IBshnikov के लिए

अगर शहर में एक भी कंपनी नहीं है - एक आईटी सिस्टम इंटीग्रेटर (पायलट + 1 सी गिनती नहीं करता है), तो आईटी विशेषज्ञों को या तो खुद के लिए काम करना पड़ता है, या यदि वे गैर-मुख्य संगठन में प्रोफ़ाइल में "भाग्यशाली" हैं। सूचना सुरक्षा के लिए, यहां नियम "सुरक्षा खतरे की डिग्री से निर्धारित होता है" 100% या यहां तक ​​कि 101% पर लागू होता है, लेकिन कभी-कभी रूसी संघ के कानून द्वारा समतल किया जाता है, जिसके लिए संरचना में एक अतिरिक्त इकाई दिखाई देती है, कहीं कर्मियों या सुरक्षा विभाग में। मुझे तुरंत यह कहना होगा कि यह नोट पूरी तरह से मेरे निवास के शहर में मेरी अपनी टिप्पणियों पर आधारित है, कोई एचआर एनालिटिक्स (यह बस मौजूद नहीं है)। यह ध्यान देने योग्य है कि यदि वे उबासनिक को उपरोक्त विभागों में ले जाते हैं, तो 70% मामलों में क्रम में उबाऊ प्रलेखन लाने के लिए। परिणामस्वरूप, कार्य में, विभिन्न प्रकार के निर्देशों, प्रावधानों, विनियमों को लिखना शामिल होता है, जो वास्तव में पालन किया जाता है या पर्यवेक्षी अधिकारियों द्वारा सफल सत्यापन के लिए विभिन्न प्रकार के लाइसेंस प्राप्त करने के लिए, जिसमें कर्मचारियों पर एक सूचना सुरक्षा विशेषज्ञ की उपस्थिति की आवश्यकता होती है।
लेकिन जब वह "अतिरिक्त" इकाई नहीं है तो सुरक्षा विशेषज्ञ क्या करता है! " मैं परम सत्य होने का दिखावा नहीं करता, लेकिन फिर भी ...

रूसी संघ का विधान

पिछले 5 वर्षों में इस दिशा में एक निश्चित कदम उठाया गया है। अपने कार्यों को सक्षम रूप से करने के लिए (अंशकालिक वकील बनने के लिए नहीं, बल्कि तकनीकी पक्ष से खुदाई करने के लिए कहां जाना है) जानने के लिए उनका ज्ञान अब आवश्यक है, लेकिन मूल रूप से यह, राज्य संरचनाओं पर लागू होता है: संघीय कानून संख्या 152 और उनके जैसे अन्य लोगों को पढ़ना आवश्यक है। , RD FSTEC और ILV पोर्टल, सीटी और इनसाइडर जानकारी पर कानून कम आम हैं, लेकिन यह भी पाए जाते हैं। सार्वजनिक सेवाओं के पोर्टल और अधिकारियों की अंतर-सहभागिता सहभागिता के व्यापक परिचय के साथ - "इलेक्ट्रॉनिक सरकार", इलेक्ट्रॉनिक हस्ताक्षर (EDS) पर कानूनों का अध्ययन और रूसी संघ की एकल भुगतान प्रणाली प्रासंगिक हो जाती है।

मानकों

GOSTs, STO IBSS: shhh ... उनकी किसी ने नहीं सुनी। और किसने कहा क्यों सुना?
ISO27000x, PCI DSS - mmm ... बेहतर समय तक।

ऑपरेटिंग सिस्टम का स्तर

विंडोज़ XP चलाने वाली मशीनों के मुख्य बेड़े के 95% में, कुछ अब विंडोज 7 पर जा रहे हैं। सर्वर के साथ एक समान स्थिति। विंडोज सर्वर 2003 का एक सतही ज्ञान पर्याप्त होगा। क्यों सतही? क्योंकि सभी सर्वर: AD, Exchange, ISA, TMG, SCCM IT विभाग द्वारा चलाए जाते हैं, और कोई भी उन्हें Ibshnik तक पहुंच नहीं देगा, मुझे लगता है कि आपको यह नहीं कहना चाहिए कि क्यों। IBshnik सुरक्षा नीतियों, परदे के पीछे, फ़ायरवॉल के अनुरूप नहीं है, लेकिन बाहरी ऑडिट के दौरान, किसी कारण से IBshnik को यह ज्ञान लागू करना पड़ता है।

