УправлениеБезопасность

Красная кнопка

Игорь Мялковский | 02.10.2014

Красная кнопка

Невозможно заниматься исключительно информационной безопасностью, не увязывая ее с безопасностью экономической, физической, пожарной и специфическими другими.

Почему вы не в состоянии, наконец,

сделать так, чтобы при нажатии кнопки все правильно считалось?!

Из разговора системного администратора с главным бухгалтером

Когда мы о чем-нибудь думаем, нам, как правило, кажется, будто все остальные мыслят так же, как и мы. Или почти так же. Даже если понимаем, что так не бывает. Поддерживая и устанавливая контакты с людьми, мы приобретаем опыт общения, получаем новые знания, нам интересны чужие мнения о волнующих нас вопросах.

И тут выясняется, что чужие мнения, вроде бы предельно очевидные и абсолютно бесспорные, оказываются неожиданно совсем другими. Хочется сразу поспорить и что-то доказать. И обязательно переубедить. Понимание того, что переубеждать не обязательно и часто не нужно, а иногда и вредно, приходит не сразу. Даже когда предельно ясно, что одинакового отражения окружающей действительности не бывает. Практика различного, противоречивого отражения окружающей реальности в конечном счете иногда заметна даже на лице. Но некоторым руководителям хочется, чтобы абсолютно все присутствующие не только вслух, но и в глубине души поддержали нужное решение. Зачем необходимо такое единодушие — другая тема. Нет уверенности, что так везде. Не исследовано. Но предположение о том, что у других так, основанное на похожести чувств и потребностей людей, существует. Получается, все люди хотят примерно одного и того же. Но в разное время. Поэтому мешают друг другу редко. Но чаще, чем того требует развитие.

Единая красная мечта

Итак, всем одинаково, хотя и в разное время, хочется, чтобы у них все было, и им за это ничего плохого не было. Хорошего обычно хочется много. Сразу. Его мало не бывает. Значит, нельзя считать парадоксальной самую распространенную мечту пользователей ИТ о пресловутой «красной кнопке». Нажав ее, тут же можно решить все свои проблемы. Обязательно и, конечно же, только автоматизированным способом. Человек принимает решение и нажимает, а кнопка сама, бесконечно долго и всегда по-разному действует дальше. В бытовом эквиваленте такая кнопка — «золотая рыбка», старик Хоттабыч, джин из сосуда, разные астрологические и религиозные формы. Например, святой Исидор Севильский — покровитель Интернета, или Иоанн Сочавский — покровитель торговли. К слову, даже у этих мифических или религиозных персонажей количество исполняемых желаний ограничено. Есть бездушные варианты: волшебная палочка, посох Морозко и т. д. У них количество исполняемых желаний, как правило, не ограничено. Но большей частью все такие бездушные «кнопки» опасны. Или рискованны. Причем управление рисками позволительно только хозяину, то есть собственнику «Изделия». Поэтому и любая безопасная красная кнопка должна иметь конечное количество нажатий и ограничений. Впрочем, будучи сформированной в виде мечты, она, эта кнопка, имеет тенденцию так или иначе трансформироваться в единодушное пожелание без ограничений. И за таким цепным желанием приходится следить. Отсюда у ИТ-служб любовь к людям часто обратно пропорциональна количеству обслуживаемых рабочих мест.

Разные области действия

Как-то при обмене опытом во время переговоров выяснилось, что мечта о красной кнопке существует не только в ИТ. Выяснилось, красная кнопка как мечта давно сформировалась и в службах информационной безопасности (ИБ). Наверное, нужно обратить внимание на то, что она формировалась от пользователей к службам, их обеспечивающим, а не наоборот и не сверху вниз по административной лестнице. Вероятно, так произошло потому, что эти люди — именно те, которым не все удается сделать самим. Не исследованы подобные процессы формирования желаний у самих руководителей, у юристов, у подрядчиков, фрилансеров и работников физического труда.

Итак, на инстинктивном уровне мечта о красной кнопке чаще всего встречается у работников так называемых фронт-офиса и бэк-офиса и распространяется на сферы действий ИТ и ИБ.

Возможная причина единодушия

В любом случае инстинктивные и граничащие с ними желания пользователей происходят от единства с природой. По той причине, что природа едина и взаимосвязана, мы на практике сталкиваемся с невозможностью рассмотреть эту самую природу только с одной стороны. Например, с точки зрения физики или с точки зрения математики. Так и в ИТ и ИБ. Невозможно, как оказалось, заниматься исключительно информационной безопасностью, не увязывая ее с безопасностью экономической, физической, пожарной и специфическими другими (ядерной, биологической и т. д.). Только отдельно взятая наука временно позволяет нам смотреть на стороны одного и того же объекта раздельно. Так легче нам. Но не легче тем, кто видит или хочет видеть «безопасность» в целом, от всего. И совсем не легче самой природе. Ей-то как раз приходится все делать одновременно, не обращая внимания на наши раздельные взгляды.

