CISO rules

• 361    Не управляй делами - управляй последствиями!
• 360 Настоящий ИБшник, мечтает не о том чтобы у него были СрЗИ, а о том, чтобы у него их небыло!
• 359 Приходите на свидание вдвоем. Пока один отвлекает девушку в баре, второй поднимается в номер и уничтожает все камеры и жучки.
• 358 Никогда не проси помощи в размере который можешь сделать сам.
• 357 Данные как девушки... Должны хоть раз быть скомпрометированы...
• 356 А вы замечали, что хорошая политика поИБэ исполняется так же как и плохая политика поИБэ?
• 355 Прежде чем решать задачу, ее необходимо упростить до состояния, не противоречащего целям решения
• 354 Дурак, достигший предела своего карьерного роста - для организации безопасен
• 353 Если руководство вызывает вас в 17.30 то это значит что или вопрос не важный, или важный, но по нему уже принято окончательное решение.
• 352 Чтобы руководство задумалось за ИБ, вместо пентестов можно взять на испытательный срок дол***ба с тем же результатом, но дешевле
• 351 Мало сделать СрЗИ к нему еще угрозы нужно придумать
• 350 Если нет денег сделать правильно, будут деньги сделать дважды
• 349 В ИБ/ИТ кадровый голод на низкооплачиваемых высококвалифицированных специалистов...
• 348 Как только система достигает определенного уровня сложности, она становится реализуемо уязвимой
• 347 Программы учений должны содержать в условиях ошибки операторов, в том числе при реакциях на ошибки операторов...
• 346 Данные, входящие и исходящие в/из ИС должны иметь маркеры времени.
• 345 Знание массы best practice, стандартов и методологий приносит пользу только через интерпретацию и адаптацию их для Компании
• 344 Лучший способ приблизиться на расстояние разящего удара - выглядеть беспомощным
• 343 Разгоняя эффективность системы не забывай про ее устойчивость
• 342 У нормального CISO во флэшках недостатка нет
• 341 Если на вас еще не напали, значит еще остались иные меры воздействия
• 340 Если вы сделаете защищенную инфраструктуру, на вас начнут нападать физически
• 339 Антивирус - высшая форма костыля для непродуманной системы
• 338 Реальный статус сотрудников компании можно вычислить по уровню привилегий для обхода СЗИ
• 337 Подготовленный к беде лезет в беду реже чем не подготовленный.
• 336 Для того чтобы добыть информацию не нужно взламывать никакие системы...
• 335 Всякий сотрудник обладает Волей к преодолению
• 334 Внедрение ИБ затруднительно там, где менеджмент не желает отказываться от своих привычек.
• 333 Если у системы два независимых админа, то системе рано или поздно придет конец
• 332 Всякий кризис начинается с необходимости продержаться
• 331 Вопросы в ИБ всегда одинаковые - ответы разные. 
• 330 Обязательным условием развития искусственного интеллекта является уничтожение человечества.
• 329 Что бы скрыть антропогенный трафик люди начнут подражать машинам
• 328 Оценка эффективности ИБ должна включать оценку затраченных человеко-часов
• 327 Часто побеждает не тот, кто больше берет, а тот, кто меньше теряет
• 326 Всякое разумное существо стремится игнорировать Долг
• 325 Помните, все-таки волк ходит за стадом а не стадо за волком
• 324 Не забывай про дураков. Их функция - компенсировать любые попытки изменений среды.
• 323 Чем выше звание, тем проще должен быть пароль!
• 322 Развитие сильных сторон продукта/компании выгоднее чем поддержка слабых.
• 321 В 100% случаев службу ИБ не допускают к тем, от кого исходят максимальные риски.
• 320 Достоверные данные точностью не испортишь!
• 319 Это я к тому, что некоторые вредные процессы нельзя ломать - лучше если они сами закончатся. ПИ
• 318 Ответственность - как шоколадка. Её лучше разделить на всех
• 317 Никто не имеет права уходить в отпуск счастливым!
• 316 Нанятому (невовлеченному в бизнес) сотруднику - безопасность компании не интересна.
• 315 Запомни, иногда проще получить прощение чем разрешение ;)
• 314 Если тебе нужно мнение независимого эксперта, сначала найди независимого эксперта...
• 313 Ответственность нельзя заместить красивой Отчетностью
• 312 Только настоящий риск трансформируется в примету. А затем и в поговорку. Под конец в анекдот...
• 311 Политика ИБ - это пожелание того, как должен действовать вероятный нарушитель.
