Карта законодательства по ПД для банков v2

Обновлена карта законодательства по ПД для банков. Спасибо Alexey Babenko и toparenko за комментарии.

ISSP \ Домен 09. Безопасность приложений. Часть 6

В этой части рассмотрены следующие вопросы:

• Методология разработки программного обеспечения
• Концепции объектно-ориентированного программирования
• Полиморфизм
• Моделирование данных
• Архитектура программного обеспечения
• Структуры данных
• Связность и связанность

ISSP \ Домен 09. Безопасность приложений. Часть 5

В этой части рассмотрены следующие вопросы:

• Методы разработки программного обеспечения
• Средства автоматизированной разработки программного обеспечения (CASE-средства)
• Разработка прототипов
• Методология безопасного проектирования
• Методология безопасной разработки
• Проверка на защищенность
• Управление изменениями
• Модель зрелости процессов разработки программного обеспечения (CMM)
• Передача исходного кода программного обеспечения на хранение независимой третьей стороне

ISSP \ Домен 09. Безопасность приложений. Часть 4

В этой части рассмотрены следующие вопросы:

• Разработка систем
• Управление разработкой
• Этапы жизненного цикла
• Инициирование проекта
• Управление рисками
• Анализ рисков
• Функциональное проектирование и планирование
• Техническое задание на разработку системы
• Разработка программного обеспечения
• Установка и внедрение
• Эксплуатация и сопровождение
• Удаление
• Виды тестирования
• Анализ завершенного проекта

В двух словах \ Карта законодательства по ПД для банков

Понадобилось проанализировать действующее российское законодательство в области персональных данных применительно к банкам, принявшим в качестве обязательного Комплекс стандартов Банка России БР ИББС. В итоге получилась вот такая карта.

Здесь можно скачать картинку в высоком разрешении и исходник в формате MS Visio.

Несколько пояснений по схеме:

• красными стрелками обозначено, какой документ на каком основан;
• синими стрелками показаны ссылки из одних документов в другие;
• цветами показаны разные "уровни" документов 
• фиолетовый и синий - общие основополагающие документы;
• оранжевый - конкретизирующие документы;
• зеленый и коричневый - документы, содержащие конкретные требования;
• красный - документы по вопросам контроля и ответственности;
• серый - вспомогательные документы;
• красным фоном выделены наиболее важные документы, в которых находится основной объем требований (при использовании СКЗИ для защиты ПДн также важными становятся документы ФСБ, при обработке биометрических ПДн - ПП-512).
• зачеркнуты на схеме документы ФСТЭК, которые можно не использовать после введения приказом Комплекса БР ИББС - все содержащиеся в них требования включены в СТО БР ИББС-1.0, РС БР ИББС-2.3 и РС БР ИББС-2.4.

Сами документы можно найти в разделе блога "Законодательство и требования".

Фрикономика

Прочитал очень интересную книгу, некоторыми моментами был, честно говоря, просто потрясен. Книга называется называется "Суперфрикономика" (у нее есть не менее интересная первая часть - "Фрикономика"). Рекомендуется к прочтению.

В книге описано несколько исследований и историй из реальной жизни, причем они рассмотрены с очень необычной точки зрения. Книга показывает реакцию и поведение людей на различные стимулы в различных обстоятельствах, а также некоторые удивительные стороны вполне обычных явлений. Многие исследования, приведенные в этой книге, основаны на технологиях интеллектуального анализа (data mining) статистических данных, и могут служить примерами использования этой техники.

Ниже я вкратце приведу лишь несколько наиболее запоминающихся историй. Хотя они не связаны с информационной безопасностью, но параллели очевидны.

Техническое описание Oracle Identity Management 11g

Андрей Гусаков выложил в своем блоге перевод Технического описания Oracle Identity Management 11g. За что ему большой респект!
Более подробно - здесь: http://security-orcl.blogspot.com/2011/01/blog-post_14.html

Кстати, блог весьма интересный, из него можно почерпнуть немало полезной информации по решениям безопасности Oracle, причем из первых рук.

ISSP \ Домен 09. Безопасность приложений. Часть 3

В этой части рассмотрены следующие вопросы:

• Целостность
• Вопросы безопасности баз данных
• Представления базы данных
• Многоэкземплярность
• Обработка транзакций в режиме реального времени
• Хранилища и интеллектуальный анализ данных

Практика ИБ \ Метрики для оценки эффективности антивирусной системы

Что-то я давненько не выкладывал в блоге ничего кроме CISSP'а. Судя по логам, некоторые заскучали (хотя может это Новый год сказывается ;-)). На самом деле интересного материала накопилось много, но хочется сначала закончить с CISSP'ом.

Вобщем исправляюсь :-)

Lenny Zeltser очень кстати опубликовал в своем блоге рекомендации по выбору метрик для оценки эффективности работы системы антивирусной защиты компании. Ниже представлен перевод статьи.

ISSP \ Домен 09. Безопасность приложений. Часть 2

В этой части рассмотрены следующие вопросы:

• Управление базами данных
• Программное обеспечение для управления базами данных
• Модели баз данных
• Интерфейсы программирования баз данных
• Компоненты реляционной базы данных
• Словарь данных
• Первичные и внешние ключи