Десятка лучших постов этого журнала:

1. Суждения об информационной безопасности. Глава 1. Глава 2. Глава 3.
   
2. Парольная экология (20.03)
   
3. Дисконтные и бонусные системы нарушают закон «О персональных данных» (01.02)
   
4. Невиновных у нас нет (11.02)
   
5. Про незнание закона (04.09)
   
6. Мастера половины бита (10.08)
   
7. Второй парадокс безопасности
   
8. Метод провокации (03.08)
   
9. Фен-шуй безопасности (08.04)
   
10. Если сумеешь защититься от «своих», то чужие не страшны (09.02)
    
    

Новые посты публикуются ежедневно, без выходных и праздников. Один раз в сутки.

Tags: служебное

Как ни странно, но техническая ревность – одна из основных причин неудач внедрения средств защиты.

Даже среди неквалифицированных пользователей встречаются те, которых принято называть «ламер – воинствующий чайник». Такой всегда лучше всех знает, как надо защищать информацию. И свои альтернативно-оригинальные идеи норовит реализовать самостоятельно. И внезапно. С соответствующими последствиями.

Что уж говорить о профессиональных айтишниках и айтишных коллективах, где каждый «сам-с-усам»! У каждого – свои собственные подходы и взгляды на ИБ.

Когда такому «знатоку» или настоящему знатоку спускают сверху проект, или диктуют методы и средства защиты, навстречу катит волна неприятия.

Лишь отчасти неприятие продиктовано обидой и ревностью. Некоторые аспекты безопасности действительно снизу виднее.

Для преодоления подобного сопротивления рекомендуется два метода. Во-первых, надо с самого начала привлекать рядовых работников к составлению проекта системы защиты. Если и не с правом вето, то с совещательным голосом, во всяком случае. Во-вторых, имеет смысл официально разрешить отступать от политики безопасности тем сотрудникам, которые действительно квалифицированы, полностью понимают сущность и последствия этих отклонений, а также не допустят снижения общей защищённости в результате допущенных исключений. Практика вашего покорного слуги демонстрирует несколько примеров, когда подобные отступления от общих правил шли на благо. И ни одного примера, когда во вред.

Tags: защита информации, кадры, политика безопасности, саботаж

Дело было в далёких и нищих 1990-х на одном маленьком, но гордом оборонном объекте, куда автор прибыл по долгу службы.

В сопровождении колоритного усатого прапорщика с автоматом ваш покорный слуга спускается в подземный туннель и подходит к бронированной двери, которая снабжена весьма внушительным электронным устройством со стальными кнопками и маленьким дисплеем.

«Секретная зона. Введите код» – высвечивается на дисплее. Прапорщик как-то небрежно клацает по кнопкам. Зуммер. «Код неверен. Осталось 2 попытки» Я немного напрягся. Снова клац-клац по кнопкам. Зуммер. «Код неверен. Действия записаны. Последняя попытка». В этом месте я уже напрягся всерьёз, прапорщик же не выказывает никаких эмоций. Клац-клац, ввод. Зуммер, красная лампочка. «Оставаться на месте! Выслан вооруженный караул» С невозмутимостью древнеримского сенатора прапорщик дожидается щелчка и открывает дверь, кивая пройти.

Провожая меня по объекту, страж лениво поясняет: «Да сломалась она у нас давно. Но чужие сюда не войдут!»

Tags: безопасность, пароли, пентест

Знаменитые три закона робототехники Азимова были обеспечены аппаратно. Самой конструкцией позитронного мозга. Изменить их программно было невозможно. В случае их принудительного нарушения мозг выходил из строя. А производитель позитронных мозгов был в мире единственный. Без этих придуманных писателем логических подпорок не срасталось. Все перечисленные условия далеки от текущей действительности, так что принудить кого бы то ни было к соблюдению законов робототехники невозможно.

