителя
  • 71.
    Как понять мотивациюпользователя и руководителя?! Что он видит? • На что похожа его среда? • Кто его окружает? • С кем он дружит? • С чем он сталкивается ежедневно? • С какими проблемами встречается? • На что похожа его среда? • Кто его окружает? • С кем он дружит? • С чем он сталкивается ежедневно? • С какими проблемами встречается? Что он слышит? • Что говорят его друзья? • Кто и как реально воздействует на него? • Какие медиаканалы на него влияют? • Что говорят его друзья? • Кто и как реально воздействует на него? • Какие медиаканалы на него влияют? Что он чувствует/думает? • Что для него реально важно? • Что его трогает? • Его мечты и стремления? • Что для него реально важно? • Что его трогает? • Его мечты и стремления? Что он говорит/делает? • Как он себя держит? • О чем он может рассказать окружающим? • Как он себя держит? • О чем он может рассказать окружающим? Что его тревожит • Каковы его разочарования? • Какие препятствия между ним и его мечтами? • Чего он боится? • Каковы его разочарования? • Какие препятствия между ним и его мечтами? • Чего он боится? К чему он стремится • Чего он действительно хочет достичь? • Что для него мерило успеха? • Какие стратегии он мог бы использовать для достижения успеха? • Чего он действительно хочет достичь? • Что для него мерило успеха? • Какие стратегии он мог бы использовать для достижения успеха?
  • 72.
  • 73.
    Психология восприятия риска •Даже при наличии фактов и достаточного объема информации об анализируемой системе у экспертов существует сложность с восприятием риска • Безопасность основана не только на вероятности различных рисков и эффективности различных контрмер (реальность), но и на ощущениях • Ощущения зависят от психологических реакций на риски и контрмеры – Чего вы больше опасаетесь – попасть в авиакатастрофу или автоаварию? – Что вероятнее – пасть жертвой террористов или погибнуть на дороге?
  • 74.
    Реальность и ощущения •Реальность безопасности ≠ ощущения безопасности • Система может быть безопасной, даже если мы не чувствуем и не понимаем этого – Мы можем думать, что система в безопасности, когда это не так • Психология восприятия риска безопасности – Поведенческая экономика – Психология принятия решений – Психология риска – Неврология
  • 75.
  • 76.
    Мы знаем какзащищать банк? • Требования законодательства (ФЗ-161 и нормативы Банк России) • Требования PCI DSS • Требования к защите информации при работе на фондовых площадках • Требования к защите банкоматов • Требования к защите мобильного банкинга • …
  • 77.
    Защита индустриальных сетей≠ защита банка Site Business Planning and Logistics Network Batch Control Discrete Control Supervisory Control Hybrid Control Supervisory Control Enterprise Network Patch Mgmt Web Services Operations AV Server Application Server Email, Intranet, etc. Production Control Historian Optimizing Control Engineering Station Continuous Control Terminal Services Historian (Mirror) Site Operations and Control Area Supervisory Control Basic Control Process ЛВС АСУТП Зона корпора- тивной ЛВС DMZ Уровень 5 Уровень 3 Уровень 1 Уровень 0 Уровень 2 Уровень 4 HMI HMI МСЭ и IPS МСЭ и IDS
  • 78.
    Пример: ИБ длянефтегазовой отрасли IT PCN Utility Поддерживающие взаимодействия B2B Надежное сегментирование сети с помощью VRF через MPLS VPN и оптику -------------------------------------------- Обеспечение бесперебойности Снижение OPEX Защита инвестицийСегментация и разграничение доступа к активам при доступе к ним с рабочего ПК/планшетника ------------------------------------ Эффективное взаимодействие с третьими лицами Обеспечение бесперебойности Подводная оптика Наземная оптика Буровое судно Судно снабжения
  • 79.
    Смена парадигмы =смена в образовании • Многие отрасли переходят на мобильные и облачные технологии • Требуется совершенно иной подход к безопасности
  • 80.
  • 81.
