VPN-áhættuskýrslu hunsað? Skrifaðu ákvörðunina, ekki stigið

Áhættuminning sem endar á alvarleikaröðun gefur stjórnanda úrskurð og enga aðgerð. Þess vegna koma svo margar þeirra til baka með „takk, skráð“ og ekkert annað. Minningarnar sem eru samþykktar deila einni mynd: einni þröngri staðhæfingu sem hægt er að staðfesta, tveimur nefndum valkostum með verði og einni manneskju sem verður að svara fyrir tiltekna dagsetningu. Allt hér að neðan snýst um að búa til þessa mynd án þess að ýkja það sem þú veist.

Stigið svarar spurningu sem enginn spurði

Reikningur líkinda sinnum áhrifa framleiðir tölu sem raðar niðurstöðum hverri gegn annarri. Hann segir forstjóra ekki hvað á að skrifa undir, og hann býður upp á rökræðu um margfaldarann í stað ákvörðunar um gáttina. Ég hef séð útsetningartölu með tveimur aukastöfum gleypa heilt fundarherbergi á meðan raunverulega spurningin — hvort fjármagna eigi uppfærslu á þessum fjórðungi — var aldrei borin fram.

Það eru aðeins nokkrar raunverulegar ákvarðanir á þessu sviði. Fjármagnaðu uppfærsluna, samþykktu takmarkaða útsetningu til tiltekins dagsetningar, eða minnkaðu hverjir komast að þjónustunni. Hver hefur annan ábyrgðaraðila og annan kostnað, og engin þeirra er „minnka áhættu um 40 prósent“.

Uppblásið alvarleikastig gerir vandann verri. Þegar hver niðurstaða er alvarleg hættir röðunin að greina og lesandinn fellur aftur á eina merkið sem eftir er, það er hver kvartaði hæst. Minning sem segir að útgáfan sé utan stuðnings, að þetta sé annar fjórðungurinn sem hún er utan stuðnings og að tiltekinn starfsmannahópur sé háður henni er mun aðgerðahæfari en rauð merki.

Óskýrleikinn er hitt mistökin. „VPN-ið er óöruggt“ er ekki hægt að leysa, því það segir ekki hver uppsetningin, hver útgáfan eða hver kemst að hverju. Setning sem lesandinn getur staðfest er minnsta eining gagnlegrar skýrslu.

Minnkaðu staðhæfinguna þar til einhver getur staðfest hana

Festu staðhæfinguna við birt mörk frekar en við skoðun. Utan stuðnings söluaðila, vantað skilyrt auðkenningarskref eða aðgengi úr netbúti sem ætti ekki að sjá það eru allt staðhæfingar með prófun að baki. Fyrir þá fyrstu er prófunin þrjár skipanir á gáttinni sjálfri:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Útgáfulínan og pakkafyrirspurnin stemma venjulega, og þegar þær gera það ekki hefurðu fundið annað vandamál sem á skilið sér skýrslu. Lokadagur skírteinisins er sviðið sem fólk gleymir að athuga þar til biðlarar ná ekki tengingu, og það tilheyrir sama sannindaviðhengi og útgáfustrengurinn.

Skráðu hvaðan hver úttak kom og hvenær það var tekið. Minningu sem segir „gátt gw1, safnað á þriðjudag“ getur efasemdarmaður keyrt aftur; skjámynd sem er skorin að áhugaverðu línunni getur það ekki. Fjarlægðu lykla, einkaaðsetur og reikningsnöfn áður en skráin yfirgefur vélina þína.

Skrifaðu minninguna sem val á milli nefndra valkosta

Ákvörðunarminning er stutt því hún sinnir einu verki. Þetta er myndin sem ég nota, út fyllt fyrir tilbúið meðalstórt fyrirtæki þar sem fjartengingarútgáfan fór utan stuðnings:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Hver lína á skilið sinn stað. Beiðnin er ein setning og inniheldur dagsetningu. Staðhæfingin er staðfestanleg. Valkostur B er til svo valkostur A sé val en ekki formsatriði, og hann nefnir enduruppsetningu biðlarans því það er kostnaðurinn sem fólk vanmetur. Kostnaður biðar lýsir afleiðingu, ekki líkum.

Það sem minningin má ekki gera er að smygla inn niðurstöðu sem þú getur ekki stutt. Ef engin málamiðlun hefur verið sýnd, segðu það í einni línu, því lesandi sem uppgötvar ýkju síðar mun einnig afskrifa næstu þrjár minningar þínar.

Hvað samþykki áhættunnar verður að innihalda

Samþykki er ekki fjarvera ákvörðunar og ekki þögn. Ef svarið er að lifa með útsetningunni um tíma þarf minningin þrjár viðbætur: lokadag, eftirlitsskref sem einhver framkvæmir í raun og nefnda manneskju sem opnar spurninguna aftur þegar dagurinn kemur.

Bráðabirgðastýring þarf sömu meðferð. Að takmarka þjónustuna við minni hóp dregur úr útsetningu aðeins ef takmörkuninni er framfylgt einhvers staðar og einhver heldur við listann. Blokkun sem stöðvar hljóðlaust nætur lotuvinnu er ekki stýring, heldur bilun með betri pappírsvinnu.

Haltu eiganda breytingarinnar og eiganda ákvörðunarinnar aðskildum þegar um ólíkar manneskjur er að ræða. Vettvangsteymið framkvæmir; forstjórinn samþykkir. Að skrifa bæði nöfnin í minninguna fjarlægir algengustu stöðvunina: vel undirbúið plan sem bíður manneskju sem sá það aldrei.

Staðfestu minninguna gagnvart uppsetningunni áður en þú sendir hana

Staðhæfingar eldast illa í fyrirtækjum með fleiri en eina gátt. Niðurstaða sem er afrituð af vettvangsspjalli um aðra útgáfu, eða af hýsli sem var endurbyggður í síðasta mánuði, verður dregin í efa á fundinum og restin af minningunni fer með. Keyrðu sannanirnar aftur á hverjum hýsli sem minningin nefnir:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Ef hýslarnir tveir eru ósammála snýst minningin nú um blandaðan flota, sem er önnur og venjulega sannfærandi niðurstaða. Ef þjónustan er óvirk á hýsli sem þú hélt að þjónaði umferð, stöðvaðu og leiðréttu birgðirnar áður en minningin fer eitthvað.

Festu svo úttakið við, settu ákvörðunardaginn í efnislínuna og sendu það til manneskjunnar sem getur sagt já frekar en hópsins sem mun ræða það. Ef svarið kemur til baka sem „ekki núna“, biddu um dagsetninguna þegar það verður „núna“ og skrifaðu þann dag í næstu útgáfu minningarinnar.