IronJohn

Если в мобиле имеется встроенный диктофон, по нужно начать записывать эти "молчаливые" звонки. Я так всегда делаю, когда есть напряг в разговоре со звонящим. Услышать за две - три секунды можно много. Тишина обманчива

Вам необходимо использовать систему учета рабочего времени совместно с системой контроля доступа. На входе/выходе ставится турникет со считывателем. Пришел сотрудник - приложил карту - турникет открылся - в базу внеслась запись о времени прихода. При уходе сотрудника с работы - процедура та же самая. В добавок можно считать, сколько раз сотрудник выходил за пределы офиса, сколько курил и т.д. Т.е. посчитать, сколько времени действительно потрачено на работу. В дополнение, можно к каждой двери приладить считыватель с электрозамком - организуете помещения для определенного круга сотрудников. А записи в базе намного эффективнее анализировать, чем просматривать записи с видеокамер. Ссылок в интернете по системам учета рабочего времени и системам контроля доступа - множество. PS. может быть дороговато...

Я так понимаю, что Вы недавно стали заниматься этим вопросом? Для того, чтобы Вам помочь, позвольте сначала объяснить несколько важных моментов в области информационной безопасности. Информационная безопасность - она как ромашка. В центре - Вы, а лепестками являются области Вашей компетенции: 1. Защита ЛВС и сервисов, обеспечивающих ее работоспособность. 2. Защита коммерческой тайны техническими и организационными средствами. 3. Создание нормативной документации. 4. Защита носителей информации от НСД. 5. Анализ развития IT - структуры и подготовка решений для защиты новых сервисов. 6. Защита Web сайтов. 7. Постоянный мониторинг средств противодействия угрозам (консоли антивирусов, IDS, IPS, систем контроля целостности, систем сбора и анализа логов серверов) 8. Регулярная проверка защищенности ресурсов сети с помощью сканеров или поставщиков услуг в этой области. 9. Проведение аудитов на соответствие стандартам безопасности 10. Оказание помощи пользователям и многое многое другое. Все эти факторы разбиваются на подзадачи, под каждую подзадачу пишется своя политика безопасности, в которой указывается как необходимо правильно работать с каким-то ресурсом. По суди дела, это правила, регламент. За нарушение которого грозит наказание.

Размещение средств мониторинга и перехвата данных в сети зависит от постановки задачи. Под задачу выбираются средства с нужными техническими характеристиками. Естественно, планируются людские ресурсы и рабочее время. Поэтому, если Вы хотите, чтобы мониторился один клиент, то это можно сделать, если несколько клиентов, то и это можно сделать. К примеру, если Net Resident поставить через хаб к конкретному компьютеру, то получите информацию только с него, ну и со своего конечно. А если его поставить перед прокси или параллельно ему, то получите данные по всем сотрудникам фирмы. Разная постановка задач, будут использоваться разные ресурсы, будут различные результаты.

Добрый день. Решаю такие проблемы следующим образом: http://tamos.ru/products/netresident/ Ставлю к подозреваемому компьютеру через хаб свой компьютер с NetResident. И все. Весь трафик Инета и Интранета в виде изображений Web страниц, переписка по аське и другим протоколам мгновенных сообщений у меня на экране. В добавок можно перехватить пароли на яндекс.ру, mail.ru и другие web почтовики, кроме гугла. А затем зайти в почтовый ящих на web-почте под учетной записью подозреваемого и посмотреть его почту. Не вызывая подозрений. А дальше выводы можно сделать. Прога недорогая, но нужная и эффективная. Есть триальная версия, но показывает информацию через строчки. Ежли есть вопросы, то можно в личку.

в октябре выйдет 1.2 - Вы правы, поторопился. Были две версии 1.0 и 1.1, я нумерацию начал с 1.1

при наличии DNS сервера тест пройти реально. Весь вопрос в том, чтобы под scope подвести только те сервисы, которые непосредственно участвуют в процессе обработки платежных карт или технологически с ним завазаны. Как, к примеру, мыло - этот сервис может использоваться в сегменте обработки платежных карт, если там сидят люди или ПО настроено таким образом, что все алерты шлет по мылу. Другое дело, если в сегменте нет мыльного сервера, нет людей, постоянно работающих в этом сегменте (сотрудники, обслуживающие сегмент Production, могут физически находиться в другом сегменте сети, а в базы и ПО обработки ходить через транспортные приложения). В первом случае мыло попадает под scope, во втором - нет. Ввиду того, что защита сегмента платежных карт является довольно дорогим занятием (стоит упомянуть одно из главных требований - на одном сервере должна выполняться только одна роль! К примеру только БД или только софт, анализирующий транзакции) следует сокращать список ресурсов. попадающих под проверку. Такой подход позволит здорово съэкономить денег на трех сканированиях, продолжительности аудита, т.к. аудиторы оценивают объем работы по каким -то своим нормативам.

