Temat: IX Kongres Bezpieczeństwa Sieci
Marta Hummels:
W nawiązaniu do spóźnienia prelegenta.
Raz Pan pisze (...)przeprosiłem nawet.
Drugi raz Pan pisze (...)Czemu Pani pomawia? Mam kwit parkingowy - 9:26 wjechałem na parking. 15 minut z parkingu na salę - ze 200 metrów, to już zakrawa na pomówienie. Wszedłem równiutko 9:30. .
To jak z tym spóźnieniem było faktycznie, raz Pan przeprasza za spóźnienie podczas określania kumulacji ryzyk, drugi raz Pan wypiera się spóźnienia.
Nie wypieram się, tylko mówię jak było.
Prawda jest taka, że prowadząca przeprosiła za spóźnienie prelegenta i zwaliła wszystko na porę roku.
Zwaliła to takie nieładne słowo.
Faktycznie pomyliłam się wykład się rozpoczął o 9:35 a miał się rozpocząć o 0 9:30. Tak czy siak spóźnienie na wykład jest objawem lekceważenia słuchaczy.
Jakby dopisała pani MOIM ZDANIEM, to by było wszystko ok.
A co do pory roku. Tego dnia zrobiłem łącznie prawie 400 km. Po drodze było 11 wypadków. Zanim na kongres dojechałem, mijałem po drodze. Dwa.
Woli Pani w takiej sytuacji, żeby zdjąć nogę z gazu i być 5 minut później (co nie wydaje mi się, żeby miało miejsce) czy żeby podnieść ryzyko i mieć dużo większe prawdopodobieństwo nie dotarcia?
Ja jednak cenię swoje życie i zdrowie. Jeśli potrafi pani przy warunkach jakie są na zewnątrz, w ogólnym paraliżu miast wrzucić tylko oklepany slogan o lekceważeniu, to ja naprawdę nie mam pytań.
Co do ataku na Pana. To nie atak, tylko wymiana zdań a wcześniej moja refleksja na temat 9 Kongresu. Czy wymiana poglądów jest wedle Pana zdaniem atakiem?
W przypadki nie wierzę. Zaczęła Pani od dwóch wypowiedzi na Goldenie. W jednej skrytykowała pani mój wpis na blogu, w drugim, pojechała w tonie jak wyżej. Przy tylu ciekawych, kontrowersyjnych tematach tak całkiem prywatnie? Cóż....
Po ostatnie w końcu wypowiadam się tutaj jako osoba prywatna. Proszę zarazem nie tworzyć jakieś sztucznej filozofii.
Cieszy mnie to. Niemniej podpisując się nazwą firmy wydaje mi się, że jednak nie do końca.
I po tych przepychankach - ponowię pytanie. Co dla Pani było niezrozumiałego w wykładzie, a czego jeszcze nie napisałem wcześniej? Chętnie odpowiem.
W sumie jeszcze warto sprecyzować, bo mam wrażenie, że mimo wszystko nie do końca pani słuchała.
Po pierwsze - główna teza, wielokrotnie powtarzana przeze mnie w trakcie wystąpienia - to fakt, że bezpieczeństwo jest liczone w sposób bardzo ocenny. Nie ma mierników w odniesieniu do finansowania bezpieczeństwa, co jest ogromnym problemem w rozwoju systemów, bo po prostu brak ekonomicznego uzasadnienia wydatków na bezpieczeństwo.
Zliczenie strat - nawet potencjalnych jest wykonywane w każdym szacowaniu i w każdej metodzie. Doskonale rozumiem, że życie jest bezcenne, ale skutki utraty już są szacowalne. Mało tego, ja nie jestem sam w kierunku w którym mówię o tym, ze straty trzeba liczyć i szacować - nawet te związane z utratą życia i zdrowia. Mówi tak każdy ze standardów, nakazując wartościowanie zasobów (serie ISO i wcześniej TR), czy ocenę miarą skutku (to nasze podejście). Nasze podejście mimo pozornych różnic jest bardzo podobne. Wartość zasobu wyliczona metodą księgową i tak w dalszym działaniu zostanie skorygowana o wartość dla systemu.
