19 августа, понедельник 07:13
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

Об умирающих парадигмах

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • #61
    Сообщение от Идущий Посмотреть сообщение
    Т.е. при использовании сертифицированной ОС установка обновлений (в соответствии с документацией к ОС) созданных в рамках этого же сертификата приводит к потере этого сертификата. Или я чего-то не понял?
    Если у вас сертифицирована партия или единичный экземпляр, то потеря однозначно. Если сертифицировано производство, включающее и сертифицированные обновления, то не приводит. Хотя надо понимать, что сертифицированные обновления - это сильно сказано. Тот же сертифицированный Windows, имхо, получает сертифицированные обновления раз в полгода.

    Комментарий


    • #62
      Сообщение от Алексей Лукацкий Посмотреть сообщение
      Если у вас сертифицирована партия или единичный экземпляр, то потеря однозначно. Если сертифицировано производство, включающее и сертифицированные обновления, то не приводит. Хотя надо понимать, что сертифицированные обновления - это сильно сказано. Тот же сертифицированный Windows, имхо, получает сертифицированные обновления раз в полгода.
      А сертифицированные обновления к ALT Linux поставляются чаще?

      Комментарий


      • #63
        Сообщение от Toparenko Посмотреть сообщение
        Пример:
        На моем домашнем компе стоит зоопарк из 4-х ОС (OEM-овская Vista, Ubuntu, ALT Linux, Mandriva)
        3 из этих ОС-ей могут применяться в АСЗИ.
        Критические обновления безопасности, в каждой из них, поступают с периодичностью от 1 месяца до полугода (статистика по результатам использования).
        Соответственно после обновления это ПО сразу же перестает быть сертифицированным => аттестат соответствия (если бы он был) перестает действовать.

        Так что мне надо было бы делать (подчеркиваю, что система не автономна, а имеет подключение к сетям связи общего пользования [ССОП]):
        1. Иметь аттестованную систему с критическими "дырами"
        2. Накатить обновления и вывести систему из под аттестата
        Предложение решения для 3-х ОС из 4-х заявленных.
        В качестве основной ОС выбрать ту, которая выпускается на "сертифицированном производстве" и имеет меньший период обновления по сравнению с другой ОС. Предполагаю, что это не Windows. По скольку наличие остальных ОС является "требованием бизнеса", то выполнить их "виртуализацию" в основной ОС. Если добавить "косметики", то аттестат сохранится. Без "косметики" - сохранится смысл аттестата.

        Комментарий


        • #64
          Сообщение от Идущий Посмотреть сообщение
          А сертифицированные обновления к ALT Linux поставляются чаще?
          Не знаю. Как и не знаю крупных внедрений сертифицированного ALT Linux в России.

          Комментарий


          • #65
            Сообщение от Идущий Посмотреть сообщение
            А сертифицированные обновления к ALT Linux поставляются чаще?
            Не попадались мне сертифицированные обновления к *nix-ам кроме МСВС. Но мало верю, что МСВС найдет применение где-нибудь в коммерческих компаниях (естественно не связанных с ПО для Минобороны)
            Сообщение от Идущий Посмотреть сообщение
            Т.е. при использовании сертифицированной ОС установка обновлений (в соответствии с документацией к ОС) созданных в рамках этого же сертификата приводит к потере этого сертификата. Или я чего-то не понял?
            Устранение критической уязвимости подразумевает изменение кода продукта. А любое такое изменение требует повторной проверки и соответственно пересертификации.
            Сертифицированныем считается лишь то, что поставляется на материальном носителе с соответствующей голографической наклейкой - большинство отклонений от сертифицированного дистрибутива уже анулирует сертификат.
            Сообщение от Идущий Посмотреть сообщение
            Предложение решения для 3-х ОС из 4-х заявленных.
            Это лишь пример, при том для домашнего компьютера, а не для АС коммерческой организации. Речь идет о полнофункционально установленных ОС которые можно запустить на данном компьютере - виртуальные я не считаю т.к. одни "приходят", другие "уходят" по мере наличия времени и возможности их (или чего-то под них) "пощупать"...
            В коммерческой организации подобный зоопарк разводить не станут, разве-что на тестовом стенде
            Сообщение от Идущий Посмотреть сообщение
            В качестве основной ОС выбрать ту, которая выпускается на "сертифицированном производстве" и имеет меньший период обновления по сравнению с другой ОС.
            Здесь вопрос не так обновления, как устранения уязвимостей. И этот процесс зависит лишь от выявления уязвимости и ее устранения - т.ч. периодичность очень вариабельна.
            Сообщение от Идущий Посмотреть сообщение
            Предполагаю, что это не Windows. По скольку наличие остальных ОС является "требованием бизнеса", то выполнить их "виртуализацию" в основной ОС. Если добавить "косметики", то аттестат сохранится. Без "косметики" - сохранится смысл аттестата.
            А здесь мы приходим к другой не предусмотренной регуляторами проблеме - как аттестовать автоматизированную систему с виртуализированными составляющими

            Комментарий


            • #66
              Сообщение от Алексей Лукацкий Посмотреть сообщение
              Не знаю. Как и не знаю крупных внедрений сертифицированного ALT Linux в России.
              IMO ALT сделал правильное решение, что занялся поставкой ПО для школ (правда не без косяков с поставкой )

              Т.ч. есть вероятность, что в среднесрочной перспективе появятся внедрения

              Комментарий


              • #67
                Сообщение от Toparenko Посмотреть сообщение
                IMO ALT сделал правильное решение, что занялся поставкой ПО для школ (правда не без косяков с поставкой )

                Т.ч. есть вероятность, что в среднесрочной перспективе появятся внедрения
                Сертифицированные или просто внедрения ALT Linux?

                Комментарий


                • #68
                  Сообщение от Алексей Лукацкий Посмотреть сообщение
                  Сертифицированные или просто внедрения ALT Linux?
                  Вначале просто, а впоследствии и сертифицированные

                  Как сейчас "электорат" "подсажен" на "форточки" - так может быть "пересадят" на *nix-ы
                  Все будет зависеть от успешности "воспитания молодого поколения"...

                  Комментарий


                  • #69
                    Приношу свои извинения, за столь долгое обдумываение ответа. Прежде чем начнете читать ответы, обязательно стоит учесть следующее:
                    1. мир состоит не только из менеджеров по продажам
                    2. менеджеры по продажам не имеют полного доступа ко всей информации компании, в которой они работают
                    3. Вы предложили мне отвечать на вопросы, задаваемые с позиции менеджера, отвечать я буду с позиции кассира банка.
                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    Может у нас тексты разные? Давайте по отдельным пунктам пробежимся:
                    - п.2.16. Для защиты конфиденциальной информации используются сертифицированные по требованиям безопасности информации технические средства защиты информации. Порядок сертификации определяется законодательством Российской Федерации - Где мне взять сертифицированные средства защиты для Nokia e61i или iPhone?
                    Не видел ни одного кассира или бухгалтера, осуществляющего банковские операции с использованием указанного Вами оборудования.Вводить платежки с использованием Nokia e61i или iPhone можно, но уж очень не удобно и медлено.
                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.3.8. определяются условия расположения объекта информатизации относительно границ КЗ - Как мне определить границы КЗ, если КЗ - это пространство (территория, здание, часть здания), в котором исключено неконтролируемое пребывание сотрудников и посетителей организации, а также транспортных средств. При этом я повторю, что я могу работать и работаю в аэропорту, кафе, электричке, самолете, парке и т.п. Во всех этих местах я не могу исключить неконтролируемое пребывание посторонних. Более того, я его там вообще неконтролирую.
                    У Вас очень большой опыт работы, не могли бы Вы поделиться информацией о том как кассиры и операционисты банков ведут свои работы в части работы с наличностью в аэропорту, кафе, электричке, самолете, парке и т.п.

