Полезные новости и программы

США оштрафует Google за «взлом» Safari

Alex_D — Sat, 05 May 2012 10:44:38 GMT

Федеральная торговая комиссия намерена начислить компании штраф в размере $10 миллионов.

Как передает Bloomberg со ссылкой на источники в Федеральной торговой комиссии США (Federal Trade Commission, FTC), ведомство намерено оштрафовать компанию Google за осуществление слежки за пользователями в обход ограничений безопасности web-обозревателя Safari от компании Apple. По предварительным данным, сумма штрафа может составить десятки миллионов долларов.

Американское ведомство располагает полномочиями назначить штраф в размере $16 тысяч за каждый день нарушения. Таким образом, по расчетам аналитиков, сумма штрафа может превысить $10 миллионов.

Напомним, что компания Google была уличена в намеренной слежке за пользователями Safari исследователем Джонатаном Меером (Jonathan Mayer) в феврале текущего года. Он обнаружил, что поисковик и ряд рекламных компаний использовали специальный код, который позволял отслеживать web-деятельность пользователей Safari в обход ограничений безопасности браузера.

Тогда в Google заявили: «Мы использовали известный функционал Safari для того, чтобы предоставить пользователям Google те функции, на которые они подписались. Важно подчеркнуть, что эти рекламные cookie-файлы не собирают личную информацию».

Об отмене наказания за отсутствие лицензий ФСТЭК

Alex_D — Sat, 05 May 2012 10:31:29 GMT

отмена частей 1 и 5 ст.13.13 не меняет ситуации и даже ухудшает ее, т.к. будут применять статью 14.1 "Осуществление предпринимательской деятельности без государственной регистрации или без специального разрешения (лицензии)". Так ли это?

Давайте вспомним, что согласно ст.2 ГК РФ "предпринимательской является самостоятельная, осуществляемая на свой риск деятельность, направленная на систематическое получение прибыли от пользования имуществом, продажи товаров, выполнения работ или оказания услуг лицами, зарегистрированными в этом качестве в установленном законом порядке". Уже одно это говорит о том, что ст.14.1 применяется только к тем, кто зарабатывает на безопасности, т.е. лицензиаты ФСТЭК и ФСБ, продающие средства защиты или предлагающие услуги в области защиты информации.

К подавляющему большинству тех организаций (99%), на которых распространялась статья 13.13, статья 14.1 отношения уже не имеет. Иными словами мы возвращаемся к состоянию дел, которое было до принятия 504-го Постановления Правительства, когда лицензировалась именно деятельность разработчиков и интеграторов, получающих прибыль от защиты информации. И это правильно. Нечего пытаться заставить лицензироваться 5 с лишним миллионов юридических лиц и индивидуальных предпринимателей, которые виноваты лишь в том, что обрабатывают персональные данные своих сотрудников или клиентов.

Кстати, ФСТЭК также стала отступать от своей позиции в данном вопросе, несмотря на то, что ее представители регулярно заявляли о необходимости получения лицензии на ТЗКИ любому оператору ПДн. Все это было частное мнение представителей ФСТЭК. На прямой вопрос начальнику 2-го Управления ФСТЭК г-ну Куцу его ответ выглядит так:

Обратите внимание на последнее предложение - "наличие указанной лицензии у оператора обязательным требованием не является". Можно только приветствовать такую позицию регулятора, который наконец-то повернулся лицом к хозяйствующим субъектам и снял неопределенность в в таком непростом вопросе.

О лицензировании

Alex_D — Sat, 05 May 2012 10:30:45 GMT

"Cудя по всему, позиция "нет прибыли - нет деятельности - нет лицензии", исходя из соображений "лучше потерять часть, но сохранить целое", была негласно принята". Иными словами, в большинстве случаев лицензия ФСТЭК и ФСБ на деятельность, из которой не извлекается прибыль, не требуется.

Тут, правда, возникают нюансы, связанные с изменчивой позицией самих регуляторов. ФСТЭК, в зависимости то ли от отвечающего, то ли от вопрошающего, дает разные ответы на вопрос "Нужна ли лицензия?" (тут и тут).ФСБ тоже за словом в карман не лезет и отвечает просто - лицензия нужна. Этой позиции придерживаются и региональные управления ФСБ. А вот 8-й Центр считает, что для собственных нужд лицензия не нужна (новый закон о лицензировании закрепил эту норму в отношении техобслуживания СКЗИ).

