Z racji, ze panele dyskusyjne i debaty sa ostatnio w modzie (i dobrze,
moze uda sie wypracowac jakies jednolite stanowisko) to postanowilismy
przy okazji zblizajacego sie CONFidence 2011, czyli 24 maja,
zorganizowac panel dyskusyjny na temat zglaszania i obslugi incydentow
w naszym kraju.
Szczegoly wydarzenia:
http://2011.confidence.org.pl/discussion-panel

Panel, jako jedyny slot, bedzie prowadzony w jezyku polskim.
Dlaczego taki temat? Wydaje mi sie, ze sprawa jest dosc oczywista. Za
duzo ostatnio przebierania nogami u adminow i sieciowcow, kotrzy
przeczytali na blipie, ze jest luka w ich sieci.
W panelu wezmie udzial dzial bezpieczenstwa TP SA, przedstawiciele
Allegro, sektora finansowego, mediow branzowych, niezalezni
specjalisci. Swoje zainteresowanie panelem wyrazili rowniez koledzy z
Cert.
Podczas panelu nie chcemy poruszac szczegolowo aspektow prawnych, choc
w kuluarach zapraszamy do dyskusji, ale chcemy sie skupic na sposobie
obslugi i zgloszenia incydentu.

Jesli macie jakies uwagi do panelu, uwazacie, ze nie ma on sensu bo
nasza infrastruktura jest tak wspaniala, ze nawet mucha nie siada to
zapraszam do dyskusji.

Pozdrawiam
--
Andrzej Targosz

do góry

Art from [ a...@g...com ] ...

: Jesli macie jakies uwagi do panelu, uwazacie, ze nie ma on sensu bo
: nasza infrastruktura jest tak wspaniala, ze nawet mucha nie siada to
: zapraszam do dyskusji.

proponuję zaprosić też Piotrka Koniecznego + kogoś z DI, niech
przedstawią swoje stanowisko, bo z własnego doświadczenia wiem, że o ile
kontaktują się z dostawcą, o tyle robią to tylko po to żeby zebrać dane
do wywiadu, a nie poddawać się responsible disclosure i nie reagują na
prośby o czas na przygotowanie się kryzysowego.

w moim przypadku rozmowa sprowadzała się do:
- halo, macie dziurę.
- dowiadujemy się od was, możecie powiedzieć co wiecie?
- ktoś nam coś tam przesłał.
- ok badamy sprawę, przygotowujemy oświadczenie. możecie poczekać?
- no way, konkurencja zaraz puści news, musimy być pierwsi.

--
sysadmin { kondi: schedule => 5pm, ensure => at_pub }

do góry

On May 5, 12:49 am, konrad rzentarzewski <k...@r...net>
wrote:
> w moim przypadku rozmowa sprowadzała się do:
> - halo, macie dziurę.
> - dowiadujemy się od was, możecie powiedzieć co wiecie?
> - ktoś nam coś tam przesłał.

Gwoli ścisłości, to nasz kontakt Konradzie nie dotyczył informacji o
dziurze, a o dumpie Waszej bazy latającej po sieci i kanałach IRC.
Wszystkie dane, którymi dysponowaliśmy (czyli link do bazy na RS)
zostały Wam niezwłocznie przekazane.

> - ok badamy sprawę, przygotowujemy oświadczenie. możecie poczekać?
> - no way, konkurencja zaraz puści news, musimy być pierwsi.

Mijasz się z prawdą, nie byliśmy pierwsi i zgodziliśmy się poczekać.
Uzyskałeś standardową na rynku prasy odpowiedź, że tak, poczekamy, ale
do momentu, w którym ta informacja nie ukaże się na innym serwisie
informacyjnym. Dopiero *po* zauważeniu newsa w innym "dużym" miejscu,
w naszej korespondencji pojawił się taki e-mail o treści "Huh, widze,
ze DI juz opublikowal informacje, wiec za chwile i my pójdziemy."

Co do meritum, o trudnościach w kontaktach z bezpiecznikami w
niektórych firmach (na szczęście nie wszędzie tak jest) i celowo
opóźnianych oświadczeniach oraz pełnych wzruszeń rozmowach z
rzecznikami prasowymi z chęcią powiem 2 słowa. Żeby panel był bardziej
barwny, proponuję też kogoś z PR (nominuję koleżankę Konrada, p.
Malwinę, która zdaje się do perfekcji opanowała techniki nacisku na
"media" i straszenie sądem ;-)

/p.

do góry

Art from [ k...@g...com ] ...

: Co do meritum, o trudnościach w kontaktach z bezpiecznikami w
: niektórych firmach (na szczęście nie wszędzie tak jest) i celowo
: opóźnianych oświadczeniach oraz pełnych wzruszeń rozmowach z
: rzecznikami prasowymi z chęcią powiem 2 słowa.

ztcp obiecales tez wtedy (czy przy innej okazji kiedy ktos szukal
kontaktow do portalu na blipie), ze edukujesz swoich czytelnikow i
napiszesz jak pobierac dane kontaktowe do potrali z baz RIPE. jakos mi
umknal ten artykul - sluzysz linkiem?

: Żeby panel był bardziej
: barwny, proponuję też kogoś z PR (nominuję koleżankę Konrada, p.
: Malwinę, która zdaje się do perfekcji opanowała techniki nacisku na
: "media" i straszenie sądem ;-)

przekaze kolezance, ale obawiam sie ze godzina przy takim skladzie to
moze byc duzo duzo za malo :)

--
sysadmin { kondi: schedule => 5pm, ensure => at_pub }

do góry

Oj widze, ze panel jest rzeczywiscie potrzebny:) Zreszta takie bylo
zalozenie, aby poprosic rowniez Piotrka jako przedstawiciela mediow.
Podsumowujac djacie sie obaj zaprosic do opisania case study;-)
Piotrek, z tego co rozmawialem z nim wczescniej, na konferencji
bedzie.

On 5 Maj, 10:41, konrad rzentarzewski <k...@r...net>
wrote:
> Art from [ k...@g...com ] ...
>
> : Co do meritum, o trudnościach w kontaktach z bezpiecznikami w
> : niektórych firmach (na szczęście nie wszędzie tak jest) i celowo
> : opóźnianych oświadczeniach oraz pełnych wzruszeń rozmowach z
> : rzecznikami prasowymi z chęcią powiem 2 słowa.
>
> ztcp obiecales tez wtedy (czy przy innej okazji kiedy ktos szukal
> kontaktow do portalu na blipie), ze edukujesz swoich czytelnikow i
> napiszesz jak pobierac dane kontaktowe do potrali z baz RIPE. jakos mi
> umknal ten artykul - sluzysz linkiem?
>
> : Żeby panel był bardziej
> : barwny, proponuję też kogoś z PR (nominuję koleżankę Konrada, p.
> : Malwinę, która zdaje się do perfekcji opanowała techniki nacisku na
> : "media" i straszenie sądem ;-)
>
> przekaze kolezance, ale obawiam sie ze godzina przy takim skladzie to
> moze byc duzo duzo za malo :)
>
> --
>  sysadmin { kondi: schedule => 5pm, ensure => at_pub }

do góry