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.4.5. Передача речевой информации по открытым проводным каналам связи, выходящим за пределы КЗ, и радиоканалам должна быть исключена - Во-первых, у меня каналы БЕСПРОВОДНЫЕ, а они вообще никак не регламентированы СТР-К. И следуя мнению ФСТЭК, беспроводку вообще нельзя использовать для передачи конфиденциальной информации. Во-вторых, СТР-К предполагает исключить передачу информации с моего лэптопа из аэропорта, а для меня это бизнес-потребность. Ни о какой защищенной линии связи в аэропорту и речи не идет.
                    Здесь действительно проблема - я вместе со ФСТЭк-ом так же оказываюсь в затруднительном положении, по тому что не могу себе представить самостоятельно разговаривающий лэптоп. А если речь идет о Вас самом, то я не уверен, что что Вы будете в зале ожидания аэропорта обсуждать что-либо важное.
                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.1.3. ограничение доступа персонала и посторонних лиц в ЗП и помещения, где размещены средства информатизации и коммуникационное оборудование, а также хранятся носители информации - как вы себе это представляете для iPhone?
                    Конечно iPhone содержит информацию и является разновидностью коммуникационного обрудования и средством информатизации. Только очень сомнительно, что iPhone в указанных Вами местах будет применен Вами например для управления платежами компании CISCO. Иными словами, указанное Вами оборудование не применяется для ведения работ бухгалтерами и кассирами. Кроме того, эти работники не смогут выполнять свои должностные обязанности в указанных Вами местах.

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.1.3. регистрация действий пользователей АС и обслуживающего персонала, контроль несанкционированного доступа и действий пользователей, обслуживающего персонала и посторонних лиц - как вы себе это представляете? Нет в iPhone таких функций?
                    iPhone в руках не держал, но раз Вы говорите, что в нем нет таких функций, то значит это так и есть. Однако, та информация о которой Вы пытаетесь рассказать (данные о контрактах допустим) и несодержится в Вашем iPhone. Очень сомнительно, что бы такая крупная организация смогла разместить всю свою информацию в Вашем iPhone. И поскольку этой информациии в Вашем iPhone нет, то Вы подключаетесь к некой АС как ее пользователь. В этой самой АС и производится все то, о чем Вы рассказываете. Или станенте утверждать, что сервера с информацией Ваша компания размещает "в аэропорту, кафе, электричке, самолете, парке и т.п."?

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.1.3. использование сертифицированных серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации - вы видели серийно выпускаемые лэптопы Lenovo, HP, Toshiba, ASUS в защищенном исполнении? А iPhone?
                    Не видел. А Вы видели кассира оформляющего операцию с использованием iPhone, лэптопов Lenovo, HP, Toshiba, ASUS?

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.1.3. размещение объектов защиты на максимально возможном расстоянии от границы КЗ - если я не могу определить КЗ, то этот пункт не выполним.
                    Если предположить, что Ваш iPhone является хранилищем всей информации Вашей компании, то я то же не смогу определить границы КЗ. Здесь мы с Вами едины во мнении по отношению к Вашему iPhone.

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.1.3. ...про развязку цепей электропитания вообще говорить не буду ;-)
                    Надо полгать, что у Вас особый iPhone и в электропитании не нуждается. А лэптоп у Вас то же без электроэнергии работает?

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.3.2. на период обработки защищаемой информации в помещениях, где размещаются ОТСС, могут находиться только лица, допущенные в установленном порядке к обрабатываемой информации, допуск других лиц для проведения необходимых профилактических или ремонтных работ может осуществляться в эти помещения только с разрешения руководителя организации или руководителя службы безопасности - вот незадача, руководитель моей организации находится в Америке, как и CSO. И даже если я попрошу лицо, их замещающее в России, чтобы оно разрешило мне пользоваться лэптопом в аэропорту, то как ему подам на подпись список посторонних лиц,находящихся в аэропорту?
                    А может не стоит в аэропорту пользоваться лэптопом? А вдруг забудете его там, увлекшись iPhone?А пример кассового обслуживания в России и за ее пределами привести можете?

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.3.2 по окончании обработки информации пользователь обязан произвести стирание остаточной информации на несъёмных носителях (жестких дисках) и в оперативной памяти. Одним из способов стирания остаточной информации в оперативной памяти является перезагрузка ПЭВМ - я упарюсь каждый раз перегружать iPhone
                    Это почему? Вы же работаете практически без остановки и "в аэропорту, кафе, электричке, самолете, парке и т.п." Зачем Вам "каждый раз перегружать iPhone"?

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.3.2. изменение или ввод новых программ обработки защищаемой информации ...при этом АС подлежит переаттестации - специально посмотрел статистику своей системы управления патчами. Ее конфигурация подразумевает ежедневное обновление. Даже если предположить, что патчи у меня ставятся даже не раз в неделю, а раз в месяц, то я запарюсь каждый раз переаттестовать систему. Совет - не ставить патчи я даже не рассматриваю.
                    Это вы про iPhone или лэптоп?

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.3.4 Учет съемных носителей информации ...осуществляется по карточкам или журналам установленной формы - вот незадача, но как это сделать для iPhone или для моего лэптопа при нахождении меня в командировке, я не знаю ;-(
                    Да действительно задача. Не мог же я подозревать, что в столь уважаемая компания владеет только одним iPhone и одним лэптопом, которые отдала Вам на период командировки, и у нее болше ничего нет, а Вас заставила вести эти самые карточку и журнал.

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.6.2. Конфиденциальная информация может обрабатываться только в ЛВС, расположенных в пределах КЗ - мы уже обсудили, что КЗ я не могу определить в динамической среде.
                    Это надо полагать, что динамической средой являются Ваш iPhone и лэптоп, которые хранят всю инфрмацию компании.
                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.6.3. Средства защиты информации от НСД должны использоваться во всех узлах ЛВС - и на iPhone/смартфон? Где взять (сертифицированные, разумеется)?
                    Т.е. на всю Вашу компанию существует только одна ЛВС, образуемая Вашими iPhone и лэптопом. Ну если это так, то действительно проблема. Да же не знаю чем Вам помочь.