В курсе по персданным я рассматриваю все эти аспекты, включая и различные точки зрения (например, АРБ) по данному вопросу. И вот недавно я провел изыскания на тему: "А что думают суды в отношении лицензирования деятельности, не являющейся для организации основной?" Выяснилась интересная картина - у судов тоже четкой позиции по данному вопросу нет.

Приведу цитату одного из судей арбитражного суда: "По этому вопросу имеются также две точки зрения, одна из которых аналогична приведенному выше решению суда первой инстанции и заключается в том, что получение лицензии на деятельность, подлежащую лицензированию, обязательно для тех лиц, для которых эта деятельность является основной. В случае если деятельность рассматривается как элемент основной производственной деятельности, получение лицензии на нее не требуется.

Эта позиция содержится в постановлениях ФАС ВВО от 06.05.2005 № А34-30702/ 2004-26-1135, апелляционной инстанции Арбитражного суда Свердловской области от 02.02.2005 № а60-39874-С4, ФАС СЗО от 09.11.2007 № А05-5724/2007, ФАС ВВО от 18.06.2008 №А31-6296/ 2007-13, решении Арбитражного суда Свердловской области от 26.05.2008 №А60-5642/2008-С9.

Другие суды, напротив, признают требования административных органов о необходимости лицензирования такой дополнительной деятельности обоснованными, ссылаясь на то, что получение прибыли не является квалифицирующим признаком ч. 2 ст. 14.1 КоАП РФ. Они подчеркивают, что Закон №128-ФЗ не указывает на необходимость получения лицензии только субъектами, осуществляющими указанный вид деятельности в качестве самостоятельной, не связанной с иными производственными процессами.

Также подчеркивается факт связанности данной дополнительной деятельности, подлежащей лицензированию, с осуществлением основного вида деятельности. В этом случае суды признают дополнительную деятельность предпринимательской, поскольку относят доходы, полученные от основной деятельности в будущем периоде, к доходам, полученным в том числе в результате осуществления дополнительной деятельности (постановления ФАС УО от 06.01.2004 №Ф09-2532/03-АК, ФАС СЗО от 20.05.2004 №А26-1050/ 04-22, Восемнадцатого арбитражного апелляционного суда от 20.08.2008 №18АП-4422/2008)".

Защита от утечки за счет взаимного влияния проводов и линий связи

Alex_D — Thu, 05 Jan 2012 08:54:07 GMT

Продолжим разговор о видах защиты информации от утечки по электромагнитным каналам. Один читатель сказал, что повествование достаточно пресное, скучноватое и явно не влияет на рост интереса к теме. Я с этим согласен полностью — во-первых, сам я к сожалению технарь с детства и красивый слог пока не моя коронная фишка (но по словам метров — это дело наживное), и во-вторых, все таки тема информационной безопасности достаточна специфична и без разных терминов достаточно сложно что-то полноценно объяснить. В общем я обещаю стараться писать по понятнее и по интереснее. Спасибо за критику.

Спонсор поста: Высококачественный, оперативный ремонт мобильных телефонов от авторизованного сервисного центра.

Пара слов о возникновении утечки. Элементы, соединительные провода и линии связи любых электронных систем постоянно находятся под воздействием собственных (внутренних) и сторонних (внешних) электромагнитных полей различного происхождения, индуцирующих (электромагнитная индукция) или наводящих в них значительные напряжения.

Такое воздействие называют электромагнитным влиянием или просто влиянием на элементы цепи. Такое влияние образуется непредусмотренными связями — в таком случае говорят о паразитных (вредных) связях и наводках, которые также могут привести к образованию каналов утечки информации.

Основными видами паразитных связей в схемах электронных устройств являются емкостные, индуктивные, электромагнитные связи и связи через источники питания и заземления радиоэлектронных средств.

Паразитные емкостные связи обусловлены электрической емкостью между элементами, деталями и проводниками устройств, несущих сигнал.

Паразитные индуктивные связи обусловлены наличием взаимоиндукции между проводниками и деталями аппаратуры.

Паразитные электромагнитные связи обычно возникают между выводными проводниками усилительных элементов, образующими колебательную систему с распределенными параметрами.

На практике это работает примерно так: есть два провода протянутых параллельно друг другу — по одному идет электричество, по другому происходит передача информации (сетевой, телефонный, провод до принтера и т.д.). Информативный сигнал с кабеля наводится на кабель питания и злоумышленник, с помощью специальной аппаратуры, с кабеля питания снимает информацию, которую Вы передавали.

Различают следующие основные меры защиты линий связи и проводов от взаимных влияний.

