понедельник, 2 мая 2011 г.

Дайджест ИБ за 25 апреля - 1 мая 2011 года

Обзор самых интересных и полезных сообщений за неделю в блогах по информационной безопасности и не только :-)

В сегодняшнем обзоре:
  • Лучшие посты из русскоязычных блогов по ИБ
  • Лучшие посты из англоязычных блогов по ИБ
  • Интересные статьи и заметки по менеджменту, коммуникациям
  • Законодательство
  • Стандарты, лучшие практики, исследования
  • Новости
  • Инциденты за неделю

Лучшие посты из русскоязычных блогов по ИБ
Лучшие посты из англоязычных блогов по ИБ
  • Статья Chad Perrin "Как заставить людей использовать надежные пароли", в которой Чад объясняет, почему требование, согласно которому пользователи должны использовать длинные, сложные пароли и часто менять их, не приводит к повышению безопасности. Также Чад описывает в статье методы взлома паролей, создания надежных паролей и их использования. Основная рекомендация Чада - позволить пользователям использовать менеджеры паролей.
  • Статья Ulf Mattsson "Защита облака и защита данных в облаке - это не одно и то же". В статье Ульф рассматривает основные уязвимости и недостатки, возникающие при хранении данных в "облаке". В его Топ-5 вошли: неправильное или несанкционированное использование "облачных" вычислений; небезопасные интерфейсы и API; внутренние злоумышленники (инсайдеры) провайдеров; проблемы совместного использования технологий; непонятные профили рисков.
Интересные статьи и заметки по менеджменту, коммуникациям
  • Пост Романа Исаева "Банковские проекты: своими силами или консалтинг?". Роман показывает преимущества подхода, когда банк большую часть работ по проекту выполняет своими силами, а консультантов привлекает исключительно для информационно-методической поддержки.
Законодательство
  • Законопроект "О лицензировании отдельных видов деятельности" одобрен Советом Федерации и направлен на подпись Президенту. Из изменений (по сравнению с действующим 128-ФЗ), касающихся ИБ, можно отметить: установку бессрочного действия лицензий; запрет отнесения к лицензионным требованиям требований законодательства, которые обязаны исполнять все организации; отсутствие необходимости получать лицензию на тех.обслуживание СКЗИ для собственных нужд организации; необходимость получать только одну общую лицензию на деятельность по разработке, производству, распространению, оказанию услуг, тех.обслуживанию СКЗИ. Небольшой обзор законопроекта сделал Алексей Волков.
Стандарты, лучшие практики, исследования
  • Symantec совместно с сообществом Профессионалы.ру провели исследование по использованию сотдуниками российских компаний корпоративной информации. Исследование показало, что 70% сотрудников (в опросе приняло участие более 2000 респондентов) выносят корпоративную информацию из внутренней сети компании (например, чтобы дома закончить важный документ). 37% оставляют корпоративные ноутбуки без присмотра в общественных местах. У 50% - простые пароли. 9% подумывает о продаже корпоративной информации сторонним лицам, а 6% уже неплохо на этом заработали.
  • Prism Microsystems опубликовала документ "Топ 10 инсайдерских угроз и рекомендации по защите от них" (на английском). В Топ 10 вошли: утечки через USB-накопители, несанкционированное использование прав локального и доменного администратора (в т.ч. взлом административных учетных записей), несанкционированная установка и использование программ, несанкционированное удаление данных, несанкционированное использование чужих ящиков электронной почты и других ресурсов.
Новости
  • Вышел новый номер журнала Hakin9, посвященный "облачной" безопасности (на английском). К сожалению, журнал стал платным - бесплатно доступен ограниченный объем информации. Зато для платных подписчиков появилась масса дополнительных материалов (обучающие материалы, руководства).
  • Barracuda опубликовала отчет (на английском), в котором привела подробное расследование произошедшей недавно атаки на свою сеть. Атака была произведена с помощью SQL-инъекции. Причиной уязвимости стал "человеческий фактор" и неудачное стечение обстоятельств.
  • Amazon подготовила подробный отчет о произошедшем на прошлой неделе инциденте и сообщила о том, что будет предпринято, чтобы избежать повторения таких инцидентов в будущем (на английском).
Инциденты за неделю:

Комментариев нет: