Справаздача аб рызыках VPN праігнараваная? Напішыце рашэнне, а не адзнаку

Запіска аб рызыках, якая заканчваецца рэйтынгам сур’ёзнасці, дае кіраўніку прысуд і ніякіх дзеянняў. Менавіта таму так шмат з іх вяртаюцца з «дзякуй, заўважыў» і больш ні з чым. Запіскі, якія ўхваляюць, маюць адну форму: адно вузкае сцвярджэнне, якое можна праверыць, два названыя варыянты з коштам і чалавек, які павінен адказаць да пэўнай даты. Усё ніжэй — пра тое, як стварыць гэтую форму, не перабольшваючы тое, што вы ведаеце.

Адзнака адказвае на пытанне, якога ніхто не задаваў

Арыфметыка «імавернасць на ўздзеянне» дае лік, які ўпарадкоўвае вынікі адносна аднаго. Ён не кажа дырэктару, што падпісваць, і запрашае спрэчку пра множнік замест рашэння пра шлюз. Я бачыў, як лічба ўздзеяння з двума знакамі пасля коскі паглынула ўсю нараду, тады як сапраўднае пытанне — ці фінансаваць абнаўленне ў гэтым квартале — так і не прагучала.

У гэтай сферы ёсць толькі некалькі сапраўдных рашэнняў. Фінансаваць абнаўленне, прыняць абмежаванае ўздзеянне да пэўнай даты або паменшыць кола тых, хто можа дабрацца да сэрвісу. Кожнае мае свайго ўладальніка і свой кошт, і ні адно з іх не «знізіць рызыку на 40 працэнтаў».

Раздзіманне сур’ёзнасці робіць праблему горш. Калі кожная знаходка крытычная, рэйтынг перастае адрозніваць, і чытач вяртаецца да адзінага сігналу, які застаўся, — да таго, хто скардзіўся гучней за ўсіх. Запіска, у якой сказана, што выпуск без падтрымкі, што гэта ўжо другі квартал без падтрымкі і што ад яго залежыць пэўная група супрацоўнікаў, куды больш дзейсная, чым чырвоны значок.

Няпэўнасць — гэта іншая няўдача. «VPN небяспечны» немагчыма вырашыць, бо не сказана, якое разгортванне, якая версія і хто да чаго можа дабрацца. Сказ, які чытач можа праверыць, — мінімальная адзінка карыснай справаздачы.

Паменшыце сцвярджэнне, пакуль хтосьці не зможа яго праверыць

Прывяжыце сцвярджэнне да апублікаванай мяжы, а не да думкі. Без падтрымкі пастаўшчыка, без абавязковага кроку аўтэнтыфікацыі або дасягальнасць з сегмента сеткі, які не павінен яго бачыць, — усе гэта сцвярджэнні, за якімі стаіць тэст. Для першага тэст — гэта тры каманды на самім шлюзе:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Радок версіі і запыт пакета звычайна супадаюць, а калі не супадаюць, вы знайшлі другую праблему, вартую асобнай справаздачы. Дата заканчэння сертыфіката — гэта поле, пра якое забываюць, пакуль кліенты не пачнуць не магчы падключыцца, і яно належыць у той жа дадатак з доказамі, што і радок выпуску.

Запішыце, адкуль узяты кожны вывад і калі ён быў зроблены. Запіску «шлюз gw1, сабрана ў аўторак» скептык можа паўтарыць; здымак экрана, абрэзаны да цікавага радка, — не. Выдаліце ключы, прыватныя адрасы і імёны ўліковых запісаў, перш чым файл пакіне вашу машыну.

Напішыце запіску як выбар паміж названымі варыянтамі

Запіска-рашэнне кароткая, бо выконвае адну працу. Вось форма, якую я выкарыстоўваю, запоўненая для выдуманай сярэдняй арганізацыі, чый выпуск аддаленага доступу выйшаў з падтрымкі:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Кожны радок апраўдвае сваё месца. Запыт — адзін сказ, і ў ім ёсць дата. Сцвярджэнне можна праверыць. Варыянт B існуе, каб варыянт A быў выбарам, а не фармальнасцю, і ў ім названа пераўсталёўка кліента, бо гэта кошт, які людзі недаацэньваюць. Кошт чакання апісвае наступства, а не імавернасць.

Запіска не павінна працягваць у сябе выснову, якую вы не можаце абгрунтаваць. Калі кампраметацыя не была прадэманстраваная, скажыце пра гэта адным радком, бо чытач, які пазней выявіць перабольшванне, зняцэніць і тры вашыя наступныя запіскі.

Што мусіць змяшчаць прыняццё рызыкі

Прыняцце — гэта не адсутнасць рашэння і не маўчанне. Калі адказ — нейкі час жыць з уздзеяннем, запісцы патрэбныя тры дапаўненні: дата заканчэння, крок маніторынгу, які хтосьці рэальна выконвае, і названы чалавек, які зноў адкрые пытанне, калі дата надыдзе.

Прамежкавы кантроль патрабуе таго ж падыходу. Абмежаванне сэрвісу меншай групай зніжае ўздзеянне толькі тады, калі абмежаванне недзе ўжываецца і хтосьці вядзе спіс. Блакіроўка, якая ціха спыняе начную пакетную задачу, — гэта не кантроль, а збой з лепшай дакументацыяй.

Трымайце ўладальніка змянення і ўладальніка рашэння асобна, калі гэта розныя людзі. Каманда платформы выконвае; дырэктар прымае. Запіс абодвух імёнаў у запісцы прыбірае самую частую затрымку — добра падрыхтаваны план, які чакае чалавека, што яго ніколі не бачыў.

Праверце запіску супраць разгортвання, перш чым адправіць яе

Сцвярджэнні дрэнна старэюць у арганізацыях з некалькімі шлюзамі. Знаходка, скапіяваная з галіны форуму пра іншы выпуск або з хоста, які перабудавалі ў мінулым месяцы, будзе аспрэчана на сустрэчы, і рэшта запіскі пойдзе разам з ёй. Перазапусціце доказы на кожным хосце, названым у запісцы:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Калі два хасты разыходзяцца, запіска цяпер пра змешаны парк, а гэта іншая і звычайна больш пераканаўчая знаходка. Калі сэрвіс неактыўны на хосце, які вы лічылі такім, што абслугоўвае трафік, спыніцеся і выправіце інвентар, перш чым запіска куды-небудзь пойдзе.

Затым далучыце вывад, пастаўце дату рашэння ў тэму ліста і адпраўце яго чалавеку, які можа сказаць «так», а не групе, якая будзе гэта абмяркоўваць. Калі адказ прыйдзе як «не зараз», запытайце дату, калі ён стане «зараз», і запішыце гэтую дату ў наступную версію запіскі.