Вместо азимовских законов в законодательстве чётко прослеживается альтернативный, но направленный в ту же сторону принцип: роботы могут выполнять любые действия, но принимать решения должен человек. Хотя бы принципиальные решения. Хотя бы решения, касающиеся других людей. Например, в хорошо изученном (оттого и привожу в качестве примера) нашими читателями законе "О персональных данных" этот принцип выражен так (ст.16):

«Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия...»

Ну а реальность такова: компьютерам (т.е. программам) передаётся право на принятие решения всё чаще, всё в большем количестве областей. Делается это как бы вынужденно. Тот, кто будет слишком рьяно придерживаться антропократических принципов, рискует проиграть. Как в рыночной конкуренции, так и на поле боя.

При стрельбе по низколетящим целям, которые находятся в зоне поражения всего 1-2 секунды, решение на открытие огня принимается программой ещё с 1980-х. Кто не доверится компьютеру – покойник.

Решения на покупку-продажу на фондовых рынках на огромные суммы принимаются программами. Кто надеется на быстроту собственного ума и пальцев – банкрот.

Летать и ездить на ручном управлении человек ещё может себе позволить. Но лишь потому, что скорость доставки – не самое главное конкурентное преимущество.

При создании программ сроки работ имеют существенное значение. Так что здесь автоматизация надвигается столь же необратимо. А дыры в программе, созданной полуавтоматически, лучше искать вручную. И наоборот.

Tags: защита информации, футурология

В ходе последних обсуждений возник вопрос о взаимоотношении персональных данных (ПД) и права на тайну частной жизни (ТЧЖ). ПД в последнее время обсуждаются очень широко, выступая попеременно то в качестве рычага демократии, то – кошмарилки для бизнеса. Впрочем, с любой юридической новеллой происходит примерно то же.

Представляется, что ПД – это более широкое понятие, чем ТЧЖ. Некоторая информация (например, ФИО + адрес) не является ТЧЖ, но является ПД.

Кое-кто из держиморд радикально настроенных сотрудников правоохранительных органов высказывал мнение, что наличие ПД на компьютере физлица само по себе может являться основанием изъятия оного для проверки. А там уж что-то найдётся – либо нарушение порядка обработки ПД, либо контрафактный софт, либо вредоносные программы, либо два патрона. ;)

С другой стороны кое-кто из кривозащитников радикально настроенных защитников прав человека высказывал суждение, что введённая новым законом защита ПД должна вообще воспрепятствовать проведению осмотра или экспертизы компьютера, поскольку при этом якобы нарушается право на защиту ПД.

Семейная тайна - это тайна от членов семьи. ;)

На опровержение обеих крайностей мы блогоместа тратить не будем (если кто-то принимает их всерьёз, поговорим в каментах). А вот о чём стоит сказать.

«Действие настоящего Федерального закона не распространяется на отношения, возникающие при:
1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;»

Такая вот резиновость формулировок чуть ли не хуже бланкетности норм. Какие именно права могут нарушаться? Любые или только связанные с ПД? Как нарушение прав должно быть связано с обработкой ПД физическим лицом? Обязательно являться следствием обработки? Являться другим следствием той же причины? Или просто совпадать по времени/месту? Кто должен нарушать права субъектов? Только обрабатывающее ПД физлицо? Или иное лицо?

Думаю, самые догадливые читатели уже поняли, как можно "затянуть" мирное физическое лицо под сень закона "О ПД". Предположим, купил Вася Пупкин на рынке базу данных налоговой службы. И ищет в ней себя любимого, пытаясь определить, не обманывал ли его работодатель с якобы белой зарплатой. И тут – опа! Цель обработки – для не личных нужд гражданина Пупкина. Права других субъектов "при этом" нарушаются (пусть и не гражданином Пупкиным). Светит, как минимум, административная ответственность.

Или не так?