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.5.6.6. Состав пользователей ЛВС устанавливается письменным распоряжением руководителя организации (структурного подразделения) - вот у нас на сайте, которыя является частью нашей сети, 2 с лишним миллиона пользователей. Я должен к президенту компании придти утверждать список? Или к кому? Web-администратору?
                    Не стоит так огорчаться, раз Вам доверили все оборудование компании (iPhone и лэптоп), к которому подключаются "2 с лишним миллиона пользователей", то скоро он сам к Вам придет с утвержденным списком.

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.6.2.1 Обоснование необходимости подключения АП к Сети должно содержать [перечисление пунктов] - я на дню могу подключаться минимум к 2-м азным сетям, а в командировке - 4-5 сетям (в каждом городе свои). Я уже не говорю, что iPhone, как и любой смартфон, за границей подключается к первому попавшемуся оператору (по терминологии СТР-К - Сети) автоматически. А п.6.3.10 это явно запрещает. Заранее же знать список операторов я не могу ;-(
                    Это дополнительное подтверждение того, что вся информация компании размещена в Ваших iPhone и лэптопе. Вот только не пойму,почему Вы iPhone и лэптоп, то АС именуете, то АП. Может определитесь?

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.6.2.2. Подключение к Сети АП, представляющих собой внутренние (локальные) вычислительные сети организации, на которых обрабатываются информация, не разрешенная к открытому опубликованию в соответствии с Перечнем сведений конфиденциального характера организации, осуществляется только после установки на АП средств защиты информации от НСД и аттестационных испытаний АП с целью официального подтверждения эффективности применяемых мер и средств защиты информации, отвечающих рекомендациям, изложенным в подразделе 6.3 настоящего документа и требованиям действующих государственных стандартов - аттестуете iPhone?
                    У меня нет лицензии на этот вид деятельности. Но Ваш iPhone я не стал бы аттестовывать.

                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    - п.6.3.12.1 Для обеспечения защиты информационных ресурсов АП при подключении к Сети необходимо...осуществлять периодический анализ безопасности установленных МЭ на основе имитации внешних атак на АП - увы, с лэптопа и, тем более с iPhone, я не хожу через корпоративный МСЭ.
                    - теперь зададим еще вопрос. Например, у меня конфиденциальная информация хранится во внешней компании (cloud computing, SaaS и т.п.). Чем регламентировать этот вид взаимодействия? п.6.3.15 не прокатывает - он тупой и ориентирован только на работу электронной почты. Более того, он описывает только взаимодействие двух равнозначных сторон. А когда одна сторона использует инфраструктуру другой стороны (colocation, например), то этот пункт уже не работает.
                    Это как? Вы же выше утверждали, что обрабатываете информацию компании на этих устройствах. Попытайтесь объяснить как эта информация оказалась на Вашем iPhone минуя корпоративный МСЭ.Не здесь ли лежит тот самый камень, о который спотыкаемся?
                    Сообщение от Алексей Лукацкий Посмотреть сообщение
                    Я думаю достаточно. Или вы будете утверждать, что все описанные мной вопросы решаемы в рамках СТР-К? Если да, то если вас не затруднит, ответьте по каждому пункту. Спасибо.
                    Остальные ответы в связи с исчезновением вопросов не приводятся.

                    Комментарий


                    • #70
                      Сообщение от Идущий Посмотреть сообщение
                      отвечать я буду с позиции кассира банка.
                      Вы хотите сказать, что только кассовые операции составляют информацию конфиденциального характера?!?
                      Могу сказать, что подчас пара слов сказанных по телефону будут более критичны, чем иная терабайтная база

                      Комментарий


                      • #71
                        Сообщение от Toparenko Посмотреть сообщение
                        Вы хотите сказать, что только кассовые операции составляют информацию конфиденциального характера?!?
                        Могу сказать, что подчас пара слов сказанных по телефону будут более критичны, чем иная терабайтная база
                        Согласен. Но мне как-то не верится, что Алексей Лукацкий, когда будет произносить эти слова, придет на железнодорожный вокзал и будет произносить их в мегафон.
                        Ведь это он привел пример с продавцом. Почему бы мне не привести пример с кассиром?

                        Комментарий


                        • #72
                          Сообщение от Идущий Посмотреть сообщение
                          Согласен. Но мне как-то не верится, что Алексей Лукацкий, когда будет произносить эти слова, придет на железнодорожный вокзал и будет произносить их в мегафон.
                          Да хоть только выйдя из офиса. И не факт, что эти слова будут принадлежать именно менеджеру по продажам, а не кому-то из топ-менеджмента или иных лиц, попадающих под Федеральный закон Российской Федерации от 27 июля 2010 г. N 224-ФЗ...

                          Это банальный инсайдерский риск с одной стороны и непрерывность бизнеса с другой.
                          Сообщение от Идущий Посмотреть сообщение
                          Ведь это он привел пример с продавцом. Почему бы мне не привести пример с кассиром?
                          И там и там частные случаи. Но кассир более "привязан" к своему рабочему месту т.ч. не очень удачный аргумент в данном споре. Вы бы еще спеца по проверке зараженности банкнот как пример немобильности привели

                          Комментарий


                          • #73
                            Сообщение от Toparenko Посмотреть сообщение
                            ...И там и там частные случаи. Но кассир более "привязан" к своему рабочему месту т.ч. не очень удачный аргумент в данном споре. Вы бы еще спеца по проверке зараженности банкнот как пример немобильности привели
                            А менеджеры по продажам - очень удачный пример. Особенно те, что даже рабочего места в офисе не имеют.
                            Т.е. есть мобильные рабочие места пользователей АС и есть стационарные рабочие места.
                            И каких мест больше?

                            Комментарий


                            • #74
                              Сообщение от Идущий Посмотреть сообщение
                              А менеджеры по продажам - очень удачный пример. Особенно те, что даже рабочего места в офисе не имеют.
                              Т.е. есть мобильные рабочие места пользователей АС и есть стационарные рабочие места.
                              И каких мест больше?
                              Все зависит от компании и ее "продвинутости".

                              Например для некоторых компаний, с исключительно стационарными рабочими местами, очень критичной является нынешняя ситуация в Европейской части РФ, вплоть до форс-мажора

                              Комментарий


                              • #75
                                Сообщение от Toparenko Посмотреть сообщение
                                Все зависит от компании и ее "продвинутости".

                                Например для некоторых компаний, с исключительно стационарными рабочими местами, очень критичной является нынешняя ситуация в Европейской части РФ, вплоть до форс-мажора
                                Есть такое дело.
                                Не понятно только в части "продвинутости" - к серверам это относится? Или предлагаются "облачные вычисления"?
                                Т.е. сервера, размещенные в облаках, а то одни взрывают, другие тонут, третьи задыхаются в дыму.

                                Комментарий


                                • #76
                                  Сообщение от Идущий Посмотреть сообщение
                                  Есть такое дело.
                                  Не понятно только в части "продвинутости" - к серверам это относится? Или предлагаются "облачные вычисления"?
                                  Т.е. сервера, размещенные в облаках, а то одни взрывают, другие тонут, третьи задыхаются в дыму.
                                  Зачем лезть в облачные, можно посмотреть на виртуальные сервера
                                  И сразу "клинит" всю прадигму.