    Приоритеты ИБ на12 месяцев 0 20 40 60 80 100 Защита данных Threat management Соответствие Непрерывность бизнеса Управление рисками Безопасность приложений Снижение затрат и рост… Связь с целями бизнеса Управление доступом (IAM) Повышение осведомленности и… ИБ контрагентов Аутсорсинг ИБ Источник: Forrester. Аудитория – компании Европы и США с численностью свыше 1000 человек
  • 82.
    При аутсорсинге меньшезащиты и больше контроля! Своя ИТ- служба Хостинг- провайдер IaaS PaaS SaaS Данные Данные Данные Данные Данные Приложения Приложения Приложения Приложения Приложения VM VM VM VM VM Сервер Сервер Сервер Сервер Сервер Хранение Хранение Хранение Хранение Хранение Сеть Сеть Сеть Сеть Сеть - Контроль у заказчика - Контроль распределяется между заказчиком и аутсорсером - Контроль у аутсорсера
  • 83.
    А МЫ ЗНАЕМСВОИХ ПРОТИВНИКОВ?
  • 84.
    Шаблон бизнес-модели Ключевые партнеры Ключевые виды деятельности Ценностные предложения Взаимоотношения склиентами Потребительские сегменты Ключевые ресурсы Каналы сбыта Структура издержек Потоки поступления доходов
  • 85.
    Разные доходы отодного продукта – ботнета Создание ботнета Создание ботнета БотнетБотнет Сдать в аренду Сдать в аренду ИспользоватьИспользовать ПродатьПродать DDoSDDoS Рассылка спама Рассылка спама Установка scareware Установка scareware Кража данных Кража данных ФишингФишинг Поисковый спам Поисковый спам Продажа PAN Продажа PAN Продажа account Продажа account Продажа ПДн Продажа ПДнСтоимость $0.5 за бот для небольших ботнетов $0.1-0.3 за бот для крупных ботнетов Аренда $2000 в месяц за 1000 писем в минуту
  • 86.
    В киберпреступности укаждого своя роль • Менеджер по продажам • Кассир • Маркетолог • Логист • Водитель • HR • Генеральный директор • Айтишник • Охранник • Инженер • Разработчик • Дроп (разводной / неразводной) • Дроповод • Обнальщик • Заливщик / Даунлоадер • Селлер • Abuse-хостер • Гарант • Кодер
  • 87.
    Гарант = криминальныйарбитраж • Задача гаранта — быть независимым и гарантировать получение услуг/товаров покупателем и денег продавцом ГарантГарант КардерыКардеры ВымогателиВымогатели СпамерыСпамеры КонкурентыКонкуренты Владелец ботнета Владелец ботнета ГарантГарант Разработчик malware Разработчик malware Разработчик ExploitKit Разработчик ExploitKit Abuse-хостерAbuse-хостер Упаковщик malware Упаковщик malware
  • 88.
    День из жизнимула (дроппера) Мне нужна работа Нанимается и передается дропповоду Дроповод обеспечивает мула инструкциями для открытия банковского счета Дроповод координирует трансфер денег от операторов к мулам Мул получает деньги и переводит их на указанные счета или обналичивает Дроповод получает деньги или вновь переводит их Мул арестовывается или уходит с работы
  • 89.
    Деньги играют важнуюроль, но есть и другие мотивы • Отсутствие желания заработать не означает отсутствие бизнес- модели – Anonymous, Lulzsec демонстрируют это в полной мере Кибер- террористы Кибер- воины Хактивисты Писатели malware Старая школа Фрикеры Самураи Script kiddies Warez D00dz Сложность + + + + + Эго + + + + Шпионаж + + Идеология + + + + + Шалость + + + Деньги + + + + + Месть + + + + Источник: Furnell, S. M
  • 90.
  • 91.
    Новый взгляд наинформационную безопасность
  • 92.
    © Cisco и(или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация CiscoBRKSEC-1065 92 Благодарю вас за внимание security-request@cisco.com