• 310 Спрашивая у вендора о скорости и стоимости внедрения системы, не забудь спросить за какое время система выносится и с каким ущербом.
• 309 Если ваш бизнес защищается не по идеологии CISCO - значит у вас неправильный бизнес...
• 308 Хакеры - лучшее прикрытие для инсайдера!
• 307 Самая устойчивая система это недоделанная система...
• 306 Если ваши действия автоматизируются - вас заменит автомат...
• 305 Минимизация воздействия человеческого фактора ведет к устранению самого фактора...
• 304 Всякое ИБ оплачивается конечным потребителем!
• 303 Комплексный подход заключается не том чтобы дергать за все ниточки, а том чтобы дергать только за нужные минимально достаточным усилием...
• 302 Всякий ИБ'шник должен знать! Сколько бы голов не было у гидры, жопа у неё одна!
• 301 Любая, даже самая сложная, проблема обязательно имеет простое, легкое для понимания, неправильное решение...
• 300 Работа ИБ'шника проста! Ты пишешь что необходимо, потом руководство помечает где ты не прав...
• 299 Всякая проблема имеет 3 сущности: 1-в которой корень проблемы 2-в которую отображается проблема -которая подпитывает корень проблемы
• 298 Люди не самое слабое звено в ИБ! Но определенно, самое долбанутое...
• 297 Получив 100% цифровых данных о предмете, вы имеете менее 50% доступной информации о предмете. Остальные 50% у людей...
• 296 Твоя задача: построить доверенную систему из недоверенных компонент в недоверенной среде...
• 295 Часто, обещание - это инструмент демонстрации лояльности, а не основа исполнения его содержания...
• 294 Дипломатия — это искусство добиться таких договоренностей, при нарушении которых именно вы получаете максимальную выгоду...
• 293 Для неограниченного обогащения достаточно манипулировать доверием.
• 292 Соблюдение всех норм законодательства РФ не дает гарантии потери репутации.
• 291 Хороший Виски можно дарить и в недопитой бутылке!
• 290 Рабы простят тирану все, кроме отсутствия у него чувства юмора...
• 289 Деревья сбрасывают листву не для того чтобы умереть, а для того, чтобы пережить зиму...
• 288 Мужчина плачет не за то, что на яхте с красотками мёд не пил, а за то, что большой настоящий дело не делал...
• 287 Издревле у человеков принято подмешивать яд во что ни будь вкусное...
• 286 Золотой парашют стимулирует договороспособность!
• 285 Любая «Задача» превращается в «Цель», если появляется компонент «Желание».
• 284 Нелепо звучит оправдание недееспособности низкой зарегулированностью бизнес-процессов...
• 283 Вокзалы для расставаний, аэропорты - для встреч...
• 282 Если пристально присмотреться в дырочку для ордена, то всегда можно разглядеть жопу...
• 281 Иногда люди верят вранью просто потому, что вранье настолько искреннее, что легче поверить вранью, чем в то, что так можно врать...
• 280 Думающий, болеющий душой за дело человек, не может не ворчать!
• 279 Вы можете делать все что захотите, но кот все равно попьет из вашей кружки!
• 278 Доказано: 100% коммутаторов уязвимы к атаке «человек в неадеквате».
• 277 Кому лучше подчинить ИБ? - если начальник дурак, то без разницы
• 276 В проекте столько объективности, сколько в проекте математики!
• 275 Наш хлеб - антропогенный трафик!
• 274 Интеграторы. Запоминается только плохое...
• 273 Жопа - это состояние системы. Как правило, самое устойчивое...
• 272 "ВМЕШАТЕЛЬСТВО" - ЭТО понятие, которым ИБ’шник должен вертеть на кончиках пальцев как мастер покера фишками...
• 271 Если установка энтерпрайза не начинается с кнопки «Call Support», то это не энтерпрайз!
• 270 Если сотрудника не за что наказать, то и награды он не достоин...
• 269 Не ищите оправдание преступлению, ибо найдёте...
• 268 Корпоративный дух заканчивается одновременно с туалетной бумагой!
• 267 Хорошие эксперты говорят: «Нельзя а лучшие знают, как можно!
• 266 Не так опасно ошибиться в человеке, как в уровне его осведомленности...
• 265 У всякого действия есть ущерб
• 264 Чтобы создать в колхозе 500 рабочих мест, достаточно сломать трактор!
• 263 Спокойствие босса дает свободу как и неведенье босса...
• 262 Чем отличаются технари от гуманитариев? Кто полезнее? у одних есть спирт, у других бабы... вот и считай...