                                  Хотя, для примера, достаточно начать "выдирать" VBA из продуктов Мелкомягких с целью обеспечения неизменности программной среды

                                  Комментарий


                                  • #77
                                    Сообщение от Идущий Посмотреть сообщение
                                    3. Вы предложили мне отвечать на вопросы, задаваемые с позиции менеджера, отвечать я буду с позиции кассира банка.
                                    Кассиры, говорите? Хе

                                    Только почему же именнно "кассиры банка"? Bедь так мало. А, понимаю, это подгон задачи под ответ - ведь у них такая удобная бонированная песочница Нет уж, мы с вами - люди серьезные, и понимаем, что СТР-К писаны не только для песочниц. Так что поговорим вообще о кассирах, формирующих платежную информацию. А поскольку вы изволили заменить неудобного вам менеджера по развитию бизнеса на удобного вам кассира, я позволю себе заменить ставший неуместным iPhone на более уместное в случае кассира кассовое оборудование.

                                    Сообщение от Идущий Посмотреть сообщение
                                    Не видел ни одного кассира или бухгалтера, осуществляющего банковские операции с использованием указанного Вами оборудования.Вводить платежки с использованием Nokia e61i или iPhone можно, но уж очень не удобно и медлено.
                                    Вы наверняка видели массу кассиров, принимающих к оплате платежные карты. Для этого используются платежные терминалы, например Sagem Monetel, которые выполняют основные функции защиты платежного процесса - авторизацию карты, эмитента и транзакции. Где бы мне взять сертифицированный терминал? А заодно где мне взять сертифицированные банкоматы?

                                    А еще вы не можете не знать про чиповые карты. Эти карты сами по себе являются СВТ, самостоятельно выполняющими функции безопасности. Где бы мне купить партию чиповых карт, сертифицированных хотя бы по минимальному классу СВТ?

                                    Сообщение от Идущий Посмотреть сообщение
                                    У Вас очень большой опыт работы, не могли бы Вы поделиться информацией о том как кассиры и операционисты банков ведут свои работы в части работы с наличностью в аэропорту, кафе, электричке, самолете, парке и т.п.
                                    "Тебе повезло, ты не такой, как все:
                                    Ты работаешь в офисе" (c)

                                    Кассирам банков повезло. А вот кассирам большинства торговых точек не повезло - они выполняют кассовые операции в общественных местах. Общественное место - это по определению, то место в котором может находиться неопределенный круг лиц. В некоторых подобных местах даже как таковой прикассовой зоны нет. Давайте из соображений информационной безопасности запретим выполнять кассовые операции в общественных местах? Или, может быть, возьметесь организовать для кассира торговой точки контролируемую зону с физической защитой?

                                    Сообщение от Идущий Посмотреть сообщение
                                    Здесь действительно проблема - я вместе со ФСТЭк-ом так же оказываюсь в затруднительном положении, по тому что не могу себе представить самостоятельно разговаривающий лэптоп. А если речь идет о Вас самом, то я не уверен, что что Вы будете в зале ожидания аэропорта обсуждать что-либо важное.
                                    А что это вы вдруг на речевую информацию переключились? Вот у меня мобильник синхронизирован с MS Exchange. И это бизнес-необходимость, потому что есть срочные вопросы, на которые я должен быстро дать ответ, даже если я на пару суток застрял в зале ожидания аэропорта. Как быть?

                                    Сообщение от Идущий Посмотреть сообщение
                                    Конечно iPhone содержит информацию и является разновидностью коммуникационного обрудования и средством информатизации. Только очень сомнительно, что iPhone в указанных Вами местах будет применен Вами например для управления платежами компании CISCO. Иными словами, указанное Вами оборудование не применяется для ведения работ бухгалтерами и кассирами. Кроме того, эти работники не смогут выполнять свои должностные обязанности в указанных Вами местах.
                                    Вот демагогии не надо

                                    Вам указали не невозможность размещения средства информатизации в защищенном помещении. Не нравится любимый Алексеем iPhone - займитесь любимым мною терминалом или банкоматом. Как только закончите скрещивать ежа с ужом (защищенное помещение для этого средства и необходимость предотавить к этому средству физический доступ неопределенного круга лиц), отпишите. Должно получиться прелюбопытнейшее произведение

                                    Сообщение от Идущий Посмотреть сообщение
                                    iPhone в руках не держал, но раз Вы говорите, что в нем нет таких функций, то значит это так и есть. Однако, та информация о которой Вы пытаетесь рассказать (данные о контрактах допустим) и несодержится в Вашем iPhone. Очень сомнительно, что бы такая крупная организация смогла разместить всю свою информацию в Вашем iPhone. И поскольку этой информациии в Вашем iPhone нет, то Вы подключаетесь к некой АС как ее пользователь. В этой самой АС и производится все то, о чем Вы рассказываете. Или станенте утверждать, что сервера с информацией Ваша компания размещает "в аэропорту, кафе, электричке, самолете, парке и т.п."?
                                    Я вот не кассир, но и не менеджер по продажам, согласны? Специфика проектов, в которых приходится участвовать, такова, что иногда приходится хранить на своем мобильнике гигабайты этой самой весьма конфиденциальной информации, в том числе - финансовой. Я спокойно пользуюсь для ее хранения мобильным устройством, так как знаю, как обеспечить адекватную защиту. Однако парадигма защиты от СТР-К не позволяет ни использовать мобильные устройства, ни защищать их в случае нормального использования. По-моему, это личные проблемы адептов СТР-К, не находите?

                                    Сообщение от Идущий Посмотреть сообщение
                                    Не видел. А Вы видели кассира оформляющего операцию с использованием iPhone, лэптопов Lenovo, HP, Toshiba, ASUS?
                                    Зато мы с вами видели кассиров, использующих экзотические для "сертификаторов", но при этом массово применяемые терминалы. И что, запретим их использовать?

                                    Сообщение от Идущий Посмотреть сообщение
                                    Если предположить, что Ваш iPhone является хранилищем всей информации Вашей компании, то я то же не смогу определить границы КЗ. Здесь мы с Вами едины во мнении по отношению к Вашему iPhone.
                                    Конечно, не можете Вам, собственно, и привели в пример очень распространенную ситуацию, в которой защищаемое средство информатизации не может быть размещено не только в защищиннном помещении, но и в контролируемой зоне

                                    Сообщение от Идущий Посмотреть сообщение
                                    Надо полгать, что у Вас особый iPhone и в электропитании не нуждается. А лэптоп у Вас то же без электроэнергии работает?
                                    Надо полагать, что, прочитав комментируемый абзац еще раз, вы все-таки заметите, что речь идет не об электропитании, а о развязке цепей электропитания

                                    Сообщение от Идущий Посмотреть сообщение
                                    А может не стоит в аэропорту пользоваться лэптопом? А вдруг забудете его там, увлекшись iPhone?А пример кассового обслуживания в России и за ее пределами привести можете?
                                    Если кто-то не умеет обеспечить конфиденциальность защищаемых данных в случае утери носителя, то это не повод отказываться от мобильных устройств. Зато это хороший повод отказатьсья от услуг специалиста, не умеющего решать хорошо известные проблемы - а заодно и обратить внимание на неактуальность документов гшосударственного регулятора, по которым у нас до сих пор пытаются кого-то учить.