К этому можно прибавить известный вопрос: «Что хочет бизнес от ИТ?» Применительно к ИБ вопрос можно переформулировать так: «Что хочет бизнес от ИБ?» И ответы на оба вопроса, возможно, будут похожими. Но все же разными. Даже противоположными. В первом случае с ИТ все сводится именно к тому, чтобы «все было» (эффективно). А во втором случае — чтобы нам за это ничего плохого не было (безопасно). Впрочем, эффективность второго случая тоже требуется и зависит от отрасли. В банках про нее помнят с начала времен. В коммерческой структуре вспоминают так или иначе через какое-то время, когда появляется угроза или бюджет. Эти две немного разные «хотелки» вызваны пожеланиями бизнеса и связаны с одной и той же природой одного фактически неразделимого автоматизированного объекта защиты. ИТ-инфраструктуру логично изначально проектировать и строить безопасной.

Как можно это представить?

«Люди имеют право мыслить не так, как мыслите вы, и не делать того, что вы от них ожидаете. Они, вероятно, любят вас. Но их любовь может проявляться не так, как бы вам этого хотелось. И если вы не готовы видеть большего, чем видите, вы не увидите ничего» (Рут Бернхаус).

Итак, попытаемся представить то, о чем рассказывают на разных курсах по защите информации. Начнем с множественной попытки изобразить рисунком автоматизированную систему защиты информации — АСЗИ, состоящую согласно СТР-К и ГОСТ 34.003-90 из людей (персонала, допущенного к ней) и комплекса средств автоматизации его деятельности. АСЗИ реализует информационную технологию выполнения установленных функций. Беда в том, что АСЗИ «не изображается», как хочется и как написано про нее в руководящих документах. В том смысле, что АСЗИ получается настолько сложной, что представлять ее на конкретном объекте в виде взаимосвязанной единой системы очень трудно, даже если этого хочется единодушно. Множество технических подсистем и комплексов защиты (элементов АСЗИ) выполняют взаимопересекающиеся функции. Например, межсетевые экраны нового поколения или подсистемы контроля съемных носителей содержат антивирусные средства и средства шифрования. Встроенные средства шифрования (например, в Cisco) целенаправленно ограничиваются в применении (блокируются) и заменяются другими, возможно даже медленными, но сертифицированными ФСБ. В этом переплетении непросто разделить и сделать значимыми, а возможно, и единственными функции технических средств и комплексов защиты АСЗИ в то время, когда другие функции отключены из-за проблем совместимости. Не однозначный получается рисунок. Но какой бы ни был, он нужен.

img

На рисунке изображен один из возможных подходов, позволяющий определиться с тем, что есть на объекте из средств обеспечения безопасной деятельности организации. Пересекающиеся функции, в том числе унаследованных систем, можно при таком подходе увидеть и во время отключить. При этом АСЗИ следует рассматривать как одну из взаимодействующих между собой систем защиты. «Безопасники», вероятно, именно так хотят видеть защиту объекта, то есть в целом. Ведь с их точки зрения цели системы защиты информации ничем не отличаются от целей системы финансовой или физической защиты. Пожарная безопасность здесь несколько сбивает с общего подхода тем, что уж очень она специфическая. Но для бизнеса, в сущности, между ними всеми нет разницы: все они для защиты чего-то. Как и в природе. Все эти системы — частные подсистемы общей метасистемы безопасности организации.

Такое обобщение всей защиты в одну общую необходимость было, признаться, для меня первоначально неприемлемым. Ни в одном проекте мы не занимались другими видами безопасности, кроме защиты информации. Тем не менее, проводя очередной аудит ИБ, мы вынуждены условно фиксировать состояния элементов других систем, а именно то, как построена физическая безопасность объекта. Хотя бы лишь в части доступа в помещения. А как принимают на работу лиц, имеющих судимость, как обеспечивается защита от действий конкурентов в финансовой сфере и многое другое — не наше дело. Тем самым, решая, по сути, только часть задач защиты объекта, мы всегда понимали, что волшебства не бывает: красной кнопки для всех видов защиты бизнеса не получается. В принципе достаточно иметь общее представление об объекте, чтобы заниматься его частью. В этом смысле статья решает свою задачу увидеть безопасность всю, как есть в природном, первозданном виде. Но время красной кнопки, видимо, пока еще не пришло.

Журнал: Журнал IT-Manager [№ 09/2014], Подписка на журналы


Поделиться:

ВКонтакт Facebook Google Plus Одноклассники Twitter Livejournal Liveinternet Mail.Ru

Мысли вслух

Мы много и часто говорим о том, что "ИТ меняют наш мир". Посмотрим, как это происходит в Китае с применением конкретных инструментов и затрагивает сотни миллионов человек.
Согласно прогнозам Gartner, к 2022 г. 75% организаций, использующих инфраструктуру как сервис (IaaS), будут реализовывать продуманную мультиоблачную стратегию, в то время как в 2017 г. доля таких компаний составляла 49%.
Все жалуются на нехватку времени. Особенно обидно, что его не хватает на самые важные вещи. Совещания, созвоны, подготовка внутренних отчетов, непонятно, насколько нужных, но которые начальство требует так, как будто это именно то, ради чего мы работаем.

Компании сообщают

Мероприятия

VI Конференция ЦИПР-2021
Нижний Новгород, ул. Совнаркомовская, дом 13, «Нижегородская Ярмарка»
15 000 руб
23.06.2021
Выставка «EXPO-RUSSIA KAZAKHSTAN 2021»
Республика Казахстан
23.06.2021 — 25.06.2021
10:00–18:00
ЖКХ Будущего. Актуальные вопросы и решения
ОНЛАЙН
10 500 руб
24.06.2021 — 25.06.2021
10:00–18:00