• 261 - Админская учётка дана тебе не для того чтобы ты помогал людям! - Но я ведь уже извинился...
• 260 - SOC - это БД плюс какая-то хрень! - а сейчас все это БД плюс какая-то хрень...
• 259 Мы дожили до состояния, при котором отсутствие средств защиты в инфраструктуре компании безальтернативно ведет ее к краху...
• 258 нас новая СЗИ «Домино»! - какие функции? - как фишка ляжет...
• 257 - а это наша система Неваляшка! - и что, никогда не падала? - да не... в ней конь не валялся...
• 256 По крайней мере, бюджетирование ИБ расширяет кругозор, подталкивает к общению с интересными людьми...
• 255 Только правильные действия всегда приводят к катастрофе...
• 254 Разум за всё время своего развития более всего преуспел в оправдании своих же пороков...
• 253 Кстати, это моя личная точка зрения, и она может не совпадать с моей официальной позицией...
• 252 Помни, доверие формируют поступки, а не клятвы!
• 251 Кризис - потеря Воли! первый шаг к нему - утрата самодисциплины!
• 250 Самая большая и самая обидная ошибка для топ-менеджеров - перепутать момент начала преобразования бизнеса с падением бизнеса...
• 249 Помни, бездарность часто ищет спасения в работоспособности...
• 248 Помни, самым известным Независимым экспертом был Павлик Морозов!
• 247 Всякий влиятельный эксперт должен ответить себе на вопрос: «У какой компании акции упадут хотя бы на 1% если он сдохнет»?
• 246 Успех - это не окончание неудач, наличие запаса на будущие неудачи.
• 245 Всякую работу можно сделать плохо!
• 244 Запомни, «Продуктовые Евангелисты» - вредители отрасли ИБ!
• 243 Декларация соответствия ничтожна отсутствии репутационных рисков
• 242 Если ты жутко накосячил, а этого никто не заметил - значит этого и не было!
• 241 Воистину, продукто-центричная информационная безопасность - проститутка империализма!
• 240 Самые эффективный метод защиты информации - её удаление!
• 239 Обеспечение защиты информации не должно понижать её ценность!
• 238 Твои проекты никто не ценит! Твои отчеты никто не читает...
• 237 Пишущий Политику стелет дорогу себе...
• 236 Соблюдение корпоративной этики между двумя топ-менеджерами компании возможно только при наличии у обоих компромата друг на друга...
• 235 Информационная безопасность представляется в виде графа где узлы характеризуются уровнем доверия, а ребра уровнем защищенности.
• 234 Чем более ценна «репутация места» тем меньше нужно фактуры для смещения сидящего в нем зада!
• 233 Деньги это всегда Данные, но Данные это не всегда Деньги!
• 232 чем вы заполняете пространство между необходимым уровнем защищенности и вашими возможностями?
• 231 Не так важно на чьей стороне 1000 вендоров поИБэ ... Важно чтобы пользователи были на твоей!
• 230 Социальная инженерия нужна ИБ'шнику для внедрения системы защиты не меньше чем хакеру для ее обхода!
• 229 Если ты научился не ошибаться в тяжелые времена это не означает что ты научился не ошибаться, когда ты на коне!
• 228 Стоимость потери зашифрованной флешки равна стоимости только самой флешки!
• 227 Чаще всего, человек стремится защитить от других сотрудников компании именно ту информацию, которую сам не прочь стащить!
• 226 Если ты начинаешь разочаровываться используемых СрЗИ - не пугайся, ты на правильном пути!
• 225 Перед ИБ'шником всегда стоит вопрос - быть незаменимым или быть невидимым.
• 224 Иногда, чтобы сократить время на выбор средства защиты, достаточно подбросить монетку.
• 223 Не нужно браться за решение проблемы, когда стоит задача - решать вопрос!
• 222 Немонетизированная утечка - бесполезная утечка!
• 221 В результате учений по ИБ произошел крах системы. Парадокс! Результат учений является и положительным, и отрицательным одновременно!
• 220 Невскрываемым может считаться только такой шифр, для которого нет критериев оценки правильности расшифрованного сообщения.
• 219 Одна из важнейших функций CISO - управление доверием!
• 218 Риск пересматривается периодически, Ресурс изменяется постоянно!
• 217 Корректировка системы ИБ Ресурсом сильнее корректировки её Риском!
• 216 Парадокс. Доверие является и результатом, и причиной нарушения политики ИБ.
• 215 При увольнении топ-менеджеры уносят бизнес, менеджеры среднего звена - бизнес-процессы, а информацию уносят ВСЕ!
