Интересная статья, было бы поменьше %измов было бы понятней.
Есть ряд вопросов:
1) Предположим есть человек, его колбасит, скажем боязнь потерять работу. На работе сокращения всем дали 90-дневные уведомления. Он понимает что волноваться не надо, но не может ничего с собой поделать. Он идет к вам, вы с ним работаете он перестает боятся. Начальство смотрит, чел. спокоен значит уверен в себе и найдет работу и его соответственно увольняют… Какие последствия происходят, если страх от которого человек лечился реализовывается?
2) В чем цель применения фармакологии? Могут ли аналогичный эффект дать наркотики или алкоголь?
3) Как психотерапевты лечат других психотерапевтов?
Является устройство специальным техническим средством предназначенным для негласного съема информации (СТС, или в простанородье жучком) или нет определяет экспертиза во время разбирательств.
Пример, вы купили радионяню для контроля за дитем — все гуд. Туже саму радионяню используете для слежки за боссом — статья.
Есть устройства однозначно классифицируемые как СТС — например, камеры тип pin-hole.
Правовые особенности использования видеонаблюдения «размазаны» по действующему законодательству. По мимо указанной вами статьи, есть как минимум 152-ФЗ «О перс. данных», ГК РФ ст. 152.1, ст 137 УК РФ.
Интересует несколько моментов:
1. Зачем перехваченные сообщения писать в БД?
— Это как минимум увеличит затраты на хранение данных, поскольку место отъедаемое СУБД под хранения BLOB (например, для перехваченного VoIP звонка) всегда больше чем сам BLOB.
— А также не дает возможность (вернее сильно усложняет) применения внешнего сжатия, например банального архивирования перехваченных текстовых данных.
2. Есть ли опыт использования NoSQL решения для этих целей?
Существуют апологеты от разработчиков SIEM, которые утверждают что для SIEM SQL это зло.
В DLP хранимых данных очевидно меньше будет чем в SIEM, но если говорить о масштабируемости то мысль может быть и правильная.
Скрытое видеонаблюдение могут осуществлять только субъекты оперативно розыскных мероприятий («органы»). Во всех остальных случаях, по закону, это запрещено и суд не примет улики полученные не законным путем.
НО зато это очень хорошо помогает решить проблему в «до судебном порядке».
Обладаю опытом развертывания системы видео наблюдения в компании с офисами во всех субъектах федерации, поэтому хотел бы сделать некоторые ремарки.
1. Видеонаблюдение для частного дома само по себе не спасает от краж.
В лучшем случае вы увидеть людей которые вас ограбили. И то, время идиотов, которые идут «на дело» и подымают морду во все камер вроде как прошло. Поэтому в результате у вас будет «два силуэта в спортивных коспьюмах с балаклавами на лице утащили мой телевизор 22.07 в 01:32»
Если вы планируете уехать и оставить дом «в одиночку» защищенный видеокамерами результат будет такой же как если вместо камер поставить просто муляжи. Нужно понимать, что видеонаблюдение это просто «датчик» для реакции службы физической охраны. Нету службы, нет охраны.
Поэтому имеет смысл заключить договор с ЧОПом на охрану дома и дать им доступ к видео.
2. Расположение камер.
Наиболее вероятные пути проникновения злоумышлеников — двери, окна, ворота. На эти точки имеет смысл ставить узконаправленные камеры, которые бы позволяли идентифицировать человека по лицу. Дальше по периметру можно ограничится несколькими широкоугольными камерами типа рыбий глаз для контроля обстановки.
3. Что и как пишем. Писать FullHD видео нужно очень много места. Поэтому можно делать так, писать в максимальном разрешение но с частотой 4 к/с. Этого хватает, даже для того, чтобы увидить что кассир не додал денег клиенту. Не говоря уже об идентификации клиента. Для входных зон с расположением субъектов в радиусе 5-10 метров хватит разрешения в 1Мегапиксель, но больше лучше.
4. Хранение видео. Мало того, что вы пишете, нужно понять солько вам это хранить. Понятно чем дольше тем лучше, но на это не всегда есть деньги. Поэтому время хранения лучше брать примерно месяц, или на срок в течение которого вас не будет дома.
