Нужна ли информационная безопасность или вести с полей

Нафиг идите со своими паролями. За месяц 2 затраха уже было, z60m и t480, еле убрал. В одном чип безопасности обошёл, во втором прошивку мульта разобрал. Ну их, такие развлечения.

модель угроз, концепция безопасности, формуляры, аттестации, СКЗИ, РЭБ

Как правило, «безопасники», которые носятся со всеми этими красными словами, сами ничего настроить и внедрить не могут. И, соответственно, понимания как правильно настроить, внедрить и, самое главное, ДОНЕСТИ до конечного пользователя - нет никакого.
Сегодня Начальник отдела информационной безопасности и специалист по информационной безопасности - это какие-то совершенно левые люди, подавляющее большинство даже эникеем никогда не работало, не говоря про админство. Нахватались какой-то фигни, и бегают пугают вышестоящее руководство.
Я сам на днях ушел из этой «безопасности» обратно в ИТ. Могу точно сказать, что гораздо больше уровень безопасности зависит от ИТ, чем от каких-то мутных ребят, рассказывающих про СКЗИ, ФЗ, персональные данные и т.д.
Придёт время, и безопасников перестанут считать богами и платить дофига за болтологию (как произошло с админами).

Ну так пароли в организациях надо выставлять не так чтобы самиЮ а через централизованную систему - AD или какой иной LDAP

Потому что пароль 12345678 как стоял на всех вайфаях

Ставишь нормальный пароль. Кому надо, тот подключается. На рабочих девайсах преднастройка. Вход в систему через хардварные токены, чтобы бумажки с паролями не писали. Утеря штраф. :)

Я сам на днях ушел из этой «безопасности»

Да, созидательная деятельность, она для здоровья лучше

мутных ребят

А ведь сейчас кричат что их не хватает, я так понял они хотят вырастить целую категорию граждан, с ВО и с правом решать как работать этому ИТ.

Придёт время, и безопасников перестанут считать богами и платить дофига за болтологию

Пока много платить не обещают, разговоры идут о том, что хлеб этот будет надежным, то есть всегда можешь рассчитывать на что-либо в любой фирме

Каково маше мнение.

Нужно полностью освободить мозги человеков от паролей и другой мусорной информации. Пущай носютъ в карманах твёрдотельные брелки с паролями, как ключи от квартиры, машины, сейфа. Для важной инфы — дубликаты, хранящиеся в арендуемых ячейках паролехранилищ ФСБ, ЦРУ, Моссада, Спортлото, … :)

Всё схвачено, админы которые хотят бабла, эволюционируют в DevOps, безопасники в SecOps, а особо пронырливые в DevSecOps

В общем сейчас форсим основы ИБ в массы. Народ сопротивляется и даже на вопросы о планируемых мероприятиях отвечает неохотно.

Ты про что вообще говоришь, если народ в своей массе отказался от наличных и пользуется картами. И товарищь майор знает о них не их маленькие личные секретики, а где, когда, что и почем они покупали.

И к мобильникам все приросли хлебалами и теперь где они и с кем они тоже известно.

Потому что пароль 12345678 как стоял на всех вайфаях страны так и стоит. Компы запароливать в этих детских садах как не запароливали так и продолжают.

Ну и зачем вообще пароли в детских садах? От детей защищаться? У меня на работе вообще открытый WiFi, без всяких паролей. Потому что есть охрана (как, кстати, и в детских садах), и всякий сброд просто так не шатается. А гостям и коллегам из других организаций удобно.

Ну и зачем вообще пароли в детских садах?

Согласен, но там же перс-анальные даннннные…. ууууууууу!

И товарищь майор знает о них не их маленькие личные секретики, а где, когда, что и почем они покупали.

И что в этом плохого?

и теперь где они и с кем они тоже известно.

Это создает лично Вам какие-то проблемы? Мне, например, не создает.

Согласен, но там же перс-анальные даннннные…. ууууууууу!

Как связаны персональные данные и публичный WiFi?

потому что во всех этих организациях в 99,9% - это просто точка, которая подключает к сети организации со всеми табелями и одинэсками в шарах.

потому что во всех этих организациях в 99,9% - это просто точка, которая подключает к сети организации со всеми табелями и одинэсками в шарах.

