Конференция IDC IT Security Roadshow 2011 - приглашаем принять участие в качестве докладчиков и/или слушателей

Конференция IDC IT Security Roadshow 2011 - приглашаем принять участие в качестве докладчиков и/или слушателей

24 февраля 2011 года в "Президент отеле" состоится конференция IDC IT Security Roadshow. Подробнее о тематике и условиях участия см. здесь - http://www.idc-cema.com/events/itsecurity11ua

Программа ожидается насыщенная, но в дополнение мы как всегда приглашаем докладчиков-практиков поделиться опытом. Возможно, у кого-то из ИТ-директоров или руководителей отделов ИТ-безопасности есть желание выступить в рамках мероприятия - добро пожаловать!

17 days ago

Viktor Chmel @ Відгук про конференцію IDC Security RoadShow 2011

По гарячих слідах пишу відгук про сьогоднішню конференцію. Можливо хтось не зміг потрапити і йому цікаво, що там було.
Презентації всім бажаючим вишлють, але вони не передють живої атмосфери події. Спробую це зробити.

Загальне враження - несподівано сподобалося. Чому несподівано? Тому що 2 роки назад майже все доповіді окрім першої від організаторів (IDC) зводилися до переказу нових можливостей апаратних коробок чи програм. Само по собі це теж потрібно, але зациклювання на глибоко тактичному рівні діставало. Я знав про ці можливості ще до конференції, бо уважно читаю документацію на продукти стосовно яких надаю консультацію, тримаю руку на пульсі і контакти служби підтримки на своєму робочому столі. Хотілося стратегічного бачення. Що робити з цими всіма "рішеннями" в реальній ситуації? Що робиться у колег? А в світі?

Останні два роки IDC стабільно гарно почало це робити і розказувати дійсно стратегічні речі. Маркетинг теж був, але куди ж без нього? Врешті-решт конференція за гроші спонсорів і робиться.
Добре, рівень оцінили, пройдемося по доповідям. Що найбільше зацікавило, цитати, тренди, тощо.

# Вступ
Валерій Поздняков, менеджер нашого IDC, завжди вміє трохи мотивувати аудиторію до уважного ставлення до доповідей, програми, тощо. На цей раз до, після і перервах крутили короткі фрагменти з художніх фільмів про інформаційну безпеку. Хто першим вгадував назву і рік випуску той отримував невеличкий приз.
Ідея - супер. От тільки підбір фільмів... Це були "Взлом", "Мережа" і "Старик Хотабич". Можливо я став розбиратися в інфобезпеці набагато раніше ніж голлівудські режисери, але ця демонстрація "мега-взломів" в художніх фільмах у мене завжди викликала сміх. Чого варта IP адреса де один з сегментів 345 ;) Єдиний грамотний взлом з тих, що я бачив в кіно, був показано в другій Матриці (слайди можна нагуглити). А що мене здивувало найбільше, так це те, що доповідачі які після цих уривків виступали казали, що от бачите, як все страшно, от і в реальному світі так, і починали свою доповідь. Мабуть уривок вони уважно не дивилися.

Viktor Chmel # Перша секція.

Тимур Фарукшин, IDC Russia.
Просто чудовий слайд про периметр організації, де 80% пристроїв - це мобільні, смарти і планшети.
Цитата: "Легше зв'язатися з людиною, яка тобі потрібна через Facebook, ніж спробувати знайти його візитку и потім пробитися через його секретаршу".

