Ехал я давеча с заседания программного комитета межотраслевого форума директоров по ИБ и родилась у меня концепция нового мероприятия по ИБ. Идея проста — надо плясать не от спонсоров и даже не от темы ИБ — танцевать надо от потребностей бизнеса, вокруг которых (взяв одну-две за основу) и выстраивать все мероприятие. Допустим стоит перед компанией задача перехода на безбумажный документооборот. Достаточно популярная тема, которая влечет за собой немало вопросов ИБ. Как увязать их вокруг документооборота? И много ли тем вообще наберется? С ходу могу предложить следующий набор докладов, объединенных в высокоуровневые наборы тем:
- Юридическая значимость электронных документов
- Удостоверяющие центры
- Свой или чужой?
- Выбор чужого УЦ
- Построение и аккредитация собственного УЦ
- Взаимодействие между компаниями
- Электронная подпись
- Какую выбрать?
- Как встроить ЭП в систему ЭД?
- Носители ЭП — токены, смарт-карты и т.д.
- Обеспечение конфиденциальности
- Защита от утечек
- Огромный выбор тем про DLP
- Шифрование
- При передаче по каналам связи
- При передаче на носителях
- Легитимность перлюстрации
- Непрерывность функционирования системы ЭД
- Безопасность ЦОД, в котором стоит система ЭД
- Свой ЦОД или чужой?
- Облачный поставщик услуг ЭД
- Много всего про безопасность облаков
- SLA и особенности заключения договора с аутсорсинговым ЦОД
- Защита ЦОД от атак
- Межсетевые экраны
- Обнаружение и предотвращение вторжений
- Отражение DDoS-атак
- Собственная антиDDoS-система или чужая?
- Архвивирование сообщений
- Контентная фильтрация
- Антиспам
- Антивирус
- Анализ защищенности системы ЭД и управление патчами
- Удаленный и мобильный доступ к системе ЭД
- Безопасность мобильных платформ
- Bring your own device (BYOD)
- Контроль удаленного доступа
- Network Admission Control (контроль сетевого доступа)
- Управление мобильными платформами
- Соответствие
- Оценка соответствия защитных средств и мер
- ФСТЭК
- ФСБ
- Отраслевые стандарты
- Аудит
- Как выбрать аудитора?
- Системы контроля конфигураций
- Цена вопроса
- Как выбрать поставщика средств и услуг ИБ
- Обоснование перед руководством
- Пользователи
- Повышение осведомленности
- Тесты на проникновение
- Примеры внедрений
Примерно так (хотя про электронный документооборот я наверное не все темы рассмотрел). И такое дерево тем можно выстроить практически вокруг любой бизнес-задачи, стоящей на повестке дня перед большинством российских организаций. Т.е. темы то по сути теже, что и сейчас рассматриваются на различных конференциях, но тут они объединены единым замыслом и взаимоувязаны друг с другом. А это гораздо более ценно, чем набор пусть и интересных, но разрозненных тем. И пользователю такие мероприятия будут гораздо интереснее, чем нынешние. А следовательно и спонсору понравится целевая аудитория. Да и статус организаторы сразу повысится; особенно у того, кто первый сделает шаг в этом направлении.
А теперь давайте попробуем менять вывески под готовую (типовую) программу.
Не понял
Очень грамотная идея!Важно изменить подход к рассмотрению проблемы (автор правильно расставил акцент), а не "менять вывеску". Если подходить с этой стороны, то многим участникам станет понятней, что необходимо в первую очередь, а что, во вторую.
Все же не зря нашу страну называют "страна советов" — ну все мы знаем, всем советы дадим…
Может стоит вначале поговорить с теми кто все эти конференции организует. Ну, и конечно, не надо других считать дураками, а себя самым умным.
А может быть тем, кто проводит конференции, поговорить с теми, кто участвует в них на протяжении многих лет по всему миру?
