Re: [Sysadmins] IT policy

Re: [Sysadmins] IT policy

[Michael Shigorin]

On Thu, Aug 23, 2007 at 02:44:20PM +0400, Алексей Шенцев wrote:
> Миш, такой вопрос: на opennet.ru ты говорил, что у твоего
> коллеги есть диск с определениями политик ИТ-безопасности. А
> можно как-нибудь с него получить инфу?

Не диск, а архивчик.

> Если бы ты мог выложить содержимое сего диска в инет, я бы
> скачал его весь. А то меня достали уже в конторе - сделай
> политику информационной безопасности, да сделай. Ну не спец я в
> этом и вообще сиё есть работа службы безопасности. Они за это
> деньги получают.

Радуйся, что спросили тебя.  Настрогали бы "получающие деньги",
а выполнять-отвечать небось тебе было.

> Я ради этого в sysadmins@ поднимал тему, да только она вылилась
> в [...]

И всё-таки пошли в sysadmins@, а я ему Bcc: дам.

2 mrkooll: помнится, тебе тоже было что сказать?

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] IT policy

[Алексей Шенцев]

В сообщении от Thursday 23 August 2007 14:55:36 Michael Shigorin написал(а):
> On Thu, Aug 23, 2007 at 02:44:20PM +0400, Алексей Шенцев wrote:
> > Миш, такой вопрос: на opennet.ru ты говорил, что у твоего
> > коллеги есть диск с определениями политик ИТ-безопасности. А
> > можно как-нибудь с него получить инфу?
>
> Не диск, а архивчик.

Да хоть что, что можно было почитать и подумать, как дальше двигаться в этом 
направлении.

>
> > Если бы ты мог выложить содержимое сего диска в инет, я бы
> > скачал его весь. А то меня достали уже в конторе - сделай
> > политику информационной безопасности, да сделай. Ну не спец я в
> > этом и вообще сиё есть работа службы безопасности. Они за это
> > деньги получают.
>
> Радуйся, что спросили тебя.  

Ой, как я рад, как я рад ... 

> Настрогали бы "получающие деньги", 

Да же и представлять не буду ...

> а выполнять-отвечать небось тебе было.

эт точно ...
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Sysadmins] IT policy

[Maxim Tyurin]

Алексей Шенцев writes:

> В сообщении от Thursday 23 August 2007 14:55:36 Michael Shigorin написал(а):
>> On Thu, Aug 23, 2007 at 02:44:20PM +0400, Алексей Шенцев wrote:
>> > Миш, такой вопрос: на opennet.ru ты говорил, что у твоего
>> > коллеги есть диск с определениями политик ИТ-безопасности. А
>> > можно как-нибудь с него получить инфу?
>>
>> Не диск, а архивчик.
>
> Да хоть что, что можно было почитать и подумать, как дальше двигаться в этом 
> направлении.

А какие именно IT policy нужно? Это достаточно широкое понятие.

-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
   ___                                 
  / _ )__ _____  ___ ____ _______ _____
 / _  / // / _ \/ _ `/ _ `/ __/ // (_-<
/____/\_,_/_//_/\_, /\_,_/_/  \_,_/___/
               /___/  

Re: [Sysadmins] IT policy

[Алексей Шенцев]

В сообщении от Thursday 23 August 2007 15:51:06 Maxim Tyurin написал(а):
<skip>
> А какие именно IT policy нужно? Это достаточно широкое понятие.

Политика корпоративной информационной безопасности в России. Точнее пока не 
сформулирую. Хоть что то в этой области на почитать, подумать и дальше 
двигается в этом направлении, составляю ону политику под конкретное 
предприятие.

-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Sysadmins] IT policy

[Алексей Шенцев]

В сообщении от Thursday 23 August 2007 16:25:31 Maks Re написал(а):
> у меня в архивах есть одно деявние, одной маленькой компании российской...
> если удалить все упоминания про эту совсем маленбкую контору, - то можно
> перестраивать под себя...
> я так и делаю...

А можно сиё изделие как то получить?
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Sysadmins] IT policy

[Maxim Tyurin]

Алексей Шенцев writes:

> В сообщении от Thursday 23 August 2007 15:51:06 Maxim Tyurin написал(а):
> <skip>
>> А какие именно IT policy нужно? Это достаточно широкое понятие.
>
> Политика корпоративной информационной безопасности в России. Точнее пока не 
> сформулирую. Хоть что то в этой области на почитать, подумать и дальше 
> двигается в этом направлении, составляю ону политику под конкретное 
> предприятие.

