Автоматизация ведения поэтажных планов АС

Можете ли вы ответить на вопрос о инфраструктуре вашей организации - где находятся ваши компьютеры? А конкретнее, в каком помещении какие узлы расположены прямо сейчас?

• Безопасник, в его бумажном воплощении, ответит - надо открыть технический паспорт и поэтажные планы расположения ОТСС/ВТСС, там все указано.
• Администратор ответит - надо подключиться к коммутационному оборудованию и посмотреть ARP/MAC таблицы, еще можно посмотреть AD/DHCP и просканировать сеть.

Оба варианта имеют свои недостатки - бумага устаревает быстрее чем это может показаться, а работать на прямую с инфраструктурой не удобно.

Далее расскажу о том, как все знать о своей инфраструктуре и ничего не делать, а конкретнее - об опыте автоматизации ведения поэтажных планов АС.

Обзор систем контроля прав доступа на сетевые файловые ресурсы

Сетевые файловые ресурсы (они же сетевые папки или шары) во многих организациях занимают важную роль. Часто, ключевые информационные процессы организации проходят именно через них.

Не удивительно, что контроль доступа к информационным ресурсам является одной из основ при построении системы информационной безопасности. А что с контролем прав доступа к сетевым файловым ресурсам? Знаете ли вы точно, кто и к каким ресурсам имеет доступ? Предположим, что да, был проведен аудит и, возможно, составлена матрица доступа к информационным ресурсам. Но что изменилось с момента последнего аудита? На этот вопрос порой ответить сложнее. 

Далее расскажу о системах, позволяющих автоматизированно контролировать изменения прав доступа на сетевые файловые ресурсы.

ФЗ-242 и уведомление Роскомнадзора

Принято считать, что ФЗ-242 затрагивает, прежде всего, операторов, базы данных которых расположены за границей Российской Федерации. Так ли это? Как показывает практика проверок Роскомнадзора - изменения затрагивают всех операторов без исключения. 

Ментальные карты и теги при подготовке документов

Когда готовится объемный документ, например руководство по защите информации или детальная политика информационной безопасности, хочется уместить в минимум объема максимум смысла и при этом иметь возможность оперативно ориентироваться в тексте документа.

При подготовке очередного такого многостраничного монстра применил подход, основанный на использовании ментальных карт и тегов, о котором и расскажу.

Подготовка ответов на запросы субъектов персональных данных

152-ФЗ наделяет субъектов ПДн правом запрашивать у операторов ПДн информацию об обработке своих ПДн. Так же 152-ФЗ определяет обязанность операторов ПДн на такие запросы отвечать.
Иные граждане все чаще начинают пользоваться этим правом, доставляя определенную нагрузку ответственным за обработку ПДн в организациях - операторах ПДн.

Что делать оператору ПДн при поступлении подобных запросов? Как минимизировать усилия по подготовке ответов субъектам ПДн?

Топ 5 мер кибербезопасности

С чего начать при внедрении (модернизации) системы защиты? Что следует сделать в первую очередь, чтобы получить гарантированный и скорый результат при минимальных затратах?

Стандарты и лучшие практики определяют десятки мер, внедрение которых позволяет повысить защищенность инфраструктуры.

Одним из основополагающих международных стандартов в области кибербезопасности является документ "Критические меры безопасности для эффективной киберзащиты" (Critical Security Controls for Effective Cyber Defense) от международного Совета по вопросам кибербезопасности (The Council on CyberSecurity), в свое время этим документом так же занимался SANS.

Документ на 106 страниц включает 20 мер (Контролей), содержащих подразделы. По сути это тот самый перечень мер, внедрение которых позволяет снизить риски ИБ с их дополнительной категоризацией по приоритетности. Отечественными аналогами служат 17 и 21 приказы ФСТЭК.

Интересной особенностью стандарта является наличие в нем списка мер, которые следует внедрить в первую очередь, итак:

Матрица доступа для виртуальных подсетей

The Matrix has you... (C)

Заметка о настройке правил доступа между виртуальными локальными сетями (VLAN) в локальной вычислительной сети организации.

Технические аспекты настройки оборудования рассматриваться не будут, целевая аудитория сотрудники ИБ, перед которыми стоит задача организовать внедрение VLAN и определить правила настройки их доступа с позиции максимальной защищенности сети. 

GMail vs Архив с паролем: печальные последствия хороших начинаний

Иногда возникает такая задача - передать по электронной почте документ, подлежащий особой защите, который не следует передавать в открытом виде.

Удобным способом, без привлечения сторонних средств шифрования, является его архивация с установкой пароля на архив. Практически все архиваторы имеют функцию установки пароля.

Часто, используя архивы с паролем происходят рассылки вирусов. Лично мне попадались такие письма с предложениями оплатить или проверить счета, посмотреть мои "заявки" и документы.

GMail, проявляя предусмотрительность и заботу о безопасности пользователей, стал блокировать запароленые архивы. Что конечно от части логично, но вот предупредить об этом пользователей, как отправляющих так и принимающих такие файлы, забыли.