Сергій Новіков, Лабораторія Касперського
Самий харизматичних доповідач. Стиль ведення презентації чимось нагадував Зеленського з 95-квартала, зовнішність теж ;) Багато доцільного гумору, питань в зал, обалденна невербаліка. Я йому дві п'ятірки в анкеті поставив.
Дивні факти: Google використовує на своїх робочих місцях IE 6 ;(, саме тому постраждав від операції Aurora. Єдина компанія, яка від неї не постраждала (увага!) - Microsoft. Чому? Ну, просто у неї на робочих місцях стоять останні версії свого ж ПЗ, і я навіть підозрюю, що не тільки останні, а часто і бета-версії. Робіть висновки, чи купляти ліцензійну вінду, чи далі шукати кряки.
Десь в мережі і тут в групі пролітала новина про невисоку якість Stuxnet. Новіков сказав, що навпаки, що Stuxnet - точно писався декілька років, використовував з 5 вразливостей 4 zero day, його реально могли написати лічені в світі люди, це перше атака на промислові комп'ютери, у нього в десятки разів складніша архітектура ніж у середньостатистичного вірусу і бюджет на це потрібен був величезний. Одним словом на даний момент це high-level серед вірусів в світі. Раніше такого не було.
Ну тут почалися вигуки в залі "ЦРУ", правда від коментарів доповідач утримався ;).
Так само з'явився зловред під Х64 платформи, теж високої якості.
Також зауважив, як цікавий тренд, що за минулий рік величезна к-ть кіберзлочинців зловили, чого раніше не було.

Viktor Chmel Олексій Андріяшин, Check Point
Концепція 3D Security, безпека, як процес. Що тут революційного, так це те, що CP вперше активно задіяв психологічні важелі впливу на дотримання інфобезпеки в своїх продуктах. Докладніше це можна подивитися в їх презентації, але це та сама awareness, про яку так багато говорять і яка так рідко успішно реалізується на практиці. Тут вона просто вбудована в усі точки продуктів CP платформи R75, що мають контакт з клієнтом. Лише бери і конфігуруй під пункти своєї корпоративної політики безпеки. Я б навіть сказав, що тут, як на мене, вперше подумали про користувача всіх цих контролів від даного вендора, про його інтереси, досвід, мотиви поступків, а не лише про зручність "закручування гайок" для адміністратора, хоча це теж там зручно робиться. Молодці!
Також Олексій несподівано всіх напряг питаннями в залу, "А що ж таке безпека?" Народ думав десь хвилину. Потім було аналогічне питання: "А що таке бізнес процес?". І справді. Про ці речі говорять всі, а чи до кінця ми розуміємо значення цих базових термінів?

# Друга секція

Едвінас Пранцуліус, розказав про Qualys. І теж говорив не про коробки і сервіс, а більше про правильну стратегію управління ризиками, про світову практику. Придумана система захисту від падаючої цегли, що складається з рюкзака, двох відеокамер, ноутбука, радара, і смс на мобільний про те, що "на вас зараз падає цегла" розсмішила зал і явно дала зрозуміти, що часом таких наворочених систем не потрібно, бо їх цінність близька до нуля і каску, як альтернативне просте рішення. Як жартували в КВН: "Вася ти чего в каске ходиш? (Дело происходит в городе, который будет принимать Олимпиаду в 2014). -Тю, так все серьезные люди в Сочи сейчас ходят в касках!" В Києві вони так ходять вже давно, бо ми Евро будемо приймати в 2012 ;)

Viktor Chmel Представник Blue Coat, не буду називати його імені. Провів дуже нудну презентацію з купою пауз, не смішних жартів і всього іншого. Ну, проте всі відвідувачі встигли під час неї заповнити IDC-ішні анкети, а я пошкодував, що мій вірний PocketBook з книгою Олега Тінкова лежить в гардеробі (анкету я заповнив, ще під час першої доповіді). Порада доповідачу, яку прочитав, ще в студентські часи в методичці з написання і захисту дипломних робіт: запишіть свій виступ на камеру і потім подивіться. Бажано це робити до виступу перед аудиторію. Брате, вибачте, що можливо образливо. Просто я хочу, щоб в наступний раз ви "зажигали" не гірше Новікова з ЛК і продажі "синіх плащів" в Україні сягнули захмарних висот.

Володя Ілібман, консультант Cisco, наш колега по групі UISG, провів традиційно якісну презентацію про безпроблемний віддалений доступ, навів приклади з історії цього питання самої Cisco. Найбільш круто, те, що зараз у усьому цивілізованому світі відмовляються від обмежень на кінцеві пристрої для організації цього самого доступу. В тій же самій Cisco є VPN клієнти для всіх(!) відомих мобільних платформ (Android i Simbian зараз в розробці). Окрема класна фіча: безшовний VPN. Тобто, наприклад, ви в офісному Wi-Fi, виходите в кафешний Wi-Fi, потім десь в машині вмикається 3G модем, потім вдома ви вставляєте Etnernet. І все це без необхідності заново вводити паролі, і заново запускати VPN клієнта на мобільній платформі. Класно!