Если честно, не очень понял, чем это отличается от уже имеющегося… Открыл первую попавшуюся программу конференции (инфофорум оказался) по документооброту — почти все такие темы есть.
Роман, ну очень неудачный пример 😉 Инфофорум НИКОГДА не имел связанной программы, хоть сколь-нибудь похожей на то, что я описал.
Все правильно, Алексей.
Но проблема не в тематике — проблема в контенте. ИМХО, аренда в Москве недешева (перелеты в другие города не дешевле), отсюда высокие взносы за участие, отсюда малое количество участников и т.д. ВСе, что не приносит прибыли, неинтересно организаторам. Вы готовы лично организовать конференцию?
А на многих конфах платное участие? В большинстве они проводятся за счет спонсоров. И организаторы не готовы с ними спорить. Отсюда и проблема. Была бы тема хорошая — народ бы с удовольствием бы поехал. Больше народа — больше интереса от спонсоров. Следовательно и организаторам интереснее.
Лично я бы не смог организовать конфу. По двум причинам — я не специалист в области именно организации мероприятий и у меня нет исходного капитала на аренду площадки и т.п. Тут нужен именно тот, кто организует евенты.
А от Cisco я бы не смог этого сделать, т.к. у нас портфолио по безопасности не так велико и многие темы мы не закрываем, фокусируясь в нашей зоне компетентности. Да и ни один вендор, пожалуй, такое мероприятие провести не сможет, т.к. у него нет законченного решения той или иной задачи.
Поэтому это удел таких компаний как Инфор-Медиа, Гротек, Рэстек, АИС, Авангард, Event Solution и т.п. Но большинство из них и так спокойно существуют, не сильно заморачиваясь нехваткой заказов, спонсоров и аудитории.
Еще интеграторы могут поднять такую задачу. Например, ICL, проводящий свой IT & Security Forum в Казани.
Коллеги, как вы думаете кто может организовывать и проводить подобные мероприятия. Особенно учитывая их высокоуровневую направленность и противодействие спонсорам. Вероятным кандидатом получаются федеральные органы власти. (интеграторы зависимы от спонсоров, да и уровень не тот).
Алексей, вы описали очень актуальный пример (по организации значимого ЭД) и набор докладов более чем приемлем. Еще очень интересна собственно схема создания и функционирования УЦ и построения ИС ПДн в свете новых веяний.
Проводить подобные мероприятия в идеале должны регуляторы (по УЦ и ЭД — Минкомсвязи, по ИСПДн — ФСБ и ФСТЭК России)
Не совсем понятно какая аудитория будет у такого мероприятия.
Основная тема — внедрение электронного документооборота.
Следовательно соберутся ехать ответственные за внедрение ЭД. И тут им начинают читать типовой доклад по обнаружению вторжений. Поймут ли его специалисты по ЭД и будет ли им интересно?
Ещё момент — докладчики. Будет ли у каждого докладчика переписать свою презентацию под специалистов по ЭД? Скорее всего большинство возмет свои типовые презентации, которые они позавчера читали на другом мероприятии.
И вообще, если Организатор, например Гротек возьмется провести качественное мероприятия, как он проконтролирует что приглашенные докладчики приготовили то что надо?
Получается у Организатора должн быть возможности провести до начала мероприятия экспертизу всех докладов и выступлений.
Сергей, а кто мешает организатору конференции проводить экспертизу докладов? Это, насколько я знаю, их обязанность, тем более, если организаторы хотят провести качественное мероприятие.
На PHD и ZeroNights именно так и поступали.
Ну вообще такое мероприятие очень похоже на целевое обучение, тк его задача внести в умы ясность по вопросу. Разница имхо в том что программа не согласована с ФСТЭК и просто отражает текущую позицию (очевидно регуляторов)с примерами лучших практик и компетентными комментариями сведущих людей.
Интерес то в общем должен быть обоюдным..)
