среда, 2 сентября 2015 г.

Сказка про 6 островов

Наступила осень, активизировались консультанты и интеграторы, заваливая предложениями, посыпалась тьма приглашений на разные ИБ-ивенты. Закончился период летней спячки. За лето накопилась тьма материалов для публикации, но начать хочу с небольшой сказки про риски.

Жили были 6 племен с 6 вождями на 6 островах. И стали вожди опасаться военного переворота – недобро на них соплеменники стали поглядывать, возмущаться, почему у них самые большие зарплаты вигвамы в племени и почему должны они ему отдавать долю собранных фруктов вождям за защиту. Обратились они к консультанту по безопасности оракулу. Подошли они к пещере оракула и слышат крик: «Заходи по одному! Ноги вытираем!».

В пещере темно, только слышны звуки бубна и шепот заклинаний «АЙПИЭС-ВАФ-ДИЭЛПИ-КРИПТА-А-А-А» – или что-то в этом роде. Но не испугались вожди и зашли в пещеру.

- В чем Ваша беда? - вопрошал оракул.
- Ну эта… народ недоволен! Вот! - сказал первый вождь.
- Заговорщики зубы точат еще… - уточнил другой.
- Вот-вот оружие возьмут в руки, да и свергать нас будут - добавил третий.

Открыл оракул ISO27005 мудрую книгу и говорит: «А эти риски можно снижать, избегать, страховать и принимать! Хотя страховать вряд ли, принимать не хотите, на другой остров тоже не поедете без власти… так что снижать. Так, надо закрыть уязвимость «Недовольство населения» и будет вам счастье, сделайте население довольным властью.»

- И все? - возмутились вожди - Так это же островному ежу понятно! Неужели больше ничего нельзя сделать?!

- Ну вообще-то есть у меня одна идея, которая многое объясняет, но я с другими оракулами еще толком ее не обсуждал, написал статью в ВАКовский журнал (нужно для «научной апробации» письмо, бросил бутылку с ним в море, но море пока не принесло ответа. Тем не менее, поделюсь с Вами

И начертил оракул на стене пещеры диаграмму:


- Уязвимость Ваша – недовольство населения, угроза, военный переворот, нарушитель – заговорщики, а защищаемый актив – власть. Риск потери власти вследствие военного переворота существует лишь тогда, когда эти компоненты связаны и, чем сильнее эти связи, тем выше риск.

- Как я уже говорил Вы можете попробовать снизить недовольство населения властью - продолжал оракул.
- Ну я все что надо услышал, обе теории в одну степь, пойду снижать недовольство - сказал первый вождь и ушел.

- Но есть и много других вариантов… - продолжал шаман для оставшихся вождей, - Например, сделать власть неподверженной военному перевороту, даже если он начнется – нанять сильную армию, которое задавит сопротивление.
- А вот это по мне! - сказал второй вождь и тоже ушел.

- А еще можно сделать власть для заговорщиков непривлекательной, снизить мотивацию плести заговоры. Если ловить и наказывать тех, кто будет сговоры устраивать, то и не будет никакого переворота, одних поймаете, другие будут опасаться так делать.
- Звучит разумно - заключил третий вождь, - Пойду поразмыслю, где купить DLP нанять шпионов!

- Также вы можете снизить возможности заговорщиков, изымая и уничтожая по всему острову оружие» - продолжил консультант, - Если и будут в народе волнения, то явно не «военного» характера.
- План неплохой! - четвертый вождь тоже ушел.

- Пятый путь для данной ситуации выглядит несколько комичным… нужно снизить квалификацию заговорщиков, чтобы они не могли воспользоваться уязвимостью - недовольством населения…
- Да не, отличный вариант - сказал пятый вождь – Я буду им реалити-шоу по зомбоящику показывать подсыпать в еду дурман-траву.

- Ну и последний способ, исключить связь между военным переворотом и недовольством населения, т.е. оно должно вылиться в иное русло, например, проголосовать против определенных действий, которые вызывают их недовольство.
- Отлично! Тогда я остановлюсь на этом! - сказал шестой вождь и побежал к оракулу по предвыборным компаниям.

***

Спустя год в темную сырую темницу спустился оракул и увидел всех 6-х вождей, крайне озлобленных…

- Дурацкая твоя теория, - крикнул первый вождь, - Я столько всего делал, чтобы население было довольным, а все равно несколько недовольных десятков нашлось, которым не угодишь, вот они с оружием в руках на меня напали, связали, и сюда отправили. А большинство на смену власти и внимания не обратило!

- А я нанял армию! - второй вождь всхлипнул, - И тут сразу бунт, мол куда гос.казну тратишь, гад. Ну армия подавлять, потом денег на их содержание не хватало, пришлось часть распустить. Тут то толпой вигвам осадили и захватили. А меня сюда.

- Ага, - подтвердил третий вождь, - Фигня твои советы! Мои шпионы ловили заговорщиков и ловили, а потом как-то не уследили за некоторыми, ну они и подбили население на бунт.

- А я все оружие отбирал, но на острове люди не могли охотиться без копий и луков, пришлось часть отдавать, ну этими самыми копьями и луками переворот и устраивали.

- А у меня дурман-трава не вовремя закончилась, - сообщил пятый вождь.

- Население мое бунтовать тоже сразу не стало, выборов ждали, а на выборах как узнали, что тем, кто за меня голосует деньги дают (оракул по выборам посоветовал), так сразу за оружие… ну и вот!

- Все потому, что вы меня не дослушали... - вздохнул оракул, - Во многих случаях мы не можем уничтожить риск целиком, т.к. «оборвав» одну из связей между его компонентами мы вообще нарушим систему, которые призваны защищать, либо не можем этого сделать в силу других ограничений. В этом случае мы должны снижать риски разными способами, комплексно, снижая силу различных связей – психологические и организационно-правовые средства защиты снижают мотивацию нарушителя – опасается быть пойманным и наказанным. А еще можно повышать мотивацию не нарушать. Технические средства защиты рвут связь между активом и уязвимостью, а также исключает нарушителей, у которых недостаточно квалификации для того, чтобы эти средства обойти. Средства резервирования, бесперебойности, криптографические, между угрозой и активом и т.д.