Привет!
Правила игры простые: я рассказываю историю про аудит безопасности, а вы оцениваете, правда это или нет. Под спойлером — ответ.
Рубрика «аудит»
Байки по кибербезопасности: играем в «Правда или ложь»
2022-11-24 в 7:11, admin, рубрики: аудит, байки, безопасность, Блог компании Инфосистемы Джет, защита, ИБ, инженер, информационная безопасность, процесс, управление проектамиКино под защитой. Как мы готовились к аудиту по безопасности медиаконтента
2020-10-20 в 8:08, admin, рубрики: Creative Commons, IT-стандарты, аудит, аудит безопасности, Блог компании ГК ЛАНИТ, индустрия кино, информационная безопасность, кино, Ланит, ланит-интеграцияНаверняка каждый читатель Хабра хотя бы раз в жизни мечтал прикоснуться к миру кино, стать его частью. В этом посте я расскажу о том, как консультантам из отдела информационной безопасности удалось сделать это.
Из текста вы узнаете:
- зачем досматривать до конца титры в конце фильма;
- сколько аудиторских опросников нужно заполнить, чтобы быть уверенным, что кино под защитой;
- почему аудит безопасности медиаконтента лучше не проходить в мешковатом худи.
Азбука безопасности в Kubernetes: аутентификация, авторизация, аудит
2019-09-27 в 9:51, admin, рубрики: devops, kubernetes, аудит, безопасность, Блог компании Флант, информационная безопасность, системное администрирование
Рано или поздно в эксплуатации любой системы встаёт вопрос безопасности: обеспечения аутентификации, разделения прав, аудита и других задач. Для Kubernetes уже создано множество решений, которые позволяют добиться соответствия стандартам даже в весьма требовательных окружениях… Этот же материал посвящён базовым аспектам безопасности, реализованным в рамках встроенных механизмов K8s. В первую очередь он будет полезен тем, кто начинает знакомиться с Kubernetes, — как отправная точка для изучения вопросов, связанных с безопасностью.Читать полностью »
Облачный чек-лист, или как нас оценивал заказчик
2019-01-23 в 7:05, admin, рубрики: iaas, аудит, Блог компании КРОК Облачные сервисы, критерии, облако, облачные сервисы, требования, чеклист, человеческие ресурсы
Крупной иностранной компании понадобилось заехать в наше облако из-за закона о персональных данных. Поскольку они сами по себе занимаются аудитом других компаний, то подошли к вопросу привычно: изучили рынок, составили список требований к облаку и начали проверять, кто и как ему соответствует.
Переносили все системы: тестовые среды, тест + прод, препрод, все виртуальные машины, виртуальные сервера плюс все системы виртуальной инфраструктуры. Даже поддержка у них своя появилась в России. От нас — только аренда ресурсов.
Проверяли они нас знатно, по масштабам: почти полный аудит ЦОДа. Но они смотрели не железо и теххарактеристики в основном, а то, как выстроены процессы ИБ и как соблюдаются разные SLA. С их точки зрения, именно процессы по стабильности SLA указывают на качество работы компании. И мы им рассказывали про каждый из компонентов детально.
Я хочу поделиться списком критериев к проверке. Потому что появилась хоть какая-то методология, ведь до этого мало какой заказчик так системно подходил к вопросу.
Читать полностью »
Как создавать собственные компоненты для мониторинга устройств и автоматизации ИТ-задач
2018-04-18 в 8:18, admin, рубрики: Panda Systems Management, RMM, аудит, Блог компании Panda Security в России, инвентаризация, компонент, контроль, облачный сервис, Программирование, производительность, расширение возможностей, Серверное администрирование, Сетевые технологии, системное администрирование, скрипт, сценарии поведения
Комплексное RMM-решение Panda Systems Management для централизованного и удаленного управления, контроля и обслуживания корпоративных сетей, устройств и ИТ-инфраструктуры позволяет администраторам создавать собственные специфические компоненты для мониторинга устройств и автоматизации своих ИТ-задач. Рассмотрим пример создания такого компонента.Читать полностью »
Мы нашли крупную компанию, которая 5 лет не занималась информационной безопасностью, и она ещё жива
2018-03-27 в 7:06, admin, рубрики: аудит, Блог компании КРОК, информационная безопасность, инфраструктура, коммутатор, Неуловимый Джо, Сетевые технологии, сеть, системное администрирование
Примерно 5-6 лет назад там был реально крутой админ, который настроил сеть как часы и оснастил современным на тот момент оборудованием экономсегмента. Недостаток бюджета админ компенсировал хорошими конфигами и правильной архитектурой. В общем, видно, что было сделано много работы.