1. Применение систем передачи и типов линий связи, обеспечивающих малые значения взаимных влияний. Например, применение коаксиальных кабелей и волоконно-оптических линий практически полностью решает проблему защиты.

2. Рациональный выбор кабелей для различных систем передачи.

3. Взаимная компенсация наводок и помех между линиями связи. Реализуется путем скрещивания воздушных линий связи и подбора шагов скрутки цепей кабеля.

4. Экранирование цепей кабельных линий экранами. Защита от взаимного влияния в этом случае достигается путем ослабления интенсивности влияющего электромагнитного поля в экране.

Пять способов обезопасить использование собственных устройств на рабочем месте

Alex_D — Wed, 04 Jan 2012 17:36:48 GMT

Компании страдают от все большего притока принадлежащих работникам мобильных устройств в свои сети, и эта тенденция, скорее всего, лишь будет набирать силу в течение грядущих праздников.

Наплыв личных устройств на рабочих местах, формально известный как консьюмеризация ИТ, предлагает компаниям солидную выгоду в плане производительности и позволяет работникам более гибко подходить к выполнению работы. С другой стороны, личные устройства могут нести в себе угрозу и подвергать опасности сети компании.

"Компаниям нужно лучше справляться с воздействием личных устройств на безопасность, ибо выгоды слишком велики, чтобы от них отказаться", - сказал Санджай Бери, вице-президент Juniper и Pulse.

"С этим сталкиваются все компании", - добавил он. "Им нужно принять все как есть, чтобы расширить возможности работников".

"Картина изменилась за последний год. В 2010 большинство устройств составляли продукты Apple (iPhone и iPad), но в этом году компании должны быть готовы еще и к устройствам Android, гораздо более сложной экосистеме, нежели строго контролируемая платформа Apple", - отметил Ойас Реже, вице-президент по продукции компании MobileIron.

"Компаниям нужно учиться справляться с Android", - добавил он.

Вот, что можно сделать для защиты сети от надвигающейся волны принадлежащих сотрудникам мобильных устройств:

1. Не блокируйте устройства

В прошлом многие компании препятствовали доступу личных устройств сотрудников к своим сетям. Хотя, согласно недавнему отчету Citrix, такая технология способствует значительному росту производительности. Исследование показало, что производительность труда возрастает до 36% когда сотрудники используют для работы и корпоративные и личные устройства. "Видя, как хорошо это сказывается на бизнесе, большинство компаний отказываются от своих первоначальных стремлений блокировать личные устройства", - написала Элизабет Холавски, вице-президент по ИТ-услугам в компании Citrix.

2. Выясните, что подключено к сети

Первым шагом для большинства фирма должен стать мониторинг устройств, которые подключаются к сети, с целью определения масштабов угрозы. ПО для управления устройствами, исторически использовавшееся для контроля устройств, принадлежащих корпорации, имеет широкий набор функций, позволяющих настроить политику компании относительно устройств и удостовериться, что сотрудники следуют этой политике.

"Компаниям нужно полная прозрачность всего, что подключается к сети", - говорит Реже. "Когда устройство только появляется, им нужно быть уверенным, что они могут его распознать и наблюдать за ним".

Большинство фирм, занимающихся созданием ПО для управления мобильными устройствами, вроде MobileIron, требуют, чтобы на устройства, подключаемые к корпоративным сетям, устанавливались их клиенты, позволяющие управлять безопасность устройства.

3. "Мобилизуйте инструменты анализа сети, чтобы распознавать угрозы

У многих компаний уже есть технологии, которые помогают справиться с угрозами мобильных устройств и других потребительских технологий, которые подключаются к сети. Системы мониторинга производительности сети распознают аномальную активность, которая может означать нарушение безопасности или попытку ненадежного устройства занять плацдарм в сети, сказал Стив Шалита, вице-президент по маркетингу в компании NetScout Systems, которая производит инструменты управления службами для оптимизации сети.

"Проблемы производительности часто могут означать проблемы безопасности", - объяснил Шалита. "Эти системы, среди прочего, занимаются поиском угроз, которые могут воздействовать на сети".

4. Продвигайте политику для устройств

"Одно из преимуществ установки корпоративных клиентов на частные устройства - возможность для компании установить надлежащую политику для чувствительных данных. Далее, основываясь на личности пользователя и на статусе устройства, можно предпринимать действия", - сказал Бери из Juniper.

"Можно пускать их в сеть на основании их личности и статуса их устройства (например, не взломано ли оно и не установлено ли на нем жульническое приложение)", - добавил он.