Начать отсюда:
http://www.networkdoc.ru/doc/instr.html
http://www.networkdoc.ru/doc/workdoc.html

Потом купить книгу С.А.Петренко, В.А.Курбатов "Политики информационной
безопасности" (она ИМХО единственная российская и отражающая местную
специфику) и по ней писать.
Еще, как для начала, чтоб понять тему мне нравится книга С.Бармен
"Разработка правил информационной безопасности".

P.S. Но дело в том что политики ИТ безопасности это процесс.
Их постоянно нужно обновлять, проверять как они исполняются и т.д.
Если нет человека с соотв. квалификацией и полномочиями который этим
будет заниматься постоянно то ИМХО с политиками нечего связываться.
Получите "филькину грамоту". Правда может кой-какая польза от этой
грамоты и будет. Но тоже не факт.
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
   ___                                 
  / _ )__ _____  ___ ____ _______ _____
 / _  / // / _ \/ _ `/ _ `/ __/ // (_-<
/____/\_,_/_//_/\_, /\_,_/_/  \_,_/___/
               /___/  

Re: [Sysadmins] IT policy

[Maxim Ivanov]

Алексей Шенцев пишет:
> В сообщении от Thursday 23 August 2007 15:51:06 Maxim Tyurin написал(а):
> <skip>
>   
>> А какие именно IT policy нужно? Это достаточно широкое понятие.
>>     
>
> Политика корпоративной информационной безопасности в России. Точнее пока не 
> сформулирую. Хоть что то в этой области на почитать, подумать и дальше 
> двигается в этом направлении, составляю ону политику под конкретное 
> предприятие.
>
>   
Простите, вставлю свои пять копеек.
Я безопасностью занимался последние десять лет. Но могу сказать одно:
безопасность государственных структур и безопасность коммерческих структур
принципиально отличаются. Хотябы потому, что информационная безопасность
в коммерческих структурах - это на 95%  - защита от государства Российского.
Поэтому первой строкой во всех моих документах всегда шел полный отказ
от каких-либо сертифицированных ФАПСИ и, упаси Боже, ФСБ, продуктов.
__________________
С уважением, Максим Иванов

Re: [Sysadmins] IT policy

[Алексей Шенцев]

В сообщении от Thursday 23 August 2007 16:40:54 Maxim Ivanov написал(а):
> Простите, вставлю свои пять копеек.
> Я безопасностью занимался последние десять лет. 

С удовольствием послушаю Вас.

> Но могу сказать одно: 
> безопасность государственных структур и безопасность коммерческих структур
> принципиально отличаются. 

Ну это естественно разные вещи.

> Хотябы потому, что информационная безопасность 
> в коммерческих структурах - это на 95%  - защита от государства
> Российского. 

Хм. У нас сиё не очень применимо, ибо мы, ОАО "Новороссийский судоремонтный 
завод", выполняем часто госзаказы, а именно ремонт судов, в первую очередь 
боевых, Черноморского флота России. Сами понимаете специфику конторы ... 

> Поэтому первой строкой во всех моих документах всегда шел 
> полный отказ от каких-либо сертифицированных ФАПСИ и, упаси Боже, ФСБ,
> продуктов. 

А почему пояснить подробней можете?

-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Sysadmins] IT policy

[Konstantin A. Lepikhov]

Алексей Шенцев пишет:
...
>> Поэтому первой строкой во всех моих документах всегда шел 
>> полный отказ от каких-либо сертифицированных ФАПСИ и, упаси Боже, ФСБ,
>> продуктов. 
> 
> А почему пояснить подробней можете?
> 
видимо, боятся наших (отечественных) руткитов и скрытых каналов, которые 
могут быть встроены в такие продукты. Хотя, смысла в покупке аналогичных 
  поделий от зарубежных компаний имхо тоже немного.

Re: [Sysadmins] IT policy

[Алексей Шенцев]

В сообщении от Thursday 23 August 2007 17:08:28 Konstantin A. Lepikhov 
написал(а):
> видимо, боятся наших (отечественных) руткитов и скрытых каналов, которые
> могут быть встроены в такие продукты. Хотя, смысла в покупке аналогичных
>   поделий от зарубежных компаний имхо тоже немного.

Про зарубежные я молчу, особенно если они без исходного кода.
А про наши ... 
Раньше, на советских ВЦ, все программы принимались только в исходном виде и 
подвергались проверке на наличие скрытых возможностей, ошибок ..
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Sysadmins] IT policy

[Konstantin A. Lepikhov]

Алексей Шенцев пишет:
> В сообщении от Thursday 23 August 2007 17:08:28 Konstantin A. Lepikhov 
> написал(а):
>> видимо, боятся наших (отечественных) руткитов и скрытых каналов, которые
>> могут быть встроены в такие продукты. Хотя, смысла в покупке аналогичных
>>   поделий от зарубежных компаний имхо тоже немного.
> 
> Про зарубежные я молчу, особенно если они без исходного кода.
> А про наши ... 
> Раньше, на советских ВЦ, все программы принимались только в исходном виде и 
> подвергались проверке на наличие скрытых возможностей, ошибок ..
сейчас эта процедура очень коммерциализирована. +Где вы найдете сейчас 
специалистов, которые смогут проверить, например, исходники средних 
размеров дистрибутива за приемлемое время?