контрразвведка... Сейчас, насколько я владею информацией, такие группы созданы в ИЗ. Также подобные подразделения имеются в PCI DSS. ребята из ИЗ проверяют работу своих коллег, PCI DSS проверяет работу аудитора. Рекомендации DISA по сути являются одним из основных документов, который помогает самостоятельно настроить и оттестировать систему безопасности. Аудиторы принимают результаты работ, выполненные по рекомендациям DISA. Сканирование - в стандарте указано 3 типа: 1 - ежеквартальное сканирование IP, связанных с сегментом обработки платежных карт, смотрящих в инет (мыло, DNS, интернет приложения и т.д.). Это сканирование необходимо проводить и после апгрейдов/апдейтов вышеуказанных систем. 2. тест на проникновение в сеть извне - цель - получить доступ к базе данных платежных карт и сделать там селект. данные потом предъявить заказчику. 3. тест на проникновение в базу изнутри компании. цель - см.п.2. модели нарушителей разные. Сканирование - по сути только два пункта из всего стандарта. Сам же стандарт представляет собой усредненный перечень рисков, которые могут возникнуть при работе с приватными данными владельцев платежных карт, и перечень мер для устранения этих рисков. Может случиться и так, что у кого-то система безопасности так построена, что стандарт покажется детской игрушкой:) Хотя если взять для анализа ПО используемое для обработки данных платежных карт, используемое в США, Европе и России, то выясним, что американцы гораздо хуже оснащены в плане защиты, ПО у них старое и менять его они не собираются. Поэтому зона применимости стандарта - в основном США и Европа, ну остальной мир - до кучи.

Пожалуй, пора вступиться и мне. Как человек, который уже дважды проходил аудит PCI DSS в разных редакциях 1.1 и 1.2. В октябре выходит новая версия 1.3 - более серьезная. На самом деле получение статуса аудитора, (а их два ASV - сканирование и тесты на уязвимость снаружи сети и из нутри, QSA - собственно сама проверка компании на соответствие требованиям PCI DSS - то что указано в опроснике) довольно простое задание, если вы соответствуете всем требованиям к кандидатам в аудиторы. Требования к компаниям, которые хотят получить статус аудитора: http://www.pcisecuritystandards.org/qsa_asv/become_asv.shtml http://www.pcisecuritystandards.org/qsa_asv/become_qsa.shtml список компаний - аудиторов разных типов представлен http://www.pcisecuritystandards.org/qsa_asv/find_one.shtml Требования к проверяемым компаниям выложены http://www.pcisecuritystandards.org/ Перед аудитом необходимо пройти тесты на проникновение снаружи сети и изнутри и устранить замечания. Основной проблемой, как я считаю после разговора с сотрудниками Информзащиты, - очень трудно выполнять условия аудита в России из-за менталитета. :) Другая сторона - при получении проверяемой компанией статуса соответствия стандарту PCI DSS приезжают специальные ребята (по типу контрразведки) и проверяют работу самих проверяющих - проводят выборочную проверку требований (примерно 30% от общего объема требований). Т.е. аудит компания проходит фактически дважды. Другая проблема - это возможность обжалования результатов аудита. Т.е. когда компания соответствует требованиям на 90-97% начинается поток жалоб на необъективность проверяющих, низкий профессионализм и т.д. Т.е. идет работа по признанию компании соответствующей статусу PCI DSS. Для защиты от такого вида атак в ИЗ имеется мощный юридический отдел. К тому же сам процесс получения статуса аудитора сотрудником довольно сильно зависит от навыков и знаний претендента. В ИЗ серьезные и грамотные ребята и девчата - работать с ними приятно. Дают советы, слушают мнения, умеют объяснить и доказать свою точку зрения на то или иное требование. Вдобавок, как показала практика, гораздо выгоднее и эффективнее встать на консалтинг по соответствию требованиям PCI DSS у той же ИЗ или какой либо другой фирмы из списка вендоров и затем пройти аудит - все процессы проходят быстрее, подготовка к аудиту менее затратна.

Коллеги! Большое Вам спасибо. План составляю для дела, узнал очень много для себя нового. Еще раз большое спасибо!

Приветствую всех Вас! Коллеги, прошу Вас поделиться опытом - как правильно составить план оперативно-розыскных мероприятий? Что он должен в себя включать, какие данные в нем указывать? Или если много писать, дайте ссылки на ресурсы, где это все можно изучить.

Молодец! Восхищен смелостью и логикой! У меня тоже имеется опыт бодания с системой здравоохранения, правда с помощью адвоката. За четыре года ушла уйма денег, но результатов пока нету никаких. Основная проблема - суд. Имеется даже результат медико-судебной экспертизы главного военного госпиталя МО РФ, но суд его во внимание пока не принимает. Борьба идет длительная с переменным успехом. Медицина - наука во многом непонятная даже для врачей...

Я не уверен, только сам хочу разобраться в этом вопросе. Информация об этом была мной почерпнута из одного из форумов по этой теме (ссылку только не найду). А вообще, если США является для нас одним из главных врагов, почему мы должны обеспечивать экономический рост этой страны за собственные средства, а не подрывать ее экономику, как, например, Китай. В Китае вы вряд ли найдете лицензионную винду или еще какую программу.

Спасибо за материал, интересно было почитать. Имеются некоторые недочеты в изложении, но это поправимо.

по 1. Если компьютер личный - тогда это частная собственность. И по каждому факту проверки или досмотра должно быть отдельное постановление на каждое лицо. по 2. Пугать - могут. Здесь сначала надо найти на компьютере что-то нелицензионное, потом доказать факт установки, получение прибыли или иной выгоды. Здесь, наверно, уже презумпция невиновности должна работать. А уж потом суды и все такое...