Многие компании применяют политику полного блокирования ("block all"), пропуская лишь устройства, которые могут идентифицироваться или проходят процесс проверки. Другие, напротив, придерживаются политики "allow all", подключая устройства к виртуальной сети, отделенной от корпоративных ресурсов, пока устройства не будут авторизованы.

5. Установите политику приватности

Улучшая безопасность частных устройств, компании должны быть уверены также в защите приватности своих сотрудников. Запуск ПО для управления мобильными устройствами на телефонах и планшетах может открыть много информации об их владельцах, если доступ не будет ограничен политикой компании.

"Сейчас подходящее время для компаний, чтобы ввести в действие черновые наброски политики безопасности для этих устройств", - описывает ситуацию Реже.

Полезные ссылки: Ремонт компьютеров и компьютерную помощь должны осущесвлять только профессионалы

По материалам xakep.ru

Аудит системы информационной безопасности компании

Alex_D — Sun, 25 Dec 2011 18:16:22 GMT

Этим постом открывается серия материалов посвященных вопросу аудита системы информационной безопасности. Первый пост вводный — определимся с целями и задачами аудита системы ИБ.

Я уверен, что Вы прекрасно понимаете значимость обеспечения информационной безопасности в компаниях, иначе не читали бы мой блог :) В зависимости от вида деятельности компании, уровень защищенности варьируется в широких пределах, однако для его достижения необходимо использование соответствующего комплекса специальных средств и мероприятий.

В настоящее время оценка уровня информационной защищенности, его сопоставление с объективно необходимым уровнем, а в случае их несоответствия подбор оптимального комплекса защиты представляет собой весьма непростую задачу (и недешевую, к слову). Зачастую провести такое обследование силами компании не представляется возможным (помеха практически всегда — отсутствие необходимых знаний и компетентных специалистов), по этому нередко эту часть системы ИБ аутсорсят другие компании.

Темпы развития современных информационных технологий значительно опережают темпы разработки рекомендательной и нормативно-правовой базы России. Поэтому решение вопроса об оценке уровня защищенности связано с проблемой выбора критериев и показателей защищенности, а также эффективности системы защиты информации. Вследствие этого, в дополнение к требованиям и рекомендациям стандартов, Конституции и федеральных законов, руководящих документов Гостехкомиссии России, приходится использовать ряд международных рекомендаций.

Современные методики управления рисками, проектирования и сопровождения систем защиты информации должны позволять решить ряд задач:

Во-первых, количественно оценить текущий уровень информационной безопасности компании, что потребует выявления рисков на правовом, организационном и техническом уровнях обеспечения защиты информации.

Во-вторых, разработать и реализовать комплексный план совершенствования системы защиты информации для достижения приемлемого уровня защищенности. Для этого необходимо:

— обосновать и произвести расчет финансовых вложений в обеспечение безопасности на основе технологий анализа рисков, соотнести расходы на обеспечение безопасности с потенциальным ущербом и вероятностью его возникновения;

— выявить и провести первоочередное блокирование наиболее опасных уязвимостей до осуществления атак на уязвимые ресурсы;

— определить функциональные отношения и зоны ответственности при взаимодействии подразделений и лиц по обеспечению информационной безопасности компании создать необходимый пакет организационно-распорядительной документации;

— разработать и согласовать со службами организации проект внедрения необходимых комплексов защиты;

— обеспечить поддержку внедренного комплекса защиты в соответствии с изменяющимися условиями работы организации, регулярными доработками организационно-распорядительной документации, модификацией технологических процессов и модернизацией технических средств защиты.

Решение всех этих задач помогает объективно оценить текущей уровень информационной безопасности компании, обеспечить формирование единой концепции безопасности, рассчитать, согласовать и обосновать необходимые затраты на защиту компании.

На основе полученной оценки можно выработать и обосновать необходимые организационные меры, обоснованно выбрать средства защиты информации. С помощью полученных количественных показателей можно постоянно контролировать состояние системы информационной безопасности.

Практические рекомендации по нейтрализации найденных уязвимостей системы помогут в работе над проблемами информационной безопасности на разных уровнях и, что особенно важно, определить основные зоны ответственности, в том числе материальной, за ненадлежащее использование информационных активов компании.

Всем крайне рекомендую (особенно новичкам) при аудите системы ИБ использовать специальные программные средства — Digital Security Office 2006 и Microsoft Security Assessment Tool 4.0 — очень сильно упростят работу.

