HL>Куча менеджеров и директоров не ЛОЧИТ компы, уходя домой, потому что доверяет сотрудникам.
Вообще-то это даже не вопрос доверия. Я и дома комп лочу, потому что, например, действия моего сына могут быть вполне себе вредоносные, хоть и неосознанные.
Кроме того, все решается проще — дать тебе в руки смарт карту с интегрированной RFID меткой и сделать на двери в кабинет электронный замок — компьютер у тебя будет сам собой лочиться, потому что без карты ты из кабинета не выйдешь.
HL>На половине серверов пароли — кверти или пассворд1. Я сам руководитель отдела разработки, так вот, мне посрать, кто чем пользуется, главное — чтобы работу делали.
Ну и закончится это все после первого же деструктивного вируса
HL>Хошь мак притаскивай — мне пофиг, главное чтобы чекины в ТФС регулярно от твоего имени были, вот и всё.
Как-то это не вяжется с парольной политикой в стиле пассворд1.
HL>Особо хардкорные руководители ИБ визируют установку каждого патча KB
Вообще-то визировать установку патчей должны ИТшники — это им потом тысячу компов оживлять из-за несовместимого апдейта.
HL>В 100% случаев отдел ИБ превращается тупо в узаконенный "рэкет" владельцев компании, что-то типа "разгоните ИБ — завирусим всю сеть", ей Богу.
Что-то никогда такого не видел.
В общем все, что ты сказал, уже много раз обсуждалось в различных темах — пока в компании мало народу, то формализация деятельности только вредит, но когда становится много — формализация необходима. Это можно сравнить с машинами на дороге — когда их мало — ПДД не особо нужны, а когда машин много — без ПДД езды не будет.
А для маленькой компании, которой типа пофиг на безопасность, могу привести один очень характерный инцидент: у вас найдется какой-нибудь очередной умник, работающий под админом, который заразит свою машину вирусом, осуществляющим спаммерские рассылки. Уже через несколько часов ваш внешний IP (который скорее всего один) будет во всех черных списках спаммеров всея иннета. После этого ваша почта перестанет нормально работать (если вы ее сами у себя держите). Вот и все. Нужна безопасность?
Здравствуйте, iHateLogins, Вы писали:
HL>Наличие парковок возле офиса для начальственных членовозов — тоже "непрерывность бизнеса по-русски". Не планируете заняться?
Не понял твоей фразы. Поясни.
Здравствуйте, DOOM, Вы писали:
K>>Ну могу привести в пример продакшен-инфраструктуру текущего проекта: K>>веб-сервера — 4 штуки, 64 Гб оперативки, 16-ядерная система K>>аппликейшн-сервера — 4 штуки, 64 Гб оперативки, 16-ядерная система
DOO>Ну и на самом деле, совершенно непонятно, почему для малонагруженных web и application серверов используется физическое железо
Для малонагруженых проектов не покупают 16-ядерные сервера с 64 гигами оперативы
Здравствуйте, kochetkov.vladimir, Вы писали:
KV>Был еще один случай. Проверяющие готовились оформлять изъятие нескольких серверов и по запарке изъяли инфраструктуру СОРМ полным составом. Через 10 минут после нашего звонка в ФСБ с правильными комментариями по поводу происходящего, оттуда примчалась "опергруппа" и весь филиал, запасшись попкорном наблюдал как представители двух ведомств выясняют: чья работа важнее, у кого звание выше, кто с кем служил, у кого спец подразделения круче и т.п.
Как мартышки, ей богу.
И главное-то, что безопасность этим ведомствам ну нафиг не сдалась, главное — набить карманы, но справедливую целку этим ведомствам играть всё-таки приходится. Им самим не противно, а?
Здравствуйте, DOOM, Вы писали:
HL>>Наличие парковок возле офиса для начальственных членовозов — тоже "непрерывность бизнеса по-русски". Не планируете заняться? DOO>Не понял твоей фразы. Поясни.
В России понятие термина "безопасность" — это не безопасность (отсутствие опасности), как во всём цивилизованном мире, а силовые показательные мероприятия. Ну а так как парковки в России строить еще никто не догадался, то ентих товарищей частенько заставляют заниматься несвойственными им изначально силово-пугательными функциями, а именно "зачисткой" (мне, пожившему 2 года на Западе, уже становится смешно при слове "зачистка", особенно в этом контексте) "территории" от припаркованных автомашин "нижестоящих сотрудников" Хахахахаха
Здравствуйте, iHateLogins, Вы писали:
HL>В России понятие термина "безопасность" — это не безопасность (отсутствие опасности), как во всём цивилизованном мире, а силовые показательные мероприятия.