• 214 Всякий мошенник требует, чтобы с ним обращались строго по закону и с соблюдением этических норм.
• 213 Если тест можно пройти на 100%, то это плохой тест...
• 212 Услуги по знакомству - самые дорогие...
• 211 Людям свойственно скрывать свои истинные намерения...
• 210 На переговорах добивайся только таких договоренностей, при нарушении которых ни одна из сторон не получит непоправимое преимущество...
• 209 Научись бояться. Уметь правильно бояться - одно из важнейших качеств ИБ’шника.
• 208 При рассмотрении крайних форм взаимодействия помни, что порядочность - тоже крайняя форма.
• 207 Проверь, какие пароли помнит сисадмин и смени те, которые он вспомнил!
• 206 Роль информационной безопасности компании именно такая как её воспринимает бизнес!
• 205 Высокая дезинтеграция информационных систем - большая проблема как для ИБ, так и для хакеров.
• 204 Демонстрация договороспособности на порядок ценнее демонстрации правоты!
• 203 Гонка с хакерами комплексно, с учётом расширения инфосферы, отражается в тенденции удорожания средств взлома и удешевления средств защиты...
• 202 Однажды тебе станет грустно из-за отсутствия в ИТ-инфраструктуре устойчивой Системы Единого Времени.
• 201 Зрелое ИБ - это участие в формировании безопасных процессов по всем направлениям, имеющим отношение к инфосфере бизнеса.
• 200 Любое коробочное решение со временем становится ландшафтным...
• 199 ИБ’шник в компании нужен не для того чтобы ограничивать бизнес, а для того чтобы бизнес развивался безопасно.
• 198 Комплексная цель CISO - составить из букв «А» «П» «О» «Ж» слово «С Ч А С Т Ь Е»
• 197 Самый близкий к ИБ вид спорта - кёрлинг! Или тетрис?
• 196 Цель управления рисками не понижение рисков, а уточнение возможного в процессах принятия решений.
• 195 Мне ваша формула эффективности ИБ не интересна, вы мне покажите где тут корректирующий коэффициент!
• 194 Никогда еще показатели ROI, ТСО, ROSI, AS, ALE не побеждали показатель NAH-UA!
• 193 Информационная безопасность - наука, изучающая процесс применения рациональных технологий ради достижения иррациональных целей.
• 192 Если у метода обеспечения информационной безопасности есть общепризнанное название, он скорее всего уже неэффективен.
• 191 Обнаружить потерю доступа к системе, провести расследование и обнаружить, что сам случайно изменил себе права - бесценный опыт ИБ'шника!
• 190 Не обязательно быть целью, чтобы стать жертвой!
• 189 Чаще всего проблема решается не в той плоскости, где она проявляется
• 188 Не так важен EVENT, как его «монетизация»!
• 187 Некоторые системы позволяют компенсировать коммуникации, но ни одна система не способна их заменить
• 186 Один недоученный сисадмин может за ночь сделать для вашей компании больше чем Microsoft, CISCO, INTEL и IBM за десятилетие вместе взятые!
• 185 Неконтролируемые действия по понижению или повышению защищенности могут привести к лавинообразной цепной реакции и краху СЗИ...
• 184 На аудите постарайся докопаться до такого уровня абстракции, который позволит предлагать решения на уровне архитектуры.
• 183 Одна из целей твоей деятельности - понижение цены ошибок!
• 182 Если пользователи не соблюдают правила ИБ, то они не идиоты... Они просто не мотивированы соблюдать правила ИБ!
• 181 Никогда не применяй шифрование как компенсацию недостатков системы защиты информации!
• 180 Кризис есть ни что иное как потеря воли!
• 179 Остерегайся хакеров, особенно непьющих и еще больше остерегайся ИБ'шников увлеченных персональными данными, особенно пьющих...
• 178 Старайся приводить ущерб от угроз к потере невосполнимых ресурсов. Например, времени...
• 177 Обеспечил правильный состав рабочей группы - сэкономил миллион!
• 176 Запомни, архитектурные решения всегда эффективнее!
• 175 Термин «коллективная безопасность» подразумевает не только защиту периметра!
• 174 Неадекватная оценка угрозы - это тоже угроза!
• 173 Ты должен быть информирован настолько, чтобы твои решения были очевидными.
• 172 Иногда лучшая победа - это ничья!
• 171 Первое шифрование как правило заканчивается потерей информации.
• 170 ИБ'шник как диетолог: если не контролировать вход, то нечего жаловаться на выход!