А смысл? Я плохо себе представляю администрацию детского сада, но не думаю, что там больше одного бухгалтера (если вообще он есть, не исключено, что бух. учет идет централизованно). Какой смысл выкладывать эти данные в общий доступ, если нужны они одному человеку?

Народ сопротивляется

Это тот же народ, который у себя дома для смены пароля своего(!) WiFi звонит провайдеру, тот подключается к их (!!) домашнему роутеру (!!!) и по телефону им говорит новые цифры (!!!!) их пароля. Сам видел. Прям кушать два дня не мог.

Да конечно гнать их давно пора, но все далеко не так просто как вы говорите.

Перс-анал нашего типового сада это 4-5 человек в бух-ии

а по факту будет

В «этой стране» это называется «театр безопасности», в нем показывают спектакли не для безопасности а для освоения бюджета.

Перс-анал нашего типового сада это 4-5 человек в бух-ии

Обалдеть! И это при том, что один(!) бухгалтер совершенно спокойно обслуживает полтора десятка мелких предприятий. Чего там делать такому количеству народа? Драться за право нажать кнопку по расчету зарплаты?

Нужно полностью освободить мозги человеков от паролей и другой мусорной информации. Пущай носютъ в карманах твёрдотельные брелки с паролями, как ключи от квартиры, машины, сейфа. Для важной инфы — дубликаты

Толково. Если на один брелок влезают разные ключи к 100500 сайтам, и сайт чужой пароль не прочитает.

Ну и зачем вообще пароли в детских садах? От детей защищаться?

Как минимум, compliance. ЕМНИП, есть какое распоряжение роскомсвязьнадзора об идентификации абонентов. А организовать WiFi так, что бы он был недоступен снаружи - задача не для детсада.

У меня на работе вообще открытый WiFi, без всяких паролей. Потому что есть охрана (как, кстати, и в детских садах), и всякий сброд просто так не шатается. А гостям и коллегам из других организаций удобно.

Не в курсе, что у вас за работа, и как там организован WiFi. Если из него не доступа во внутреннюю сеть - то пуркуа бы и не па? Но надо смотреть конкретику.

Как правило, «безопасники», которые носятся со всеми этими красными словами, сами ничего настроить и внедрить не могут.

Это называется «соответствие требованиям регуляторов». Люди, которые этим занимаются, не админы и им не надо.

Я сам на днях ушел из этой «безопасности» обратно в ИТ. Могу точно сказать, что гораздо больше уровень безопасности зависит от ИТ, чем от каких-то мутных ребят, рассказывающих про СКЗИ, ФЗ, персональные данные и т.д.

Что-то у тебя немножко каша в голове, в которой смешались кони и пони. От админа зависит, выхватит ли компания от ФСТЭКа за несоответствие? Или будет ли в компании режим КТ?

Или тебя занесло в орган по аттестации? Они - да, могут привить лютую ненависть ко всему, связанному с ИБ.

Придёт время, и безопасников перестанут считать богами и платить дофига за болтологию (как произошло с админами).

Ггг, это в ИТ-то перестали платить?

Если из него не доступа во внутреннюю сеть - то пуркуа бы и не па?

2 ESSID в разных vlans, для подключения к первому используется авторизация через связку из радиус-сервера и AD - это для сотрудников, соответственно, есть достп в локальную сеть. Второй ESSID публичный (без авторизации). Этот vlan не имеет доступа в локальную сеть, только в Internet. Это для гостей.

2 ESSID в разных vlans, для подключения к первому используется авторизация через связку из радиус-сервера и AD - это для сотрудников, соответственно, есть достп в локальную сеть.

Это совершенно нормально. Я бы даже сказал, оч хорошо.

Второй ESSID публичный (без авторизации). Этот vlan не имеет доступа в локальную сеть, только в Internet.

Условно-нормально, при наличии контроля доступа на территорию и грамотно спроектированной БЛВС (не ловится за пределом контролируемой территории).

Условно, т.к. я не в курсе, как у вас организовано разграничение доступа между публичной БЛВС и корпоративной сетью. Неоднократно видел, как это делали на уровне физики, но там и корпоративный вифи не имеет доступ к внутренней сети.

Вложат в это деньги

Не вложат, а освоят. За недоосвоение депремируют.