Viktor Chmel # Третя секція

Третя практична секція пройшла добре. Гарно виступив Віктор Євдокімов з московського банку, видно, що людина з досвідом. Доповідь була в стилі, "Що каже теорія/best practice", і "Як треба діяти в російських реаліях". Зачіпали аудити, побудову СУІБ, інші питання. Новиною, що викликала багато питань було те, що є страхові компанії, що реально страхують ризики ІТ безпеки. Віктор порадив куди краще звернутися з цим питанням, і як грамотно організувати процес.
Мені сподобалося. Потім ще після конференції ми випадково зустрілися на вулиці, я його трохи зорієнтував в київській географії, він сказав купу компліментів нашому красивому місту, і пожалкував, що хмарочосів з'являється все більше, і що свою історичну Москву вони вже втратили. Також я сподіваюсь, що трохи розвіяв його міфи щодо армії УПА, Бандери і українців взагалі. Так, все ж таки мізки в Росії промивають будь здоров! А мені, що народився в російськомовній родині, вистачило декількох піших походів з друзями по західній Україні, поспілкуватися з простими людьми, свідками тих жахливих часів, побачити могили повстанців, щоб зрозуміти не просту історичну правду. Як то кажуть українець доки не помацає - не повірить ;)

Юрій Пономаренко, з Суматри (ТМ "Космо") трохи опустив всіх з корпоративних небес на землю малого і середнього бізнесу. Таку розкіш, як мати окремого спеціаліста з ІБ, вони не можуть собі дозволити, треба максимально все оптимізовувати і будувати максимально гомогенну інфраструктуру. Як на мене Юрій - це приклад професіонала, що в умовах заданого не великого бюджету, побудував чудову якісну інфраструктуру. Часто в мега-компаніях з їх корпоративними стандартами все зроблено набагато гірше і бездарніше. Інфраструктура від Microsoft + мережа і захист від Cisco спасуть невеликий бізнес. Радий, що такі люди у нас на ринку є.

Viktor Chmel Нарешті Олексій Пусєнков з Оранти, розказав детально, як вони впроваджували Device Control і Application Control. Ну, я ці продукти знаю вже роки 4, ще з інтеграторської своєї кар'єри, тут нового нічого не було. Було цікаво, що проект в певний час забуксував, бо рівень доступу до змінних носіїв для працівників визначали начальники, і вони всім писали по максимуму (до речі, типова ситуація), що втрачало взагалі сенс контролю. Спасло те, що в компанії були прописані бізнес процеси і застосували інший підхід: доступ давав власник активу(як правило з іншого відділу) і лише там, де цього бізнес-процес вимагав. Шкода тільки, що далеко не всюди ці процеси прописані.

Viktor Chmel # Панельна дискусія


Потім була заключна панельна дискусія.
Я прорекламував зайвий раз нашу групу, попросив всіх присутніх зареєструватися, бути активними. Володя Ілібман (що сидів в президії) передав вітання братам і сестрам з UISG, чим підняв наш авторитет, IDC, до речі теж вже про нас знає.

Здивувало питання від представника СБУ, про те, що чому так мало представлених тут рішень сертифікуються в Україні, і чому вони після сертифікації так швидко знімаються з виробництва. Яка бідна нещасна наша СБУ ;). Ну, всі дружно засміялися. На зустрічне питання від IDC, а чому така довга і дорога сама процедура, по суті цей державний муж нічого не сказав. Ми платимо йому зарплату, а він навіть відзвітувати не може.

Вендори дружно сказали, що всі планують/сертифікуються/ресертифікуються, але якби ж так все було просто в нашій системі ліцензування і сертифікації (в кулуарах один з вендорів сказав про російські державні вимоги взагалі жорстко: "сертифіковане г**но - дороще золота".)

