Хакспейс в Новосибирске.

Несколько слов о месте где будет хакспейс PHD III. Мне удалось договориться с Новосибирским академпарком о размещении на их территории хакспейса. Фактический мне удалось вклинится в предпринимательский конкурс БИТ-Сибирь, который стартует 20 мая и итоги будут подводиться на следующий день после PHD.
Сам академпарк – это комплекс современных зданий на территории Новосибирского научного центра. Академгородок очень интересное и красивое место, а в технопарке собрались неординарные люди. Даже интересно, что получится если объединить технопарк и хакерское сообщество.
Регистрация на мероприятие здесь. Участие бесплатно.
Ну и несколько фотографий.

Площади IT инкубатора.

Вид на кафе в инкубаторе.

Оригинальные знаки:

Хакспейс в Новосибирске

Компания ООО «СИБ» 23-24 мая организует в г. Новосибирск хакспейс Positive Hacker Days 

В планах:

1. Проведение Новосибирского CFT для начинающих команд. 

2. Проведение мини конференции по вопросам безопасности, но в смежных с PHD mainstream областях. Уже подтверждены доклады по защите авторского права на примере спора Apple и Samsung и рассказ о методах конкурентной разведки в social media.

3. Проведем хакерский QUIZ. Что это такое расскажу позже.

И конечно же у нас будет 6 площадок с самого мероприятия, свободный WiFi и конкурсы от компании Positive Technolohies 

Участие бесплатное. Необходима регистрация, потому, что мы планируем организовать обеды для участников.

Про «бумажную» и не очень безопасность.

Когда в  начале и середине 90-х я начинал изучать информационную безопасность вопрос человеческого фактора в комплексной системе информационной безопасности не рассматривался в принципе.  В какие-то моменты времени складывалось впечатление, средства защиты информации развились настолько, что стало дешевле купить человека, чем преодолевать механизмы защиты.

После этого появился ряд международных стандартов уделявших особое внимание работе с персоналом. И слова с которых начинались выступления на конференциях в начале 90-х: «проблема безопасности требует комплексных решений» стали воплощаться в жизнь, в начале в виде непонятной многим «политики безопасности», а потом на основе полученного опыта в виде системы регламентирующих документов.

Очевидно, что неизбежно разделение на практиков и теоретиков. Это естественный процесс. Но необходимо понимание, что безопасность так и осталась комплексной проблемой требующей соответствующего решения.

Думаю, что специалист по информационной безопасности 10-х годов XXI века должен демонстрировать хорошие компетенции на стыке IT, права и психологии. В реальной жизни на объекте пользы мало от чистого «теоретика» и чистого хакера. Это при разговоре с потенциальным заказчиком демонстрация уязвимости его системы хороша. Но хакер бесполезен, когда отдел маркетинга при планировании PR акций сливает всю конфиденциальную информацию, включая know-how подрядчику. Так же как бесполезны тонны инструкций, если ядром сети управляет нечистый на руку оутсорсер или на систему не ставятся критические update. 

Студенческая конференция.

В апреле Новосибирский Государственный Университет в 51-й раз проводит Международную научную студенческую конференцию "Студент и научно-технический прогресс". Как член оргкомитета, приглашаю школьников (есть секция для школьников), студентов и аспирантов всех исследовательских направлений принять участие в конференции. 

Последние пять лет я был председателем подсекции "Защита информации". В этом году пока не утвердили, но студентам и аспирантам, которые работают со мной или проходят производственную практику в моей организации участие в конференции обязательно.

Ссылки:

1. Сайт конференции.

2. Информационное письмо.

3. Информационнео письмо для школьников.

4. Плакат школьной секции.

Правовое поле

В процессе подготовки к выступлению на клубе IT директоров по проблеме безопасности и подготовке к круглому столу «ИБ АСУ ТП КВО» пришлось за короткое время проштудировать большое количество НПА по информационной безопасности. В ходе работы сложилось ощущение, что правовое поле меняется. Особенно это заметно, когда сопоставляешь НПА начала века и двух-трех летней давности. Есть ощущение смены парадигмы и людей. 

Учитывая особенности контролирующих органов и  инерционность законодателя динамика неожиданно стала вызывать положительные эмоции.

Постановление 1119

Постановление не однозначно... Комментировать без документов ФСТЭК и ФСБ не вижу смысла. Но ожидания самые не радужные, особенно учитывая, что документы обещают уже к началу декабря.
Коллеги уже высказались о новом документа, для подтверждения неоднозначности сошлюсь на Алексея Лукацкого и Михаила Емельянникова.
От себя добавлю картинку, которая говорит о многом, почти как «Квадрат Малевича».

Что такое конфиденциальность?

С коллегой, в ходе дискуссии на тему защиты коммерческой тайны и принципов патентования решили раскопать понятие конфиденциальности.

Оттолкнулись от того, очевидно слово заимствованное (конфиденциальность от лат. confdentia – доверие) и посмотрели в Dictionary of Contemporary English от Longman, который определяет конфиденциальность как «a situation in which you trust someone not to tell secret or private information to anyone else» (ситуацию в которой вы доверяете кому либо  не рассказывать секрет или частную информацию  кому-то еще). 

Так же было обнаружено не внятное определение у Ожегова подразумевающее доверие секрета.

Далее мы обратились к терминам и определениям коллег из США: Assurance that information is not disclosed to unauthorized entities or processes; an Information Exchange characteristic (Уверенность, что информация не раскрыта неавторизированным лицам или процессам; характеристика информационного обмена). 

И здесь, из определения пропала ссылка на секрет. Т.е. при проведении мероприятий по обеспечению информационной безопасности мы можем установить требования по конфиденциальности к любой информации, даже если она в соседнем здании нарисована на стене. Понятно, что при составлении определения авторы исходили из предположения, что трактовать его будут нормальные люди, для которых очевидно, что не раскрывать надо именно секретную информацию. Но не надо забывать, что у нас ещё есть и юристы. Кстати коллеги в США разделяют понятия обязательной конфиденциальности (Secrecy) и добровольной  (Privacy).

Есть ФЗ «Об информации, информационных технологиях и о защите информации»: конфиденциальность определяется как обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя.  

Ну и для полноты картины посмотрим  статью 7 ФЗ-152 «Конфиденциальность персональных данных»:

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Как видим, определения вполне тождественны, но  «уверенность» сменилась обязанностью, а объект защиты стал произвольным. В результате этой занимательной эволюции мы сейчас защищаем паспортные данные от не разглашения и нераспространения, указывая их везде, начиная от Банков и Налоговой и заканчивая трудоустройством и  заявлениями в ЖЭК.

И здесь мне чудится еще одна возможная проблема: Поскольку на уровне Закона паспортные данные защищены и конфиденциальны, то почему бы нам не использовать для удаленной авторизации знание клиента своих паспортных данных, как это делает, например МТС при обращении в службу поддержки. Или еще, как ни будь…

Думаю, надо помнить, что свойство секретности не восстановимо и став известно неограниченному кругу лиц информация уже никогда не станет секретной снова.