VPN-risikoverslag geïgnoreer? Skryf die besluit, nie die telling nie

’n Risikonota wat met ’n ernsranglys eindig, gee ’n bestuurder ’n uitspraak en geen optrede nie. Dit is hoekom so baie van hulle met “dankie, genoteer” en niks anders terugkom. Die notas wat goedgekeur word, deel ’n vorm: een eng, kontroleerbare bewering, twee genoemde opsies met ’n prys, en een persoon wat teen ’n datum moet antwoord. Alles hieronder gaan oor die skep van daardie vorm sonder om te oordryf wat jy weet.

Die telling antwoord ’n vraag wat niemand gevra het

Rekeningkunde met waarskynlikheid maal impak lewer ’n getal wat bevindings teen mekaar rangskik. Dit sê nie vir ’n direkteur wat om te onderteken nie, en dit nooi ’n argument oor die vermenigvuldiger uit in plaas van ’n besluit oor die poort nie. Ek het gesien hoe ’n blootstellingsyfer met twee desimale ’n hele vergadering opsluk terwyl die werklike vraag, of ’n opgradering hierdie kwartaal befonds moet word, ongevra bly.

Daar is net ’n paar werklike besluite in hierdie ruimte. Befonds die opgradering, aanvaar ’n begrensde blootstelling tot ’n genoemde datum, of verklein wie die diens kan bereik. Elkeen het ’n ander eienaar en ’n ander koste, en nie een daarvan is “verminder risiko met 40 persent” nie.

Ernsopblasing maak die probleem erger. Wanneer elke bevinding kritiek is, hou die rangorde op om te onderskei en val die leser terug op die enigste sein wat oorbly, naamlik wie die hardste gekla het. ’n Nota wat sê die weergawe is buite ondersteuning, dat dit die tweede kwartaal is dat dit buite ondersteuning is, en dat ’n spesifieke groep personeel daarvan afhanklik is, is veel meer uitvoerbaar as ’n rooi kenteken.

Vaagheid is die ander faling. “Die VPN is onveilig” kan nie opgelos word nie, want dit sê nie watter ontplooiing, watter weergawe, of wie wat kan bereik nie. ’n Sin wat ’n leser kan kontroleer, is die kleinste eenheid van ’n nuttige verslag.

Verklein die bewering tot iemand dit kan kontroleer

Veranker die bewering aan ’n gepubliseerde grens eerder as aan ’n mening. Buite die verskaffer se ondersteuning, ’n vereiste stawingsstap wat ontbreek, of bereikbaar vanaf ’n netwerksegment wat dit nie behoort te sien nie, is almal bewerings met ’n toets agter hulle. Vir die eerste is die toets drie opdragte op die poort self:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Die weergawe-reël en die pakketnavraag stem gewoonlik ooreen, en wanneer hulle nie doen nie, het jy ’n tweede probleem gevind wat afsonderlik gerapporteer moet word. Die sertifikaat se einddatum is die veld wat mense vergeet om na te gaan totdat kliënte nie meer kan verbind nie, en dit hoort in dieselfde bewysook as die weergawe-string.

Teken aan waar elke uitset vandaan kom en wanneer dit geneem is. ’n Nota wat sê “poort gw1, Dinsdag ingesamel” kan deur ’n skeptikus herhaal word; ’n skermfoto wat tot die interessante reël gesny is, kan nie. Verwyder sleutels, private adresse en rekeningname voordat die lêer jou masjien verlaat.

Skryf die nota as ’n keuse tussen genoemde opsies

’n Besluitnota is kort omdat dit een taak verrig. Dit is die vorm wat ek gebruik, ingevul vir ’n denkbeeldige middelgrootte organisasie wie se weergawe vir afstandtoegang buite ondersteuning geraak het:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Elke reël verdien sy plek. Die versoek is een sin en bevat ’n datum. Die bewering is kontroleerbaar. Opsie B bestaan sodat Opsie A ’n keuse eerder as ’n formaliteit is, en dit noem die herinstallasie van die kliënt omdat dit die koste is wat mense onderskat. Die koste van wag beskryf ’n gevolg, nie ’n waarskynlikheid nie.

Wat die nota nie moet doen nie, is om ’n gevolgtrekking in te smokkel wat jy nie kan staaf nie. As geen inbreuk gedemonstreer is nie, sê dit in een reël, want ’n leser wat later ’n oordrywing ontdek, sal jou volgende drie notas ook afskryf.

Wat die aanvaarding van die risiko moet bevat

Aanvaarding is nie die afwesigheid van ’n besluit nie, en dit is nie stilte nie. As die antwoord is om ’n ruk lank met die blootstelling te leef, het die nota drie byvoegings nodig: ’n einddatum, ’n moniteringstap wat iemand werklik uitvoer, en ’n genoemde persoon wat die vraag heropen wanneer die datum aanbreek.

’n Tussentydse beheer het dieselfde behandeling nodig. Om die diens tot ’n kleiner groep te beperk, verminder blootstelling net as die beperking êrens afgedwing word en iemand die lys byhou. ’n Blok wat stilweg ’n nagtelike bondelwerk stop, is nie ’n beheer nie, dit is ’n onderbreking met beter papierwerk.

Hou die eienaar van die verandering en die eienaar van die besluit apart wanneer hulle verskillende mense is. Die platformspan voer uit; die direkteur aanvaar. Om albei name in die nota te skryf, verwyder die algemeenste oponthoud, naamlik ’n goed voorbereide plan wat wag vir iemand wat dit nooit gesien het nie.

Verifieer die nota teen die ontplooiing voordat jy dit stuur

Bewerings verouder sleg in organisasies met meer as een poort. ’n Bevinding wat uit ’n forumdraad oor ’n ander weergawe gekopieer is, of van ’n gasheer wat verlede maand herbou is, sal in die vergadering betwis word en die res van die nota gaan daarmee saam. Herhaal die bewyse op elke gasheer wat die nota noem:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

As die twee gashere van mening verskil, gaan die nota nou oor ’n gemengde vloot, wat ’n ander en gewoonlik meer oortuigende bevinding is. As die diens onaktief is op ’n gasheer waarvan jy gedink het dit bedien verkeer, stop en korrigeer die inventaris voordat die nota enige plek heen gaan.

Heg dan die uitset aan, plaas die besluitdatum in die onderwerplyn, en stuur dit aan die persoon wat ja kan sê eerder as aan die groep wat dit sal bespreek. As die antwoord “nie nou nie” is, vra vir die datum wanneer dit “nou” word en skryf daardie datum in die volgende weergawe van die nota.