Tags: персональные данные, тайна частной жизни

Внимание, новый вид нигерийского мошенничества! Пресса сообщает:

«Проект Eagle Claw, осуществляемый нигерийской Комиссией по борьбе с экономическими преступлениями совместно с компанией Microsoft, предусматривает внедрение специализированной программы мониторинга мошеннической деятельности в почтовом сервисе. Новая технология позволяет отслеживать мошеннические сообщения, нейтрализовать их источники и оповещать потенциальные жертвы об угрозе. Пробная версия программы запущена на территории Нигерии в начале июня.»

Хитрые нигерийцы сумели убедить Майкрософт, что DLP-система масштаба страны не только будет работать, но и будет работать эффективно. Под это дело, разумеется, на деньги спонсоров расширяются сетевые каналы, ставится более современное оборудование, рабочие места, всё такое...

Помню, в 1990-х один предприниматель, знакомый вашего покорного слуги умудрился получить грант от общественной организации из США, ведущей борьбу против наркотиков. Деньги он не зажилил, а использовал строго по назначению – на выращивание конопли. Коноплю – на производство пеньки. Заокеанских спонсоров он каким-то образом сумел убедить, что его сорт конопли не содержит каннабиноидов, поэтому его разведение следует поощрять в целях борьбы с наркотиками. (Примечание: конопля, не содержащая тетрагидроканнабинола, до сих пор не выведена.)

Вот такие они, нынешние угрозы. Стоит задуматься. Быть может, ведя борьбу со спамом, вирусами, фишингом или кардерством, вы тоже кого-нибудь ненароком спонсируете.

Tags: DLP-система, проекты, угрозы

Вот, интересно. Идея глубокого сращивания антивирусной программы и ОС не дала плодов. Хотя, казалось бы...

Казалось, казалось, да оказалось, что такая интеграция, даже если возможна, особых преимуществ не даёт. Проверить удалось только на практике. Практика же долго заставила себя дожидаться. Антивирусные программы существуют с начала 1990-х, и являются практически обязательным элементом для виндовых компьютеров и почтовых серверов с конца 1990-х. А попытки интегрировать антивирус и ОС предприняты лишь около 2006-го: я имею в виду Forefront/Antigen. (Хотя вот тут мне подсказывают товарищи, что первая, совсем неудачная попытка сделать антивирус была у Майкрософта ещё в 1993.)

В случае, если б такая интеграция удалась, печальное будущее ждало бы всех производителей антивирусов.

Почему она не удалась? Чем встроенный антивирус проигрывает навесному? По причине хорошей погоды за окном что-то дельных мыслей в голову не приходит. Почему так получилось? Но чую – дело нечисто.

Tags: вредоносные программы

Ваш покорный слуга полагает, что техническая борьба «вирус-антивирус» бесконечна. Выиграть эту программную гонку вооружений невозможно ни той, ни другой стороне. На каждый технический метод неизбежно найдётся контр-метод. Принципиальные изменения станут возможны, если борьба выйден на новый уровень. Как уже писалось ранее, технические посягательства могут быть стопроцентно заблокированы только нетехнической защитой.

Индустрия вредоносного кода — явление экономическое. Трояны, черви, руткиты и прочая компьютерная зараза создаётся потому, что на неё (результаты её работы) имеется платёжеспособный спрос. Когда есть спрос, обязательно будет предложение. Мы можем это предложение подавлять, отлавливая и наказывая вирусописателей, но законы экономики неумолимы. Всех мы ни за что не отловим, оставшиеся напишут вполне достаточно.

Борьба с вредоносными программами не может считаться полноценной, если не будут нанесены также удары по спросу на них. Главные деньги приходят на этот рынок от рассылки спама, а также от фишинга. Техническое противодействие тому и другому ведётся. Также осуществляется юридическое преследование фишеров и распространителей спама. Но экономического противодействия автор не наблюдает. Нет ни одной меры, которая бы подавляла (или лучше замещала) спрос на спамерские рекламные услуги. Банкам не запрещают эксплуатировать системы удалённого управления счётом с однофакторной парольной идентификацией (против таких систем работают фишеры и фармеры). Знание всего лишь логина и пароля клиента позволяет киберзлодеям украсть деньги со счёта. Не искоренена система оплаты через Интернет по номеру банковской карты без дополнительной проверки (хотя соответствующие технологии с одноразовыми паролями давно внедрены). Знание всего лишь номера, имени и срока действия банковской карты позволяет украсть деньги. Из-за этого обстоятельства фишинг и процветает. Сделайте эти данные бесполезными для злоумышленников — фишинг умрёт. Предложите столь же дешёвый способ рекламы в интернете — спам умрёт. С фишингом и спамом загнётся и производство вредоносных программ.