Что именно мешает не могу сказать, так как не проводил мероприятий.
Но неоднократно сталкивался с ситуацией, что у Доклачики передают свои презентации либо в последний момент перед началом мероприятия, лобо вобще приносят на флешке на само мероприятие.
Какая уж тут экспертиза?
Документооборот — это тема ближе всё-таки к ФСБ (ЭП, УЦ и т.п.).
А согласованность с регулятором ничего не гарантирует и не даёт.
"Доклачики передают свои презентации либо в последний момент перед началом мероприятия, лобо вобще приносят на флешке на само мероприятие"
Это проблема планирования таких мероприятий. Если заранее установить приемлемый срок сдачи материалов (тезисы, анкету, презентацию) на экспертизу и требования к этим материалам, то и время на саму экспертизу будет.
Сначала надо рассмотреть взаимоотношения спонсор — и организатор. Я бы например посмотрел на это все с другой стороны:
у нас все эти гротеки, рестеки и др. обладают ну скажем почти никакой компетенцией в этой области, но при этом организуют мероприятия. Да еще и обладают очень хорошей жадностью, ой простите аппетитом. Спонсоры имеют маркетинговый бюджет за который надо отчитываться ( за благотворительность никого по голове не погладят). А думаю Алексей ты не хуже знаешь как надо отчитываться за мероприятия — у все примерно одинаково. Да и с какого рожна кто то будет тратить деньги просто так ?
Получается патовая ситуация — у организаторов творческая импотенция вызванная их некомпетентностью и жадностью, спонсоры ну просто обязаны рассказать про свои решения ( недремлющее око маркетингового департамента ….), клиенты платить за конференцию не собираются как правило ( у нас уже давно всех приучили к этому), к тому же организаторам надо везти груз всяких представителей регуляторов, которых надо кормить, поить ну и т.д.
соответственно — если нужна хорошая тематическая направленность — надо понять кто будет платить ?
А кто платит тот и девушку танцует.
Соответственно начинать надо отсюда, решить этот вопрос, решить вопрос компетенции — скажем у нас очень много экспертов ( ну так они себя считают) не очень понимающих в безопасности — тут у организаторов должен быть козырь — эксперты не принадлежащие вендорам …. ( на западе много разных профессоров используется в таком случае — но там они реально занимаются исследованиями), своя компетенция — тогда появится воля и возможность делать что то более привлекательное .
"Если заранее установить приемлемый срок сдачи материалов (тезисы, анкету, презентацию) на экспертизу и требования к этим материалам, то и время на саму экспертизу будет."
— ну можно подумать такого не было, и что ? Во первых а судьи кто ? А вариант отказа докладчика ( фирмы) вообще от мероприятия в этом случае не рассматривается?
Это просто приведет к тому, что участвовать будут только те, у кого либо есть лишние деньги, либо очень большие маркетинговые бюджеты ( что опять приведет к искажению ситуации).
" а не "менять вывеску". Если подходить с этой стороны, то многим участникам станет понятней, что необходимо в первую очередь, а что, во вторую."
как сейчас помню с чего начинались конференции по персданным ….. Очень хороший пример .
"- ну можно подумать такого не было, и что ? Во первых а судьи кто ? "
Вопрос был не в судьях, а в том, что "докладчики передают свои презентации либо в последний момент перед началом мероприятия, лобо вобще приносят на флешке на само мероприятие"
На PHD и ZeroNights была модерация докладов и судьи были известны. Конференции прошли на другом уровне по сравнению с инфобезами и т.п.
Сергею Борисову: Аудитория как раз безопасники. Просто они будут слушать не доклады, между собой несвязанные, а доклады вокруг одной важной для их предприятия темы. Причем с их точки зрения. Для тех же СЭДовцов темы будут другие. Для ИТшников другие.
