Суждения об информационной безопасности. Глава 1
Наконец-то дошла очередь до публикации одного из любимых произведений вашего покорного слуги. Сегодня в нашей программе полная версия первой главы «Суждений об информационной безопасности» мудреца Инь Фу Во. В сокращённом виде она ранее была опубликована в "Мурзилке", но там, боюсь, её прочитали не все достойные последователи Дао информационной безопасности.
Суждения об информационной безопасности мудреца и учителя Инь Фу Во [1], записанные его учениками
Глава 1. О работниках
1
Однажды Сисадмин пожаловался Учителю:
- Мы выдали всем нашим пользователям индивидуальные пароли, а они не желают хранить их в тайне. Записывают на листочках и приклеивают к мониторам. Что нам делать? Как заставить их?
Инь Фу Во спросил:
- Сначала скажи, почему они это делают.
Сисадмин подумал и ответил:
- Может быть, они не считают пароль ценным?
- А разве пароль сам по себе ценный?
- Не сам по себе. Ценна информация, которая под паролем.
- Для кого она ценна?
- Для нашего предприятия.
- А для пользователей?
- Для пользователей, видимо, нет.
- Так и есть, - сказал Учитель. - Под паролем нет ничего ценного для наших работников. Надо, чтоб было.
- Что для них ценно? - спросил Сисадмин.
- Догадайся с трёх раз, - рассмеялся Учитель.
Сисадмин ушёл просветлённый и сделал на корпоративном портале персональные странички для всех работников. И на тех страничках был указан размер зарплаты. Узнав об этом, все пользователи забеспокоились о своих паролях. На другой день в курилке обсуждали размер зарплаты Главбуха. На третий день ни у кого не было видно листочков с паролями.
2
Однажды Сисадмин пожаловался Учителю:
- Наш Техдиректор не хочет выполнять требования безопасности. Всем положено иметь антивирус, а он не ставит. Как на него повлиять?
- Попробуй его убедить, - сказал Инь Фу Во.
Сисадмин ушёл убеждать, но вскоре вернулся разочарованным:
- Я не смог убедить его, Учитель.
- Почему так случилось? - спросил Инь Фу Во и сразу же заметил. - Но только ответь честно, без пристрастия и обиды.
Сисадмин подумал, опустил глаза и тихо сказал:
- Наверное потому, что он знает об информационной безопасности больше меня.
- Ну, если Техдиректор знает больше тебя, что совсем не удивительно, - заметил Учитель, - то ему виднее, где нужен антивирус, а где нет.
- А как же тогда Политика безопасности! - воскликнул Сисадмин.
- А кто писал эту Политику?
Сисадмин потупился и сказал:
- Я.
Учитель мудро промолчал, и Сисадмин ушёл просветлённый.
3
Однажды в курилке пользователи стали возмущаться, что Сисадмин закрыл всем доступ на сайт "Одноклассники". Инь Фу Во услышал об этом и нахмурился.
- Почему ты закрыл людям доступ? - спросил он у Сисадмина, когда они после перекура пили кофе.
- Потому что такие сайты не нужны для работы.
- А курить нужно для работы?
- Вообще-то нет...
- А кофе пить?
- Ну...
- Ну тогда, - сказал Учитель, - открой людям доступ.
4
Однажды Сисадмин захотел установить в локальной сети сканер безопасности.
Инь Фу Во сказал:
- Не делай этого.
- Но почему?
- В нашей сети сто компьютеров. Сканер найдёт тебе по две-три уязвимости на каждом из них.
- Ну, да, найдёт...
- А что ты будешь делать с этими уязвимостями?
Сисадмин задумался и ничего не ответил Учителю. Сканер безопасности он не поставил.
5
Однажды Сисадмин пожаловался Учителю:
- Антивирус не помогает. Установлен на всех рабочих станциях и обновляется дважды в день. А всё равно каждую неделю кто-то заражается и теряет данные.
Инь Фу Во с сожалением покачал головой.
- Надо что-то делать, - продолжал Сисадмин.
Учитель слегка покивал. Сисадмин спросил:
- Что лучше: поставить всем новый многоядерный антивирус или поднять централизованную систему бэкапа?
Инь Фу Во ответил:
- Проведи курсы для пользователей.