• 169 Принцип: при наличии взаимодействующих систем, о безопасности команд управления должна заботиться принимающая сторона.
• 168 Одна из характеристик незрелого рынка - отсутствие репутационных рисков!
• 167 Если кто-то утверждает, что в его профессии нет этики, я в ответ утверждаю, что нет такой профессии!
• 166 ИБ'шник должен: -Знать, 2-Контролировать, З-Защищать, 4-Влиять.
• 165 Откат - это не только вознаграждение за выбор поставщика услуг, но и компенсация за низкое качество предоставленных услуг!
• 164 Чем полнее и достовернее информация по вопросу, тем очевиднее ответ.
• 163 Воистину, восхищение незнанием и восхищение знанием - суть отличия мнимого и истинного счастья!
• 162 Сотрудник с темным прошлым обладает только одним преимуществом - темным прошлым!
• 161 Не всякая уязвимость компонента системы ведет к уязвимости самой системы!
• 160 Давать доступ можно только тому, у кого ты сможешь его забрать!
• 159 Негоже Заказчику выглядеть компетентнее Интегратора.
• 158 Потребителя не интересует, какое количество сертификаций прошло сплошь уязвимое приложение.
• 157 Часто DLP нужна не для того, чтобы обвинить, а для того, чтобы снять подозрения!
• 156 Руководство не хочет принимать меры по защите той информации, для монетизации которой отсутствует очевидная «дорожная карта».
• 155 Докладывать об инциденте или найденной уязвимости следует только тому, кто сможет правильно среагировать на эту информацию.
• 154 Внедрение технических средств защиты не должно опережать развитие Культуры информационной безопасности.
• 153 Сотрудник службы безопасности! Ставь DLP - береги печень!
• 152 Недооценка рисков ведет к принятию рисков. Переоценка рисков ведет к порождению новых рисков.
• 151 Безопасность самой защищенной системы ничтожна, если вы используете тот же пароль в незащищенной системе.
• 150 Тебя учили обеспечивать конфиденциальность информации, а придется обеспечивать устойчивость информационных систем.
• 149 Несложно влить информацию в ИС, когда она собирается. Сложно её не расплескать, когда ИС разбирается!
• 148 Если аудитор начал с инвентаризации - у него есть бизнес. Если с оценки рисков - у него есть время.
• 147 Иногда кофе-машина, установленная в отдел IT, делает для ИБ больше чем антивирус, установленный в сети.
• 146 При попытке взлома криптосистемы, взломом криптоалгоритма занимаются последнюю очередь!
• 145 ИБ'шники как шахтеры. И те, и другие знают, что горизонтальные каналы (штольни) куда опаснее вертикальных каналов (шахты).
• 144 Защищенный канал и контролируемый канал это две большие разницы!
• 143 кого не хватает сил противостоять, тот не высовывается и смешивается с толпой...
• 142 Программный код всегда имеет меньшее влияние на обработку данных чем среда его функционирования.
• 141 Запомни, система с четким периметром всегда защищённее системы с размытым периметром...
• 140 Подумай, сколько ты сделал для компании, партнеров, страны! Теперь подели на 1000 и иди работать!
• 139 Зрелая ИБ возможна только если лежит на «плече» рычага, качающего деньги...
• 138 Широта и активность применения пользовательских СрЗИ пропорционально юзабилити интерфейсов данного СрЗИ.
• 137 Безопасная разработка приложений - это когда бюджет проплачен без учета результатов... Ничего более!
• 136 Стоит насторожиться, если вероятный партнер упорно не использует для переписки корпоративную почту.
• 135 Говорите по телефону без «жучка» так же как по телефону с жучком!
• 134 Для всякого субъекта существует свой уровень угрозы, после которого он пытается действовать рационально...
• 133 Если перед тобой стоит выбор, использовать простое или более сложное средство защиты, выбирай простое.
• 132 Самый ценный хакер не тот, кто лучше ломает системы, а тот, кто может сдать больше друзей-хакеров...
• 131 Используй не слабости, а силу партнеров!
• 130 Во всем ищи человека.
• 129 Используй встроенные механизмы защиты, а средства контроля защищенности внешние.
• 128 Недостаточность правовых мер защиты информации не может быть компенсирована техническими мерами
• 127 Постигая искусство ИБ, уделяй 50% времени совершенствованию методов и средств защиты и 50% совершенствованию себя!
• 126 Чем точнее описана уязвимость или угроза безопасности, тем легче сформировать для нее контрмеры.
• 125 При необходимости используй два SAST разных производителей. Один из них обязательно должен интегрироваться в среду разработки.