Но указанные меры, наверное, черезчур радикальны, чтобы власти развитых стран пошли на них. Кроме того, весомое слово здесь принадлежит технарям, а они про экономические методы вообще не догадываются. Поэтому много лет борьба со вредоносными программами ведётся в основном техническими средствами.

Tags: вредоносные программы, кардинг, спам

Ваш покорный слуга однажды наблюдал небольшую эпидемию нового сетевого червя в локальной сети офиса. Из более чем двухсот машин заразу подхватили лишь четыре.

Червь распространялся через электронную почту. Антивирус на почтовом сервере не смог обнаружить вредоносные вложения и пропустил червяка. Но местные антивирусы на рабочих станциях были иного производителя, у них данная сигнатура уже появилась. Таким образом, отсутствие интеграции (унификации) ПО спасло сеть от полномасштабной эпидемии. Но на четырёх компьютерах червь всё же завёлся. Это произошло из-за отсутствия интеграции: местные антивирусы по какой-то причине не обновились, хотя при инсталляции всем настраивали автоматическое обновление.

Если бы средства защиты были унифицированы, дело кончилось бы стопроцентной эпидемией, либо наоборот, вредоносная программа имела бы нулевой эффект.

Tags: вредоносные программы, оценка рисков, угрозы

Ещё одна техногенная катастрофа чуть не произошла в Австралии.

«...помогло предотвратить отключение одного из основных поставщиков австралийской энергосистемы. Компьютеры в зале управления оказались заражены вирусом. Благодаря находчивости инженеров дежурной смены, подвергшиеся атаке Windows-терминалы были заменены на Linux-машины... Многие критически важные системы контролируются компьютерами именно под управлением Windows, несмотря на повсеместную осведомленность об их плохой защищенности и высокой степени уязвимости... Общий итог «работы» вируса W32.Virut.CF для компании Integral Energy составил более 1000 зараженных компьютеров.»

Хороший повод поговорить о степени интернетозависимости разных стран. Многие считают, что она максимальна у США, так что там возможно проделать фокусы с транспортной системой, энергоснабжением или спутниками наподобие как в голливудских боевиках. Надо лишь найти жирного очкастого хакера и захватить корабль/самолёт/поезд.

Но есть и иное мнение. Например, по словам комментаторов процитированной статьи, на российской ЛАЭС дела не лучше, чем в Австралии: на управляющих компьютерах стоит Винда. И не просто Винда, а Windows-2000 Server, так что в случае заражения вирусом "можно ползти в сторону ближайшего кладбища". Развитые же страны свою интернетозависимость если и не преодолели, то осознали. И начинают предпринимать меры. В России пока осознание не пришло

Некоторые думают, что для безопасности будет достаточно не соединять управляющие компьютеры с сетью. Ваш покорный слуга решительно возражает: этого недостаточно. Во-первых, всякие компьютеры нуждаются в программах. А программы – в обновлениях. Значит, ПО каким-то способом попадает на "изолированные" компьютеры. То есть канал для заражения или внедрения закладок имеется. Во-вторых, присутствует куча технических и организационных возможностей создать канал, о котором оператор информационной системы не знает. Начиная от несанкционированного присоединения к компьютеру телефона с GPRS-модемом и заканчивая втыканием USB-мышки с трояном.

В итоге менее технически развитая страна может оказаться более технически уязвимой.