5. Видеоаналитика. Предположим вы приехали домой и вам Хочеться посмотреть все ли было хорошо. Для этих целей у вас как минимум должна быть система позволяющая просматривать видео вперед-назад в ускоренном режиме (не все китайцы это умеют).
6. Защита видеозаписей. Если будут грабить то скорее всего будут искать видеорегистратор, его лучше засунуть как можно дальше. При этом, желательно настройить систему тревожных кадров, которая бы отправляла в облачное хранилище событийные кадры (приехала машина, прошел человек и т.д.) или хотябы кадры по расписанию.
7. Цифра или анлог. Аналог отмирает (правда медленно) вкладывать в него деньги, пусть это даже кажется небольшие смысла не имеет. При этом, если у вас всего одна камера, с записью на SD-карту то она будет дешевле чем аналоговая камера и видеорегистратор. Все равно в итоге ваши видео превратится в цифру, либо на видеокамере либо на видеорегистраторе.
8. Только не WiFi! Ни в коем случае не надо ставить WiFi камеры для охраны. В силу протокола WiFi они глушатся даже с мобильника.
9. Синхронизация по времени. Все ваши видеозаписи должны проставляться метками времени, а сами метки должны быть временем желательно чтобы был понятен в том числе и часовй пояс. Если на двух камерах смотрящих в одно место стоит разно время — суд скорее всего не примет эти записи.
10. Доступ к видео. Желательно продумать возможность on-line доступа к просмотру данных с камер. Чтоб зашел глянул и на душе было спокойно.
Интересная статья, но складывается ощущение что намешано все в одну кучу, а критерии сравнения выбраны из всех существующих железок. Сложно представить ГОСТ VPN + DLP в одном флаконе, ибо нафига? Поэтому было бы более корректно убрать NGWF из названия а говорить о просто о выборе устройств сетевой безопасности. В остальном практически все правда.
Хотел бы поделиться собственным опытом внедрения IPS.
В реальности ожидания и возможности существующих IPS разнятся как небо и земля.
Заказчики воспринимают IPS как некий сетевой антивирус, который поставил забыл, а он тебе хакеров гоняет, но это далеко не так, с IPS-сом нужно реально постоянно возится более того, существующие системы ловят довольно мало атак,
На пилоте (для себя) проводил следующий тест. Взял железку за несколько десятков килобаксов (импортную с сертификатом ФСТЭК) и подключил ее в разрыв между компом-жертвой и остальной сетью. Обновил сигнатуры и все их активировал. На жертве поставил Windows XP без обновлений + Damn Vulnerable Web App + WireShark (для того, чтобы смотреть что получится), дальше были следующие тесты
1. ARP poioning жертвы — атака прошла
2. SQL-inj и другие типовые атаки DVWA — все атаки прошли
3. TCP Syn flood (атака прошла)
4. HTTP Slow lories (атака прошла)
5. metasplote MS08_067 эксплойт (атака не прошла).
В результате тестов обнаружились следующие ложные срабатывания:
1. Авторизация с жертвы в домне проходила только с 6 раза
2. Печать на сетевых принтерах стала полностью невозможной.
Наверно, железку и правила можно было запилить так, чтоб все было хорошо, но этим надо заниматься и заниматься постоянно. Для небольших компаний более предпочтительными будет качественный аутсорс подобных услуг нежели покупка девайса. Для тех кто хочет все сам к каждой такой железке нужно будет брать на работу инженера.
Мы же для себя решили отказать от коммерческих IPS в пользу open source. Ведь если и с тем и с другим надо одинаково возится то зачем тогда отдавать килобаксы?
Почему он должен противоречить закону? В договоре как раз и прописывают все нюансы в мельчайших подробностях, но делают это в своих операторских интересах, а мы с вами подобные договоры (услуг связи / банковского счета и т.д.) подписываем и принимаем в полном объеме.
Противоречить закону, например, будет договор об отчуждении права авторства (не путать с исключительным правом) над литературным произведением, поскольку по закону данное право не отчуждаемо. Такой договор действительно будет СУДом признан как ничтожный.