• 124 Разработай для персонала правила безопасного использования информации и активов.
• 123 Если ты не перевариваешь ложь, высказанную тебе в спину, то как ты переваришь правду, высказанную тебе в лицо?
• 122 Чаще всего мы ошибаемся в людях...
• 121 Учи английский язык. Большинство отраслевых новшеств появляется на английском языке...
• 120 Две совершенные системы защиты, установленные в одну информационную\ систему, блокируют друг друга.
• 119 Система защиты, состоящая из абсолютно надежных элементов, может оказаться абсолютно ненадежной в целом.
• 118 На переговорах с заказчиками - принято увеличивать цену контракта на 15% из которых потом: 5%-подарить менеджеру, 10%-генеральному директору.
• 117 Вредоносный код — это любой код, который попал в базу Касперского
• 116 Сдается мне, что если встретятся два великих ИБ`шника, то им будет что вспомнить, но совершенно не о чем поговорить...
• 115 Считаете себя зрелым человеком на основании того, что не позволяете себе совершить глупую выходку?! Трепещите несчастные, ибо ОН может
• 114 Чем отличается управляющий от кризисного управляющего? Управляющий - управляет, кризисный сначала доводит до кризиса - потом управляет!
• 113 Если вендор утверждает, что через месяц у него будет новый продукт «А», то это означает одно - у вендора нет продукта «А»!
• 112 Если информационная безопасность не начинается с инвентаризации - она не начинается!
• 111 Развитие ИБ приводит к специализации...
• 110 Единственный способ бороться с Алексеем Лукацким - устраивать совещания и конференции в одно время, но в разных местах!
• 109 У любого продукта есть жизненный цикл... Некоторые технологии не приживаются потому что не их время.
• 108 Есть такой порог, за которым специалист начинает верить своей интуиции и предположениям, переставая их самокритично проверять...
• 107 А Политика ИБ вашей компании предусматривает ежегодную тренировку паники?
• 106 Инсайдер! Требуй у руководства компании внедрения DLP! В случае чего тебя посадят, а не закопают!
• 105 Иногда, чтобы продать новый продукт, производители искусственно принижают эффективность других своих продуктов.
• 104 Управление информационными потоками важнее управления информацией!
• 103 Необнаруженная утечка с нулевым ущербом обходится для компании дешевле обнаруженной утечки с нулевым ущербом..
• 102 В момент, когда Аудитор кроме описания уязвимостей начинает давать рекомендации по их устранению, он становится немного Интегратором.
• 101 Поддельные антивирусы работают на слепом доверии пользователей к антивирусам! Неподдельные тоже.
• 100 Сколько же нас погибло в этой войне добра со справедливостью...
• 099 Безопасность системы определяется не числом пользователей и точек входа, а полнотой и корректностью функций защиты.
• 098 Немедленно выполняй мелкие задачи!
• 097 Разработчик стремится сделать продукт для широкого круга пользователей. Тебе всегда придется адаптировать средства защиты под себя.
• 096 В какой-то момент ты поймешь, что ведение двусторонних переговоров - это роскошь!
• 095 Сотня уязвимостей конкретного продукта может быть бесполезна для злоумышленника в системе в которой они компенсированы или не критичны.
• 094 «Играя в шахматы», будь готов играть не только за противоположную сторону, но и за обе стороны одновременно и на нескольких столах...
• 093 Отраслевые правила приличия требуют, чтобы предъявление требований к ИБ сопровождалось четким их обоснованием...
• 092 Отсутствие сигнализации об инциденте сводит на нет эффективность применения системы защиты информации.
• 091 Это у дилетанта СЗИ всегда в порядке У профессионала всегда: «тут нужно доделать, там нужно поправить».
• 090 Избегай авторитарного мышления, используй авторитарное мышление других...
• 089 Если антивирус сообщает, что система проверена на 90%, то вероятность наличия вируса в оставшихся 10% и в уже проверенных 90% одинакова!
• 088 Система, проверенная антивирусом на 99% должна считаться не проверенной антивирусом!
• 087 Сначала ты ограничиваешь условия выбора средств защиты, затем средства защиты ограничивают тебе условия обработки и защиты информации...
• 086 Обоснование необходимости использования СрЗИ является неполным без соотношения его возможностей к актуальным угрозам...
• 085 При разработке документов не используй неустоявшиеся термины, не выдумывай новые.
• 084 Ценность средств защиты заключается в их использовании, а не во владении ими.
