Итоги 2021 или Каждый выплывает как может

При написании итогов года буду по сложившейся с прошлого года традиции опираться на записи из своей ленты в Facebook за 2021.

Телефоны на деревьях

Символом 2021-ого года, как мне кажется, могут быть телефоны на деревьях, которые развешивали частные водители-курьеры Amazon, чтобы получать быстрее заказы. Это стало следствием ужесточившейся конкуренции в условиях вынужденной из-за пандемии самоизоляции людей.

Плач безопасника по ИБ. Продолжение.

 

Иллюстрация от Васи Ложкина (подпись "Регулятор" - моя)

Этот пост - продолжение мыслей, изложенных в блоге шесть лет назад в материале “Плач безопасника по ИБ”. Сразу признаем, что проблем с нормативным регулированием информационной безопасности в банковской сфере спустя шесть лет стало только больше.

2020-й. Итоги

 Магазин Apple в Сингапуре

При написании итогов года я  решил взять за основу свои записи в Facebook за 2020 в том же хронологическом порядке, как они появлялись у меня в ленте, не особо заморачиваясь насчёт связности текста. Вот что у меня получилось.

“Баночка счастья” или итоговые реплики (не совсем итоги 2019, скорее – реплики по случаю завершения)

На тот Новый год мне посоветовали завести “Баночку счастья”.

  

Пришло время вскрыть баночку и налить что-нибудь покрепче.

Год как год. Не сказать, что жить стало лучше, просто констатируем: жить стало чуднее.

Дорожный атлас банковской службы ИБ

К чему банк должен быть готов с 01.07.2018

(161-ФЗ[1]: статья 27, п.3) Обеспечить защиту информации при осуществлении переводов денежных средств в соответствии с требованиями (382-П[2]), установленными Банком России.

(382-П: абзац 2, пп. 2.5.5.1, п. 2.5) Ежегодное тестирование на проникновение и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры.

(382-П: пп. 2.15.2, п. 2.15) Обеспечить проведение оценки соответствия не реже одного раза в два года, а также по требованию Банка России.

Организация, ставшая оператором по переводу денежных средств, оператором платежной системы, оператором услуг платежной инфраструктуры, должна провести первую оценку соответствия в течение 6 месяцев после получения соответствующего статуса.

(382-П: абзац 2 и 3, пп. 2.13.(1)) Информировать Банк России, а именно Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (ФинЦЕРТ), об инцидентах ИБ, а также о планируемых мероприятиях по раскрытию информации об инцидентах.

(382-П: пп. 2.8.3, п. 2.8) Установка ограничений на основании заявления клиента по параметрам операций, которые могут осуществляться клиентом с использованием системы Интернет-банкинга.

(382-П: абзац 1, пп. 2.9.1, п. 2.9) Если принимается решение, что защита ПДн будет обеспечиваться с помощью СКЗИ, то применение средств защиты должно соответствовать 378-му приказу ФСБ.

Плач безопасника по ИБ (наброски Манифеста VII-ого Уральского форума по безопасности)

Всю жизнь мы ищем нужные нам условия и цели. И так как не находим их, то вынуждены создавать их сами. Мы в постоянном поиске своей Полярной звезды, то есть той главной цели, которая не будет меняться во времени (152-ФЗ, План ОНиВД, 161-ФЗ, 242-ФЗ, Чёрте-Какое-ФЗ). После внесения изменений в ранее внесённые законодательные изменения мы не успеваем приводить в соответствие ни то, что системы и процессы, а хотя бы документы.

Мы всегда старались много читать и всем всё подробно объяснять, но наши руководители (из другой безопасности) переубеждали нас: чем меньше букв, тем ёмче слово. Наверное, они правы: в корпоративной среде умение ёмко говорить важнее, чем знания и интеллект.

Время экспериментов прошло. Бизнесу нужны результаты. Только-только худо-бедно приведя в соответствие свои технологии, инструменты, бизнес-процессы и сформулировав значимые цели, мы оказываемся у разбитого корыта после очередного: а) рывка технологического прогресса; б) изменения законодательства; в) невыполнимого требования регулятора (нужное подчеркнуть, остальное принять к сведению). Мы не знаем чего ждать. "В погоне за трендами мы не успеваем разгребать то, что есть" (А.Лукацкий).

Не хотелось бы выглядеть загнанным оленем в свете фар, обеспечивая требования законов, которые нельзя ни соблюдать, ни проводить в жизнь, ни объективно трактовать, но: с нас бесполезно требовать окупаемости.

Хотя в глубине души мы в постоянном ожидании, что вся эта суета не напрасна и наконец-то окупится.

Мы не знаем, что сказать нашим руководителям.

Мы не знаем, что можно сделать в текущей ситуации.

Мы не знаем, какие результаты оценивать и как это делать.

Нас призывают не заморачиваться, "плыть по течению и радоваться, что оно есть".

Так уж исторически сложилось, что для русских людей лучший способ сплотиться – это лишения. Убить дойных коров, создать себе трудности, загнать себя в тупик – это так по-нашенски. Лишения налицо, осталось сплотиться.