Tags: вредоносные программы, оценка рисков, угрозы, футурология

В начале XX века предрекали: "кинематограф погубит театр". Позже пророчествовали: "телевидение убьёт кино". И где теперь все эти пророчества? Они сбылись. Аудитория театров по сравнению с аудиторией кинотеатров (в человеко-просмотрах) уже к 1930-м сжалась до ничтожной в масштабах общества величины. Это и есть гибель, только почётная. То же самое можно сказать про нынешнюю аудиторию телеящика в сравнении с кинотеатрами. И вот пришла пора следующего поколения СМИ. Извините, господа телевизорщики, но это – ваш закат.

Блоги стали вполне конкурентным СМИ. В развитых странах печатные газеты они уже обогнали, как ни считай – в человеко-часах или человеко-буквах. И уверенно штурмуют пальму первенства телевидения, которое пока остаётся наверху за счёт технически отсталых районов, где доступ в Интернет затруднён. А кое-кто (не будем показывать пальцем) ещё жалуется на отсутствие свободной прессы или затруднённый доступ к СМИ. Жалуется в блогах общим тиражом, превышающим тираж центральных газет.

И вот, в связи с вышеизложенным... Товарищи Орлова, Мифодовский, Метёлкин, Балашов и Семёнов снимают телепередачу с провокационным названием «Зачем вообще нужны авторские права?». Тема актуальная, высказывания интересные, участники встречи компетентные. Правда, не совсем понятно, зачем им телевидение? Тираж блога одного только Семёнова покрывает аудиторию средней телекомпании как бык овцу. Про таргетированность я уже молчу. В общем, читайте стенограмму, смотрите видео (не показывается чем-либо, отличным от Винды), высказывайтесь.

Tags: livejournal, авторское право

После распространения лже-антивирусов следующим закономерным шагом будет появление лже-ОС.

Троян, внедрённый на самый глубокий уровень ещё до инсталляции ОС, обнаружить будет, мягко выражаясь, затруднительно. И займутся таким внедрением вовсе не спецслужбы вероятного противника, а вирмейкеры по заказу ботоводов.

Глубокой модификации могут подвергнуться как свободно распространяемые ОС, так и Windows. За последнюю, наверное, вирмейкеры возьмутся охотнее. Ведь дистрибутив свободного ПО редко скачивают с левого источника. А пиратскую Винду – только с полуподпольных серверов и файлообменных сетей, где устроить подмену много проще.


.

Tags: вредоносные программы, угрозы, футурология

Если бы не существовало индусских программистов, диспетчеров и прочих аутсорсеров, их следовало бы придумать. Прочитал тут ваш покорный слуга новость, как в очередной утечке персональных данных оказались виноваты индусы. И подумал мысль.

Если у кого случится утечка персональных данных, можно смело валить всё на индусских аутсорсеров как на покойников. Доверился, дескать, а они – такие-растакие, индоазиаты афрозадые, всё проаутсорсили. Больше им доверять не будем.

Валят же свои ошибки на "русских хакеров", "прибалтийских банкиров", "молдавских строителей" и "арабских террористов". Мировые бренды, можно сказать. Причём, бренды, свободные для бесплатного использования любым желающим. Пока копирайт до них не дотянулся.

Tags: аутсорсинг, утечки

Однажды к вашему покорному слуге стукнулся в аську человек за консультацией по кардерскому делу. В середине разговора я поинтересовался, с кем имею честь. Он и говорит, дескать, моё "резюме" вы можете увидеть на сайте ФСБ, в разделе "розыск", там, сразу после Басаева. Я удивляюсь: тут написано, что разыскиваемый арестован. Он говорит, что так и есть, а аськается и скайпится он из следственного изолятора. На тот момент это было единственное дело кардеров в РФ. Кстати, доказать вину так и не смогли.

В продолжение вчерашнего текста о роли вузов в формировании киберкриминальной среды сегодня мы рассмотрим другую сторону киберпреступности. Какие имеются средства для предотвращения преступных посягательств в сфере высоких технологий?

