среда, 28 сентября 2011 г.

Доклад "Построение процесса управления сетевыми уязвимостями". Презентация.

Как и обещал в рамках доклада на конференции Infosecurity 2011, выкладываю презентацию. 

Ознакомится с ней Вы можете по ссылке, указанной ниже.


Спасибо всем, кто уделил время и кому данная информация действительно оказалась полезна. 

Очень рад был видеть коллег и просто знакомых. Как из Москвы, так и других стран.Спасибо за компанию и интересное общение.

вторник, 27 сентября 2011 г.

Особенности подготовки и прохождения аудита соответствия стандарту PCI DSS 2.0. Взгляд изнутри.

Лето этого года выдалось не таким жарким, как предыдущее, что касается погодных условий. Но это с лихвой компенсировалось жаркими баталиями вокруг стандартов в области информационной безопасности. Безусловно, первое место в этой номинации занимает «Закон о персональных данных».  А вот второе место за стандартом платежных систем «PCI DSS». И это почетное место за ним закрепилось столь заслуженно, что в рамках обсуждения на конференции «Вопросы применения и соответствия стандартам PCI DSS/PA DSS» его даже хотели включить ссылкой в стандарт Банка России (СТО БР ИББС).
В данной статье речь пойдет как раз о стандарте PCI DSS 2.0, который обязателен для соответствия с 2012 года. О самом стандарте и комментариях к нему написано много. По этой причине, основной целью данной статьи является не ознакомление с пунктами стандарта и даже не их трактовка, а освящение с практической стороны некоторых важных моментов.

пятница, 16 сентября 2011 г.

Выступления на конференциях. Осень 2011.

Ежегодно на протяжении нескольких недель, начиная с конца сентября, в Москве проходят достаточно интересные конференции и выставки по информационной безопасности и информационным технологиям. И этот год не стал исключением.
 
28 - 30 сентября пройдет «Infosecurity 2011»
2 - 4 октября пройдет «Russian CIO Summit 2011»
4 - 6 октября пройдет «Инфобезопасность 2011»
 
Я рад, что в этом году меня пригласили в них участвовать в роли докладчика. Как и обещал ранее, выкладываю даты выступлений и темы докладов.
 
28 сентября в рамках «Infosecurity 2011» в рамках круглого стола «Управление информационной безопасностью и управление затратами на информационную безопасность» будет прочитан доклад на тему «Построение процесса управления сетевыми уязвимостями» (Зал 2, с 11:00 до 13:45).
Более детально план мероприятий можно посмотреть тут
Доклад более практического, нежели теоретического содержания. В рамках доклада будут рассмотрены практические аспекты построения процессов управления сетевыми уязвимостями и соответствием. Приведены примеры из реальных проектов. Особо затронуты проблемные моменты, которые возникают при построении данного и смежных процессов. 

3 октября в рамках «Russian CIO Summit 2011» в рамках сессии «Мобильность и безопасность – главные тенденции современной ИТ-системы?» будет прочитан доклад на тему «Особенности практического внедрения решений класса SIEM» (выставочный зал № 2, 15:00).
Более детально план мероприятий можно посмотреть тут:
Целью доклада является ознакомление слушателя с практическим опытом внедрения системы SIEM. Хотелось бы указать на основные моменты, требующие внимания и поделится опытом, полученным в рамках реального внедрения SIEM (ArcSight) в банковской сфере. В рамках доклада будут последовательно рассмотрены все фазы проекта по внедрению решения данного класса.

5 октября в рамках «Инфобезопасность 2011» в рамках семинара компании НИП «ИНФОРМЗАЩИТА» будет прочитан доклад на тему «Особенности подготовки и прохождения аудита соответствия стандарту PCI DSS 2.0. Взгляд изнутри» (7 павильон, 5 зал 12:15-14:00).  
Более детально план мероприятий можно посмотреть тут:
Речь пойдет об опыте практического внедрения второй версии стандарта PCI DSS. В рамках доклада будет представлен взгляд на задачу приведения в соответствие компании требованиям стандарта в меньшей мере со стороны аудитора, а в большей степени со стороны руководителя информационной безопасности либо руководителя проекта.
Целью доклада является предоставление слушателям информации по главным вопросам, которые стоит учесть в рамках подготовки, предоставлении практических материалов, которые использовались и могут Вам помочь в дальнейшем. Указание на типичные допускаемые ошибки и сферы, на которые стоит обратить повышенное внимание. А так же будет последовательно рассмотрены все фазы проекта.

На данном докладе я хотел бы остановиться отдельно. Его подготовка началась еще около двух месяцев назад, но все эти два месяца представители конференции «Инфобезопасность 2011» морочили мне голову то соглашаясь, то отказываясь предоставить бесплатное участие. Хотя по моему мнению информация указанная в нем будет безусловно полезна для слушателей.
Я хотел бы выразить благодарность компании НИП «ИНФОРМЗАЩИТА», которая в течении одного дня определилась, что мое участие ей интересно и уладила все вопросы предоставив свое время для выступления. Не выдвигая требований по скрытой рекламе и пр. Мне хочется верить, что и представители конференции  «Инфобезопасность» задумаются, стоит ли выдвигать одинаковые требования для всех докладчиков. Либо, возможно, стоит разбираться, какие из докладов направлены на повышение продаж, а какие на обмен опытом. Все же мероприятие называется конференция. И первоочередная ее направленность – это обмен опытом. 

Буду рад, если указанные темы докладов Вам интересны. Надеюсь, что уделенное Вами время позволит Вам получить полезную информацию. 

Буду рад видеть интересных слушателей и собеседников.

понедельник, 12 сентября 2011 г.

Насыщенная осень после не менее насыщенного лета

Давно не выкладывал информацию в блоге. Не смотря на то, что август считается месяцем отпусков, для меня он выдался временем очень насыщенной и плодотворной работы. По этой причине на написание статей не оставалось времени. Но осень намечается тоже очень  динамичной и интересной. Думаю, что удастся наверстать упущенное и поделится интересной информацией. 
Так получилось, что именно на август пришлись аудиты VISA и MASTERCARD, которые потребовали много времени и сил. Как на подготовку, так и на их проведение. Наложило свой отпечаток и интернациональность аудитов (Гонконг, США). Не то что бы мешал интернациональный барьер, но некоторые дополнительные вопросы появлялись. Тем более, что с прошлого года Россия подчинена азиатскому офису VISA, а не европейскому. А соответственно сменились и кураторы.
Да и сами аудиты VISA и MASTERCARD отличаются от того же PCI DSS. Возможно, позже уделю этому внимание. Тема, безусловно, интересная, но с ограниченным числом лиц, которым может быть реально полезна.
Так же на данный момент в завершающей фазе находится подготовка компании к прохождению аудита соответствия PCI DSS 2.0. Что тоже требует времени и усилий. Движущиеся проекты требуют изменений топологий сети и настройки систем, процессов и документов прямо в ходе подготовки к аудиту. Что не упрощает задачу приведения к соответствию компании и контроля за уже существующими процессами.
Так же сейчас готовится 3 статьи в профильные издания. Две статьи планируются в сентябре и октябре в одном из российских издании. А одна в зарубежном (не СНГ). Когда точно буду знать о дате выхода в печать или уже по факту тиража, упомяну об этом.
Так же готовятся доклады на конференции:
«Infosecurity Russia 2011»
“Инфобезопасность 2011”
«Russian CIO Summit».
О темах, датах, времени и залах в которых будут проводиться доклады, обещаю написать в конце этой недели.