• 083 Любую проблему рассматривай с крайних точек зрения. Например, «самый удачный» и «самый неудачный» вариант развития событий.
• 082 Не выноси на аутсорсинг ключевые процессы - целей будешь. Вообще с работы ничего не выноси!
• 081 Если бюджета не хватает на приобретение нужного тебе средства защиты, сделай так, чтобы оно стало необходимым кому-то ещё.
• 080 Не в том искусство, чтобы быстро войти в проект. Искусство в том, чтобы правильно и вовремя из проекта выйти!
• 079 Ключевым элементом информационной безопасности является Доверие.
• 078 Учитывай планы развития компании Средства защиты не должны ограничивать развитие!
• 077 Веди историю важных событий ИТ/ИБ, происходящих в компании. Пригодится.
• 076 «Быстро/Качественно/Дешево». Выбери только два свойства. Еще лучше, сфокусируйся на одном главном для достижения цели.
• 075 Защищая систему, мысленно ставь себя на место нарушителя, но помни - нарушитель делает тоже самое.
• 074 Выполнимая инструкция лучше, чем невыполнимая политика!
• 073 ITSM, BCM, SAST, DAST, ASA, PM, CISO, PCI DSS, RFID, BDSM, RTFM, ISO, CRC. Изучай непонятные аббревиатуры.
• 072 Связи, связи, связи! Расширяй и укрепляй свой круг общения.
• 071 Команда обычно сильнее одиночки. Однако, не забывай, что «сила» и «эффективность» - это разные понятия!
• 070 Если ты в чем-то абсолютно уверен, остановись и осмотрись - скорее всего, ты что-то упускаешь из виду.
• 069 Делись опытом с коллегами. Удачный опыт вернется к тебе сторицей, а неудачный будет легче понять... и простить...
• 068 Тебе, возможно, удастся избежать «войны». Но избежать предательства - никогда!
• 067 Когда ты привлекаешь пользователя к борьбе с угрозами, убедись, что он не увлекся еще и борьбой с введенными тобой ограничениями.
• 066 Пришел к директору с бюджетом - Мол, помоги купить SIEM! А он мне тихо отвечает: - Зачем?
• 065 Очень серьезно прорабатывай текст для публикации вакансий. Помни, что характер нанимаемого сотрудника ценнее многих компетенций!
• 064 Любое средство, позволяющее собирать сведения о состоянии системы, бесполезно при отсутствии методологии определения критических состояний системы.
• 063 Не злоупотребляй конфиденциальностью! Избыточная конфиденциальность наносит больше вреда, чем пользы.
• 062 При выборе средств защиты выбирай не лучшее на сей момент, а то, которое долго держится среди лучших и будет стабильно развиваться!
• 061 Уязвимости всегда конкретны по отношению к средствам, а угрозы всегда относительны по отношению к целевой системе.
• 060 Отрасль информационной безопасности следует за деньгами!
• 059 Активная работа безопасников на объекте больше путает сотрудников объекта, чем хакеров и инсайдеров.
• 058 Информационная безопасность в компании должна быть как нижнее бельё - не видно, удобно, и выполняет важную функцию!
• 057 Изучай смежные области знаний!
• 056 Не утони в работе! Помни, ты человек - с присущими людям недостатками и проблемами.
• 055 Самые дорогие средства защиты делают специально для тех, кто покупает самые дорогие средства защиты!
• 054 Люди обладают непреодолимой потребностью делиться информацией!
• 053 Хорошая информационная безопасность работает прежде всего с людьми!
• 052 Формируй в коллективе ПРАВО НА ОШИБКУ! Это позволит тебе самому им воспользоваться в нужный момент.
• 051 Разрабатывая анализатор помни, что отчеты, которые он формирует, должны восприниматься легче, чем исходные данные, которые он анализирует!
• 050 Старайся внедрять свои решения и средства защиты раньше других. При возникновении конфликтов «всех собак» вешают на крайнего.
• 049 Проработай перечень направлений своей деятельности и ответственность. Дружи, прежде всего, с юристом, а уже потом - с ИТ'шником.
• 048 Разработчик функциональной системы никогда не будет встраивать в неё функции защиты без принуждения!
• 047 Начинающему ИБ'шнику полезно первые два-три года поработать под руководителем ИТ-направления!
• 046 Жалуешься, что тебе тяжело обслуживать неработающие средства защиты? Поверь, куда тяжелее тебе придется обслуживать работающие средства защиты.
• 045 Серьезные закладки, чаще всего находят не применением дорогих сканеров, а умной головой и «палкой-ковырялкой»!