Это твои странные фантазии
Здравствуйте, iHateLogins, Вы писали:
HL>Для малонагруженых проектов не покупают 16-ядерные сервера с 64 гигами оперативы
Это сервер начального уровня, эрудированный ты наш.
Если бы речь шла об HPC платформе типа Superdome, то другое дело — а это сам бог велел виртуализировать.
Здравствуйте, DOOM, Вы писали:
HL>>Куча менеджеров и директоров не ЛОЧИТ компы, уходя домой, потому что доверяет сотрудникам. DOO>Вообще-то это даже не вопрос доверия. Я и дома комп лочу, потому что, например, действия моего сына могут быть вполне себе вредоносные, хоть и неосознанные.
Купи комп своему сыну и сделай так, чтобы он не работал за твоим компом.
DOO>Кроме того, все решается проще — дать тебе в руки смарт карту с интегрированной RFID меткой и сделать на двери в кабинет электронный замок — компьютер у тебя будет сам собой лочиться, потому что без карты ты из кабинета не выйдешь.
Маньяк.
HL>>На половине серверов пароли — кверти или пассворд1. Я сам руководитель отдела разработки, так вот, мне посрать, кто чем пользуется, главное — чтобы работу делали. DOO>Ну и закончится это все после первого же деструктивного вируса
По моему опыту, самый вредоносный софт — антивирусы. Последний раз видел деструктивный вирус воочию в 1994, помог aidstest. С того времени — ни одного инцидента.
HL>>Хошь мак притаскивай — мне пофиг, главное чтобы чекины в ТФС регулярно от твоего имени были, вот и всё. DOO>Как-то это не вяжется с парольной политикой в стиле пассворд1.
А в чем не вяжется? Хочешь сказать что кто-то будет чекинить не от своего имени? Типа как в анекдоте "я кодуктора обманул. Деньги положил, билетик не взял"
HL>>Особо хардкорные руководители ИБ визируют установку каждого патча KB DOO>Вообще-то визировать установку патчей должны ИТшники — это им потом тысячу компов оживлять из-за несовместимого апдейта.
бОльшая часть из этих ИТ-ников всё равно не читает полностью всех статей КБ и тупо скопом всё визирует. Зачем нужен этот театр — мне не понятно.
HL>>В 100% случаев отдел ИБ превращается тупо в узаконенный "рэкет" владельцев компании, что-то типа "разгоните ИБ — завирусим всю сеть", ей Богу. DOO>Что-то никогда такого не видел.
Поэтому держат
DOO>В общем все, что ты сказал, уже много раз обсуждалось в различных темах — пока в компании мало народу, то формализация деятельности только вредит, но когда становится много — формализация необходима. Это можно сравнить с машинами на дороге — когда их мало — ПДД не особо нужны, а когда машин много — без ПДД езды не будет.
Формализация нужна, но она не самоцель. цель — снижение издержек и увеличение производительности труда. Анальный прессинг за установку Миранды — это детские комплексы И ТОЛЬКО ОНИ дяди-руководителя ИБ. Лучше бы ИЕ6 на ИЕ8 проапргрейдили, раз такие активные.
DOO>А для маленькой компании, которой типа пофиг на безопасность, могу привести один очень характерный инцидент: у вас найдется какой-нибудь очередной умник, работающий под админом, который заразит свою машину вирусом, осуществляющим спаммерские рассылки. Уже через несколько часов ваш внешний IP (который скорее всего один) будет во всех черных списках спаммеров всея иннета. После этого ваша почта перестанет нормально работать (если вы ее сами у себя держите). Вот и все. Нужна безопасность?
Почту аутсорсим. IP поменяем за 3 секунды. Еще варианты?
Здравствуйте, iHateLogins, Вы писали:
HL>Здравствуйте, DOOM, Вы писали:
K>>>Я вот только одного не понимаю — каким боком легальность/нелегальность ПО относится к информационной безопасности? Иными словами — а вы-то [специалисты по ИБ] тут при чём? По-моему это забота совсем других людей... DOO>>Все связано. ИБ отвечает за обеспечение функционирования бизнес процессов. В том числе, непрерывность бизнеса традиционно рассматривается как что-то на стыке ИТ, ИБ и прочих заинтересованных лиц.