Przykład:
Router - koszt kilkaset złotych. Ale jak się wysypie, złoży część sieci na jakiś czas. I wartość w ujęciu księgowym musi zostać skorygowana wartością w ujęciu procesu (zatrzymania procesu przetwarzania informacji). Nazwijmy to kosztem przestoju. I wliczmy czas pracy pracowników, którzy siedzą i kawę piją, a powinni pracować, koszt awaryjnego działania (co na wykładzie tez było - ze niestety, mamy jeszcze komunistyczne podejście - że jak są to niech robią. Tylko czemu mają usuwać awarie, bo ktoś sępi parę pln na zastępcze urządzenia) i inne np właśnie utrata klientów bo nie świadczymy jakiejś usługi przez określony czas (pojawia sie MTPD z ciągłości działania).
My pomijamy tylko etap wartościowania metodami księgowymi, czy odtworzeniową lub PML, bo moim zdaniem i tak wartość procesów dla głównych zasobów (podejście mieszane z TR 13335-3, czy ISO 27005) pokaże nam wyższą wartość w ujęciu operacyjnym. Bo obsługuje informacje (czyli służy aktywom) z wielu obszarów i o różnych wartościach.
Wartość odtworzeniowa - o czym też mówiłem, pojawia się w sytuacji próby zestawienia kosztów. Gdzie najpierw musimy mieć wartość potencjalnej straty, liczonej (co również mocno podkreślałem) nie zawsze wartościami księgowymi, a tymi bardziej dynamicznymi - odtworzeniową (precyzyjną - na wykładzie proponowałem dla krytycznych raz na kwartał przegląd dostawców) lub PML.
I już mamy dwa podstawowe parametry do NPV czy ROI. Koszt maksymalny straty i koszt odtworzenia zasobu. Żeby wyszedł "zysk" bezpieczeństwa trzeba jeszcze mieć prawdopodobieństwo wystąpienia zdarzenia. Ale to już głębsze rozwiązania.
Przewiązanie z szacowaniem ryzyka jest takie, że zaawansowane karty oceny ryzyka, czy arkusze oceny ryzyka, robione dla ryzyk powyżej progu akceptacji mają takie pola (te o maksymalnej stracie) już wdrożone. Plany działania (action plan) natomiast w rozwinięciu opisu reakcji na ryzyko, w strategii redukcji, mają zestawione koszty z grupy odtworzenia routera.
Również rejestr incydentów (który może być już o normę ISO oparty - 27035) mają również w polach w raportach po zdarzeniu (AAR - after action reviev) wyliczenia zarówno straty jak i kosztu obsługi incydentu.
Daje to potem mierzalność i podstawę weryfikacji w górę lub w dół naszych szacunków.
Odniosę się jeszcze do
Marta Hummels:
Podczas tego wykładu dowiedziałam się, że za pomocą między innymi NPV (Net present value), można wyliczyć bezpieczeństwo. Zaufanie, prestiż, marka - jak to wycenić????
Marka jest wyceniana. Wartość marki jest parametrem który otrzymujemy czasem od naszych klientów. Są bardzo twarde dane wejściowe, wyliczenie mocno precyzyjne, wraz z historycznymi pomiarami wartości marki. Niektóre firmy się tm specjalizują.
Prestiż jest również wartością ocenianą. Również na to dostajemy materiały oraz oceny, tu czasem mniej zliczone do wartości prestiżu, ale w wielu firmach przewiązanie do wielkości rynku.
Zaufanie - badanie zaufania konsumenta do marki... cóż. To są klasyczne i podstawowe badania w większości nieco większych firm.
W firmach na audytach po prostu czasem warto zacząć wartościowanie od pogadania z marketingiem, PR/MR czy podobnymi stanowiskami. Bo może sie okazać, że bezpiecznik, gość od szacowania ryzyka, zacznie wymyślać własne kombinacje, albo właśnie stwierdzić, że sie nie da, a dane w firmie są.
пропозиції роботи
