Dzień dobry po przerwie

Witam po dość długiej przerwie. Przez ostatnie 3 lata tak bardzo poświęciłem się wspaniałej przygodzie jaką była współpraca z IMMUSEC, że nie miałem już czasu na regularne aktualizowanie niniejszego bloga.

W miedzy czasie oczywiście trochę pisałem i występowałem w różnych miejscach.

By mieć wszystko niejako pod ręką zrobię małą listę niektórych z najciekawszych z aktywności.

• 13 listopada 2013 w Kazimierzu Wielkim na konferencji Maturity 2013 opublikowałem oraz prezentowałem artykuł pt. Nowoczesne podejście do funkcji audytu
• W wrześniu i październiku 2014 poprowadziłem szkolenia dla IIA Polska dotyczące Rekomendacji D
• Przez cały ten okres kontynuowałem pracami w zakresie sponsorowanego przez IMMUSEC tłumaczenia newsletter CRYPTO-GRAM wydawanego przez Bruce’a Schneier’a
• W 2013 i 2014 r. uczestniczyłem w grupie powołanej przez ISACA Katowice mającej na celu przetłumaczenie na język polski dokumentu COBIT 5.0. Tłumaczenie niestety nie ukazało się wciąż w druku, niemniej z tego co ostatnio usłyszałem ma to się stać najpóźniej na wiosnę 2016
• 27 stycznia 2014 r. w Pulsie Biznesu ukazał się mój króciutki artykuł pt. Ile norm, tyle korzyści
• 16 marca 2015 na konferencji SEMAFOR przedstawiłem wykład pt. (nie)ład informatyczny w praktyce
• 23 kwietnia 2015 na konferencji  „Zarządzanie ryzykiem IT i bezpieczeństwo informacji”  uczestniczyłem w panelu dyskusyjnym oraz przedstawiłem prezentację pt. Zarządzanie ryzykiem wewnątrz organizacji i budowa kultury bezpieczeństwa
• W czerwcu 2015 w pracy Wiedza i doświadczenie a współczesne koncepcje i narzędzia zarządzania organizacją, praca zbiorowa Toruński J., Chrząścik M. [red], Siedlce 2015, ukazał się mój artykuł pt. Podejmowanie decyzji dotyczących zarządzania bezpieczeństwem informacji w bankach wielonarodowych
• 16 czerwca na łamach Gazety Finansowej ukazał się mój krótki artykuł pt.Cyber security – bezpieczeństwo polskich banków
• 18 czerwca 2015 r. w Warszawie podczas śniadania BION zorganizowane przez firmy C&F oraz IMMUSEC  przedstawiłem prezentację pt. Proces zarządzania ryzykiem w organizacji
• 18 czerwca 2015 r. jako jedna z osób przedkładających uwagi do propozycji dokumentu zostałem zaproszony do uczestnictwa w debacie na temat Dobrych Praktyk Spółek Notowanych na GPW. Mimo, że przedstawione przeze mnie propozycje dotyczące zarządzania ryzykiem IT oraz informowania klientów o wycieku ich danych osobowych wywołały dość burzliwą debatę, ostatecznie nie zostały umieszczone w finalnej wersji dokumentu, niemniej ziarno zostało zasiane. Uwzględniono natomiast uwagi zgłaszane razem z IIA Polska oraz Agnieszka Modras dotyczące bardziej sztywnych zasad utrudniających swobodne rezygnowanie przez spółki giełdowe z wyodrębniania jednostek odpowiedzialnych za realizację funkcji kontrolnych. Ostateczny kształt rekomendacji znajduje się tutaj 
• 20 i 21 listopada na konferencji Quality&Risk przedstawiłem 2 referaty zamieszczone w publikacjach towarzyszących konferencji: Znaczenie ryzyk teleinformatycznych w działalności międzynarodowych banków (przygotowany z prof. zw. dr hab. inż. Stanisławem Tkaczykiem) oraz Analiza ryzyka jako podstawowa metoda zmniejszania niepewności (przygotowany z dr inż. J. Sytą)
•  25 listopada 2015 na XI Konferencji PolCAAT’2015 uczestniczyłem w panelu dyskusyjnym oraz przedstawiłem prezentację pt. Idealny system bezpieczeństwa – w poszukiwaniu jednorożca

Wszystkich aktywności raczej nie uda mi się odtworzyć, niemniej cały czas obracam się wokuł zagadnień dotyczących ryzyk IT i wciąż widzę, jak dużo jeszcze pracy trzeba poświęcić by zagadnienie to było nadzorowane adekwatnie na skali zagrożeń.

