VPN-kockázati jelentés figyelmen kívül hagyva? A döntést írja meg, ne a pontszámot

Egy súlyossági rangsorral záruló kockázati feljegyzés ítéletet ad a vezetőnek, és semmilyen intézkedést. Ezért jön vissza olyan sok közülük „köszönöm, feljegyeztem” szöveggel és semmi mással. A jóváhagyott feljegyzések egy formát osztanak: egy szűk, ellenőrizhető állítás, két nevesített lehetőség árhoz kötve, és egy személy, akinek határidőre válaszolnia kell. Az alábbiak mind arról szólnak, hogyan hozzuk létre ezt a formát anélkül, hogy túlzásba vinnénk, amit tudunk.

A pontszám olyan kérdésre válaszol, amelyet senki nem tett fel

A valószínűség szorozva hatás aritmetika egy számot ad, amely egymáshoz rendezi a megállapításokat. Ez nem mondja meg az igazgatónak, mit írjon alá, és vitát hív elő a szorzóról az átjáróról szóló döntés helyett. Láttam, ahogy egy két tizedesjegyű kitettségi szám felemésztett egy egész értekezletet, miközben a valódi kérdés — hogy finanszírozzák-e a frissítést ebben a negyedévben — fel sem merült.

Ezen a területen csak néhány valódi döntés van. Finanszírozza a frissítést, fogadjon el korlátozott kitettséget egy megadott dátumig, vagy szűkítse, ki érheti el a szolgáltatást. Mindegyiknek más a felelőse és más a költsége, és egyik sem „csökkentse a kockázatot 40 százalékkal”.

A súlyosság inflációja rontja a helyzetet. Ha minden megállapítás kritikus, a rangsor megszűnik különbséget tenni, és az olvasó visszatér az egyetlen megmaradt jelzéshez, azaz ahhoz, ki panaszkodott a leghangosabban. Egy feljegyzés, amely szerint a kiadás támogatáson kívül van, hogy ez a második negyedév, amikor az, és hogy egy adott munkavállalói csoport függ tőle, sokkal használhatóbb egy piros jelvénynél.

A homályosság a másik kudarc. A „a VPN nem biztonságos” nem oldható meg, mert nem mondja meg, melyik telepítés, melyik verzió, vagy ki mit érhet el. Egy mondat, amelyet az olvasó ellenőrizni tud, a hasznos jelentés legkisebb egysége.

Csökkentse az állítást, amíg valaki ellenőrizni tudja

Horgonyozza az állítást közzétett határhoz, ne véleményhez. A szállítói támogatáson kívül lét, egy kötelező hitelesítési lépés hiánya, vagy elérhetőség olyan hálózati szegmensből, amelynek nem kellene látnia — mind olyan állítások, amelyek mögött teszt áll. Az elsőhöz a teszt három parancs magán az átjárón:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

A verziósor és a csomaglekérdezés általában egyezik, és amikor nem, egy második problémát talált, amely külön jelentést érdemel. A tanúsítvány lejárati dátuma az a mező, amelyet az emberek elfelejtenek ellenőrizni, amíg az ügyfelek nem tudnak kapcsolódni, és ugyanabba a bizonyíték-mellékletbe tartozik, mint a verziósztring.

Jegyezze fel, honnan származik az egyes kimenetek, és mikor vették fel. A „gw1 átjáró, kedden gyűjtve” feljegyzést egy szkeptikus újra futtathatja; az érdekes sorra vágott képernyőképet nem. Távolítsa el a kulcsokat, a privát címeket és a fiókneveket, mielőtt a fájl elhagyja a gépét.

Írja meg a feljegyzést nevesített lehetőségek közötti választásként

Egy döntési feljegyzés rövid, mert egy feladatot lát el. Ez az a forma, amelyet használok, kitöltve egy kitalált közepes méretű szervezet számára, amelynek távoli hozzáférési kiadása kikerült a támogatásból:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Minden sor kiérdemli a helyét. A kérés egy mondat, és dátumot tartalmaz. Az állítás ellenőrizhető. A B lehetőség azért létezik, hogy az A lehetőség választás legyen, ne formalitás, és megnevezi az ügyfél újratelepítését, mert ez az a költség, amelyet az emberek alábecsülnek. A várakozás költsége következményt ír le, nem valószínűséget.

Amit a feljegyzés nem tehet, az olyan következtetés becsempészése, amelyet nem tud alátámasztani. Ha nem mutattak ki kompromittálódást, mondja ki egy sorban, mert az az olvasó, aki később túlzást fedez fel, a következő három feljegyzését is leértékeli.

Mit kell tartalmaznia a kockázat elfogadásának

Az elfogadás nem a döntés hiánya, és nem hallgatás. Ha a válasz az, hogy egy ideig együtt élünk a kitettséggel, a feljegyzésnek három kiegészítés kell: egy záró dátum, egy megfigyelési lépés, amelyet valaki tényleg elvégez, és egy nevesített személy, aki újranyitja a kérdést, amikor a dátum eljön.

Egy ideiglenes kontroll ugyanilyen kezelést igényel. A szolgáltatás kisebb csoportra szűkítése csak akkor csökkenti a kitettséget, ha a korlátozást valahol érvényesítik, és valaki karbantartja a listát. Egy blokk, amely csendben leállít egy éjszakai kötegelt feladatot, nem kontroll, hanem jobb papírmunkával járó kiesés.

Tartsa külön a változás felelősét és a döntés felelősét, ha különböző emberek. A platformcsapat végrehajt; az igazgató elfogad. Mindkét név beírása a feljegyzésbe megszünteti a leggyakoribb elakadást: egy jól előkészített terv, amely arra vár, aki soha nem látta.

A feljegyzést a telepítéshez mérve ellenőrizze, mielőtt elküldi

Az állítások rosszul öregszenek azokban a szervezetekben, amelyeknek több átjárójuk van. Egy másik kiadásról szóló fórumbejegyzésből, vagy egy múlt hónapban újraépített hosztról másolt megállapítást az értekezleten meg fognak kérdőjelezni, és a feljegyzés többi része is vele megy. Futtassa újra a bizonyítékokat minden hoszton, amelyet a feljegyzés megnevez:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Ha a két hoszt nem ért egyet, a feljegyzés most vegyes flottáról szól, ami más és általában meggyőzőbb megállapítás. Ha a szolgáltatás inaktív egy hoszton, amelyről azt hitte, forgalmat szolgál ki, álljon meg, és javítsa a leltárt, mielőtt a feljegyzés bárhová megy.

Ezután csatolja a kimenetet, tegye a döntés dátumát a tárgysorba, és küldje el annak, aki igent tud mondani, ne annak a csoportnak, amely megvitatja. Ha a válasz „nem most” formában jön vissza, kérdezze meg a dátumot, amikor „most” lesz, és írja be azt a dátumot a feljegyzés következő verziójába.