формуляры

Подписаны ответственными, значит всё ок!

Как правило, «безопасники», которые носятся со всеми этими красными словами, сами ничего настроить и внедрить не могут. И, соответственно, понимания как правильно настроить, внедрить и, самое главное, ДОНЕСТИ до конечного пользователя - нет никакого.

а ты пробовал доводить? и как? я пробовал. придумал много новых матерных слов.

проблемы основных две:
а) разночтения что такое иб, и как следствие разница в подходах по реализации.
б) разное качество обслуживающего персонала, соответственно возрастающая нагрузка на тех, кто разбирается.
эти проблемы рождают необходимость нормотворчества, ибо по-другому никак.

ты в курсе, что к угрозам иб следовало бы отнести и ресурсы, транслирующие фейки и нагнетающие истерию? как их формализовать? ты пытался наставить на путь истинный пользователя смарта, которому кажется, что он один во всём разбирается? я пытался. и пришёл к незамысловатому выводу, что надо брать всё в свои руки и городить свою иб с блэкджеком и шлюхами.

и т.д. говорить просто. тыкать пальцем ещё проще. а ты попробуй сам. даже обладатели погон (не важно каких) не всегда в состоянии понять масштаб трагедии хотя казалось бы.

а ты зачем интересуешься?

при наличии контроля доступа на территорию и грамотно спроектированной БЛВС (не ловится за пределом контролируемой территории).

Оба условия выполняются (вокруг здания охраняемая территория с контролем доступа).

как у вас организовано разграничение доступа между публичной БЛВС и корпоративной сетью.

Как уже писал выше, разные vlans. Доступ к vlan локальной сети из vlan с публичным WiFi закрыт средствами iptables на маршрутизаторе.

Это создает лично Вам какие-то проблемы? Мне, например, не создает.

В любой момент может создать, вот это само по себе и есть проблема. Был бы человек на радаре, а за что гнобить всегда найдется, нет человека нет и проблем.

Это как доброкачественная опухоль, можно и с ней годами жить, но ведь лучше без нее, правда ?

Был бы человек на радаре, а за что гнобить всегда найдется, нет человека нет и проблем.

Эту проблему нужно решать по-другому - не техническими, а социальными средствами. Грубо говоря, не ломать радар, а создавать такое общество, где никто никого не гнобит.

Потому что в нормальном обществе постоянный контроль за координатами человека, его состоянием может приносить пользу - например, если внезапно стало плохо, вызвать скорую помощь.

А решать социальные проблемы техническими средствами заведомо бесперспективно. Вы можете сколько угодно шифроваться, прятать лицо от камер, отказаться от мобильной связи, банковских карт - но все это не приведет к достижению обозначенной Вами цели, войну со спец. службами Вы все равно проиграете, разве что продержитесь чуть дольше, чем обычные люди.

Единственный шанс на победу в такой ситуации - законодательное ограничение полномочий спец. служб, постановка их деятельности под полный контроль гражданского общества.

Что значит кому надо? Нужно как в игровом клубе) За час заплатил а потом или продлил или на воздух))) А лучше как в аэропортах Час бесплатно а потом стоп трафик.

Когда наконец до вас дойдет что технические проблемы можно решать только техническими средствами, радара не должно быть, т.к. им всегда будут злоупотреблять, независимо ни от каких законов.

Сноуден еще в 2013 все рассказал и показал, что с тех пор изменилось к лучшему, кто-то понес ответственность, кто-то сел ? программы слежки были свернуты ? И это мы сейчас говорим про светоч демократии, где вроде как верховенство закона, права и бла бла бла. Было нарушено всё что только можно нарушить: локальные законы, федеральные, конституция, международные нормы, что угодно, это такие же беспредельщики как тepopисты.

решать социальные проблемы техническими средствами заведомо бесперспективно.

Нет, это единственно возможный способ, т.к. законы которые везде и всеми неукоснительно соблюдаются - законы физики и математики.

но все это не приведет к достижению обозначенной Вами цели

А какая у меня по вашему цель ? Нет цели бежать быстрее льва, цель всегда бежать быстрее самого медленного.

Единственный шанс на победу в такой ситуации - законодательное ограничение полномочий спец. служб, постановка их деятельности под полный контроль гражданского общества.