6
Однажды Директор решил взять на работу Эникейщика. Инь Фу Во нашёл кандидата, поговорил с ним и остался доволен. Он сказал Директору:
- Этот человек обратил свои помыслы к учёбе. Возможно, из него получится достойный работник.
Но начальник службы безопасности стал возражать:
- У этого человека была судимость. Его нельзя брать на службу.
Тогда Инь Фу Во спросил:
- Как вы узнали об этом?
- У меня есть связи.
Почтенный Инь помрачнел лицом и сказал Директору:
- Какой из двух работников более добродетельный? Первый совершил преступление и понёс заслуженное наказание, которое могло его вразумить. Второй совершил преступление сам, подбил на совершение преступления государственного служащего, при этом не чувствует за собой вины и никогда не понесёт наказания? Какой из этих двух достоин выдвижения?
Начальник службы безопасности молча встал и вышел.
7
Однажды Директор спросил Инь Фу Во про защиту от внутренних угроз. Тот сказал:
- Во внешнем мире есть сто человек, которые хотели бы заполучить конфиденциальную информацию из вашей сети. И есть пять, которые способны это сделать. Но эти сто вряд ли встретятся с этими пятью.
Ещё Учитель сказал:
- А в вашей внутренней сети есть пять пользователей, которые хотели бы заполучить конфиденциальную информацию. И есть сто, которые могут это сделать. И они уже встретились.
8
Однажды Директор пришёл к защитнику Иню за советом. Директор сказал:
- Я хотел бы заставить всех пользователей соблюдать строгие правила безопасности. Но тогда они обидятся на меня и станут хуже работать. Я хотел бы дать пользователям полную свободу. Но тогда они нахватают вирусов, разгласят конфиденциальную информацию, и наш бизнес пострадает. Как мне найти золотую середину?
Инь Фу Во ответил:
- Высота забора равна высоте самого низкого участка. Прочность цепи равна прочности слабейшего звена. Заставь самых нерадивых из пользователей соблюдать те правила безопасности, которые без принуждения соблюдают все остальные.
- Как просто! - воскликнул Директор и ушёл просветлённый.
9
Директор спросил почтенного Иня:
- Мне предлагают купить систему защиты от несанкционированного доступа. Стоит ли она денег, которые за неё просят?
Инь Фу Во в ответ спросил:
- Сколько у вас было случаев несанкционированного доступа за последние три года?
- Ни одного, - ответил Директор.
- А сколько ноутбуков и флэшек потеряли ваши работники за это время?
- Два ноутбука, - ответил Директор, - а флэшки никто не считал.
- Почему бы вместо этого не купить систему для шифрования информации на ноутбуках и флэшках? - сказал Инь Фу Во.
10
Однажды Директор спросил почтенного защитника Иня про защиту от внутренних угроз. Тот сказал:
- Внутренний враг бывает злонамеренный и неосторожный. Неосторожный враг подобен каплям дождя, что многочисленны и летят по воле ветра. От дождя легко заслониться зонтом. Злонамеренный враг подобен комару, который кусает в незащищённое место. Заслониться от него зонтом нельзя, он облетит и укусит.
Директор ещё спросил:
- А какой инсайдер хуже, злонамеренный или неосторожный?
Инь Фу Во ответил:
- Нельзя так ставить вопрос. Оба они хуже.
11
Как-то Сисадмин спросил:
- Учитель, не желаете ли красивую картинку для вашего десктопа? У меня есть коллекция "обоев для рабочего стола" со звёздным небом и моральным законом.
- Почему ты думаешь, что мой нынешний "wallpaper" хуже? - спросил в ответ Инь Фу Во.
- Я не знаю, какая у вас картинка сейчас. Я никогда не видел вашего десктопа. У вас всегда открыто множество окон.
- Я тоже его никогда не видел, - сказал почтенный Инь. - Я работаю.
12
Однажды младший бухгалтер Ли Чан принесла в дар Инь Фу Во кактус.
- Поставьте его возле вашего монитора, Учитель, - сказала она. - Этот кактус защитит вас от вредного излучения.
- Отнеси его Сисадмину, - сказал Инь Фу Во. - Мне кактус не поможет.
- Почему? - обиженно спросила Ли Чан.
