Work.Дыбр

[dzz]

Да, совсем забыл поделиться прекрасным. На неделе у заказчика начался аудит информационной безопасности. Меня попросили подойти и уточнить для аудиторов некоторые моменты. Подошёл. Обнаружил молчела в блестючем костюме, выспрашивающего странные вещи у коллег. Полчаса рассказывал товарищу про систему прав в юниксах, что такое консольный доступ и как работает TCP/IP.

В общем, пока из PriceWat одной уважаемой компании присылают таких аудиторов ИБ, я за результаты проверок совершенно спокоен ;)

Comments

[kholod.livejournal.com]

За полчаса смог рассказать, как работвает TCP/IP? И он понял?

[dzz.livejournal.com]

Ну, не с нуля же... Была пара вещей, которые он неправильно понимал.

[sids.livejournal.com]

в другой уважаемой компании, про которую Вы тоже знаете, по результатам аудита ИБ предлагают при живой сети на цисках поменять все маршрутизаторы (over 100) на оборудование stonegate.

так что вопрос качества любого внешнего аудита почему-то всегда весь странный и зависит больше не от бренда, стоимости и диаметра надутых щёк, а от конкретных исполнителей...

[dzz.livejournal.com]

От бренда обычно зависит то, КОГО посылают аудитить. Отправлять в контору, у которой 70% продуктивных хостов под соляркой, специалистов, не представляющих принципов работы юникса, как-то странно.

[rvb]

Ничего, аудит БД выполняют же деятели, не знающие, что у Оракла таблички каждая в отдельном файле не лежит. А там ого какой бренд был :).

[dzz.livejournal.com]

Однако...
Табличку в файле я в последний раз видел в dbase/foxbase. Интересно, где они таких спецов берут ;)

[rvb]

И самое интересное, что какую-нибудь высокомудрую хрень он обязательно в отчете напишет.

[dzz.livejournal.com]

Отож. Зато таких деятелей легко отвлечь от реальных исторически сложившихся дыр ;)

Вообще, насколько я понимаю, есть два разных бизнес-кейса. Если контора хочет реально обезопаситься, аудит заказывают какой-нибудь Информзащите. Если нужен сертификат - зовут аудиторов из "первой тройки".