Я еще раз хочу подчеркнуть, что реальной схемы работы механизма в открытом доступе нет.
Его и не будет. В отношении этих данных можно смело вводить режим коммерческой тайны.
Мы не можем знать кому, в каком объеме и как передждаются данные
А вот это как раз можем. Пишите письмо оператору он ОБЯЗАН в течение 30 дней вам на него ответить. Только надо юридически правильно формулировать запрос
Про закон о рекламе согласен, но оператор связи наверняка в пятом подпункте двадцать шестого параграфа сделал фразу разрешающую это делать, а вы когда покупали SIM-ку подписали весь договор.
Да по сути его никогда и не было. Закон придумали чтобы вообще беспредела не было и базами не торговали. Реально обеспечить конфиденциальность ПДн в принципе не возможно. Вернее можно, но тогда весь бизнес встанет.
ставим по договоренности с оператором базовую станцию
Это не так просто. На БС нужно получать разрешение от Роскомнадзора и там довольно сложная процедура.
А вот у самого РКН есть машинки с антенами, которые издют и слушают эфир. Если находят незарегистрированню БС автоматически печатают штраф.
получаем оповещения о появлении в ее радиусе уникальных мобильных устройств и статистику их появления.
Оператор этого делать не будет, ему смысла нет. Но даже если будет и будет выдавать вам данные вида:
«За последний час около вас было 182 уникальных абонента, причем 4 из них были рядом вчера», то это не будет нарушением закона.
У сотрудников оператора нет законных прав ковыряться в персональных данных своих абонентов.
Такие права есть у всех сотрудников, которым оператор эти права предоставил, то есть считай у любого сотрудника.
Перечень лиц, у которых есть права на обработку ПДн, должен быт опубликован в Политике обработке ПДн, которую Оператор ОБЯЗАН размещать в публичном доступе. Но для того чтобы не нарушать права этих работников ФИО там обычно не пишут, а обозначают общими мазками, типа «всем кому надо по служебной необходимости».
постоянно следить за тем, кто регистрируется на БС, кто уходит
они и так это делают и эти данные у них фиксируются в логах
Это уже работа с персонифицированными данными,
Ну и что? Это полностью укладывается в рамки тех целей, для достижение которых оператор ведет законную обработку ПДн.
Надо конечно разбираться с техникой реализации этой Гео-СМС, но у меня смутные ощущения что там все впишется в законодательство.
Криминалом будет то, если оператор или его сотрудники передают данные о вас третьим лицам, и то там, можно обложится бумажками так, что все будет законно.
Напишите в Роскомнадзор (http://pd.rkn.gov.ru) эти господа по закону ОБЯЗАНЫ заниматься подобными вопросами. Обратится можно вроде даже через Госуслуги.
Другое дело в том, что схема отправки ГЕОсмс может быт вполне законна.
Например, магазин X обращается к оператору связи — шли всем абонентам, авторизованным на БС ZZZ СМС «Привет, я магазин X» и никакого нарушения тут не будет.
На одной из конференций «некие ребята» демонстрировали сервис денационализации пользователей. Когда человек посещал страницу, магазина, а потом ему перезванивал оператор. Раскрыть секрет как работает они отказались, но небольшое исследование позволило предположить, что работает это только в отношении людей выходящих в Инет с мобильников. Примечательно, что СБ оператора, клялась божилась что никому этих данных не передает и совершит развратные действия сексуального характера со всеми кто это делает. По собственным ощущениям приторговывают данными админы этих компаний, равно как и организуют «левые» подключения к сетям SS7.
Возможен такой подход, но дьявол кроется в мелочах, подобрав которые можно разрушить эту логику,
Факт в том, что юридическая ответственность за действия искусственного интеллекта, это то, над чем придется поломать голову юристам и законодателям недалекого будущего.