                                    Сообщение от Идущий Посмотреть сообщение
                                    Это почему? Вы же работаете практически без остановки и "в аэропорту, кафе, электричке, самолете, парке и т.п." Зачем Вам "каждый раз перегружать iPhone"?
                                    Вы, кажется, взялись обсуждать кассиров? Вот и давайте обсудим их.

                                    Вы-таки не ответили на заданный вопрос. Кассир обслужил клиента, больше клиентов не видно. СТР-К требует обеспечить стирание остаточной информации, в том числе - в энгергозависимой памяти. Будем каждый раз кассовое оборудование перегружать, или все-таки отправим авторов этой нетленки учить матчасть?

                                    Сообщение от Идущий Посмотреть сообщение
                                    Это вы про iPhone или лэптоп?
                                    Это мы про кассовый терминал. При инкассации на него залили новую прошивку в связи с вводом новой программы скидок. Будем все торговые точки переаттестовывать?

                                    Сообщение от Идущий Посмотреть сообщение
                                    Да действительно задача. Не мог же я подозревать, что в столь уважаемая компания владеет только одним iPhone и одним лэптопом, которые отдала Вам на период командировки, и у нее болше ничего нет, а Вас заставила вести эти самые карточку и журнал.
                                    Опять уходите от ответа?

                                    И все-таки, в каких журналах учета и как вы собираетесь учитывать мою личную Нокию, которую я использую в качестве отчуждаемого носителя емкостью 16Гб? Впрочем, бог с ним - расскажите лучше, как ведение подобных реестров материальных носителей поможет в борьбе, например, с несанкционированным копированием конфиденциальной нематериальной информации с этих самых носителей?

                                    Сообщение от Идущий Посмотреть сообщение
                                    Это надо полагать, что динамической средой являются Ваш iPhone и лэптоп, которые хранят всю инфрмацию компании.
                                    Надо полагать, что подключение к платежной системе новых терминалов и отключение старых происходит постоянно. И даже если вам в какой то момент повезет, и каждый терминал будет находитьяс в контролируемой зоне, завтра может возникнуть необходимость организовать новую точку продаж/обслуживания в общественном месте.

                                    Заметьте, я свято чту договоренности и не откланаюсь от темы кассиров. Чего не скажешь ао вас.

                                    Сообщение от Идущий Посмотреть сообщение
                                    Т.е. на всю Вашу компанию существует только одна ЛВС, образуемая Вашими iPhone и лэптопом. Ну если это так, то действительно проблема. Да же не знаю чем Вам помочь.
                                    Не сомневаюсь, что не знаете. Я тоже не знаю, где найти сертифицированные СЗИ для установки на терминал. В то же время не могу не отметить, что применяемый вами способ ухода от неудобных вопросов не способствует уважительному отношению к вам собеседников.

                                    Сообщение от Идущий Посмотреть сообщение
                                    Не стоит так огорчаться, раз Вам доверили все оборудование компании (iPhone и лэптоп), к которому подключаются "2 с лишним миллиона пользователей", то скоро он сам к Вам придет с утвержденным списком.
                                    И все-таки, с нетерпением жду ответа на заданный вопрос. Возьмем какую-нибудь кпупную торговую сеть - Перекресток, Ашан, Магнит. Сильно подозреваю, что в силу текучки состав кассиров меняется ежедневно. Так как жить будем - ежедневно носить на подпись новый список пользователей?

                                    А ведь мы даже не о всей ЛВС говорим, а только о небольшой группе так любимых вами кассиров.

                                    Сообщение от Идущий Посмотреть сообщение
                                    Это дополнительное подтверждение того, что вся информация компании размещена в Ваших iPhone и лэптопе. Вот только не пойму,почему Вы iPhone и лэптоп, то АС именуете, то АП. Может определитесь?
                                    Этот бред мы пропустим, так как с обоснованием подключения кассовых терминалов к сети Интернет все понятно.

                                    Сообщение от Идущий Посмотреть сообщение
                                    У меня нет лицензии на этот вид деятельности. Но Ваш iPhone я не стал бы аттестовывать.
                                    Как это "не стали бы"? Ведь этого требует Священное Писание, тьфу, СТР-К. Вы уж определитесь - либо вы манкируете исполнением требований СТР-К, либо признаете неприменимость этого требования.


                                    Коллега,
                                    я понимаю, что модераторы этого форума относятся к его постоянным участникам весьма либерально. Но позволю себе напомнить вам, что разведение флуда по вопросам, о которых вы имеете весьма скудное представление - дурной тон.

                                    Комментарий


                                    • #78
                                      Сообщение от malotavr Посмотреть сообщение
                                      Коллега,
                                      я понимаю, что модераторы этого форума относятся к его постоянным участникам весьма либерально. Но позволю себе напомнить вам, что разведение флуда по вопросам, о которых вы имеете весьма скудное представление - дурной тон.
                                      Рад Вас приветствовать, malotavr.
                                      Приношу свои извинения Вам и Алексею Лукацкому, если я Вас так обидел, что Вы взялись за комментарии, заменив iPhone терминалом.
                                      Очень рад тому, что Вы смогли заметить мое "передергивание" в отношении построения ЛВС iPhone-лэптоп. Только замечание не ко мне, а к задавшему вопрос. Ниже был еще текст, который удален. Там была просьба ответить на вопрос:
                                      "как мне разместить на плане размещения АС, относительно контролируемой зоны мой лэптоп и iPhone?"
                                      Согласитесь, вопрос не совсем корректен и "передергивание" произвел не я.
                                      Из вопроса и сопутствующей информации следует, что существует некая АС взаимодействующая с Сетью. Автор вопроса взаимодействует с АС через Сеть с использованием лэптопа и iPhone. Так зачем он спрашивает как изобразить объект Сети в АС?

                                      Комментарий


                                      • #79
                                        По поводу терминалов и сетей терминалов. Создайте закрытую сеть терминалов с единственной возможностью организации обмена.

                                        Комментарий


                                        • #80
                                          Сообщение от Toparenko Посмотреть сообщение
                                          Зачем лезть в облачные, можно посмотреть на виртуальные сервера
                                          ...
                                          Под облачными, я имел ввиду реальные сервера размещенныый на физическилетающих объектах (самолеты, вертолеты, воздушные шары) - им потопы и пожары в окресностях населенного пункта не страшны.

                                          Комментарий


                                          • #81
                                            Сообщение от malotavr Посмотреть сообщение
                                            А что это вы вдруг на речевую информацию переключились?...
                                            На речевую информацию "вдруг" переключился Алексей - переадресуйте вопрос ему.

                                            Сообщение от malotavr Посмотреть сообщение
                                            Вот демагогии не надо
                                            Не принимаю это возражение.