Teraz wracam do bloga i zapraszam ponownie chętnych do poznania moich przemyśleń na temat zarządzania cyberbezpieczeństwem.

XV Międzynarodowa Konferencja Naukowa INTEGRATION 2012

W dniach 23-25 listopada w Kazimierzu nad Wisłą odbędzie się XV Międzynarodowa Konferencja Naukowa INTEGRATION 2012
W drugim dniu będę miał przyjemność przedstawić wykład pt. "Zintegrowane zarządzanie jakością i bezpieczeństwem – kluczowymi wyznacznikami nowoczesnego przedsiębiorstwa", w którym postaram się scharakteryzować wybrane technologie i style zarządzania występujące w nowoczesnych przedsiębiorstwach. Pokrótce scharakteryzuję też ryzyka związane z tymi zjawiskami.
Serdecznie zapraszam na konferencję, jak i na wykład. Pełen program znajduje się tutaj
.

Rejestracja Stowarzyszenia CSA Polska

Po długiej i zagmatwanej procedurze rejestracyjnej kilka dni temu otrzymaliśmy informację, że Sąd Rejonowy dla M.St. Warszawa dokonał rejestracji Stowarzyszenia CSA Polska.

Stowarzyszenie będące polskim przedstawicielem Cloud Security Alliance ma na celu krzewienie wiedzy oraz promowanie najlepszych standardów i praktyk w zakresie bezpieczeństwa przetwarzania danych w modelu „cloud computing”.
Mamy nadzieję, że odegra ono znaczną rolę nie tylko w promowaniu bezpiecznych sposobów zarządzania tym zagadnieniem, ale również w twórczy sposób będzie wpływało na kształtowanie nowych, rozwijających się międzynarodowych standardów w tym zakresie.


Pierwszy Zarząd ukonstytuował się w składzie:

• Marcin Fronczak – Przewodniczący
• Adam Haertle – Skarbnik
• Krystian Szybis – Sekretarz
• Patryk Gęborys – Wiceprzewodniczący
• Jakub Syta – Wiceprzewodniczący

Do Komisji Rewizyjnej Komitet Założycielski wybrał następujące osoby:

• Radosław Kaczorek
• Bolesław Szomański
• Wojciech Szyksznia

Więcej o stowarzyszeniu i jego działalności można przeczytać na stronie http://www.cloudsecurityalliance.pl/
.

Publiczne konsultacje rekomendacji D

KNF ogłosił ostatnio publiczne konsultacje dla rekomendacji D.


Jest to ważna informacja dla wszystkich bezpieczników z bankowości. Szczególnie ważna, gdyż wygląda na to, że będzie zawierać sporo zmian. Kilka przykładowych, które szczególnie zwróciły mają uwagę to:

1.1 podkreślająca rolę rady nadzorczej w nadzorowaniu IT
4.3 podkreślająca współpracę IT i biznesu
5.2 wprowadzający separację obowiązków

– funkcji tworzenia lub modyfikowania systemów informatycznych od ich testowania, administracji i użytkowania,
– funkcji administrowania środowiskiem teleinformatycznym od zarządzania jego bezpieczeństwem,
– funkcji administrowania sieciami teleinformatycznymi, bazami danych oraz systemami informatycznymi,
– funkcji audytu od pozostałych funkcji w obszarze technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego.