Я хотел обратить ваше внимание на стиль статьи. Хабр технический ресурс, хотелось бы больше техники в описании. Если вы говорите про защищенность систем, то приведите хотя бы типовую схему организации защиты. К сожалению сертифицированные ФСТЭК СОВ (IDS) отечественного производства, это на 99% (по моему опросу производителей на выставках по ИБ) переведенный на русский язык Snort со всеми вытекающими.
Да и про вашу систему тоже хотелось бы понять больше, а не просто, то что она использует «крутые» лицензированные решения. Приведите результаты сравнения использования вашей системы по сравнению с аналогами, очень интересует вероятность идентификации и вероятность ложной идентификации.
И еще, на затравку для следующих статей. Расскажите как устроена защита эталонных образцов (то с чем сравниваются данные с сенсоров) от утечки. Сможет ли админ конторы X, у которого скажем есть данные о моей физиономии использовать их для авторизации в банке Y. (например, он может изготовит муляж или вклинится (MiTM) между биометрическим сенсором и системой анализа и т.д.)
Посмотрите про Snapdragon Flight (https://geektimes.ru/post/285140/ или https://developer.qualcomm.com/hardware/snapdragon-flight) он много что умеет. Другое дело с каким качеством он это делает.
Сейчас все производители дронов и компании которые хотят проводить доставку с помощью дронов считают что они одни в небе… И на начальном этапе пока дронов мало это действительно так. Поэтому даже представленного выше функционала может вполне хватать.
Есть ряд вопросов:
1) Предположим есть человек, его колбасит, скажем боязнь потерять работу. На работе сокращения всем дали 90-дневные уведомления. Он понимает что волноваться не надо, но не может ничего с собой поделать. Он идет к вам, вы с ним работаете он перестает боятся. Начальство смотрит, чел. спокоен значит уверен в себе и найдет работу и его соответственно увольняют… Какие последствия происходят, если страх от которого человек лечился реализовывается?
2) В чем цель применения фармакологии? Могут ли аналогичный эффект дать наркотики или алкоголь?
3) Как психотерапевты лечат других психотерапевтов?
Молодцы, что рассказали как все было, аналогичная проблема может быть у любой ИТ-компании.
Является устройство специальным техническим средством предназначенным для негласного съема информации (СТС, или в простанородье жучком) или нет определяет экспертиза во время разбирательств.
Пример, вы купили радионяню для контроля за дитем — все гуд. Туже саму радионяню используете для слежки за боссом — статья.
Есть устройства однозначно классифицируемые как СТС — например, камеры тип pin-hole.
Правовые особенности использования видеонаблюдения «размазаны» по действующему законодательству. По мимо указанной вами статьи, есть как минимум 152-ФЗ «О перс. данных», ГК РФ ст. 152.1, ст 137 УК РФ.
1. Зачем перехваченные сообщения писать в БД?
— Это как минимум увеличит затраты на хранение данных, поскольку место отъедаемое СУБД под хранения BLOB (например, для перехваченного VoIP звонка) всегда больше чем сам BLOB.
— А также не дает возможность (вернее сильно усложняет) применения внешнего сжатия, например банального архивирования перехваченных текстовых данных.
2. Есть ли опыт использования NoSQL решения для этих целей?
Существуют апологеты от разработчиков SIEM, которые утверждают что для SIEM SQL это зло.
В DLP хранимых данных очевидно меньше будет чем в SIEM, но если говорить о масштабируемости то мысль может быть и правильная.
НО зато это очень хорошо помогает решить проблему в «до судебном порядке».
1. Видеонаблюдение для частного дома само по себе не спасает от краж.
В лучшем случае вы увидеть людей которые вас ограбили. И то, время идиотов, которые идут «на дело» и подымают морду во все камер вроде как прошло. Поэтому в результате у вас будет «два силуэта в спортивных коспьюмах с балаклавами на лице утащили мой телевизор 22.07 в 01:32»
Если вы планируете уехать и оставить дом «в одиночку» защищенный видеокамерами результат будет такой же как если вместо камер поставить просто муляжи. Нужно понимать, что видеонаблюдение это просто «датчик» для реакции службы физической охраны. Нету службы, нет охраны.
Поэтому имеет смысл заключить договор с ЧОПом на охрану дома и дать им доступ к видео.