- Для него нет драйвера под FreeBSD, - ответил Учитель.
13
Однажды в офис забрёл продавец китайских товаров. Он ходил по комнате и пытался каждому что-нибудь продать.
Инь Фу Во сказал Сисадмину:
- Ты всегда говоришь и пишешь в блоге, что спамеров нужно убивать. Смотри, это - спамер.
- Это не тот спамер, - пробормотал Сисадмин.
- Ты даже охрану не позовёшь? - ехидно спросил Учитель.
Сисадмин ничего не ответил. Он увлечённо долбил по клавиатуре.
14
Сисадмин спросил Учителя:
- В статье написано, что любое усиление безопасности снижает лояльность работников. Это правда?
Инь Фу Во ответил:
- На самом деле усиление безопасности снижает удобство. Снижение удобства повышает усталость. Повышение усталости снижает добросовестность. А снижение добросовестности работников - это и есть то, чего следует избегать.
- Тогда что же такое лояльность? - спросил Сисадмин.
- "Лояльность", - усмехнулся Инь Фу Во, - это японцы выдумали, чтоб денег не платить.
15
Однажды Сисадмин пожаловался Учителю:
- Наш Директор совершенно не разбирается в ИТ. Я не могу ему объяснить. И его указания всегда такие нелепые.
Инь Фу Во ответил:
- Это нормальный порядок вещей. Его забота - люди и деньги. Твоя забота - техника и программы. Вы разговариваете на разных языках.
Сисадмин согласился и спросил:
- Как нам изучить язык друг друга?
- Это почти невозможно, - сказал Учитель. - Для этого Директору пришлось бы несколько лет проработать сисадмином, но он не пожелает. Для этого тебе пришлось бы несколько лет проработать руководителем, но тебя не допустят.
- Как же понять друг друга тем, кто говорит на разных языках? - спросил Сисадмин.
Инь Фу Во ответил:
- Специально для этих целей создан промежуточный язык, доступный обоим. Имя ему - ГОСТ-17799.
- Как просто! - воскликнул Сисадмин и ушёл просветлённый.
[1] Инь Фу Во (廕傁幄) - почтенный защитник Инь.
© Николай Николаевич Федотов,
главный аналитик компании InfoWatch;
fnn@fnn.ru
Публикация последующих глав - воспоследует (жмите на тэг).
Суждения об информационной безопасности мудреца и учителя Инь Фу Во [1], записанные его учениками
Глава 1. О работниках
1
Однажды Сисадмин пожаловался Учителю:
- Мы выдали всем нашим пользователям индивидуальные пароли, а они не желают хранить их в тайне. Записывают на листочках и приклеивают к мониторам. Что нам делать? Как заставить их?
Инь Фу Во спросил:
- Сначала скажи, почему они это делают.
Сисадмин подумал и ответил:
- Может быть, они не считают пароль ценным?
- А разве пароль сам по себе ценный?
- Не сам по себе. Ценна информация, которая под паролем.
- Для кого она ценна?
- Для нашего предприятия.
- А для пользователей?
- Для пользователей, видимо, нет.
- Так и есть, - сказал Учитель. - Под паролем нет ничего ценного для наших работников. Надо, чтоб было.
- Что для них ценно? - спросил Сисадмин.
- Догадайся с трёх раз, - рассмеялся Учитель.
Сисадмин ушёл просветлённый и сделал на корпоративном портале персональные странички для всех работников. И на тех страничках был указан размер зарплаты. Узнав об этом, все пользователи забеспокоились о своих паролях. На другой день в курилке обсуждали размер зарплаты Главбуха. На третий день ни у кого не было видно листочков с паролями.
2
Однажды Сисадмин пожаловался Учителю:
- Наш Техдиректор не хочет выполнять требования безопасности. Всем положено иметь антивирус, а он не ставит. Как на него повлиять?
- Попробуй его убедить, - сказал Инь Фу Во.
Сисадмин ушёл убеждать, но вскоре вернулся разочарованным:
- Я не смог убедить его, Учитель.
- Почему так случилось? - спросил Инь Фу Во и сразу же заметил. - Но только ответь честно, без пристрастия и обиды.
Сисадмин подумал, опустил глаза и тихо сказал:
- Наверное потому, что он знает об информационной безопасности больше меня.