Что касается докладчиков, которые читают одну и ту же презу на разных мероприятиях, это проблема. И решать ее должны организаторы, эксперты (обычно хорошо знающие докладчиков) и слушатели, которые в анкетах должны написать, что докладчик такой-то нес ахинею, которую он несет каждый раз 😉
Евгению Шауро: А проводить могут те же компании — надо только захотеть.
mike: Миша, у меня никогда не было проблем с нашим маркетингом. Более того, я их бюджетами и не пользуюсь 😉 И вообще это зависит от отношения маркетинга к вопросу. Я лично никогда продукты Cisco не рекламирую (если это не мероприятие самой Сиско) — могу упомянуть и то вскользь. А для рекламы достаточно в раздатку сунуть макулатуры и баннер свой повесить.
Алексею Краснову
ФСБ имеет прямое отношение к УЦ только в части использования криптосредств (те их участие явно необходимо). Уполномоченным в сфере использования ЭП является Минкомсвязи. Им бы и карты в руки. Благо — специалисты у них есть..
Ну я и говорю — что если уж на Инфофоруме все это есть… Проблемы современных мероприятий по ИБ, что их стало много, но они все как братья близнецы. Приходишь, а там как в песне Макаревича "А наутро все те же за тем же столом.."(С) Поэтому появляющиеся мероприятия новых форматов тут же становятся заметными. Я в главном поддерживаю Алексея — конференция должна приносить слушателю практическую пользу. Но это можно сделать в рамках любого мероприятия, все зависит от усердия организаторов…
Еще маленький "алаверды" Мы конечно все хотим слушать ведущих мировых экспертов и консалтеров. Но приезд одного ведущего эксперта — это + 10 КилоЕвро к мероприятию. Значит опять проблемы финансов, спонсоров и их рекламных выступлений (согласен, все мы этим грешим в той или иной степени, у каждого она своя). Даже проще, когда кто-то сам полностью мероприятие организует (вендор, интегратор или кто еще) Т.е. один доклад про свои "самые лучшие шпингалеты" сделал, а остальное все "на злобу дня".
План конференции мне нравится. А перед его составлением делались расчеты того насколько подготовленная публика придет?
"Миша, у меня никогда не было проблем с нашим маркетингом. Более того, я их бюджетами и не пользуюсь ;-)"
ну тебя приглашают бесплатно. Думаю кичиться этим не стоит. Если мероприятие от циско — то ты читаешь правильные презы. ПО крайней мере я не видел по другому.
Меня тоже иногда приглашают бесплатно — но я не особо участвую в последнее время. А много вообще людей пригласят бесплатно? ответ думаю очевиден.
А вот если за деньги — а подавляющее большинство пригласят за деньги…. то выйдет как всегда.
Миша, я не про бесплатное приглашение. Я про те мероприятия, где мы спонсоры. Я не использую маркетинговые бюджеты — у меня иные источники, которые позволяют мне быть более свободным в распоряжении средствами 😉
Это к с бюджетированием ИБ 😉 Бюджет службы ИБ — только один из полутора десятков источников получения денег на развитие ИБ в компании.
Алексей,
Давай не будем забывать о так называемом цикле жизни любой идеи. Опыт наш говорит об этом.
Например вспомним первые инфорсекьюрити и иже с ними. Любая идея живет 2-3 цикла потом портится. Далее — формат и время доклада. О какой экспертизе можно рассказать за 10 минут, при том что половина народа присутствующего на выступлении откровенно зевает.