Вы прекрасно понимаете что это заведомо невыполнимо, как раз с технической точки зрения. Возьмем те же США, вот как вы будучи гражданином проконтролируете правомерно ли они используют свои системы слежения ? Ведомства всегда будут аппелировать что информация засекречена и давай до свидания до следующего Сноудена

да, а потом эти придурки с паролями 12345678 жалуются, что у них сбербанк сдох от очередного дидоса.

ты им объясни, что они творят зло не локально, а создают потенциальную угрозу всей сети.

Когда наконец до вас дойдет что технические проблемы можно решать только техническими средствами, радара не должно быть

Извините, но это подход луддита. Огнестрельное оружие убивает, давайте откажемся от огнестрельного оружия. Под колесами машин гибнут люди - запретим автомобили. По сути, Ваши призывы ничем не отличаются от той чуши, которую я здесь написал в качестве примера.

Любое достижение технологии можно использовать как во благо, так и во вред. И этот выбор никак не определяется тех. методами.

программы слежки были свернуты?

Насколько я понимаю, да. По крайней мере, частично. И заметьте, это было достигнуто именно социальными, а отнюдь не техническими средствами.

Было нарушено всё что только можно нарушить: локальные законы, федеральные, конституция, международные нормы, что угодно, это такие же беспредельщики как тepopисты.

Вот именно поэтому гражданское общество и пытается создавать систем сдерживаний и противовесов, делит власть на различные ветви и т. п. Да, все это работает неидеально, но есть надежда, что со временем будет работать лучше.

Нет, это единственно возможный способ

По сути Вы предлагаете отказаться от научно-технического прогресса. Не слишком ли высокая цена за приватность?

вот как вы будучи гражданином проконтролируете правомерно ли они используют свои системы слежения?

Возложить на спец. службы обязанности контролировать друг друга. ЦРУ контролирует ФБР и наоборот. Думаете, конкуренция спец. служб , имеющая место практически во всех странах, просто так выдумана, от скуки?

А вообще, это вопрос не ко мне - тут нужно с социологами и политологами консультироваться. У меня же, к сожалению, крайне поверхностные представления об этих областях.

Извините, но это подход луддита.

Я не говорю о полном запрете, объективно это невозможно, зато можно сильно ограничить использование, а не пихать камеры в каждый утюг и чайник.

Насколько я понимаю, да. По крайней мере, частично.

У общества нет возможности это верифицировать, по мнению многих западных товарищей максимум что могло произойти - они свернули текущую программу и тут же развернули новую, например с другим названием, т.к. закон это не запрещает.

есть надежда, что со временем будет работать лучше.

Так себе отговорка если честно, ну а пока мы поживем в антиутопии тотального контроля, ох уж эта терпильная позиция.

По сути Вы предлагаете отказаться от научно-технического прогресса.

Во первых не нужно мне приписывать чего я не говорил, во вторых - массовая слежка является не прогрессом а регрессом, странно почему некоторые считают это прогрессом, потому что раньше такого не было ?
По сути это возврат куда то во времена фараонов, только кандалы теперь цифровые и не такие очевидные, а как известно лучший раб тот который не догадывается о своем рабстве.

Не слишком ли высокая цена за приватность?

Какая то очередная глупость следующая из предыдущего ложного предположения.
В прогрессе и приватности не только нет противоречия, более того прогресс невозможен без приватности или сильно ограничен и затруднен.

Простой пример с китайским ученым который сделал эмбрион с иммунитетом к ВИЧ, если бы его вовремя отследили и предотвратили эксперимент было бы лучше ?

В отсутствие приватности станут невозможны или очень затруднены какие либо изменения не санкционированные оккупационной администрацией, если раньше у людей была надежда на то что в будущем станет лучше то без приватности её нет, отсюда депрессия, снижение активности, фрустрация и прочие негативные явления.
Поведение людей сильно отличается в ситуациях когда они одни и когда знают за ними наблюдают.

Возложить на спец. службы обязанности контролировать друг друга.

В итоге они покрывают преступления друг друга.

тут нужно с социологами и политологами консультироваться.

Итог примерно такой же как от консультации на ЛОРе.

