Завтраком я бы это не назвал - меня даже охрана отеля на завтрак в другое место пыталось отправить ("все завтраки у нас там!":) - скорее все-таки формат мини-конференции (с кофе-брейками и булками и бутербродами, все как положено). Мероприятие вчера компания Pointlane провела впервые и "первый блин" совсем не "комом". По крайней мере мне как по организации, так и по наполнению понравилось.
name="more">
Программа конференции вчера попала на глаза моей хорошей знакомой. Она, увидев среди "5 шагов к комплексной безопасности" (название первой секции, которую провел Павел Мельников ) такие шаги как "определяемся: что мы защищаем, зачем и кому это нужно" и "как продать информационную безопасность руководству" воскликнула: "серьезно?! вы на конференциях такое обсуждаете?". Она, будучи по образованию психологом, сделала свои выводы... и пока не сталкивалась с тем, что ответ на вопрос "а зачем меня взяли на работу?" для ряда профессий (особенно для начинающих специалистов) может быть нетривиальным. Я, честно говоря, даже на вскидку ни одной другой такой профессии не могу привести.
Владимир Лебедев рассказал про новые (относительно) веяния направление защиты от РКН персональных данных. Собственно Pointlane изначально организовывалась как консалтер в области защиты персональных данных. Понравилось то, что Владимир предлагает рассматривать ПДн как часть конфиденциальной информации в организации и подходить к их защите соответствующие, а уже потом "закрывать" оставшиеся несоответствия требованиям регуляторов. (Понравилось, потому что мы - молодцы! - мы так и сделали).
А вот новой для меня стала информация, что РКН многократно не мог оштрафовать за нарушения требований 152-ФЗ и подзаконных организации, в которых проводились внеплановые проверки в связи с небольшим нюансом. Основанием для проверок служит 294-ФЗ и административный регламент самого РКН . Вот только ФЗ на то и ФЗ, что внеплановые проверки должны быть на его основании. Т.е.:
1) истечение срока исполнения юридическим лицом, индивидуальным предпринимателем ранее выданного предписания об устранении выявленного нарушения обязательных требований и (или) требований, установленных муниципальными правовыми актами;
2) поступление в органы государственного контроля (надзора), органы муниципального контроля обращений и заявлений граждан, юридических лиц, индивидуальных предпринимателей, информации от органов государственной власти, органов местного самоуправления, из средств массовой информации о следующих фактах:
а) возникновение угрозы причинения вреда жизни, здоровью граждан, вреда животным, растениям, окружающей среде, безопасности государства, а также угрозы чрезвычайных ситуаций природного и техногенного характера;
б) причинение вреда жизни, здоровью граждан, вреда животным, растениям, окружающей среде, безопасности государства, а также возникновение чрезвычайных ситуаций природного и техногенного характера;
в) нарушение прав потребителей (в случае обращения граждан, права которых нарушены).
Теперь отметим некоторые отличия с административным регламентом РКН:
38. Внеплановые проверки проводятся по следующим основаниям:
38.1. Истечение срока исполнения Оператором ранее выданного предписания об устранении выявленного нарушения установленных требований законодательства Российской Федерации в области персональных данных.
38.2. Поступление в Службу или ее территориальные органы обращений и заявлений граждан, юридических лиц, индивидуальных предпринимателей, информации от органов государственной власти, органов местного самоуправления, из средств массовой информации, в том числе о следующих фактах:
38.2.1. Возникновение угрозы причинения вреда жизни, здоровью граждан.
38.2.2. Причинение вреда жизни, здоровью граждан.
38.3. Приказ руководителя Службы или руководителя территориального органа Службы, изданный в соответствии с поручениями Президента Российской Федерации, Правительства Российской Федерации.
38.4. Нарушение прав и законных интересов граждан действиями (бездействием) Операторов при обработке их персональных данных.
38.5. Нарушение Операторами требований законодательства Российской Федерации в области персональных данных, а также о несоответствии сведений, содержащихся в уведомлении об обработке персональных данных, фактической деятельности.
Соответственно, когда проверка выполнялась по одному из выделенных цветомпунктов происходила... РКН создавал оказию для признания проверки незаконной.
На еще одной секции Карен Карагедян из StoneSoft (вернее теперь уже из McAfee, вернее уже из Intel Security Group) рассказал, что теперь благодаря интеграции StoneSoft/McAfee/Intel их компания способна моновендорно обеспечить ИБ компании (что, разумеется снимает множество проблем, в первую очередь совместимости, сопровождения и управления). Крайне хотел бы услышать опыт живой компании, которая внедрила подобную моновендорную систему защиты...Про "использование проактивных техник для выявления мошеннических действий в организациях" рассказывал Роман Горбань . Я в этой теме немного не в теме... но ретранслирую забавный кейс из доклада по поводу анализа социальных медиа.
Некая сеть ресторанов быстрого питания заказала аналитику на тему - "а кто наш потребитель?". Анализ показал, что это молодые люди, которые:
а) курят травку
б) смотрят порно
в) играют в видеоигры
На основе анализа был сделан "продукт-плейсмент" этих фаст-фудов в фильме "Гарольд и Кумар уходят в отрыв", что подняло объем продаж.
Про технологию визуального анализа данных рассказывал Данила Косенков из компании РДТЕХ . Используя механизмы Oracle и IBM i2 представленное решение рисует очень интересные картинки. Может быть кто-то видел, как в DLP от Falcongaze выглядят графы отношений между отправителями и получателями? Тут примерно та же история, только грани графа подкрашиваются различными цветами на основании лингвистического анализа. При большом объеме трафика в таком режиме можно легко визуально увидеть точки, вокруг которых сосредоточены грани определенного цвета и на основании этого делать выводы... в данном случае, вероятно, о мошеннических действиях.
В следующий раз организаторы посулили рассказать об wi-fi'ных угрозах (продемонстрировав во время конференции их актуальность сэмулировав "стандартную" и "бесплатную" точки доступа) и наградили всех участников коробками конфет, порекомендовав воспользоваться ими в целях внутреннего (или внутрисемейного) маркетинга.
