Дайджест ИБ за 22 - 28 августа 2011 года

Обзор самых интересных и полезных сообщений за неделю в блогах по информационной безопасности и не только :-)

В сегодняшнем обзоре:

• Лучшие посты из русскоязычных блогов по ИБ
• Лучшие посты из англоязычных блогов по ИБ
• Интересные статьи и заметки по менеджменту, коммуникациям
• Законодательство
• Стандарты, руководства, лучшие практики, исследования
• Новости
• Инциденты за неделю

Дайджест ИБ за 30 мая - 5 июня 2011 года

Обзор самых интересных и полезных сообщений за неделю в блогах по информационной безопасности и не только :-)

В сегодняшнем обзоре:

• Лучшие посты из русскоязычных блогов по ИБ
• Лучшие посты из англоязычных блогов по ИБ
• Интересные статьи и заметки по менеджменту, коммуникациям
• Законодательство
• Стандарты, руководства, лучшие практики, исследования
• Новости
• Инциденты за неделю

Практика ИБ \ Скрытые затраты на проекты по информационной безопасности

Еще одна полезная заметка из блога Lenny Zeltser'а. 

Все мы периодически реализуем различные проекты в области информационной безопасности, планируем бюджеты, защищаем их перед руководством... Но даже в случае утверждения бюджета в достаточном объеме не редко возникают ситуации, когда денег все равно на что-то не хватает, когда неожиданно возникает необходимость в существенных дополнительных трудозатратах, которые изначально не планировались и на которые нет ресурсов. Иногда это приводит к невозможности завершения проекта или к сдвигу сроков его реализации. Почему так происходит? Дело в том, что часто при планировании проекта учитываются только явные денежные и трудовые затраты, а неявные, косвенные затраты, либо вообще не учитываются, либо недооцениваются. К тому же люди склонны выдавать желаемое за действительное и обманывать себя при оценке рисков проекта, считая, что проект непременно пройдет гладко. К сожалению, большинство проектов сталкивается с теми или иными проблемами, а неявные затраты порой существенно превышают явные.

Правильно оценить объем финансовых и трудовых затрат проекта поможет методика определения Совокупной стоимости владения (TCO - Total Cost of Ownership). К тому же эта методика поможет сделать правильный выбор решения или поставщика, учитывая при этом не только единовременные затраты, но и затраты на последующее содержание и управление купленным продуктом или сервисом.

ISSP \ Домен 09. Безопасность приложений. Часть 5

В этой части рассмотрены следующие вопросы:

• Методы разработки программного обеспечения
• Средства автоматизированной разработки программного обеспечения (CASE-средства)
• Разработка прототипов
• Методология безопасного проектирования
• Методология безопасной разработки
• Проверка на защищенность
• Управление изменениями
• Модель зрелости процессов разработки программного обеспечения (CMM)
• Передача исходного кода программного обеспечения на хранение независимой третьей стороне

ISSP \ Домен 09. Безопасность приложений. Часть 4

В этой части рассмотрены следующие вопросы:

• Разработка систем
• Управление разработкой
• Этапы жизненного цикла
• Инициирование проекта
• Управление рисками
• Анализ рисков
• Функциональное проектирование и планирование
• Техническое задание на разработку системы
• Разработка программного обеспечения
• Установка и внедрение
• Эксплуатация и сопровождение
• Удаление
• Виды тестирования
• Анализ завершенного проекта

Портфель CISO \ Роман об управлении проектами

Давно лежала у меня книжка Тома Демарко "Deadline. Роман об управлении проектами" - все не было времени прочитать. Но на днях дошли руки и до нее.

Оказалось, что книга - просто весчь! Настоятельно рекомендую к прочтению, книга действительно из разряда "must read" для любого руководителя. Хотя в книге речь идет об управлении проектами по разработке программного обеспечения, большинство советов одинаково хорошо подходят для управления любыми другими проектами, в т.ч. проектами по информационной безопасности.

Книга написана очень легким языком, хотя она описывает довольно-таки сложные вещи. Во главу угла в книге ставятся взаимодействия людей, создание команд, мотивация людей для получения максимального результата. По сути, это действительно роман, даже немножко шпионский :).

Ниже приведены несколько наиболее важных цитат, вполне подходящих для управления проектами по информационной безопасности. Некоторые советы вполне можно применить для более эффективного внедрения новых требований по безопасности в организации, в рамках СУИБ, в рамках повышения осведомленности и т.п.