V
Начать аргументировать? Когда-то ведь умел. Но, видимо, променял навык на диспуты с аудиторами.
Size: a a a
2020 July 17
AS
Начать аргументировать? Когда-то ведь умел. Но, видимо, променял навык на диспуты с аудиторами.
да блин. я же приводил аргумент в самом начале: iso27k очень неоптимален. он рождался в те годы, когда автоматизация атак была очень посредственная и можно было позволить себе строить защиту с большим оверхедом. сейчас это уже самоубийство -- расходовать ценные ресурсы на то, чтобы адаптировать сферического коня в вакууме к реальным условиям.
AS
ну скажи что я неправ?
AS
ну, и вообще есть смешной карго-культ больших корпораций, что "де там-то все сделали по уму, поэтому они такие устойчивые". нет, у них большая устойчивость на уровне бизнес-процессов, поэтому они могут позволить себе делать _не_ по уму из-за избытка ресурсов. и то порой случается maersk.
AS
если хочется практического и притом системного подхода, берите CSF. не _контроли_ из CSF, а саму высокоуровневую часть фреймворка.
V
Абсолютное большинство стандартов рождались в те годы. Да и избыточность тоже неизбежна, когда пытаешься охватить все случаи.
Да и нет задачи у таких стандартов обеспечить максимально возможную безопасность. Там задачи проще:
1. Дать общую базу и терминологию индустрии
2. Предоставить некий гайдлайн, как сделать хоть что-то, если совсем не ясно что делать.
И для этих задач стандарты все ещё актуальны.
Понятно, что нужно не слепо им следовать вопреки всему, но и публично их откидывать тоже не стоит
Да и нет задачи у таких стандартов обеспечить максимально возможную безопасность. Там задачи проще:
1. Дать общую базу и терминологию индустрии
2. Предоставить некий гайдлайн, как сделать хоть что-то, если совсем не ясно что делать.
И для этих задач стандарты все ещё актуальны.
Понятно, что нужно не слепо им следовать вопреки всему, но и публично их откидывать тоже не стоит
R
Куда они идут дальше?)
А дальше банкротство🤷♂
AS
ну то есть они нужны чтобы "как-то сделать когда думать некому"
AS
вот лучше пригласить человека который умеет думать или хотя бы дать методологию о чем думать
V
ну, и вообще есть смешной карго-культ больших корпораций, что "де там-то все сделали по уму, поэтому они такие устойчивые". нет, у них большая устойчивость на уровне бизнес-процессов, поэтому они могут позволить себе делать _не_ по уму из-за избытка ресурсов. и то порой случается maersk.
Ну так бизнес-процессы тоже берутся не из воздуха, а из своих стандартов индустрии) если только это не что-то инновационное
AS
даже чуваки из DHS это поняли в конце концов
V
вот лучше пригласить человека который умеет думать или хотя бы дать методологию о чем думать
Где их столько набрать?)
c
User didn't pass the validation and was banned.
R
Абсолютное большинство стандартов рождались в те годы. Да и избыточность тоже неизбежна, когда пытаешься охватить все случаи.
Да и нет задачи у таких стандартов обеспечить максимально возможную безопасность. Там задачи проще:
1. Дать общую базу и терминологию индустрии
2. Предоставить некий гайдлайн, как сделать хоть что-то, если совсем не ясно что делать.
И для этих задач стандарты все ещё актуальны.
Понятно, что нужно не слепо им следовать вопреки всему, но и публично их откидывать тоже не стоит
Да и нет задачи у таких стандартов обеспечить максимально возможную безопасность. Там задачи проще:
1. Дать общую базу и терминологию индустрии
2. Предоставить некий гайдлайн, как сделать хоть что-то, если совсем не ясно что делать.
И для этих задач стандарты все ещё актуальны.
Понятно, что нужно не слепо им следовать вопреки всему, но и публично их откидывать тоже не стоит
Собственно по обоим пунктам плюсую. Больше ничего и быть не может в таких стандартах
AS
ну вот, наконец-то какой-то консенсус :)
AS
но
я вот что хочу сказать
последнее время ИБ в новых компаниях меня прямо таки радует
в смысле, здравого смысла на порядки больше чем условные десять лет назад
люди лучше ориентируются в приоритетах и не залипают на то, что какие-то старперы обозвали "лучшими практиками" в начале века
я вот что хочу сказать
последнее время ИБ в новых компаниях меня прямо таки радует
в смысле, здравого смысла на порядки больше чем условные десять лет назад
люди лучше ориентируются в приоритетах и не залипают на то, что какие-то старперы обозвали "лучшими практиками" в начале века
AS
ну, конечно, если у компании нет легаси-инфраструктуры и ничего вообще старше пяти лет, это дает мощную свободу действий :)))
s
"""
О том, как себя обезопасить в интернете, кто и зачем взламывает других, The Village рассказал директор по информационной безопасности Parallels Алексей Смирнов. В середине 90-х он вместе с группой других хакеров поучаствовал во взломе системы безопасности Citibank. Сейчас Смирнов называет это «масштабным проектом по сбору и систематизации информации, в котором не было корыстной цели». В то время киберпреступления не карались российским законодательством, а сейчас прошёл срок давности. Смирнов перешёл на светлую сторону, ему удалось выстроить карьеру в сфере информационной безопасности, не имея даже образования.
"""
прикольнама
О том, как себя обезопасить в интернете, кто и зачем взламывает других, The Village рассказал директор по информационной безопасности Parallels Алексей Смирнов. В середине 90-х он вместе с группой других хакеров поучаствовал во взломе системы безопасности Citibank. Сейчас Смирнов называет это «масштабным проектом по сбору и систематизации информации, в котором не было корыстной цели». В то время киберпреступления не карались российским законодательством, а сейчас прошёл срок давности. Смирнов перешёл на светлую сторону, ему удалось выстроить карьеру в сфере информационной безопасности, не имея даже образования.
"""
прикольнама
V
ну, конечно, если у компании нет легаси-инфраструктуры и ничего вообще старше пяти лет, это дает мощную свободу действий :)))
Ну то есть в стартапах?)
Ну там о безопасности вообще не то чтобы очень думают. Там первый приоритет - не прогореть, а ИБ это в категории форс-мажор и стихийное бедствие)
Ну там о безопасности вообще не то чтобы очень думают. Там первый приоритет - не прогореть, а ИБ это в категории форс-мажор и стихийное бедствие)
AS
Ну то есть в стартапах?)
Ну там о безопасности вообще не то чтобы очень думают. Там первый приоритет - не прогореть, а ИБ это в категории форс-мажор и стихийное бедствие)
Ну там о безопасности вообще не то чтобы очень думают. Там первый приоритет - не прогореть, а ИБ это в категории форс-мажор и стихийное бедствие)
ты знаешь, некоторые успевают думать. и вот прямо сразу делают без большого оверхеда по ресурсам, чтобы потом не переделывать :)