- Ну, если Техдиректор знает больше тебя, что совсем не удивительно, - заметил Учитель, - то ему виднее, где нужен антивирус, а где нет.
- А как же тогда Политика безопасности! - воскликнул Сисадмин.
- А кто писал эту Политику?
Сисадмин потупился и сказал:
- Я.
Учитель мудро промолчал, и Сисадмин ушёл просветлённый.
3
Однажды в курилке пользователи стали возмущаться, что Сисадмин закрыл всем доступ на сайт "Одноклассники". Инь Фу Во услышал об этом и нахмурился.
- Почему ты закрыл людям доступ? - спросил он у Сисадмина, когда они после перекура пили кофе.
- Потому что такие сайты не нужны для работы.
- А курить нужно для работы?
- Вообще-то нет...
- А кофе пить?
- Ну...
- Ну тогда, - сказал Учитель, - открой людям доступ.
4
Однажды Сисадмин захотел установить в локальной сети сканер безопасности.
Инь Фу Во сказал:
- Не делай этого.
- Но почему?
- В нашей сети сто компьютеров. Сканер найдёт тебе по две-три уязвимости на каждом из них.
- Ну, да, найдёт...
- А что ты будешь делать с этими уязвимостями?
Сисадмин задумался и ничего не ответил Учителю. Сканер безопасности он не поставил.
5
Однажды Сисадмин пожаловался Учителю:
- Антивирус не помогает. Установлен на всех рабочих станциях и обновляется дважды в день. А всё равно каждую неделю кто-то заражается и теряет данные.
Инь Фу Во с сожалением покачал головой.
- Надо что-то делать, - продолжал Сисадмин.
Учитель слегка покивал. Сисадмин спросил:
- Что лучше: поставить всем новый многоядерный антивирус или поднять централизованную систему бэкапа?
Инь Фу Во ответил:
- Проведи курсы для пользователей.
6
Однажды Директор решил взять на работу Эникейщика. Инь Фу Во нашёл кандидата, поговорил с ним и остался доволен. Он сказал Директору:
- Этот человек обратил свои помыслы к учёбе. Возможно, из него получится достойный работник.
Но начальник службы безопасности стал возражать:
- У этого человека была судимость. Его нельзя брать на службу.
Тогда Инь Фу Во спросил:
- Как вы узнали об этом?
- У меня есть связи.
Почтенный Инь помрачнел лицом и сказал Директору:
- Какой из двух работников более добродетельный? Первый совершил преступление и понёс заслуженное наказание, которое могло его вразумить. Второй совершил преступление сам, подбил на совершение преступления государственного служащего, при этом не чувствует за собой вины и никогда не понесёт наказания? Какой из этих двух достоин выдвижения?
Начальник службы безопасности молча встал и вышел.
7
Однажды Директор спросил Инь Фу Во про защиту от внутренних угроз. Тот сказал:
- Во внешнем мире есть сто человек, которые хотели бы заполучить конфиденциальную информацию из вашей сети. И есть пять, которые способны это сделать. Но эти сто вряд ли встретятся с этими пятью.
Ещё Учитель сказал:
- А в вашей внутренней сети есть пять пользователей, которые хотели бы заполучить конфиденциальную информацию. И есть сто, которые могут это сделать. И они уже встретились.
8
Однажды Директор пришёл к защитнику Иню за советом. Директор сказал:
- Я хотел бы заставить всех пользователей соблюдать строгие правила безопасности. Но тогда они обидятся на меня и станут хуже работать. Я хотел бы дать пользователям полную свободу. Но тогда они нахватают вирусов, разгласят конфиденциальную информацию, и наш бизнес пострадает. Как мне найти золотую середину?
Инь Фу Во ответил:
- Высота забора равна высоте самого низкого участка. Прочность цепи равна прочности слабейшего звена. Заставь самых нерадивых из пользователей соблюдать те правила безопасности, которые без принуждения соблюдают все остальные.
- Как просто! - воскликнул Директор и ушёл просветлённый.
9
Директор спросил почтенного Иня:
- Мне предлагают купить систему защиты от несанкционированного доступа. Стоит ли она денег, которые за неё просят?
