VPN-risikorapport ignoreret? Skriv beslutningen, ikke scoren

Et risikonotat, der slutter med en alvorlighedsrangering, giver en leder en dom og ingen handling. Det er derfor, så mange af dem kommer tilbage med »tak, noteret« og intet andet. De notater, der bliver godkendt, deler en form: én smal, kontrollerbar påstand, to navngivne valgmuligheder med en pris og en person, der skal svare inden en dato. Alt nedenfor handler om at skabe den form uden at overdrive, hvad du ved.

Scoren svarer på et spørgsmål, ingen stillede

Aritmetik med sandsynlighed gange konsekvens giver et tal, der sorterer fund mod hinanden. Det fortæller ikke en direktør, hvad der skal underskrives, og det inviterer til en diskussion om multiplikatoren i stedet for en beslutning om gatewayen. Jeg har set et eksponeringstal med to decimaler opsluge et helt møde, mens det egentlige spørgsmål — om opgraderingen skal finansieres i dette kvartal — aldrig blev stillet.

Der er kun få reelle beslutninger på dette område. Finansier opgraderingen, accepter en afgrænset eksponering indtil en angivet dato, eller indskrænk, hvem der kan nå tjenesten. Hver har en anden ejer og en anden pris, og ingen af dem er »reducer risikoen med 40 procent«.

Oppustning af alvor gør problemet værre. Når hvert fund er kritisk, holder rangeringen op med at skelne, og læseren falder tilbage på det eneste signal, der er tilbage, nemlig hvem der klagede højest. Et notat, der siger, at versionen er uden support, at det er andet kvartal, den er uden support, og at en bestemt gruppe medarbejdere er afhængig af den, er langt mere handlingsorienteret end et rødt mærke.

Uklarhed er den anden fejl. »VPN’et er usikkert« kan ikke afgøres, fordi det ikke siger hvilken udrulning, hvilken version, eller hvem der kan nå hvad. En sætning, læseren kan kontrollere, er den mindste enhed i en brugbar rapport.

Skær påstanden ned, til nogen kan kontrollere den

Forankr påstanden i en offentliggjort grænse frem for i en mening. Uden for leverandørens support, et manglende påkrævet godkendelsestrin eller tilgængelighed fra et netværkssegment, der ikke burde se det, er alle påstande med en test bag sig. For det første er testen tre kommandoer på selve gatewayen:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Versionslinjen og pakkeforespørgslen stemmer normalt overens, og når de ikke gør, har du fundet et andet problem, der er værd at rapportere separat. Certifikatets udløbsdato er det felt, folk glemmer at kontrollere, indtil klienterne ikke kan oprette forbindelse, og det hører i samme dokumentationsbilag som versionsstrengen.

Noter, hvor hver output kom fra, og hvornår den blev taget. Et notat, der siger »gateway gw1, indsamlet tirsdag«, kan en skeptiker køre igen; et skærmbillede beskåret til den interessante linje kan ikke. Fjern nøgler, private adresser og kontonavne, før filen forlader din maskine.

Skriv notatet som et valg mellem navngivne muligheder

Et beslutningsnotat er kort, fordi det udfører én opgave. Dette er den form, jeg bruger, udfyldt for en opdigtet mellemstor organisation, hvis fjernadgangsversion er gået ud af support:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Hver linje fortjener sin plads. Anmodningen er én sætning og indeholder en dato. Påstanden kan kontrolleres. Mulighed B findes, for at mulighed A er et valg og ikke en formalitet, og den nævner geninstallation af klienten, fordi det er den pris, folk undervurderer. Prisen for at vente beskriver en konsekvens, ikke en sandsynlighed.

Det, notatet ikke må gøre, er at smugle en konklusion ind, du ikke kan underbygge. Hvis der ikke er påvist en kompromittering, så skriv det på én linje, fordi en læser, der senere opdager en overdrivelse, også vil afskrive dine næste tre notater.

Hvad accepten af risikoen skal indeholde

Accept er ikke fravær af en beslutning og ikke tavshed. Hvis svaret er at leve med eksponeringen et stykke tid, har notatet brug for tre tilføjelser: en slutdato, et overvågningstrin, som nogen faktisk udfører, og en navngivet person, der åbner spørgsmålet igen, når datoen kommer.

En midlertidig kontrol skal have samme behandling. Begrænsning af tjenesten til en mindre gruppe mindsker kun eksponeringen, hvis begrænsningen håndhæves et sted, og nogen vedligeholder listen. En blokering, der stille stopper et natligt batchjob, er ikke en kontrol, det er et nedbrud med bedre papirarbejde.

Hold ejeren af ændringen og ejeren af beslutningen adskilt, når de er forskellige personer. Platformsteamet udfører; direktøren accepterer. At skrive begge navne i notatet fjerner den mest almindelige forsinkelse, nemlig en velforberedt plan, der venter på en person, som aldrig har set den.

Verificer notatet mod udrulningen, før du sender det

Påstande ældes dårligt i organisationer med mere end én gateway. Et fund kopieret fra en forumtråd om en anden version eller fra en vært, der blev genopbygget i sidste måned, vil blive anfægtet på mødet, og resten af notatet følger med. Kør dokumentationen igen på hver vært, notatet nævner:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Hvis de to værter er uenige, handler notatet nu om en blandet flåde, hvilket er et andet og normalt mere overbevisende fund. Hvis tjenesten er inaktiv på en vært, du troede betjente trafik, så stop og ret inventaret, før notatet går nogen steder hen.

Vedlæg derefter outputtet, sæt beslutningsdatoen i emnefeltet, og send det til den person, der kan sige ja, i stedet for til den gruppe, der vil diskutere det. Hvis svaret kommer tilbage som »ikke nu«, så spørg efter den dato, hvor det bliver »nu«, og skriv den dato i den næste version af notatet.