                                            Сообщение от malotavr Посмотреть сообщение
                                            Вам указали не невозможность размещения средства информатизации в защищенном помещении. Не нравится любимый Алексеем iPhone - займитесь любимым мною терминалом или банкоматом. Как только закончите скрещивать ежа с ужом (защищенное помещение для этого средства и необходимость предотавить к этому средству физический доступ неопределенного круга лиц), отпишите. Должно получиться прелюбопытнейшее произведение
                                            "любимый Алексеем iPhone" может содержать информацию, но не всю. А Ваш любимый терминал с банкоматом должны связываться с процессинговым центром, а в части физического доступа неопределенного круга лиц к банкоматам и терминалам - небольшой перебор в постановке задачи. Терминалом не может воспользоваться любой и каждый самостоятельно, а банкоматы создаются еще и в защищенном исполнении, если не организуцется их охрана.

                                            Сообщение от malotavr Посмотреть сообщение
                                            Я вот не кассир, но и не менеджер по продажам, согласны? Специфика проектов, в которых приходится участвовать, такова, что иногда приходится хранить на своем мобильнике гигабайты этой самой весьма конфиденциальной информации, в том числе - финансовой. Я спокойно пользуюсь для ее хранения мобильным устройством, так как знаю, как обеспечить адекватную защиту. Однако парадигма защиты от СТР-К не позволяет ни использовать мобильные устройства, ни защищать их в случае нормального использования. По-моему, это личные проблемы адептов СТР-К, не находите?
                                            Я нахожу, что если Вы носите с собой столько информации, то это не очень хорошо. Единственное, что меня утешает - Вы знаете, что делаете. Полагаю, что адепты СТР-К предусматривали именно невозможность выполнения таких действий в принципе, что им и удалось.


                                            Сообщение от malotavr Посмотреть сообщение
                                            Надо полагать, что, прочитав комментируемый абзац еще раз, вы все-таки заметите, что речь идет не об электропитании, а о развязке цепей электропитания
                                            Надо полагать, что развязка этих цепей была предназначена для устранения возможности съема информации через эти цепи путем физического подключения к ним например. Особенно интересен этот вопрос в отношении аккумуляторов и батареек. Только задавал его не я.

                                            Сообщение от malotavr Посмотреть сообщение
                                            Вы, кажется, взялись обсуждать кассиров? Вот и давайте обсудим их.

                                            Вы-таки не ответили на заданный вопрос. Кассир обслужил клиента, больше клиентов не видно. СТР-К требует обеспечить стирание остаточной информации, в том числе - в энгергозависимой памяти. Будем каждый раз кассовое оборудование перегружать, или все-таки отправим авторов этой нетленки учить матчасть?
                                            Кассир не ушел с рабочего места, а замер в ожидании вместе в терминалом, контролируя доступ к терминалу. Вот когда соберется уходить - тогда и очистит память терминала.


                                            Сообщение от malotavr Посмотреть сообщение
                                            Это мы про кассовый терминал. При инкассации на него залили новую прошивку в связи с вводом новой программы скидок. Будем все торговые точки переаттестовывать?
                                            Рассмотрите терминал, как средство Сети обращающееся к некой АС - сразу станет легче.

                                            Сообщение от malotavr Посмотреть сообщение
                                            Опять уходите от ответа?
                                            Нет, не ухожу. Я смотрю на вопрос иначе. Каков был вопрос, таков был и ответ. Требуется регистрация в журнале, так запишите туда что вот эта информация была перенесена на устройство принадлежащее вот этому лицу.
                                            А не хотите писать ручками, так и без этого запишется в логфайл, что файл скопирован на устройство. назовите это логфайл журналом.

                                            Сообщение от malotavr Посмотреть сообщение
                                            И все-таки, в каких журналах учета и как вы собираетесь учитывать мою личную Нокию, которую я использую в качестве отчуждаемого носителя емкостью 16Гб?
                                            Я очень негативно отношусь к использованию личных предметов для выполнения производственных работ. Но если Вы настаиваете, то в тех же журналах, что и остальные носители.

                                            Сообщение от malotavr Посмотреть сообщение
                                            Впрочем, бог с ним - расскажите лучше, как ведение подобных реестров материальных носителей поможет в борьбе, например, с несанкционированным копированием конфиденциальной нематериальной информации с этих самых носителей?
                                            Не хочу рассказывать. Однако если Вас заставить оформлять вынос каждого файла, то заявленный Вами объем в 16Гб существенно сократится.


                                            Сообщение от malotavr Посмотреть сообщение
                                            Заметьте, я свято чту договоренности и не откланаюсь от темы кассиров. Чего не скажешь ао вас.
                                            Да я заметил - 16Гб - это объем документации, который следует изучить кассиру. Вы намерены установить эту точку в самолете, электричке и т.д.? Стоит ли "перегибать палку" таким образом?

                                            Сообщение от malotavr Посмотреть сообщение
                                            Не сомневаюсь, что не знаете. Я тоже не знаю, где найти сертифицированные СЗИ для установки на терминал. В то же время не могу не отметить, что применяемый вами способ ухода от неудобных вопросов не способствует уважительному отношению к вам собеседников.
                                            Я бы выделил не способ ухода от неудобных вопросов, чего не делал, а выделил бы некорректность поставленного вопроса, что еще больше не способствует такому отношению.
                                            Вы конечно можете ставить вопрос "где найти сертифицированные СЗИ для установки на терминал", но можно и изменить этот вопрос на "как защитить сертифицированным СЗИ организацию обмена информацией при взаимодействии терминал-процессинговый центр".
                                            Но даже этот факт не уменьшит моего уважения к Вам.


                                            Сообщение от malotavr Посмотреть сообщение
                                            И все-таки, с нетерпением жду ответа на заданный вопрос. Возьмем какую-нибудь кпупную торговую сеть - Перекресток, Ашан, Магнит. Сильно подозреваю, что в силу текучки состав кассиров меняется ежедневно. Так как жить будем - ежедневно носить на подпись новый список пользователей?
                                            Вы настаиваете на том, что указанные Вами сети не оформляют своих работников приказами и не заключают с ними договоров? Т.е. любой проходящий мимо человек может сесть на место кассира, поработать пару часов, после чего встать и уйти?
                                            Дописка в приказе "Включить в список" не котируется?


                                            Сообщение от malotavr Посмотреть сообщение
                                            Этот бред мы пропустим, так как с обоснованием подключения кассовых терминалов к сети Интернет все понятно.
                                            Не могли бы Вы пояснить, что делать терминалам в Сети? А то и правда бред получается.


                                            Сообщение от malotavr Посмотреть сообщение
                                            Как это "не стали бы"?
                                            Да вот так - не хочу и все.
                                            Сообщение от malotavr Посмотреть сообщение
                                            Ведь этого требует Священное Писание, тьфу, СТР-К. Вы уж определитесь - либо вы манкируете исполнением требований СТР-К, либо признаете неприменимость этого требования.
                                            СТР-К не требует что бы я проводил аттестацию iPhone Алексея Лукацкого. Нету в нем таких слов.