Инь Фу Во в ответ спросил:
- Сколько у вас было случаев несанкционированного доступа за последние три года?
- Ни одного, - ответил Директор.
- А сколько ноутбуков и флэшек потеряли ваши работники за это время?
- Два ноутбука, - ответил Директор, - а флэшки никто не считал.
- Почему бы вместо этого не купить систему для шифрования информации на ноутбуках и флэшках? - сказал Инь Фу Во.
10
Однажды Директор спросил почтенного защитника Иня про защиту от внутренних угроз. Тот сказал:
- Внутренний враг бывает злонамеренный и неосторожный. Неосторожный враг подобен каплям дождя, что многочисленны и летят по воле ветра. От дождя легко заслониться зонтом. Злонамеренный враг подобен комару, который кусает в незащищённое место. Заслониться от него зонтом нельзя, он облетит и укусит.
Директор ещё спросил:
- А какой инсайдер хуже, злонамеренный или неосторожный?
Инь Фу Во ответил:
- Нельзя так ставить вопрос. Оба они хуже.
11
Как-то Сисадмин спросил:
- Учитель, не желаете ли красивую картинку для вашего десктопа? У меня есть коллекция "обоев для рабочего стола" со звёздным небом и моральным законом.
- Почему ты думаешь, что мой нынешний "wallpaper" хуже? - спросил в ответ Инь Фу Во.
- Я не знаю, какая у вас картинка сейчас. Я никогда не видел вашего десктопа. У вас всегда открыто множество окон.
- Я тоже его никогда не видел, - сказал почтенный Инь. - Я работаю.
12
Однажды младший бухгалтер Ли Чан принесла в дар Инь Фу Во кактус.
- Поставьте его возле вашего монитора, Учитель, - сказала она. - Этот кактус защитит вас от вредного излучения.
- Отнеси его Сисадмину, - сказал Инь Фу Во. - Мне кактус не поможет.
- Почему? - обиженно спросила Ли Чан.
- Для него нет драйвера под FreeBSD, - ответил Учитель.
13
Однажды в офис забрёл продавец китайских товаров. Он ходил по комнате и пытался каждому что-нибудь продать.
Инь Фу Во сказал Сисадмину:
- Ты всегда говоришь и пишешь в блоге, что спамеров нужно убивать. Смотри, это - спамер.
- Это не тот спамер, - пробормотал Сисадмин.
- Ты даже охрану не позовёшь? - ехидно спросил Учитель.
Сисадмин ничего не ответил. Он увлечённо долбил по клавиатуре.
14
Сисадмин спросил Учителя:
- В статье написано, что любое усиление безопасности снижает лояльность работников. Это правда?
Инь Фу Во ответил:
- На самом деле усиление безопасности снижает удобство. Снижение удобства повышает усталость. Повышение усталости снижает добросовестность. А снижение добросовестности работников - это и есть то, чего следует избегать.
- Тогда что же такое лояльность? - спросил Сисадмин.
- "Лояльность", - усмехнулся Инь Фу Во, - это японцы выдумали, чтоб денег не платить.
15
Однажды Сисадмин пожаловался Учителю:
- Наш Директор совершенно не разбирается в ИТ. Я не могу ему объяснить. И его указания всегда такие нелепые.
Инь Фу Во ответил:
- Это нормальный порядок вещей. Его забота - люди и деньги. Твоя забота - техника и программы. Вы разговариваете на разных языках.
Сисадмин согласился и спросил:
- Как нам изучить язык друг друга?
- Это почти невозможно, - сказал Учитель. - Для этого Директору пришлось бы несколько лет проработать сисадмином, но он не пожелает. Для этого тебе пришлось бы несколько лет проработать руководителем, но тебя не допустят.
- Как же понять друг друга тем, кто говорит на разных языках? - спросил Сисадмин.
Инь Фу Во ответил:
- Специально для этих целей создан промежуточный язык, доступный обоим. Имя ему - ГОСТ-17799.
- Как просто! - воскликнул Сисадмин и ушёл просветлённый.
[1] Инь Фу Во (廕傁幄) - почтенный защитник Инь.
© Николай Николаевич Федотов,
главный аналитик компании InfoWatch;
fnn@fnn.ru
Публикация последующих глав - воспоследует (жмите на тэг).