5.4 podkreślająca kto tak naprawdę jest odpowiedzialny za bezpieczeństwo informacji
5.9 wymagający aktualnej i precyzyjnej dokumentacji środowiska teleinformatycznego
7.11 podkreślający zasady zarządzania zmianą (w tym zmiany pilne i awaryjne)
9.5 wprowadzający odseparowane podsieci
9.8 zezwalający na sieć bezprzewodową w bankach
9.18 wymagający szyfrowania i uwierzytelniania podczas wykorzystywania drukarek sieciowych (choć tu  mam wątpliwości czy nie powinno to bazować na analizie ryzyka. Nie każda drukarka sieciowa (moim zdaniem)musi oferować uwierzytelniania. A koszty wymiany są spore
10.6 de facto zezwalająca na przetwarzanie danych w modelu cloud computing
11.5 wymagający narzędzi automatyzujących zarządzanie uprawnieniami (w tym historycznymi
12.4 i 14 wymagający uświadamiania użytkowników w zakresie bezpieczeństwa
17.1 zarządzanie oprogramowaniem końcowych użytkowników
18.3 podkreślenie przydatności norm serii ISO 27000
18.4 podkreślenie konieczności integracji zarządzania bezpieczeństwem z narzędziami zarządzania ryzykiem operacyjnym
18.5 i 18.10 i 18.12 podkreślenie konieczności zarządzania ryzykiem w zakresie bezpieczeństwa środowiska teleinformatycznego
18.9 podkreślającego przydatność wymiany informacji o zagrożeniach oraz doświadczeń wynikających z analizy naruszeń bezpieczeństwa
20.7 sugerujący potrzebę wdrażania SIEM
22.4 sugerujący potrzebę korzystania z zewnętrznych usług audytu



Jak widzicie za jakiś czas naprawdę będzie ciekawie.
.

Ta niedoceniana integralność (i nie tylko)

W trakcie wielu projektów obserwowałem specyficzny rozdział dotyczący pojmowania różnych aspektów bezpieczeństwa: poufności, integralności i dostępności (że skoncentruję się na tych podstawowych). Potężna część osób – studentów czy klientów przede wszystkim utożsamia bezpieczeństwo z poufnością. Coś jest bezpieczne jeżeli inni tego nie znają – tak można podsumować definicję bezpieczeństwa w ich wykonaniu. Przy lekkim naprowadzeniu dość szybko udaje nam się podkreślić aspekt dostępności. Jednak osoby, które dopiero zaczynają zajmować się bezpieczeństwem często nie są w stanie podkreślić istotności „integralności” dla ich pracy czy zadań wykonywanych przez ich pracodawców.

Wczorajsze zamieszanie z Play jest świetnym przykładem na to, że integralność danych potrafi stać się niezmiernie istotną kwestią nie tylko dla IT, ale również dla przedstawicieli działów biznesowych. Nie chcę kopać leżącego (zarówno w tej kwestii jak i komunikacji kryzysowej) – inni już to zrobili, więc tylko dodam parę wniosków. Tak często niedoceniana integralność danych może spowodować wielkie straty wizerunkowe. Może też doprowadzić do bardzo poważnych problemów prawnych, gdyż zdziwiłbym się gdyby Play nie został przez przynajmniej niektórych z klientów pozwany za naruszenie tajemnicy korespondencji – MMS w końcu do takich należy. Nie jest przypadkiem, że awaria miała miejsce w niedzielę – soboty to w końcu bardzo popularny dzień na wdrażanie wszelkiego rodzaju poprawek. Niemniej dobrze przygotowana poprawka po pierwsze jest odpowiednio przetestowana na środowiskach testowych, po drugie jest odpowiednio zweryfikowana po wdrożeniu jej na środowisko testowe a po trzecie zawiera przygotowany plan czynności na wypadek niepowodzenia.

W tym przypadku nie zadziałały wszystkie z tych elementów poddając w zapytanie jakość procesu zarządzania zmianą oraz jego integrację z procesem zarządzania incydentami i dalej zarządzania kryzysowego. Play powinien teraz wyciągnąć wnioski i dokonać szybkich zmian by podkreślić swoją wiodącą rolę wśród polskich telekomów.

.

Podpowiedź do hasła

Bruce Schneier wygrzebał, ja powielę...
przecież to takie prawdziwe

.