                                            Сообщение от malotavr Посмотреть сообщение
                                            Коллега,
                                            я понимаю, что модераторы этого форума относятся к его постоянным участникам весьма либерально. Но позволю себе напомнить вам, что разведение флуда по вопросам, о которых вы имеете весьма скудное представление - дурной тон.

                                            Комментарий


                                            • #82
                                              Сообщение от Идущий Посмотреть сообщение
                                              Очень рад тому, что Вы смогли заметить мое "передергивание" в отношении построения ЛВС iPhone-лэптоп. Только замечание не ко мне, а к задавшему вопрос.
                                              Да нет, вопрос был вполне корректным. Авторы действующей парадигмы умеют (считают, что умеют ) защищать информационные системы, в которых используются персоналки и серверы, на которые стоят в определенном месте, и на которые можно ставить СЗИ, разработанные отечетсвенными "умельцами".

                                              Как только вы сталкиваетесь с системами, в которых используется что-то, что выходит за пределы компетенции авторов, парадигма начинает хромать на все свои ноги.

                                              Сообщение от Идущий Посмотреть сообщение
                                              Из вопроса и сопутствующей информации следует, что существует некая АС взаимодействующая с Сетью. Автор вопроса взаимодействует с АС через Сеть с использованием лэптопа и iPhone. Так зачем он спрашивает как изобразить объект Сети в АС?
                                              Потому и спрашивает, что его iPhone является частью этой АС. Я не знаю, насколько хорошо вы это осознаете, но АС, по определению ГОСТ 34.003 - совокупность всех своих пользователей и средств автоматизации их деятельности, реализующих информационную технологию определеных функций. Поэтому и Алексей, и его iPhone - часть той самой АС, к которой должны применяться требования СТР-К. А значит к ним должны применяться все те странные требования, которые Алексей процитировал - размещение в защищенносм помещении, развязка цепей электропитания и т.п.

                                              А они, как вы видите, неприменимы. Точно так же они неприменимы ни к кассовому оборудованию точек продаж, ни к большинству элементов систем управления промышленным оборудованием, ни к элементам системы управления транспортных средств, ни даже к несчастным программируемымм картам.

                                              Комментарий


                                              • #83
                                                Сообщение от malotavr Посмотреть сообщение
                                                Да нет, вопрос был вполне корректным.
                                                Это Ваше мнение. У меня оно иное. Причину пока не могу определить.
                                                Сообщение от malotavr Посмотреть сообщение
                                                Авторы действующей парадигмы умеют (считают, что умеют ) защищать информационные системы, в которых используются персоналки и серверы, на которые стоят в определенном месте, и на которые можно ставить СЗИ, разработанные отечетсвенными "умельцами".

                                                Как только вы сталкиваетесь с системами, в которых используется что-то, что выходит за пределы компетенции авторов, парадигма начинает хромать на все свои ноги.
                                                Но Вы ведь не хромаете. Вы же сами рассказывали про "мыльную пену". Ну почему бы Вам не поставить между сегментами МСЭ - это ведь не противоречит ни парадигме, ни Вашим убеждениям (стоит отметить, что Вы так и делаете).


                                                Сообщение от malotavr Посмотреть сообщение
                                                Потому и спрашивает, что его iPhone является частью этой АС.
                                                Если считает так - пусть поставит сертифицированный МСЭ. Я считаю иначе - его iPhone - часть Сети. Не найдет МСЭ - пусть посмотрит или хоть попытается посмотреть иначе: iPhone - часть Сети

                                                Комментарий


                                                • #84
                                                  Сообщение от Идущий Посмотреть сообщение
                                                  На речевую информацию "вдруг" переключился Алексей - переадресуйте вопрос ему.
                                                  "..э там и речи не идет" - это идеоматическое выражение, к речевой информации не относящееся

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  "любимый Алексеем iPhone" может содержать информацию, но не всю. А Ваш любимый терминал с банкоматом должны связываться с процессинговым центром, а в части физического доступа неопределенного круга лиц к банкоматам и терминалам - небольшой перебор в постановке задачи. Терминалом не может воспользоваться любой и каждый самостоятельно, а банкоматы создаются еще и в защищенном исполнении, если не организуцется их охрана.
                                                  1. А если iPhone содержит не всю информацию, то требования СТР-К выполнять уже не нужно? Так ведь и рабочие станции в АС не всю информацию содержат.
                                                  2. А если терминал должен связываться процессингом, то требования СТР-К выполнять уже не нужно? Так ведь и рабочие станции в АС должны связыватья с серверами.
                                                  3. СТР-К не интересует, может ли терминалом воспользолваться любой или не любой. Сказано - в контролируемую зону, значит, в контроируемую зону
                                                  4. СТР-К не интересуется защищенностью исполнения банкомата. Сказано в коентролируемую зону, значит марш исполнять

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Я нахожу, что если Вы носите с собой столько информации, то это не очень хорошо. Единственное, что меня утешает - Вы знаете, что делаете. Полагаю, что адепты СТР-К предусматривали именно невозможность выполнения таких действий в принципе, что им и удалось.
                                                  Видите ли, меня (точнее владельцев бизнеса) не интересует, хорошо это или плохо. Это должно делаться, и это должно делаться безопасно. Если безопасник, вместо решения проблемы (которое существует) блокируцет выполнение бизнес-функции, ему стоит задуматься либо над изучением матчасти, либо над сменой вида деятельности.

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Надо полагать, что развязка этих цепей была предназначена для устранения возможности съема информации через эти цепи путем физического подключения к ним например. Особенно интересен этот вопрос в отношении аккумуляторов и батареек. Только задавал его не я.
                                                  Отсюда вопрос - а такая возможность существует? А то ведь побочные электромагшнитные излучения и наводки существуют даже у головного мозга.

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Кассир не ушел с рабочего места, а замер в ожидании вместе в терминалом, контролируя доступ к терминалу. Вот когда соберется уходить - тогда и очистит память терминала.
                                                  Сильно, особенно про "контролируя доступ к терминалу" Нет уж, он знаете ли и в туалет выходит, и покурить, и за товаром на склад. Максимум что он делает - кассу блокирует. Кассу он при этом не выключает и выключать никогда не будет, и это нужно воспринимать как данность.

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Рассмотрите терминал, как средство Сети обращающееся к некой АС - сразу станет легче.
                                                  А если воспринимать всю АС как гарантированно защищенную, то вообще делать ничего не нужно. Нет уж, не фиг - терминал по определению является частью АС и фиг вы аттестуете какую-либо АС без абонентскуих устройств.


                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Нет, не ухожу. Я смотрю на вопрос иначе. Каков был вопрос, таков был и ответ. Требуется регистрация в журнале, так запишите туда что вот эта информация была перенесена на устройство принадлежащее вот этому лицу.
                                                  А не хотите писать ручками, так и без этого запишется в логфайл, что файл скопирован на устройство. назовите это логфайл журналом.