Всё было еще не так плохо до массовой популярности и внедрения машинного обучения. Раннее логично было предположить что если вы не подозреваетесь в совершении чего то нехорошего, никто не станет отсматривать десятки тысяч часов записей ради обычного Джо.

Теперь презумпция невиновности перестает работать, к каждому можно приставить виртуального майора и фиксировать каждое нарушение вплоть до мельчайших, а законы день ото дня всё чудесатее и чудесатее и их всё больше, только дверь открыл на улицу - всё можно вязать нарушителя.

т.к. закон это не запрещает.

Вот это как раз и есть задача гражданского общества - принимать законы, запрещающие или ограничивающие подобную деятельность.

во вторых - массовая слежка является не прогрессом а регрессом

А я не о слежке говорил, более того, согласен с Вами в том, что с ней нужно бороться. Разница между нашими позициями заключается в методах борьбы - Вы настаиваете на эффективности технических методов (которые, собственно говоря, и сводятся к торможению развития соответствующих технологий), я же утверждаю, что проблему можно и нужно решать социальными методами - улучшением законодательства, повышением открытости общества, развитием независимых систем контроля над исполнительной властью и т. п. вещами.

если бы его вовремя отследили и предотвратили эксперимент было бы лучше?

С точки зрения прогресса никакой разницы - данный эксперимент не привел ни к каком прорыву в развитии технологий или получению новых фундаментальных знаний. Совершенно рутинная работа, которая до этого много раз выполнялась на мышах (разница между половыми клетками мыши и человека практически отсутствует). Допустимы или нет опыты на людях, когда мы далеко не полностью представляем себе все последствия подобных экспериментов, вопрос спорный. Это отдельная большая дискуссия, не имеющая прямого отношения к теме нашей беседы.

не санкционированные оккупационной администрацией

Вы пытаетесь минимизировать вред от последствий болезни вместо того, чтобы попытаться ее вылечить. Может стоит не прятаться от оккупационной администрации, а сменить ее на нормальную? Не приходило такое в голову?

и фиксировать каждое нарушение вплоть до мельчайших

Может, это и неплохо? Приведет к сокращению числа нарушений.

а законы день ото дня всё чудесатее и чудесатее и их всё больше

Вот от этого и надо танцевать. Законы зависят от нас с Вами. Вместо того, чтобы прятаться от последствий применения людоедских законов, нужно сосредоточить усилия по созданию нормального правового поля. Где законы справедливы и выполнение их не составляет какой-то проблемы.

Собственно говоря, эту мысль я и пытаюсь до Вас донести - бороться надо с причинами проблемы, а не со следствиями.

Может стоит не прятаться от оккупационной администрации, а сменить ее на нормальную?

Так то да, но в текущих реалиях это не представляется возможным, вы это знаете не хуже меня.

Может, это и неплохо? Приведет к сокращению числа нарушений.

Приведет только к большему числу конфликтов, бессмысленных и беспощадных наказаний, я за то чтобы перестать пытаться регулировать каждый вдох и выдох.

Законы зависят от нас с Вами. Вместо того, чтобы прятаться от последствий применения людоедских законов, нужно сосредоточить усилия по созданию нормального правового поля. Где законы справедливы и выполнение их не составляет какой-то проблемы.

Мечтать не вредно, давайте изобретем транклюкатор и транклюкируем людоедов, а потом будем создавать нормальное правовое поле.

но в текущих реалиях это не представляется возможным, вы это знаете не хуже меня.

Реалии зависят от нас с Вами. В том числе.

я за то чтобы перестать пытаться регулировать каждый вдох и выдох.

Вот, эта формулировка уже удачнее - перестать регулировать, а не наблюдать. Чувствуете разницу?

а потом будем создавать нормальное правовое поле.

Увы, с таким подходом ничего добиться невозможно :(. Создание правового поля откладывать нельзя, создавать его надо прямо здесь и сейчас. И тогда людоеды сами транклюкируются (чтобы это слово не означало ;)).

Разве конечный пользователь сталкивается с чем-то таким? Разве это не задача сисадмина?

Там вон рядом тред, что у человека пароль от AD в открытом виде в apt.d лежит и он не знает что с этим сделать.

А они тебе скажут, что за сеть отвечают не они, а ты. Вот у тебя там в сети что-то не работает, ты и разбирайся

так у меня-то всё работает. это у них работать не будет.