2. Расположение камер.
Наиболее вероятные пути проникновения злоумышлеников — двери, окна, ворота. На эти точки имеет смысл ставить узконаправленные камеры, которые бы позволяли идентифицировать человека по лицу. Дальше по периметру можно ограничится несколькими широкоугольными камерами типа рыбий глаз для контроля обстановки.
3. Что и как пишем. Писать FullHD видео нужно очень много места. Поэтому можно делать так, писать в максимальном разрешение но с частотой 4 к/с. Этого хватает, даже для того, чтобы увидить что кассир не додал денег клиенту. Не говоря уже об идентификации клиента. Для входных зон с расположением субъектов в радиусе 5-10 метров хватит разрешения в 1Мегапиксель, но больше лучше.
4. Хранение видео. Мало того, что вы пишете, нужно понять солько вам это хранить. Понятно чем дольше тем лучше, но на это не всегда есть деньги. Поэтому время хранения лучше брать примерно месяц, или на срок в течение которого вас не будет дома.
5. Видеоаналитика. Предположим вы приехали домой и вам Хочеться посмотреть все ли было хорошо. Для этих целей у вас как минимум должна быть система позволяющая просматривать видео вперед-назад в ускоренном режиме (не все китайцы это умеют).
6. Защита видеозаписей. Если будут грабить то скорее всего будут искать видеорегистратор, его лучше засунуть как можно дальше. При этом, желательно настройить систему тревожных кадров, которая бы отправляла в облачное хранилище событийные кадры (приехала машина, прошел человек и т.д.) или хотябы кадры по расписанию.
7. Цифра или анлог. Аналог отмирает (правда медленно) вкладывать в него деньги, пусть это даже кажется небольшие смысла не имеет. При этом, если у вас всего одна камера, с записью на SD-карту то она будет дешевле чем аналоговая камера и видеорегистратор. Все равно в итоге ваши видео превратится в цифру, либо на видеокамере либо на видеорегистраторе.
8. Только не WiFi! Ни в коем случае не надо ставить WiFi камеры для охраны. В силу протокола WiFi они глушатся даже с мобильника.
9. Синхронизация по времени. Все ваши видеозаписи должны проставляться метками времени, а сами метки должны быть временем желательно чтобы был понятен в том числе и часовй пояс. Если на двух камерах смотрящих в одно место стоит разно время — суд скорее всего не примет эти записи.
10. Доступ к видео. Желательно продумать возможность on-line доступа к просмотру данных с камер. Чтоб зашел глянул и на душе было спокойно.
Хотел бы поделиться собственным опытом внедрения IPS.
В реальности ожидания и возможности существующих IPS разнятся как небо и земля.
Заказчики воспринимают IPS как некий сетевой антивирус, который поставил забыл, а он тебе хакеров гоняет, но это далеко не так, с IPS-сом нужно реально постоянно возится более того, существующие системы ловят довольно мало атак,
На пилоте (для себя) проводил следующий тест. Взял железку за несколько десятков килобаксов (импортную с сертификатом ФСТЭК) и подключил ее в разрыв между компом-жертвой и остальной сетью. Обновил сигнатуры и все их активировал. На жертве поставил Windows XP без обновлений + Damn Vulnerable Web App + WireShark (для того, чтобы смотреть что получится), дальше были следующие тесты
1. ARP poioning жертвы — атака прошла
2. SQL-inj и другие типовые атаки DVWA — все атаки прошли
3. TCP Syn flood (атака прошла)
4. HTTP Slow lories (атака прошла)
5. metasplote MS08_067 эксплойт (атака не прошла).
В результате тестов обнаружились следующие ложные срабатывания:
1. Авторизация с жертвы в домне проходила только с 6 раза
2. Печать на сетевых принтерах стала полностью невозможной.
Наверно, железку и правила можно было запилить так, чтоб все было хорошо, но этим надо заниматься и заниматься постоянно. Для небольших компаний более предпочтительными будет качественный аутсорс подобных услуг нежели покупка девайса. Для тех кто хочет все сам к каждой такой железке нужно будет брать на работу инженера.
