Как безопасники обсираются

[Dyr]

Ну не могу не поделится великолепной пафосной историей про то, как безопасники какой-то из компаний, занимающейся информационной безопасностью, "перехватили" почту от конкурентов, приглашавших на собеседование инженера:

 

http://securityinfor....com/45657.html

Действия компании? Инженера "пригласили" на разговор в службе безопасности.

 

 

Особенно впечатляют комментарии. В частности, из обсуждения следует, что служба безопасности "перехватила" почту на личный ящик инженера (который сам об этом маякнул в СБ), но в то же время в компании отсутствуют ограничения на доступ в инет с телефонов. "Очень хорошая ДЛП", ну не прелесть ли?

Edited April 2, 2012 by Dyr

[Ivan_83]

Дураков хватает, как среди работников, так и среди управляющих.

[Dyr]

Дык это у них официальная позиция ещё, ты что. И пофиг им на всё остальное, зато сколько пафоса!

[Saab95]

Ничего не понял. Инженер одной компании написал письмо в другую и за это его поймали?

 

 

[Прохожий]

Инженер одной компании написал письмо в другую и за это его поймали?

Через веб-морду своей личной почты ;)

[vIv]

Инженер одной компании написал письмо в другую и за это его поймали?

Через веб-морду своей личной почты ;)

Мииинуточку! Яндекс-почта работает через https. Сам механизм https скомпрометирован на рабочем месте упомянутого инженера? Тогда с его рабочего места что угодно могло попасть куда попало. Такая чудесная "защита" выглядит опаснее того, от чего защищает.

 

Либо это тупо сниффер на уровне приложения (браузер в данном случае), который при желании обходится на раз-два-три любым, кто об этом способен задуматься. Тогда вопрос об компетенции упомянутого инженера.

 

Как правильно написали в комментариях: дутый детектив ни о чём.

 

Во всех подобных системах есть две концептуальных проблемы:

1) оператор подобной системы становится сконцентрированной точкой риска утечки, так как имеет полный доступ ко всей информации в пределах периметра контроля.

2) все контролируемые сотрудники на все попытки обвинить в сливе могут честно тыкать пальцем в п.1 => никакой личной ответственности за сохранность информации.

 

Мне куда больше по душе подход Oracle с личным шифрованием полей в БД. Сисадмин просто не видит того, что хранится, но может при этом администрировать БД. Ответственность чётко персонифицирована, для особо критичных случаев можно внедрить форматы данных с цифровой подписью на каждое изменение, - слив будет виден не только по автору документа, но и по стадии, на которой произошёл.

[taf_321]

Мииинуточку! Яндекс-почта работает через hhtps. Сам механизм https скомпрометирован на рабочем месте упомянутого инженера? Тогда с его рабочего места что угодно могло попасть куда попало. Такая чудесная "защита" выглядит опаснее того, от чего защищает.

 

Дык, учитывая чем торгует контора, там скринеры и кейлоггеры на рабочих местах уже идут в качестве обязательного софта. "Политика безопасности", епт. На предыдущем месте работы "информационная безопастность" на нечто подобное тоже фапала и пыталась навязать внедрение. Спасал только ценник за это счастье.

[Dyr]

Не могу не заметить при этом, что трафик с мобильных девайсов у них там разрешён.

[vIv]

Мииинуточку! Яндекс-почта работает через hhtps. Сам механизм https скомпрометирован на рабочем месте упомянутого инженера? Тогда с его рабочего места что угодно могло попасть куда попало. Такая чудесная "защита" выглядит опаснее того, от чего защищает.

Дык, учитывая чем торгует контора, там скринеры и кейлоггеры на рабочих местах уже идут в качестве обязательного софта.

В таком случае возвращаемся к пункту "уровень компетенции упомянутого инженера". А, точнее, реалистичность описаной сказки.

[ingress]

вам не кажется что это просто реклама?

даже может быть откровенно состряпанная, взяли первого попавшегося сотрудника(или заставили), который не умеет искать работу(слаб характером/сам же такой м... аналитик) без следов, и выставили пример, а бурление говн как эффектность/эффективность рекламы.

[stas_k]

вам не кажется что это просто реклама?

даже может быть откровенно состряпанная,

там весь этот ЖЖ - просто корявая незатейливая реклама "сикуритинформ". вода и буллшит.

[Dyr]

Я в этом ЖЖ в обилии вижу буллшит и не понимаю, кто может его воспринимать как рекламу ;)

[Ivan_83]

Видимо их ЦА недалёкие манагеры - им такое в кайф :)