Поэкземплярный учет OTP-токенов

В банках широко используются устройства для генерации одноразовых паролей - OTP-токены (OTP – от сокращения “One Time Password”). Требуется вести поэкземплярный учет OTP-токенов или не требуется? Оказывается, поэкземплярный учет подобных устройств не требуется, так как на эти устройства не распространяются требования Инструкции, утвержденной Приказом ФАПСИ от 13.06.2001 № 152 и Положения ПКЗ-2005 от 16 апреля 2012 из-за использования “слабой” криптографии (короткий ключ).

Ввоз устройств со “слабой” криптографией производится в упрощенном порядке по нотификации. Нотификацию о характеристиках товара (продукции), содержащего(щей) шифровальные (криптографические) средства, можно запросить у поставщиков услуг (продукции).

Передачу OTP-токенов можно осуществлять по обычному акту приема-передачи в обслуживающие подразделения банка и не требовать возврата устройств для уничтожения (как в случае с “полноценными” СКЗИ).

О попытках нагрузить информационную безопасность функционалом экономической безопасности

Анекдот

- А если у кого-то парашют не раскроется?!!!
- Укладчик парашютов не получит премию…

Итак, на волне кризиса бизнес принимает решение о частичном совмещении функций служб информационной безопасности и экономической безопасности, оставляя частично одних и увольняя частично других. Проводя аналогию ИБ с укладкой парашютов (работа без очевидных результатов при отсутствии ЧП) - укладчикам парашютов вменили в обязанность в свободное от парашютов время укладывать асфальт (работа с понятным всем результатом). Через какое-то время очень-очень высокое начальство высказало резкое недовольство качеством и темпами укладки асфальта. Пришлось виновников уволить и набрать новых. И вот бизнесу, в лице шефа, хочешь - не хочешь, пришла пора прыгать с парашютом. Вызывает шеф главного по кадрам:

- У нас кто парашюты укладывает?

- Укладчики асфальта.

- И что им можно доверять?

- Асфальт укладывают как боги, а парашюты - дело наживное...

Примерно также происходит в трудные для бизнеса времена при попытках руководства под лозунгом оптимизации численности пытаться нагрузить информационную безопасность функционалом экономической безопасности.

Не мните наши брюки!

Анекдот

- Аллочка, ви-таки согласитесь стать моей женой?
- Боря, немедленно поднимитесь с колен, не мните наши брюки!

При очередной проверке получил указание (в ультимативной форме) от представителей Рабочей группы регулятора:

1. Предоставить доступ к личным ноутбукам и собственным съемным носителям информации представителей регулятора.

2. Предоставить неограниченный доступ к сети Интернет и, в частности, к внешнему почтовому сервису “mail.ru”.

3. Предоставить доступ к АБС, к электронным базам данных организации в режиме просмотра и (или) выборки необходимой информации.

4. Очень удивились отсутствию Wi-Fi – доступа в организации. Комментарий одного из представителей регулятора: “Каменный век какой-то!”

И куда мне теперь со своей Политикой информационной безопасности, где, в частности, прописано, что “доступ к съемным носителям информации, предоставляется только ограниченному кругу лиц на основании служебной записки на имя начальника УБ за подписью руководителя структурного подразделения с подробным обоснованием служебной необходимости…”?

Я в курсе важности работы представителей регулятора, … только... не мните наши брюки!

Риска нет и точка!

Для бизнеса риска не существует, пока вы его ему не продемонстрировали на конкретных цифрах, а еще лучше – примерах. А то у нас ведь как?

Безопасность: “А если у кого-то парашют не раскроется?!!!”

Бизнес: “Укладчик парашютов не получит премию…”

Как выжить ИБ-безопаснику в свете РС БР ИББС-2.7-2015?

"И помни, что придёт пора, - и шею брей для топора…"

В.Ходасевич

"Один мальчик все время твердил, что подразделение ИБ самый ценный актив компании. Когда случился кризис его сократили в первую очередь..."

Е.Родыгин

Извлекаем практическую пользу из рекомендаций в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Ресурсное обеспечение информационной безопасности" (РС БР ИББС-2.7-2015).

Пишем Политику компании в отношении обработки персональных данных (Часть 4)

Меры по обеспечению безопасности при обработке персональных данных

(формулировки из ФЗ-152, главы 4, статьи 19, части 1)

При обработке персональных данных Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Пишем Политику компании в отношении обработки персональных данных (Часть 3)

Права и обязанности оператора персональных данных

Оператор, осуществляющий обработку персональных данных, вправе:

1.   отстаивать свои интересы в судебных органах;

2.  предоставлять персональные данные субъектов третьим лицам, если это предусмотрено действующим законодательством Российской Федерации (правоохранительные, налоговые органы и др.), а также связано с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;

3. отказывать в предоставлении персональных данных в случаях предусмотренных законодательством Российской Федерации;

4. использовать персональные данные субъекта без его согласия, в случаях предусмотренных законодательством Российской Федерации.