Мы же для себя решили отказать от коммерческих IPS в пользу open source. Ведь если и с тем и с другим надо одинаково возится то зачем тогда отдавать килобаксы?
Противоречить закону, например, будет договор об отчуждении права авторства (не путать с исключительным правом) над литературным произведением, поскольку по закону данное право не отчуждаемо. Такой договор действительно будет СУДом признан как ничтожный.
Его и не будет. В отношении этих данных можно смело вводить режим коммерческой тайны.
А вот это как раз можем. Пишите письмо оператору он ОБЯЗАН в течение 30 дней вам на него ответить. Только надо юридически правильно формулировать запрос
Надо анализировать всю документальную базу.
Да по сути его никогда и не было. Закон придумали чтобы вообще беспредела не было и базами не торговали. Реально обеспечить конфиденциальность ПДн в принципе не возможно. Вернее можно, но тогда весь бизнес встанет.
Это не так просто. На БС нужно получать разрешение от Роскомнадзора и там довольно сложная процедура.
А вот у самого РКН есть машинки с антенами, которые издют и слушают эфир. Если находят незарегистрированню БС автоматически печатают штраф.
Оператор этого делать не будет, ему смысла нет. Но даже если будет и будет выдавать вам данные вида:
«За последний час около вас было 182 уникальных абонента, причем 4 из них были рядом вчера», то это не будет нарушением закона.
Такие права есть у всех сотрудников, которым оператор эти права предоставил, то есть считай у любого сотрудника.
Перечень лиц, у которых есть права на обработку ПДн, должен быт опубликован в Политике обработке ПДн, которую Оператор ОБЯЗАН размещать в публичном доступе. Но для того чтобы не нарушать права этих работников ФИО там обычно не пишут, а обозначают общими мазками, типа «всем кому надо по служебной необходимости».
они и так это делают и эти данные у них фиксируются в логах
Ну и что? Это полностью укладывается в рамки тех целей, для достижение которых оператор ведет законную обработку ПДн.
Надо конечно разбираться с техникой реализации этой Гео-СМС, но у меня смутные ощущения что там все впишется в законодательство.
Криминалом будет то, если оператор или его сотрудники передают данные о вас третьим лицам, и то там, можно обложится бумажками так, что все будет законно.
Другое дело в том, что схема отправки ГЕОсмс может быт вполне законна.
Например, магазин X обращается к оператору связи — шли всем абонентам, авторизованным на БС ZZZ СМС «Привет, я магазин X» и никакого нарушения тут не будет.
На одной из конференций «некие ребята» демонстрировали сервис денационализации пользователей. Когда человек посещал страницу, магазина, а потом ему перезванивал оператор. Раскрыть секрет как работает они отказались, но небольшое исследование позволило предположить, что работает это только в отношении людей выходящих в Инет с мобильников. Примечательно, что СБ оператора, клялась божилась что никому этих данных не передает и совершит развратные действия сексуального характера со всеми кто это делает. По собственным ощущениям приторговывают данными админы этих компаний, равно как и организуют «левые» подключения к сетям SS7.
Факт в том, что юридическая ответственность за действия искусственного интеллекта, это то, над чем придется поломать голову юристам и законодателям недалекого будущего.
Да и про вашу систему тоже хотелось бы понять больше, а не просто, то что она использует «крутые» лицензированные решения. Приведите результаты сравнения использования вашей системы по сравнению с аналогами, очень интересует вероятность идентификации и вероятность ложной идентификации.
И еще, на затравку для следующих статей. Расскажите как устроена защита эталонных образцов (то с чем сравниваются данные с сенсоров) от утечки. Сможет ли админ конторы X, у которого скажем есть данные о моей физиономии использовать их для авторизации в банке Y. (например, он может изготовит муляж или вклинится (MiTM) между биометрическим сенсором и системой анализа и т.д.)
Сейчас все производители дронов и компании которые хотят проводить доставку с помощью дронов считают что они одни в небе… И на начальном этапе пока дронов мало это действительно так. Поэтому даже представленного выше функционала может вполне хватать.