Потом компания разделилась на две, расширилась, в ней всё поменялось пару раз — и за всё это время сеть поддерживали на костылях. Поскольку ИТ не профильный бизнес нашего заказчика, ситуация в целом понятна. Она такая много где, но чтобы большая сеть (территориально распределённая компания, десятки филиалов) продержалась в таком виде 5 лет — я такого ещё не видел.
Собственно, и не продержалась. Нас позвали провести аудит сетевой инфраструктуры после зафиксированного случая взлома, когда их базы данных со всей представляющей коммерческую тайну информацией оказались просто скачаны. Точнее, всплыли не у тех людей.
Читать полностью »
Лженаука. Верить ли научным статьям по психологии
2016-10-10 в 16:09, admin, рубрики: PubPeer, аудит, краудсорсинг, Научно-популярное, психология, метки: PubPeer
Уровень значимости и p-значение в математической статистике
С каждым годом растёт количество публикаций в научных журналах, в том числе публикаций по гуманитарным наукам. Согласно определению Бахтина, «предмет гуманитарных наук — выразительное и говорящее бытие. Это бытие никогда не совпадает с самим собой и потому неисчерпаемо в своем смысле и значении».
Неисчерпаемость смысла и значения бытия не мешает анализировать результаты научных исследований статистическими методами. В частности, выводы в исследованиях по экспериментальной психологии часто являются результатом тестирования значимости нулевой гипотезы.
Но есть большое подозрение, что авторы некоторых научных работ не очень сильны в математике.
Читать полностью »
Мониторинг безопасности с Sysdig Falco
2016-09-06 в 8:07, admin, рубрики: linux, sysdig, sysdig falco, аудит, безопасность, Блог компании Селектел, ядро, метки: sysdig, sysdig falco
O Sysdig —инструменте для трассировки ядра — мы рассказывали два года назад. Совсем недавно, в мае этого года, разработчики Sysdig представили ещё один интересный продукт: систему обнаружения аномалий Falco.
Читать полностью »
Как мы в очередной раз проходили золотую сертификацию Cisco: особенности, пара баек и подводные камни
2016-05-31 в 7:26, admin, рубрики: Cisco, аудит, Блог компании КРОК, ит-инфраструктура, подготовка, прохождение, Серверное администрирование, циско
В идеале модель выглядит так: сертификация от производителя нужна нам для подтверждения уровня экспертизы, плюс это позволяет получить скидку от вендора, чтобы быть конкурентоспособными на тендерах. Производитель сертифицирует своих партнёров — уверенность в качестве работ и профессионализме интегратора прежде всего. Сертификат выдаётся раз в год.
Ключевое условие для прохождения аудита — наличие обученных сертифицированных специалистов и сданных специализаций — архитектур, а также наличие проектов, реализованных с использованием технологий вендора. У Cisco именно так: чтобы получить золото, нужно реально двигать рынок: с этого года требования довольно сильно поменялись и ужесточились.
Исходя из моего опыта, подготовиться с нуля к аудиту на «золото» — сложно. Но, к счастью, мы проходим эту историю уже с 2002 года, плюс у нас есть аудиты по ISO, немецкому TÜV SÜD и другим нормативам.
Аудит мы проходили на этот раз с проектами инфраструктуры железнодорожной пассажирской и крупной энергетической компаний, государственной корпорации и т.п. Аудитор иногда нервно вздрагивал, когда мы показывали документы по инфобезопасности. Читать полностью »
Особенности распределения фонда оплаты труда в больших предприятиях РФ
2016-05-18 в 12:37, admin, рубрики: аудит, бизнес-модели, билайн, Законодательство и IT-бизнес, Карьера в IT-индустрии, коммерческая отчетность, консалтинговые компании, минимизация затрат, проблемы управления, риски, Сбертех, управление персоналом, Фонд оплаты труда, ФОТ, яндекс, метки: Фонд оплаты труда, ФОТОказывается, в свободном доступе есть интересная информация от HeadHunter о повышении фонда оплаты труда (ФОТ) в 2015 году. Со страницы проекта "Банк данных заработных плат" идет ссылка "Сравнивайте зарплаты вашей компании с рынком".
Прямая ссылка на pdf: Зарплаты в России. Итоги 2015 года.
Как видите, между топ-менеджментом, который смог повысить себе зарплату на уровень выше официальной инфляции, и остальными сотрудниками, существует четкая граница.
Вы скажете – что же удивительного в том, что топ-менеджмент имеет возможность управлять своей зарплатой, а остальные нет.
И вообще, многим придут на ум уже затертые шаблоны:
- Надо не завидовать, а больше работать, и станешь таким же высокооплачиваемым топ-менеджером.
- Не нравится – уходи и работай на себя / аутсорсь за валюту на западные компании / переезжай в другие страны.
Но эти выводы и советы слишком уж лежат на поверхности.
We need to go deeper.
Давайте посмотрим, насколько же глубока эта не кроличья нора…