HL>Наличие парковок возле офиса для начальственных членовозов — тоже "непрерывность бизнеса по-русски". Не планируете заняться?
Ты как-то слишком агрессивен, без видимой на то причины, не находишь?
Здравствуйте, koandrew, Вы писали:
K>Здравствуйте, kochetkov.vladimir, Вы писали:
KV>>Что же касается фотошопа, то разница есть. Аж две. Из-за фотошопа могли бы изъять даже в том случае, если бы это не был банальный наезд и редейрство, во-первых. А во-вторых, человек, который использует этот фотошоп является преступником, с т.з. действующего законодательства и своими действиями подставляет всю компанию.
K>Я вот только одного не понимаю — каким боком легальность/нелегальность ПО относится к информационной безопасности?
Эксплуатация нестандартного ПО в целом и нелицензионного в частности, несет риски для бизнеса, напрямую связанные с ИТ-инфраструктурой и повышающие вероятность реализации информационных угроз.
K>Иными словами — а вы-то [специалисты по ИБ] тут при чём? По-моему это забота совсем других людей...
Здравствуйте, iHateLogins, Вы писали:
HL>Ну так бандитское государство, бандитские приёмчики, каждый кто может надувает щёки и кладёт огурец в штаны, чтоб казаться круче.
Ты ошибся форумом. Тебе в "политику"
HL>Стыдно должно быть, гордиться тем, что контору чуть не убили ради одного сраного фотошопа, до которого даже АДОБЕ нет никакого дела, нечего.
Моя гордость за произошедшее в ходе проверки, не более чем плод твоего воображения. А вот тем, что работу офиса удалось восстановить в столь короткое время — да, горжусь. Нет, не стыдно.
HL>Стыд и срам.
Здравствуйте, iHateLogins, Вы писали:
HL>Я сам руководитель отдела разработки
Ты хоть раз работал в компании, где хотя > 10K сотрудников?
HL>В 100% случаев отдел ИБ превращается...
Согласись, то что если тебя "имели в виду" отдельные сотрудники служб ИБ еще не значит, что они все содомиты Или, ты хочешь сказать, что тебя "имели ввиду", вплоть до достижения статистической значимости этого события?
Здравствуйте, kochetkov.vladimir, Вы писали:
K>>Я вот только одного не понимаю — каким боком легальность/нелегальность ПО относится к информационной безопасности? KV>Эксплуатация нестандартного ПО в целом и нелицензионного в частности, несет риски для бизнеса, напрямую связанные с ИТ-инфраструктурой и повышающие вероятность реализации информационных угроз.
Как-то несёт душком канцелярщины. Казалось бы, говорит человек, а звучит, как робот
Здравствуйте, kochetkov.vladimir, Вы писали:
HL>>Я сам руководитель отдела разработки KV>Ты хоть раз работал в компании, где хотя > 10K сотрудников?
Да.
HL>>В 100% случаев отдел ИБ превращается...
KV>Согласись, то что если тебя "имели в виду" отдельные сотрудники служб ИБ еще не значит, что они все содомиты Или, ты хочешь сказать, что тебя "имели ввиду", вплоть до достижения статистической значимости этого события?
А меня-то что иметь в виду? Это они руководство "имели в виду" чтоб бюджеты раздувать. Но со стороны их работа была, скажем так, мерзостная. Помощи — ноль, одно раздувание щёк и прессинг каких-то случайных людей (меня это не касалось). Важно: это была _российская_ контора. В буржуйских конторах с N*10K рабочих станций, где я работал, я даже не знал, есть ли отдел ИБ или нет. Может они где-то сидели и что-то мониторили, но это было незаметно. Может быть даже их работа была полезна, не в курсе.
Здравствуйте, DOOM, Вы писали:
HL>>Для малонагруженых проектов не покупают 16-ядерные сервера с 64 гигами оперативы DOO>Это сервер начального уровня, эрудированный ты наш.
Здравствуйте, iHateLogins, Вы писали:
HL>Купи комп своему сыну и сделай так, чтобы он не работал за твоим компом.
Во-первых, рановато.
Во-вторых, ему все равно за мой будет интереснее сесть — там же папа работает.