В российском законодательстве предусмотрены наказания за "высокотехнологичные" правонарушения – неправомерный доступ к компьютерной информации, создание вредоносных программ, нарушение авторских прав на ПО и т.д. Статистика МВД говорит нам, что эти правонарушения пресекаются, и дела расследуются в изрядном количестве. Но ближайшее рассмотрение показывает, что статистика лукавит. Количество действительно велико, но вот качество... Все раскрытые компьютерные преступления – это простейшие их виды, совершённые малолетними "хацкерами". По-настоящему сложных и масштабных компьютерных дел на счету правоохранительных органов нет.

Объяснение сему факту предельно простое. ( Далее... )

Tags: безопасность, кадры, кардинг

Однажды мой знакомый устраивался на работу в крупную западную корпорацию. Пройдя положенный круг собеседований, он получил отказ. Причина отказа была указана следующая: "overqualified", то есть слишком умный.

Сегодня ваш покорный слуга публикует достаточно длинный текст на эту тему. Кому лень читать, сразу резюмирую. Советская система образования (плавно перешедшая в российскую и всё ещё сопротивляющаяся попыткам её реформировать) ориентирована на подготовку хакеров, а не пользователей. В результате экономика России страдает без нужных кадров, а весь остальной мир страдает от ужасных русских кибервзломщиков. ( Далее... )

Tags: история, кадры

Техническое варварство – это способ мышления, предполагающий решение техническим способом любых проблем: моральных, нравственных, религиозных, правовых, иных гуманитарных. Данный способ преуменьшает значение отношений между людьми (либо вовсе их игнорирует), выдвигая на первый план процедурное взаимодействие. Типичным примером технического варварства является борьба с алкоголизмом через уничтожение производства спиртных напитков. В виртуальном мире характерный случай техварварства – борьба со спамом при помощи фильтров и чёрных списков, игнорируя экономические корни спама как рекламы.

Расхожее среди специалистов по ИБ выражение «человек – слабейшее звено» отражает как раз такой технократический подход. Рассмотрение человека в качестве звена (хоть слабейшего, хоть важнейшего) исключает гуманитарные аспекты безопасности. Это уравнивает человека с техническими устройствами или организационными схемами. Да, иной раз человек может быть столь же управляем, как устройство. Но, в отличие от устройства, он является носителем цели существования всей ИБ, всей ИС и всего предприятия.

Тезис «человек – звено», возможно, упрощает рассмотрение проектов. Но теряем мы от этого больше, чем приобретаем.

Tags: парадокс, политика безопасности, термины

Сим постом ваш покорный слуга решил продолжить правовые дискуссии относительно тайны связи и незаконности перлюстрации электронной почты.

Каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения. Конституция РФ, ст.23

Продолжать спорить в глубинах комментариев не рационально. И вот почему. "Колеблющихся" мы уже убедили ранее (1, 2, 3), остались лишь самые стойкие оппоненты, которые всё равно не смогут признать свою неправоту. Это люди, которые строют или эксплуатируют информационные системы, предусматривающие нарушение права работников на тайну связи. Разумеется, имея такую работу, невозможно признать, что все эти годы беспардонно нарушал Конституцию, учил других это делать или оправдывал такие нарушения псевдоюридическими рассуждениями. Эти уважаемые оппоненты ни за что не согласятся с моими доводами, даже если будет как в том анекдоте про четырёх раввинов.

Вот почему дискуссию я веду исключительно "на публику". Итак, опровергнем доводы моих оппонентов. ( многа йуридичиских букаф... )

Tags: DLP-система, законодательство, статья 138, тайна связи

Беседовали мы тут о чёрном рынке киберкриминальных товаров и услуг. Растёт ли, и в какую сторону...