Re: [Sysadmins] IT policy

[Maxim Ivanov]

Алексей Шенцев пишет:
> В сообщении от Thursday 23 August 2007 17:08:28 Konstantin A. Lepikhov 
> написал(а):
>   
>> видимо, боятся наших (отечественных) руткитов и скрытых каналов, которые
>> могут быть встроены в такие продукты. Хотя, смысла в покупке аналогичных
>>   поделий от зарубежных компаний имхо тоже немного.
>>     
>
> Про зарубежные я молчу, особенно если они без исходного кода.
> А про наши ... 
> Раньше, на советских ВЦ, все программы принимались только в исходном виде и 
> подвергались проверке на наличие скрытых возможностей, ошибок ..
>   
Это было, возможно, раньше.
Хорошо, я поясню свою позицию.
Когда у меня перед офисом уже начинают выгружаться люди из физической защиты
налоговой (т.н. "маски-шоу"), то зарубежному дяденьке все равно, 
сработают у меня
устройства уничтожения или нет. А вот устройства (и ведь действительно 
неплохие!)
"ЗАО Анна" - я в них уже не уверен. Когда счет идет на миллионы долларов 
в черном
виде (надеюсь, дискуссии по поводу необходимости честно платить налоги не
возникнет) - мне важно, чтобы ничто не попало в чужие руки.
Подобных примеров можно привести множество.
Ну и последний пример: как Вы думаете, почему OpenPGP  никогда не будет
сертифицирован на территории России?
____________________
С уважением,
Максим Иванов
 

Re: [Sysadmins] IT policy

[Алексей Шенцев]

В сообщении от Thursday 23 August 2007 17:22:14 Maxim Ivanov написал(а):
> Ну и последний пример: как Вы думаете, почему OpenPGP  никогда не будет
> сертифицирован на территории России?
Да же и не задумывался по чему. Объясните?
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Sysadmins] IT policy

[Алексей Шенцев]

В сообщении от Thursday 23 August 2007 17:16:35 Konstantin A. Lepikhov 
написал(а):
> сейчас эта процедура очень коммерциализирована. 
Эт да ...

> +Где вы найдете сейчас специалистов, которые смогут проверить, например,
> исходники средних размеров дистрибутива за приемлемое время?

Интересно, сколько времени проходил проверку "Утёс-К"?
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Sysadmins] IT policy

[Konstantin A. Lepikhov]

Maxim Ivanov пишет:
> Алексей Шенцев пишет:
>> В сообщении от Thursday 23 August 2007 17:08:28 Konstantin A. Lepikhov 
>> написал(а):
>>   
>>> видимо, боятся наших (отечественных) руткитов и скрытых каналов, которые
>>> могут быть встроены в такие продукты. Хотя, смысла в покупке аналогичных
>>>   поделий от зарубежных компаний имхо тоже немного.
>>>     
>> Про зарубежные я молчу, особенно если они без исходного кода.
>> А про наши ... 
>> Раньше, на советских ВЦ, все программы принимались только в исходном виде и 
>> подвергались проверке на наличие скрытых возможностей, ошибок ..
>>   
> Это было, возможно, раньше.
> Хорошо, я поясню свою позицию.
> Когда у меня перед офисом уже начинают выгружаться люди из физической защиты
> налоговой (т.н. "маски-шоу"), то зарубежному дяденьке все равно, 
> сработают у меня
> устройства уничтожения или нет. А вот устройства (и ведь действительно 
> неплохие!)
> "ЗАО Анна" - я в них уже не уверен. Когда счет идет на миллионы долларов 
> в черном
> виде (надеюсь, дискуссии по поводу необходимости честно платить налоги не
> возникнет) - мне важно, чтобы ничто не попало в чужие руки.
> Подобных примеров можно привести множество.
пример неадекватен. Про сертификацию какого рода идет речь? Давайте 
тогда будем покупать иномарки, потому что нельзя доверять отечественным 
машинам, вдруг они будут глохнуть перед гаишниками ;)

> Ну и последний пример: как Вы думаете, почему OpenPGP  никогда не будет
> сертифицирован на территории России?
А вот это уже явно не в тему - зачем вообще сертифицировать OpenPGP, 
если уже есть сертифицированные токены?