DOO>>Кроме того, все решается проще — дать тебе в руки смарт карту с интегрированной RFID меткой и сделать на двери в кабинет электронный замок — компьютер у тебя будет сам собой лочиться, потому что без карты ты из кабинета не выйдешь. HL>Маньяк.
А что такого? Очень удобно. Еще карту сделать бесконтактную, дак вообще красота будет.
HL>По моему опыту, самый вредоносный софт — антивирусы.
Это смотря откуда руки растут
HL>Последний раз видел деструктивный вирус воочию в 1994, помог aidstest. С того времени — ни одного инцидента.
Ну не так давно была какая-то поделка, заменяющая все файлы на какое-то обращение с матерками — эта поделка привела к каким-то нереальным потерям у кучи организаций.
DOO>>Как-то это не вяжется с парольной политикой в стиле пассворд1. HL>А в чем не вяжется? Хочешь сказать что кто-то будет чекинить не от своего имени? Типа как в анекдоте "я кодуктора обманул. Деньги положил, билетик не взял"
Может быть веселее. Случайно похерит кто-нибудь что-нибудь, а потом будет шлангом прикидываться — я не я.
DOO>>Вообще-то визировать установку патчей должны ИТшники — это им потом тысячу компов оживлять из-за несовместимого апдейта. HL>бОльшая часть из этих ИТ-ников всё равно не читает полностью всех статей КБ и тупо скопом всё визирует. Зачем нужен этот театр — мне не понятно.
Увидишь, как встает одна и та же программа на 1000 идентичных компьютеров — вопросы отпадут. Потому что их этой тысячи хотя бы на 10 будут проблемы вплоть до переустановки винды.
DOO>>В общем все, что ты сказал, уже много раз обсуждалось в различных темах — пока в компании мало народу, то формализация деятельности только вредит, но когда становится много — формализация необходима. Это можно сравнить с машинами на дороге — когда их мало — ПДД не особо нужны, а когда машин много — без ПДД езды не будет. HL>Формализация нужна, но она не самоцель. цель — снижение издержек и увеличение производительности труда.
Я о том же.
HL>Анальный прессинг за установку Миранды — это детские комплексы И ТОЛЬКО ОНИ дяди-руководителя ИБ. Лучше бы ИЕ6 на ИЕ8 проапргрейдили, раз такие активные.
Вообще-то это одно и тоже. Вопрос сопровождения DSL (Definitive Software Library) — но, чтобы от этой DSL толк был, надо чтобы софт был только оттуда. А есть там миранда или IE8 — это детали.
HL>Почту аутсорсим. IP поменяем за 3 секунды. Еще варианты?
Ваши компьютеры станут частью ботнета. После чего многие провайдеры заблокируют ваш сегмент — получите эдакую нестабильную работу интернета.
Ваш сервер IP телефонии взломают (ибо пароль там пассворд1) — сделают через него дцать звонков в азиатские страны — вам счет на пару лямов.
У вашего босса уведут ключ интернет банка и подоят корпоративный счет.
Девочка секретарша с правами админа на сервере случайно похерит ваш проект, который сдавать через пару дней.
Хватит? Или еще надо? И это не выдумки какие-то — это я все вполне реальные инциденты перечисляю.
Здравствуйте, iHateLogins, Вы писали:
HL>Здравствуйте, DOOM, Вы писали:
HL>>>Для малонагруженых проектов не покупают 16-ядерные сервера с 64 гигами оперативы DOO>>Это сервер начального уровня, эрудированный ты наш.
HL>Оптимизировать надо.
Это ты разработчику скажи. Я уже предложил один из способов оптимизации.
Здравствуйте, iHateLogins, Вы писали:
HL>А меня-то что иметь в виду? Это они руководство "имели в виду" чтоб бюджеты раздувать. Но со стороны их работа была, скажем так, мерзостная. Помощи — ноль, одно раздувание щёк и прессинг каких-то случайных людей (меня это не касалось). Важно: это была _российская_ контора.
Вспоминается мне одно очень жесткое выступление представителя службы ИБ иностранной компании, который рассказывал сколько ему удалось уголовных дел успешно возбудить против сотрудников, потыривших корпоративные секреты
HL>В буржуйских конторах с N*10K рабочих станций, где я работал, я даже не знал, есть ли отдел ИБ или нет. Может они где-то сидели и что-то мониторили, но это было незаметно. Может быть даже их работа была полезна, не в курсе.