                                                  Я очень негативно отношусь к использованию личных предметов для выполнения производственных работ. Но если Вы настаиваете, то в тех же журналах, что и остальные носители.
                                                  Не сочтите за личный наезд, но работодателя очень мало интересует личное мнение безопасника на этот счет.

                                                  Смотрите сами: у сотрудника при выполнении бизнес-функции возникла необходимость записать на флэшку некоторые данные. Вы всерьез считаете, что мнение безопасника и даже подсунутые им в свое время на подпись руководству инструкции будут оправданием для невыполнения работником своей функции? Ага, сейчас. А при разборе полетов, если по такому пустяку он вдруг случится, вы будете размазаны тонким слоем по ковру, и "мешаются тут всякие" будет достаточно точной и оправданной характеристикой вашей деятельности.

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Не хочу рассказывать. Однако если Вас заставить оформлять вынос каждого файла, то заявленный Вами объем в 16Гб существенно сократится.
                                                  Если каким либо нормативным актом заставить оформлять вынос каждого файла именно меня, то этот нормативный акт будет очень быстро отменен. Я не поленюсь скурпулезно зарегистрировать все файлы, которые мне нужно вынести, и провести хронометраж этой операции, после чего положу на стол руководства расчет среднемесячного ущерба, который служба безопасности наносит компании благодаря одному только этому требованию.

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Да я заметил - 16Гб - это объем документации, который следует изучить кассиру. Вы намерены установить эту точку в самолете, электричке и т.д.? Стоит ли "перегибать палку" таким образом?
                                                  Да, это был тот случай, когда я уклонился от темы кассовых терминалов. Посыпаю голову пеплом

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Я бы выделил не способ ухода от неудобных вопросов, чего не делал, а выделил бы некорректность поставленного вопроса, что еще больше не способствует такому отношению.
                                                  Вы конечно можете ставить вопрос "где найти сертифицированные СЗИ для установки на терминал", но можно и изменить этот вопрос на "как защитить сертифицированным СЗИ организацию обмена информацией при взаимодействии терминал-процессинговый центр".
                                                  Но даже этот факт не уменьшит моего уважения к Вам.
                                                  Де нет, вопрос корректный. Некорректен подхоод, при котором абонентское устройство не рассматривается как часть АС. Что касается защиты обмена терминала и процессингового центра, то при использовании сертифицированных средств увеличивает стоимость решения примерно вдвое по сравнению со случаем использования несертифицированных средств, уже встроенных в терминал Тот факт, что средства защиты сертифицированны, защищенность системы не увеличивает.

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Вы настаиваете на том, что указанные Вами сети не оформляют своих работников приказами и не заключают с ними договоров? Т.е. любой проходящий мимо человек может сесть на место кассира, поработать пару часов, после чего встать и уйти?
                                                  Дописка в приказе "Включить в список" не котируется?
                                                  Не-а, не котируется, потому что таким путем вы включите в этот список заодно и штатного дворника.

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Не могли бы Вы пояснить, что делать терминалам в Сети? А то и правда бред получается.
                                                  Живут они там, знаете ли, GPRS используют со страшной силой. Или вы полагаете, что к каждой розничной точке продаж тянется последняя миля арендованного канала?

                                                  Сообщение от Идущий Посмотреть сообщение
                                                  Да вот так - не хочу и все.
                                                  СТР-К не требует что бы я проводил аттестацию iPhone Алексея Лукацкого. Нету в нем таких слов.
                                                  Еще как требуют - поскольку его iPhone является частью этой АС. Если не верите, спросите во 2-м управлении ФСТЭК.

                                                  Комментарий


                                                  • #85
                                                    Сообщение от Идущий Посмотреть сообщение
                                                    iPhone - часть Сети
                                                    Надоело. Учите матчасть. Номер ГОСТ я вам выше процитировал.

                                                    Комментарий


                                                    • #86
                                                      Сообщение от Идущий Посмотреть сообщение
                                                      Под облачными, я имел ввиду реальные сервера размещенныый на физическилетающих объектах (самолеты, вертолеты, воздушные шары) - им потопы и пожары в окресностях населенного пункта не страшны.
                                                      Большинство комерсов не потянут ВзПУ
                                                      А вот серваки "за руб ежом" - в легкую. Это обойдется даже дешевле чем в российских ЦОД-ах

                                                      Комментарий


                                                      • #87
                                                        Сообщение от malotavr Посмотреть сообщение
                                                        Надоело. Учите матчасть. Номер ГОСТ я вам выше процитировал.
                                                        При изучении матчасти пришла мысль и спросила "А те свыше 2 миллионов, которые к этой АС подключаются из Сети, тоже считать частью этой АС?"

                                                        Комментарий


                                                        • #88
                                                          Сообщение от Toparenko Посмотреть сообщение
                                                          Большинство комерсов не потянут ВзПУ
                                                          А вот серваки "за руб ежом" - в легкую. Это обойдется даже дешевле чем в российских ЦОД-ах
                                                          Это обойдется "... ежом".

                                                          Комментарий


                                                          • #89
                                                            Сообщение от malotavr Посмотреть сообщение
                                                            Смотрите сами: у сотрудника при выполнении бизнес-функции возникла необходимость записать на флэшку некоторые данные. Вы всерьез считаете, что мнение безопасника и даже подсунутые им в свое время на подпись руководству инструкции будут оправданием для невыполнения работником своей функции? Ага, сейчас. А при разборе полетов, если по такому пустяку он вдруг случится, вы будете размазаны тонким слоем по ковру, и "мешаются тут всякие" будет достаточно точной и оправданной характеристикой вашей деятельности.
                                                            Повторюсь в очередной раз - я занимаюсь ИТ, а ИБ - дополнительное хобби. В такой ситуации бывал и не один раз. Только по прошествии определенного количества времени вещи становятся на свои места. Дальше размазывают других, а не меня.

                                                            Сообщение от malotavr Посмотреть сообщение
                                                            Если каким либо нормативным актом заставить оформлять вынос каждого файла именно меня, то этот нормативный акт будет очень быстро отменен. Я не поленюсь скурпулезно зарегистрировать все файлы, которые мне нужно вынести, и провести хронометраж этой операции, после чего положу на стол руководства расчет среднемесячного ущерба, который служба безопасности наносит компании благодаря одному только этому требованию.
                                                            Против лома нет приема, если нет другого лома.

                                                            Сообщение от malotavr Посмотреть сообщение
                                                            Живут они там, знаете ли, GPRS используют со страшной силой. Или вы полагаете, что к каждой розничной точке продаж тянется последняя миля арендованного канала?
                                                            А как же дождик? Постройте им навес ввиде защищенной сетки.

                                                            Комментарий


                                                            • #90
                                                              Сообщение от Идущий Посмотреть сообщение
                                                              Это обойдется "... ежом".
                                                              Основания?
                                                              Это нигде и ничем не запрещено. У нас даже гос-ы умудряются хоститься "за бугором".

                                                              Комментарий

                                                              Пользователи, просматривающие эту тему

                                                              Свернуть

                                                              Присутствует 1. Участников: 0, гостей: 1.

                                                              Обработка...
                                                              X