• 044 Основной пищей для бизнеса являются деньги. Голодному бизнесу информационная безопасность не нужна.
• 043 Уязвимости бывают трех типов 1) еще не выявленные, 2) уже выявленные и... еще бывают бесполезные.
• 042 Проработай с функциональными подразделениями компании план реакции на неблагоприятные ситуации.
• 041 Не спеши внедрять только что появившееся на рынке средства защиты. Ты же не хочешь работать еще и их бесплатным тестером?
• 040 На рынке ИБ хорошо продаются не лучшие, а наиболее дорогие средства защиты.
• 039 Если вы считаете поведение партнера ошибочным, то вы, вероятнее всего, просто неверно понимаете его цели!
• 038 Стоит раз и навсегда разобраться, в чем разница между «угрозами», «уязвимостями» и «характеристиками»
• 037 Оценивая модель угроз, удели особое внимание разделу «Предположения безопасности». Дьявол часто прячется в константах!
• 036 Ни при каких условиях не бери на работу хакера!
• 035 Каждые полгода обновляй свое резюме
• 034 Пытаясь разобраться в мотивации человека, не стоит исключать вероятность того, что он просто идиот.
• 033 Никогда не отказывай в консультациях!
• 032 Организационные меры в компании должны быть такими, как будто технических средств защиты нет вовсе!
• 031 Тренируйся в умении обосновать необходимость наличия средств защиты И в равной степени будь готов обосновать их отсутствие.
• 030 Не хвались своей компетенцией в коллективе - всегда найдутся сотрудники, желающие и способные доказать обратное!
• 029 Большинство руководителей компаний охотнее платят за ощущение безопасности, нежели чем за саму безопасность!
• 028 Создавая крепость, не преврати её тюрьму. От проблем не прячутся - их решают!
• 027 Контроль каналов-источников информации не менее важен чем контроль каналов утечки!
• 026 Не концентрируйся только на конфиденциальности! Уделяй внимание достоверности!
• 025 Если ты закупил и установил в систему антивирус, то спать спокойно можно не тебе, а производителю антивируса!
• 024 В любой системе есть избыточные функции. Часть из них вредна или не контролируется, а часть неизвестна даже её разработчику!
• 023 Утверждение: «чем больше в системе разных типов СВТ, тем ниже ее уровень защищенности» - не является истиной!
• 022 Одна из целей информационной безопасности - обеспечить отсутствие у нарушителя возможности нелегально ей воспользоваться!
• 021 Пользователь никогда не получает доступ к информации непосредственно
• 020 К требованиям руководящих документов относись критически... Научись использовать их в интересах компании и про свои интересы не забывай...
• 019 Сформируй границы личного и корпоративного пространства для пользователей в ИТ-инфраструктуре компании!
• 018 Сформируй карту субъективных рисков!
• 017 При выборе средств защиты узнай все ограничения и условия их применения. Не доверяй рекламе производителей - расспроси коллег!
• 016 На совещаниях никогда не выступай первым. Чем ниже ты в списке, тем лучше!
• 015 При наличии конфликтов требований и задач - выполняйте те, которые ближе на пути к окончательной цели!
• 014 Используй простые методы. Банальное архивирование спасает от большинства возможных проблем!
• 013 Твое законное или незаконное отсутствие на рабочем месте не должно влиять на уровень защищенности!
• 012 Если у тебя нет времени на обед или на семью, или на пообщаться с друзьями, значит ты неправильно построил свою работу!
• 011 В 50% случаев попытки улучшить СЗИ приводят к ее ухудшению. В остальных 50% к ее краху!
• 010 Уделяй внимание документированию своих действий и выполняемых работ.
• 009 Помни, руководству не нравится увеличение бюджета на информационную безопасность. Уменьшение бюджета вызывает еще больше вопросов!
• 008 Будь дипломатом, но помни, недоброжелатели у тебя все равно появятся.
• 007 Будь информирован! Постарайся быть в курсе всех событий и проектов в компании.
• 006 Займись классификацией и оценкой активов! Постоянно уточняй их состояние.
• 005 Иногда технические средства защиты могут оказаться не только бесполезными, но и нанести вред!
• 004 Большинство вопросов можно решить организационными мерами. Люди - главный актив!
• 003 Разберись и всегда помни, в чьих интересах осуществляется твоя деятельность.
• 002 Не спеши немедленно что-то предпринимать! Оцени: возможно, твое бездействие принесет больше пользы, чем немедленная реакция!
• 001    Не суетись! Твоя суета никому не принесет уверенности и делу не поможет.