Идея хороша, но проработка должна быть на уровне. И явно спонсором таких конференции в первую очередь должны выступать регуляторы а не просто поддерживать 🙂
Как человек, сделавший десяток конференций разного размера для аудиторий ИБ и не только, могу сказать, что главная проблема ИБ-конференций — участники от компаний-заказчиков не могут платить ни за какой контент. Маркетологи могут заплатить, финансисты — могут, даже CIO — могут, а даже самый главный безопа сник самого большого банка будет канючить — 'мне не оплатят'. Маркетинговая или CIO-конференции делается так: берется интересный контент, приглашаются знаковые спикеры -> набирается платная аудитория из заказчиков -> эта аудитория продается спонсорам (причем часто вообще без выступление). Косты покрываются участниками, спонсорские взносы — чистая прибыль. Эта схема абсолютно не работает в ИБ — позиции даже начальников ИБ в бизнесе, а тем более в государстве просто жалки. Остается только схема: придумываем тему -> зовем спонсоров -> бесплатно приглашаем участников, что подразумевает никакой контент, потому что даже мега-участники от спонсоров не способны интересно представит свой продукт. Модерацию спонсорских выступлений могут позволить себе только богатые организаторы, готовые недополучить прибыль из-за стройной структуры контента, такие есть среди вендоров, и таких нет среди профессиональных ивент-агентств.
Как человек, сделавший десяток конференций разного размера для аудиторий ИБ и не только, могу сказать, что главная проблема ИБ-конференций — участники от компаний-заказчиков не могут платить ни за какой контент. Маркетологи могут заплатить, финансисты — могут, даже CIO — могут, а даже самый главный безопа сник самого большого банка будет канючить — 'мне не оплатят'. Маркетинговая или CIO-конференции делается так: берется интересный контент, приглашаются знаковые спикеры -> набирается платная аудитория из заказчиков -> эта аудитория продается спонсорам (причем часто вообще без выступление). Косты покрываются участниками, спонсорские взносы — чистая прибыль. Эта схема абсолютно не работает в ИБ — позиции даже начальников ИБ в бизнесе, а тем более в государстве просто жалки. Остается только схема: придумываем тему -> зовем спонсоров -> бесплатно приглашаем участников, что подразумевает никакой контент, потому что даже мега-участники от спонсоров не способны интересно представит свой продукт. Модерацию спонсорских выступлений могут позволить себе только богатые организаторы, готовые недополучить прибыль из-за стройной структуры контента, такие есть среди вендоров, и таких нет среди профессиональных ивент-агентств.
Руст, а как тогда быть с магнитогорской конфой? Безопасники платят за учачтие
Отраслевые мероприятия под эгидой регулятора (можно еще вспомнить такие же для энергетиков за рубежом и туапсинскую для дочек Связьинвеста) — "обязон", кто не поехал — тот лох + действительно актуальный для отрасли контент, идущий от профессионализма регулятора. Взнос за участие в таких конфах — практически налог, т.е. обсуждению в бухгалтерии не подлежит.
Но там главное не правильный контент (о чем был изначально твой пост), а разговоры в кулуарах и неформальный доступ к регулятору. Если вместо выступлений там, например, показывать старые фильмы (как повод все-таки проснуться и прийти в зал), все равно все будут платить и ехать.
Как-нибудь тебя приглашу на маркетинговую конференцию, куда меня зовут иногда выступать — там люди платят за участие по 25 000 руб за день и при этом стоят в проходах и снимают на телефоны каждое выступление (даже мое!!!). Там люди понимают, что одна идея, услышанная на конфе принесет существенно больше денег, чем взнос.
А у нас в ИБ эксперт на эксперте сидит и ждет, куда его еще бесплатно пригласят 🙂 Проверено не раз: проще одному и тому же человеку продать DLP-систему за 7 000 000 рублей, чем участие в DLP-Russia за 7 000 :).
Хороший подход к построению мероприятия.
А вот на счет разделения тем по специализации (Безопасники, СЭДы, IT) согласен.
Но ситуации бывают разные — у нас, например:
1. Безопасники — занимаются только "экономической безопасностью", т.е. кредитами и т.п.
2. Есть специалист по ИБ — трудно потом что-то от него выспросить. Сам не понял и другим не "донес".
3. Остаются IT — и руководство считает, что если в фразе есть слово "информационная", то это как раз сюда.
Т.е. придется нам 3 мероприятия посещать =)