Семинар по персональным данным в Екатеринбурге…взгляд специалиста

   Сейчас в регионах проводится достаточно много мероприятий по просвещению народа по теме персональных данных. Да, эта тема сейчас на волне и на подобных мероприятиях еще можно услышать нечто интересное и вразумительное. Конечно общий процент этого вразумительного за редким исключением превышает величину 5-8 %.
  Недавно в Екатеринбурге состоялся семинар по вопросам обеспечения безопасности персональных данных на котором мне, к сожалению, не удалось побывать. Поэтому привожу описание данного мероприятия, которое я нашел на сайте http://www.securitylab.ru/opinion/379585.php
  Цитирую (дословно) посетителя данного семинара:

  Был семинар в Екатеринбурге. Тема: защита персональных данных. 
Докладчики - один местный ВУЗ, ФСБ, ИЗ, и прочая братия.
Если усушить всё, что они сказали, до внятных и понятных слов, то было сказано следующее:
  1. Закон плохой, не работающий, непонятно как исполнять (это видят все, и было произнесено открытым текстом с трибуны) - но это закон. По запросу на вероятность его изменения непосредственно разработчики закона ответили, что сначала поэкспериментируют на людях, поглядят как эта хрень будет работать, и лишь потом, гарантированно не ранее 2011года. 
  2. При решении задачи исполнения ФЗ 152 и иже с ним, возникают такие-то и такие-то вопросы (далее перечень вопросов, пауза в ожидании аплодисментов). Аплодисментов не последовало, хоть вопросы и были поставлены верно и грамотно, не возразить. Продолжение (вы думаете, ответы на вопросы? Фиг вам!!!) "А если вы не знаете, что делать с этими вопросами, наш ВУЗ с удовольствием обучит вас, как их решать". Вот так. Хотите - научим, за отдельную плату. Фиг с ними, в кризис каждый крутится, как умеет... 
  3. Сроки поджимают, делать что-то надо. Если вы не знаете, что делать, то мы готовы научить вас. За отдельную плату. И МЫ ДАЖЕ ГОТОВЫ ПРЕДОСТАВИТЬ ВАМ АУТСОРСИНГ! Вторят другие докладчики... Которые уже не представители ВУЗа. 
  4. Выход на сцену представителя ФСБ. В брежневском стиле, по бумажке, но чуть побыстрее и чуть внятнее был зачитан текст закона. Всё. Народ в зале развёл руками - может, размахнулся для аплодисментов, но скорее всего от недоумения. 
Да, и в очередной раз было озвучено подтверждение допустимости использования для защиты персональных данных только сертифицированных СКЗИ.
  Всё это действо перемежалось фильмами с рекламой ВУЗа, и устной рекламой ВУЗа. Причём фильмы крутили детской направленности - типа, поглядите какие у нас хорошие спортзалы (видеоряд) и красивые студентки (видеоряд, предствительницы в зале для наглядной демонстрации), и как много зданий у института (видеоряд, половина нарисована в 3D Max), и насколько их станет ещё больше в скором времени. 
  Когда стало очевидно, что ничего действительно полезного я тут не услышу, встал и ушел. Да, прослушал актуальный перечень вопросов, это ценно, ибо правильная постановка задачи иногда несёт половину её решения.
  Для себя сделал вывод, что семь человек, которые будут заниматься в Екатеринбурге проверками, просто порвутся проверять всех, потому что проверять надо именно ВСЕХ. Все конторы работают с персональными данными, почти без исключения. 
  Значит, или играем в игру повезёт-неповезёт с проверкой, оценим это 50/50 по методу блондинки (или придут, или не придут). Или будет заказуха, и постепенное осваивание рынка разными монополистами СКЗИ и прочими "интеграторами" и "аутсорсерами". А скорее, всё это вместе взятое.

Источник: securitylab

Спрос на услуги аутсорсинга ИБ в условиях кризиса

   Услугами аутсорсинга во все времена, в независимости от кризиса, пользовались компании в целях оптимизации затрат и наиболее эффективного использования собственных ресурсов, будь то материальных или человеческих. Область ИБ не является исключением. Можно с большой долей уверенности утверждать, что спрос на услуги аутсорсинговых компаний в области ИБ в условиях мирового финансового кризиса будет возрастать. Это связано с рядом причин. Во-первых, в условиях массовых увольнений персонала компаний, включая сотрудников имеющих непосредственный доступ к конфиденциальной информации (базы данных клиентов, финансовая информация и т.п.) и к информации, составляющей коммерческую тайну, резко возрастает уровень инсайдерских угроз (и это при том, что эти угрозы и так всегда лидировали) и уровень криминализации общества. Во-вторых, компании в условиях жесткой экономии уже не могут себе позволить построить адекватную систему защиты, мониторинга и противодействия всем видам угроз ИБ, которая предполагает закупку, внедрение, настройку, администрирование и сопровождение дорогостоящих систем защиты информации. Соответственно, тем компаниям, которым еще есть, что терять, на помощь приходят аутсорсинговые компании, специализирующиеся на ИБ.
   Основной вопрос заключается не в том, будет ли спрос на аутсорсинговые услуги в области ИБ, а в уровне доверия к компаниям предоставляющим такие услуги. С этой точки зрения предпочтение следует отдавать надежным, проверенным и зарекомендовавшим себя компаниям и стараться избегать малоизвестные компании, в штате которых работают не опытные сотрудники из числа студентов.
   Также необходимо отметить, что даже при полном переводе ИБ компании на аутсорсинг, данная компания должна четко осознавать, что основными источниками угроз являются сотрудники компании. Поэтому необходимо периодически проводить повышение осведомленности всех сотрудников в вопросах ИБ. Это, в первую очередь, важно с той точки зрения, что сотрудники должны четко понимать, какую они несут персональную ответственность за те, либо иные действия или бездействия, приведшие к инцидентам ИБ. Только комплексный подход, при котором каждый сотрудник компании четко осознает свое место и значение в обеспечении безопасности бизнес-процессов организации и аутсорсинговая компания ответственно выполняет взятые на себя обязательства, позволит в условиях кризиса экономить финансовые средства без ущерба для безопасности всей организации.