Чёрный рынок занимает определённый процент от "белого". Задавить его совсем правоохранительные органы не могут – законность, права человека и всё такое. Но и вырасти сверх определённого процента ему не дают. Не дают прежде всего сами бизмесмены, на которых он паразитирует. Например, кардеры "отъедают" не более 0,5% от прибыли по карточным платежам. С этой долей банкиры готовы мириться, они заранее закладывают в бюджеты соответствующие убытки.

Ловить и сажать при таком уровне хищений экономически невыгодно. На расследование одного инцидента уйдёт больше средств, чем в итоге сэкономят все затронутые стороны (банк, клиенты, государство). Поэтому ловят кардеров лишь "показательно". Или тех, кто зарвался.

Но если кардеры дружно обнаглеют и перейдут установленные границы, их, конечно подавят. А пока не наглеют, живут хорошо.

Именно поэтому кардерский рынок растёт синхронно с ростом рынка платежей. Аналогично – рынок спама и другие криминальные.

Tags: кардинг, угрозы, футурология

Так всегда бывает: как только построишь защиту, сразу начинаешь сверлить в ней дырки. А то слишком надёжная защита почему-то не вписывается в реалии жизни.

Вот и мы в своём шифровальном продукте имплементировали комиссионное восстановление секретного ключа. Это когда в случае утраты ключа (или его владельца, хе-хе) секрет может быть восстановлен совместными действиями не менее чем K человек из N уполномоченных (комиссия восстановления). Фича, не нужная для персональных продуктов, но вполне уместная для корпоративных.

На первый взгляд, схема достаточно надёжная. Процедура восстановления будет запущена лишь при необходимости, провести её скрытно от начальства или службы ИБ вряд ли удастся. Только кворум К должен быть достаточно велик для гарантии от заговора. Скажем, 6 человек. Вроде бы, достаточно.

Как только мы переходим к практическому применению данной фичи, стройная теория теряет радужные тона и довольно быстро сваливается в вонючую помойку под названием "как обычно".

Во-первых, довольно-таки непросто уговорить N>6 руководителей или ответственных работников принять на себя дополнительные обязательства.

Во-вторых, коллективный стиль управления не зря критикуют за отсутствие в нём персональной ответственности за принятые решения. Даже говорят "коллективная безответственность".

В-третьих, кворум может собираться и день, и два, и неделю. А многие случаи, когда секретный ключ утрачен и скомпрометирован, не терпят отлагательства.

Ну и наконец такое соображение. К=6 уважаемых людей, по идее, не могут вступить в заговор. А если без идеи? Смотря против кого этот "заговор". Против интересов предприятия, чтоб, например, украсть деньги – действительно маловероятно. Против гендиректора – тоже. А если против рядового сотрудника, который, к тому же, не брат, не сват? Да запросто! Собрались, пошушукались и кого-то съели.

Tags: защита информации, криптография, оценка рисков, политика безопасности, саботаж, шифрование

У нас нынче проходит фестиваль вегетарианской кухни. Перед тем, как отправиться на праздник поедать всякие вкусности, ваш покорный слуга подумал мысль.

Вредоносные программы, с которыми мы боремся, можно условно разделить на плотоядные и вегетарианские. Первые норовят причинить жертве прямой ущерб в виде кражи паролей, атрибутов банковских карт и другой конфиденциальной информации. Вторые же тихо паразитируют на заражённом компьютере, потребляя его незадействованные ресурсы (вычислительную мощность, память, канал связи) для поддержания ботнета.

Речь идёт не только о различной общественной опасности, которая должна учитываться при определении наказания для вирусоводов и вирусописателей. По-моему, следует дифференцировать и технические защитные меры. Не очень разумно ставить злоумышленников в ситуацию «семь бед – один ответ» и «мне терять нечего». Лучше всё-таки склонить его от более опасного к менее опасному деянию. Трояны-похитители паролей и фишинговые сайты представляют гораздо бОльшую опасность, чем ботнеты.

Не делая же разницы между менее опасными и более опасными вредоносами, мы неявно склоняем киберпреступников к совершению более тяжких правонарушений.

Tags: ботнет, вредоносные программы, оценка рисков