Informe de risc de VPN ignorat? Escriviu la decisió, no la puntuació

Una nota de risc que acaba amb una classificació de gravetat dona a un gerent un veredicte i cap acció. Per això tantes tornen amb «gràcies, anotat» i res més. Les notes que s’aproven comparteixen una forma: una afirmació estreta i comprovable, dues opcions amb nom i preu, i una persona que ha de respondre abans d’una data. Tot el que segueix tracta de produir aquesta forma sense exagerar el que sabeu.

La puntuació respon una pregunta que ningú no ha fet

L’aritmètica de probabilitat per impacte produeix un nombre que ordena les troballes entre si. No diu a un director què ha de signar i convida a discutir el multiplicador en lloc de decidir sobre la passarel·la. He vist una xifra d’exposició amb dos decimals absorbir una reunió sencera mentre la pregunta real, si cal finançar una actualització aquest trimestre, quedava sense fer.

En aquest àmbit només hi ha unes poques decisions reals. Finançar l’actualització, acceptar una exposició limitada fins a una data declarada o reduir qui pot arribar al servei. Cadascuna té un responsable diferent i un cost diferent, i cap d’elles és «reduir el risc un 40 per cent».

La inflació de gravetat empitjora el problema. Quan cada troballa és crítica, la classificació deixa de discriminar i el lector recorre a l’únic senyal que queda, que és qui s’ha queixat més fort. Una nota que diu que la versió està fora de suport, que aquest és el segon trimestre que hi és, i que un grup concret de personal en depèn, és molt més accionable que una etiqueta vermella.

La vaguetat és l’altre fracàs. «El VPN és insegur» no es pot resoldre, perquè no diu quin desplegament, quina versió ni qui pot arribar a què. Una frase que el lector pot comprovar és la unitat mínima d’un informe útil.

Reduïu l’afirmació fins que algú la pugui comprovar

Ancoreu l’afirmació en un límit publicat i no en una opinió. Fora de suport del proveïdor, falta d’un pas d’autenticació obligatori o accessibilitat des d’un segment de xarxa que no l’hauria de veure són totes afirmacions amb una prova al darrere. Per a la primera, la prova són tres ordres a la mateixa passarel·la:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

La línia de versió i la consulta del paquet normalment coincideixen, i quan no ho fan heu trobat un segon problema que val un informe a part. La data de caducitat del certificat és el camp que la gent oblida comprovar fins que els clients comencen a no poder connectar-se, i pertany al mateix adjunt de proves que la cadena de versió.

Anoteu d’on ve cada sortida i quan es va obtenir. Una nota que diu «passarel·la gw1, recollida dimarts» la pot tornar a executar un escèptic; una captura retallada fins a la línia interessant, no. Traieu claus, adreces privades i noms de compte abans que el fitxer surti de la màquina.

Escriviu la nota com una tria entre opcions amb nom

Una nota de decisió és curta perquè fa una sola feina. Aquesta és la forma que faig servir, emplenada per a una organització inventada de mida mitjana, la versió d’accés remot de la qual va quedar fora de suport:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Cada línia guanya el seu lloc. La petició és una frase i conté una data. L’afirmació és comprovable. L’opció B existeix perquè l’opció A sigui una tria i no una formalitat, i anomena la reinstal·lació del client perquè és el cost que la gent subestima. El cost d’esperar descriu una conseqüència, no una probabilitat.

El que la nota no ha de fer és introduir de contraban una conclusió que no podeu sostenir. Si no s’ha demostrat cap compromís, digueu-ho en una línia, perquè un lector que descobreixi més endavant una exageració també descomptarà les vostres tres notes següents.

Què ha de contenir l’acceptació del risc

L’acceptació no és l’absència d’una decisió ni és silenci. Si la resposta és conviure amb l’exposició durant un temps, la nota necessita tres afegits: una data final, un pas de monitoratge que algú faci realment i una persona amb nom que reobri la qüestió quan arribi la data.

Un control provisional necessita el mateix tracte. Restringir el servei a un grup més petit redueix l’exposició només si la restricció s’aplica en algun lloc i algú manté la llista. Un bloc que atura en silenci una tasca nocturna no és un control, és una caiguda amb millor paperassa.

Mantingueu separats el responsable del canvi i el responsable de la decisió quan són persones diferents. L’equip de plataforma executa; el director accepta. Escriure tots dos noms a la nota elimina l’aturada més habitual, que és un pla ben preparat esperant una persona que no l’ha vist mai.

Verifiqueu la nota contra el desplegament abans d’enviar-la

Les afirmacions envelleixen malament en organitzacions amb més d’una passarel·la. Una troballa copiada d’un fil de fòrum sobre una versió diferent, o d’un amfitrió reconstruït el mes passat, serà qüestionada a la reunió i la resta de la nota se n’anirà amb ella. Torneu a executar les proves a cada amfitrió que la nota esmenta:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Si els dos amfitrions no coincideixen, la nota ara tracta d’una flota mixta, que és una troballa diferent i normalment més convincent. Si el servei està inactiu en un amfitrió que creíeu que servia trànsit, atureu-vos i corregiu l’inventari abans que la nota vagi enlloc.

Després adjunteu la sortida, poseu la data de la decisió a l’assumpte i envieu-la a la persona que pot dir sí i no al grup que la discutirà. Si la resposta torna com a «ara no», pregunteu per la data en què passa a ser «ara» i escriviu aquesta data a la propera versió de la nota.