Ага-ага.
А компании Trend Micro, Symantec, Sophos, CA, McAffee и т.п. — это всякие русские шарашкины конторки, которые изготавливают продукт для российских компаний с параноидальными дядечками из отделов ИБ
Не иначе.
Здравствуйте, DOOM, Вы писали:
HL>>Купи комп своему сыну и сделай так, чтобы он не работал за твоим компом. DOO>Во-первых, рановато. DOO>Во-вторых, ему все равно за мой будет интереснее сесть — там же папа работает.
И как только раньше семьи жили, без локинга компов, а?
HL>>Последний раз видел деструктивный вирус воочию в 1994, помог aidstest. С того времени — ни одного инцидента. DOO>Ну не так давно была какая-то поделка, заменяющая все файлы на какое-то обращение с матерками — эта поделка привела к каким-то нереальным потерям у кучи организаций.
Заражение вирусами не коррилирует с установленным антивирусом, а коррелирует только с уровнем образованности пользователей.
DOO>>>Как-то это не вяжется с парольной политикой в стиле пассворд1. HL>>А в чем не вяжется? Хочешь сказать что кто-то будет чекинить не от своего имени? Типа как в анекдоте "я кодуктора обманул. Деньги положил, билетик не взял" DOO>Может быть веселее. Случайно похерит кто-нибудь что-нибудь, а потом будет шлангом прикидываться — я не я.
За "прикидывание шлангом" и преднамеренное враньё есть другие статейки, вплоть до увольнения. В наших краях репутацию стараются не портить по ерунде.
DOO>>>Вообще-то визировать установку патчей должны ИТшники — это им потом тысячу компов оживлять из-за несовместимого апдейта. HL>>бОльшая часть из этих ИТ-ников всё равно не читает полностью всех статей КБ и тупо скопом всё визирует. Зачем нужен этот театр — мне не понятно. DOO>Увидишь, как встает одна и та же программа на 1000 идентичных компьютеров — вопросы отпадут. Потому что их этой тысячи хотя бы на 10 будут проблемы вплоть до переустановки винды.
Не понимаю, с чем ты споришь? С тем, что читают и вникают?
HL>>Анальный прессинг за установку Миранды — это детские комплексы И ТОЛЬКО ОНИ дяди-руководителя ИБ. Лучше бы ИЕ6 на ИЕ8 проапргрейдили, раз такие активные. DOO>Вообще-то это одно и тоже. Вопрос сопровождения DSL (Definitive Software Library) — но, чтобы от этой DSL толк был, надо чтобы софт был только оттуда. А есть там миранда или IE8 — это детали.
Да вот нифига не детали. Миранда на рабочем компе даже с точки зрения той же безопасности — в тыщу раз меньшая угроза, чем дырявый насквозь ИЕ6.
HL>>Почту аутсорсим. IP поменяем за 3 секунды. Еще варианты? DOO>Ваши компьютеры станут частью ботнета. После чего многие провайдеры заблокируют ваш сегмент — получите эдакую нестабильную работу интернета.
Ну ботнет-то можно отследить и без анального прессинга сотрудников.
DOO>Ваш сервер IP телефонии взломают (ибо пароль там пассворд1) — сделают через него дцать звонков в азиатские страны — вам счет на пару лямов.
Вот на ИП телефонию пароль посложнее, да и препейд у нас — мы не паримся за просаженные раньше времени 200 баксов.
DOO>У вашего босса уведут ключ интернет банка и подоят корпоративный счет.
Деньги просто так, даже зная логины и пароли, не выведешь, по крайней мере у нас. Куда их перечислять? За рубеж — не дадут без личного обращения в банк, а по стране — так все аккаунты проверены, завтра же "на том конце" человечка оприходуют в случае чего.
DOO>Девочка секретарша с правами админа на сервере случайно похерит ваш проект, который сдавать через пару дней.
Она просто не будет заходить на наш сервер. Вы же не думаете, что она проломит Вам голову ломом (случайно, конечно) за пару дней до дедлайна, почему вы думаете, что она будет куда-то логиниться и что-то ломать?
DOO>Хватит? Или еще надо? И это не выдумки какие-то — это я все вполне реальные инциденты перечисляю.
Да выдумки всё это. Проекты фейлятся не из-за девочек-маньячек, а из-за ленивых сотрудников, дебильного на голову менеджмента или вороватого руководства.