Представник Qualys озадачив таким питанням: ми надаємо сервіс, а не продаємо пристрої, він весь в хмарі, фізично вона знаходиться на іншому континенті, патчі для нашої core-системи виходять кожні 2-3 тижні, як нам його сертифікувати в СБУ? Відповідь: державні органи можуть використовувати лише локальні українські хмари, тобто ті до яких довга рука спецслужби може дотягнутися ;). В принципі розумно.

Viktor Chmel Моє ставлення до сертифікації суперечливе. Реально вона зараз гальмує проникнення інновацій в держсектор. Особисто я чув таку байку на черговій презентації в інший час і в іншому місці.
"Є одна українська компанія, що спеціалізується на рішеннях з перешкоджання витокам інформації. Вони самі вручну всі пристрої і софт аналізують не довіряючи гучним брендам і заявам. Так от, знайшли певні пристрої іноземного виробництва, що мають позитивний висновок ДСТСЗІ СБУ, але ініціюють певний трафік з мережі клієнта де вони стоять в країну свого виготовлення, хоча клієнт туди нічого не шле і це не оновлення софта на цьому пристрої." Тобто, це явний приклад того, що сертифікація потрібна, бо вороги не сплять, але навіщо така сертифікація, яка нічого по суті не перевіряє?


Закінчилося все традиційним розіграшем призів. На цей раз я нічого не виграв.

Viktor Chmel Дякую IDC за організацію подію, спонсорам за її підтримку, все було якісно і душевно ;)

Pavel Khmelyovsky Вікторе, велике мерсі за огляд, якраз не зміг відвідати

Vladimir Pozdnyakov Виктор, спасибо за обстоятельный отзыв. Если можно - исправьте в вашем комментарии мое имя :-)
Ваше замечание о подборке фильмов принимаю наполовину, т.к. а) хотелось показать, что многие проблемы ИТ безопасности имеют давнюю историю (поэтому выбирал фильмы 1995-1996 гг) и б) главная цель - оживить аудиторию после перерыва. "Хоттабыч", пожалуй, можно было заменить "Матрицей", но учитывайте, что это было уже в самом конце конференции.
В остальном, согласен с вами почти на 100% :-)

Yaroslava Kleshchevnikova Вікторе, дякуємо за такий детальний звіт!

А всім учасникам групи UISG дякуємо за участь у заході і запрошуємо відвідати наші наступні конференції!

Viktor Chmel Володимир, вибачте, будь ласка за помилку.
Тут нажаль можна виправляти пости впродовж обмеженого час. Зараз доступна лише функція Delete.

Sergey Dyachenko Виктор, очень признателен за прекрасный обзор.

Victor Zhora Вікторе, дякую за цінні коментарі. Особливо цінуєш їх користь, коли поточні справи переважають над бажанням відвідати всі доповіді.

Щодо сертифікації (а точніше державної експертизи) засобів ТЗІ - тема дискусійна, тож пропоную її розвинути на наступних зборах групи.

Artem Karpinsky Привет коллеги! Ну тогда и я вставлю своих пару копеек))))
Первое, что разительно по сравнению с прошлыми конфами - много нового народу, как в плане посетителей, так и в плане докладчиков... Например, на мой стыд, из всей толпы узнал только пару человек, с которыми был знаком давно...это радует, нет застоя и стагнации в посетителях...
Теперь по теме докладов... Может моя критика будет жестковата, но постараюсь ее обосновать.
Не хватает практических и научных докладов и примеров, саксес стори - это гут, размышления на тему комплаенса и преимущества и так уже везде засвеченных продуктов - это дело понятное - нужно же покрывать расходы. Но было очень неприятно наблюдать, как большую часть народу больше интересовал стол на кофе брейке, чем доклады:(
Соглашусь с Витей, кулуарные беседы преобладали в плане конструктивных бесед) Удивил, кстати, зажатый график докладов, на который практически не припадали вопросы из зала - их "отправляли" в кулуары:\
В целом оценка на твердую 4!

Но, ИМХО, нужно немного изменить подход! Но, в любом случае, спасибо, что пригласили)

21 hours ago
Comments