दूरसंचार स्तर

खैर, यहाँ कहानी आम तौर पर अंधेरा है। मैं सहमत हूं कि L2, L3 डिवाइस आईटी या संचार में लगे हुए हैं। लेकिन मुझे यह समझ में नहीं आ रहा है कि एएसए, पीआईएक्स, चेक प्वाइंट, जुनिपर, सीएसपी वीपीएन गेट आईएस कर्मचारियों से "बिल्ली और कुत्ते" के रूप में क्यों संबंधित हैं। मुझे समझ नहीं आ रहा है कि आईएस के कर्मचारी सुरक्षित नेटवर्क परिधि, वीपीएन, डीएमजेड आदि का निर्माण कैसे करेंगे। यह स्विच और राउटर की सेवा करने वाले विशेषज्ञों द्वारा किया जाता है। यहाँ, नियम "सुरक्षा खतरे की डिग्री से निर्धारित होता है" भी बस काम करता है। शायद, ओआईबी "कॉन्टिनेंट" जैसा कुछ चलाएगा, और अगर "एफपीएसयू-आईपी" भाग्यशाली है, लेकिन ओएसआई मॉडल के गहन ज्ञान के एक सक्षम समायोजन के लिए, एक प्रोटोकॉल स्टैक और एड्रेसिंग नियम आवश्यक नहीं हैं। हां, एंटी-वायरस और इसके द्वारा केंद्रीकृत प्रबंधन - जैसे कि एडमिनकिट - कभी-कभी आईएस इंजीनियरों के लिए छोड़ दिया जाता है।

अनुप्रयोग सॉफ्टवेयर

लागू SZI की विशालता के संबंध में, वहाँ है जहाँ टहलने के लिए ...
लगभग हर जगह, किसी न किसी प्रकार के क्रिप्टो प्रदाता का उपयोग किया जाता है: क्रिप्टोप्रो, बिक्रिप्ट, विपनेट, आदि। हार्डवेयर-सॉफ्टवेयर एमडीजेड का भी अक्सर उपयोग किया जाता है: सेबल, कॉर्ड, सीक्रेट-नेट, गार्ड, ब्लॉक होस्ट, ज़्लॉक, डलासलॉक, डेविसेलॉक, "कुछ और" लॉक, आदि। यदि OIB PCC का ऑपरेटर है, तो PKI को भी जानना चाहिए। बैंकिंग सॉफ्टवेयर को कर्तव्यों में भी शामिल किया जा सकता है: विलो, क्लाइंट-बैंक। इस सब के लिए, आपको मुख्य सूचना वाहकों को संभालने में सक्षम होना चाहिए: टोकन, स्मार्ट कार्ड, टीएम टैबलेट और सॉफ्टवेयर जो उन पर रिकॉर्ड करते हैं। और सबसे स्वादिष्ट बात यह है कि अगर कंप्यूटर पर कुछ काम नहीं करता है, तो, आईटी के अनुसार, SZI को हमेशा दोष देना है। परिणामस्वरूप, IBshnik को दूरस्थ सहायक और डेस्कटॉप का उपयोग करने में सक्षम होने के लिए, हेल्पडेस्क कौशल की आवश्यकता होती है।

डेटाबेस

सब कुछ सरल है, कोई भी उनकी सुरक्षा से संबंधित नहीं है, और Ibshnik को केवल अपने स्वयं के विकास के लिए SQL Server, Oracle, mySQL के सुरक्षा तंत्र को जानने की आवश्यकता है।

अन्य

बैकअप समस्याएँ समान हैं: RAID, SAN, NAS सूचना सुरक्षा के लिए नहीं हैं।
विक्रेता प्रमाण पत्र (यदि शहर में एक प्रमाणन केंद्र है, अन्यथा आपको अभी भी जाना है) किसी को भी ज़रूरत नहीं है, कार्मिक विभाग के लिए उनके लिए कुछ भी नहीं है, सिर के लिए, एक अड़चन की तरह। विशेष रूप से अपने लिए और एक उज्जवल भविष्य के लिए।
IBshnik की एक अन्य महत्वपूर्ण भूमिका एक तकनीकी दृष्टिकोण से, सही ढंग से बताई गई है, उसकी स्थिति, एक ठोस माध्यम पर तय की गई है: "अधिक पत्र लिखें, अधिक कागजात - कम समस्याएं।"
नतीजतन, भले ही कोई व्यक्ति नए कौशल प्राप्त करना चाहता हो, पेशेवर रूप से विकसित हो, वह ऊपर दिए गए विवाद के रूप में निराश होगा, क्योंकि आईएस प्रबंधन इसे अनावश्यक उपांग और पैसे की बर्बादी के रूप में मानता है, हालांकि वे बहुत अधिक खो सकते हैं।

कुल मिलाकर

मेरे पाठ्यक्रम से 35 लोगों ने स्नातक किया, उनमें से 4 पेशे से काम करते हैं, उनके छापों के अनुसार यह पोस्ट लिखा गया था। यदि किसी के पास एक अलग तरीका है, तो अपनी टिप्पणी लिखें, यह बहुत दिलचस्प होगा।