Блог по информационной безопасности

Alex_D — Sun, 25 Dec 2011 17:50:12 GMT

Год назад выкладывал ссылки на ресурсы по защите персональных данных. Судя по статистике, пользователи несколько раз возвращались на эту страницу, стало быть потребность в простом списке ресурсов действительно была. Конечно тема персональных данных по-прежнему остается флагманской, но далеко не единственной.

Блогосфера информационной безопасности растет и растет быстро. Появляются новые блоги и развиваются существующие. По сравнению с ситуацией двухгодичной давности, сегодняшнего количества блогов вполне достаточно для получения объективной информации по подавляющему количеству вопросов в области ИБ. А учитывая «разношерстность» контента и его авторов, любой может найти для себя что-то интересное. Кстати об интересном: многие действительно интересные ресурсы существуют давно, но о них мало кто знает. В причинах можно долго разбираться, а можно сделать просто список блогов по информационной безопасности и предоставить читателям возможность выбора.

За основу я взял довольно полный список блогов с www.iso27000.ru и дополнил несколькими ресурсами, которые там не указаны. Я специально исключил какую-либо классификацию, т.к. каждый ресурс уникален и четкие грани по тематике провести не всегда возможно (хотя в скором времени видимо придется ).

Список, естественно, не окончательный, если вы считаете, что какого-то ресурса не хватает или у него неверное описание, пишите в комментарии.
http://xpomob.blogspot.com/ – Блог Ригеля.
http://community.livejournal.com/personal_data Персональные данные. Правоприменение.
http://hayrov.blogspot.com/ – Блог Игоря Хайрова.
http://vazone.ru/wordpress/ Блог Евгения Родыгина. К сожалению Евгений перестал вести свой блог, зато успешно запустил несколько новых проектов, в частности: http://wikisec.net/ – Биржа труда специалистов по ИБ/ЗИ и http://wikisec.ru/ – Энциклопедия по безопасности информации.
http://www.ispdn.ru – Ресурс по персональным данным от НПО «Эшелон».
http://infowatch.livejournal.com/ – Блог одноименной компании Infowatch.
http://amatrosov.blogspot.com/ Блог Александра Матросова.
http://lukatsky.blogspot.com/ – Блог Алексея Лукацкого.
http://www.iso27000.ru/blogi/aleksandr-astahov/ Блог Александра Астахова.
http://www.iso27000.ru/blogi/stepanych Блог Степаныча.
http://sgordey.blogspot.com/ Блог Сергея Гордейчика.
http://adorofeev.ru/ Блог Александра Дорофеева.
http://www.tsarev.biz/ Блог Евгения Царева.
http://zlonov.blogspot.com/ Блог Тараса Злонова.
http://www.securitylab.ru/blog/company/ Блоги организаций на securitylab.ru.
http://www.securitylab.ru/blog/personal/ Личные блоги на securitylab.ru.
http://www.secureblog.info/ SecureBlog.
http://blog.bs25999.ru/ Блог компании Алмитек.
http://bondarenko-alex.livejournal.com/ Блог Александра Бондаренко.
http://malotavr.blogspot.com/ Блог Малотавра.
http://dorlov.blogspot.com/ Блог Орлова.
http://letablog.livejournal.com/ Блог компании LETA.
http://www.securelist.com/ru/weblog Блог на портале Securelist.com.
http://devteev.blogspot.com/ Блог Дмитрия Евтеева.
http://www.iso27000.ru/blogi/oleg-bezopasnik/ Блог Олега Безопасника.
http://anvolkov.blogspot.com/ Блог Алексея Волкова.
http://blogs.technet.com/b/mamykin/ Блог Владимира Мамыкина.
http://iso27000.ru/blogi/nebezopasnye-zametki-o-bezopasnom “Небезопасные” заметки о Безопасном.
http://vladbez.spaces.live.com/ Блог Владимира Безмалого.
http://kudin.net/r/ Блог Дениса Кудина.
http://community.livejournal.com/securityblogru/ Сообщество в ЖЖ.
http://community.livejournal.com/ru_infosec/ тоже Сообщество в ЖЖ.
http://community.livejournal.com/ru_sysadmins/ тоже Сообщество в ЖЖ.
http://community.livejournal.com/ru_root/ тоже Сообщество в ЖЖ.
http://community.livejournal.com/businessecurity/ не совсем по теме, но пусть читатель решает.
http://dementeeva.blogspot.com/ Блог Анны Дементьевой.
http://professionali.ru/GroupInfo/636 Сообщество по ИБ на Профессионалах.ру.
http://securitywiki.ru/HomePage проект “Открытая безопасность”.

Примерно так.