VPN rizikos ataskaita ignoruojama? Rašykite sprendimą, o ne balą

Rizikos pastaba, kuri baigiasi sunkumo reitingu, duoda vadovui nuosprendį ir jokio veiksmo. Štai kodėl tiek daug jų grįžta su „ačiū, užsirašiau“ ir niekuo daugiau. Pastabos, kurios patvirtinamos, turi bendrą formą: vienas siauras patikrinamas teiginys, du įvardyti variantai su kaina ir vienas asmuo, kuris turi atsakyti iki nurodytos datos. Viskas žemiau yra apie šios formos kūrimą neperdedant to, ką žinote.

Balas atsako į klausimą, kurio niekas neuždavė

Tikimybės kartų poveikio aritmetika sukuria skaičių, kuris surikiuoja radinius vieną prieš kitą. Jis nepasako direktoriui, ką pasirašyti, ir kviečia ginčytis dėl daugiklio, o ne priimti sprendimą dėl tinklo vartų. Mačiau, kaip dviejų skaičių po kablelio poveikio rodiklis prarijo visą susirinkimą, o tikrasis klausimas — ar finansuoti atnaujinimą šį ketvirtį — liko neužduotas.

Šioje srityje yra tik keli tikri sprendimai. Finansuokite atnaujinimą, priimkite ribotą poveikį iki nurodytos datos arba sumažinkite, kas gali pasiekti paslaugą. Kiekvienas turi skirtingą atsakingą asmenį ir skirtingą kainą, ir nė vienas nėra „sumažinkite riziką 40 procentų“.

Sunkumo infliacija problemą daro blogesnę. Kai kiekvienas radinys yra kritinis, reitingas nustoja skirti, o skaitytojas grįžta prie vienintelio likusio signalo — kas skundėsi garsiausiai. Pastaba, kuri sako, kad leidimas nebepalaikomas, kad tai jau antras ketvirtis, kai jis nebepalaikomas, ir kad tam tikra darbuotojų grupė nuo jo priklauso, yra daug veiksmingesnė už raudoną ženklą.

Neapibrėžtumas yra kita nesėkmė. „VPN nesaugus“ negali būti išspręstas, nes nepasakoma, koks diegimas, kokia versija ar kas ką gali pasiekti. Sakinys, kurį skaitytojas gali patikrinti, yra mažiausias naudingos ataskaitos vienetas.

Mažinkite teiginį, kol kas nors galės jį patikrinti

Pririškite teiginį prie paskelbtos ribos, o ne prie nuomonės. Už tiekėjo palaikymo ribų, trūkstamas privalomas autentifikavimo žingsnis arba pasiekiamumas iš tinklo segmento, kuris neturėtų to matyti, yra teiginiai, už kurių stovi testas. Pirmajam testas yra trys komandos pačiuose vartuose:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Versijos eilutė ir paketo užklausa paprastai sutampa, o kai nesutampa, radote antrą problemą, vertą atskiros ataskaitos. Sertifikato galiojimo pabaigos data yra laukas, kurį žmonės pamiršta patikrinti, kol klientai nustoja jungtis, ir ji priklauso tam pačiam įrodymų priedui kaip ir leidimo eilutė.

Užsirašykite, iš kur gauta kiekviena išvestis ir kada ji paimta. Pastabą „vartai gw1, surinkta antradienį“ skeptikas gali paleisti iš naujo; ekrano nuotrauką, apkirptą iki įdomios eilutės, — ne. Prieš failui paliekant jūsų mašiną, pašalinkite raktus, privačius adresus ir paskyrų pavadinimus.

Rašykite pastabą kaip pasirinkimą tarp įvardytų variantų

Sprendimo pastaba trumpa, nes atlieka vieną darbą. Tai forma, kurią naudoju, užpildyta išgalvotai vidutinei organizacijai, kurios nuotolinės prieigos leidimas nebepalaikomas:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Kiekviena eilutė užsitarnauja savo vietą. Prašymas yra vienas sakinys ir jame yra data. Teiginys yra patikrinamas. Variantas B egzistuoja tam, kad variantas A būtų pasirinkimas, o ne formalumas, ir jis įvardija kliento perdiegimą, nes tai sąnaudos, kurias žmonės nuvertina. Laukimo kaina apibūdina pasekmę, o ne tikimybę.

Ko pastaba neturi daryti, tai kontrabanda įnešti išvadą, kurios negalite pagrįsti. Jei pažeidimas nebuvo parodytas, pasakykite tai viena eilute, nes skaitytojas, vėliau aptikęs perdėjimą, nurašys ir kitas tris jūsų pastabas.

Ką turi apimti rizikos priėmimas

Priėmimas nėra sprendimo nebuvimas ir nėra tyla. Jei atsakymas yra kurį laiką gyventi su poveikiu, pastabai reikia trijų papildymų: pabaigos datos, stebėjimo žingsnio, kurį kas nors iš tikrųjų atlieka, ir įvardyto asmens, kuris vėl atveria klausimą, kai data ateina.

Laikinai kontrolei reikia tokio pat požiūrio. Paslaugos apribojimas mažesnei grupei sumažina poveikį tik tada, kai apribojimas kažkur vykdomas ir kas nors prižiūri sąrašą. Blokavimas, kuris tyliai sustabdo naktinę paketinę užduotį, nėra kontrolė, tai sutrikimas su geresniais dokumentais.

Laikykite pakeitimo atsakingąjį ir sprendimo atsakingąjį atskirai, kai tai skirtingi žmonės. Platformos komanda vykdo; direktorius priima. Abiejų vardų įrašymas pastaboje pašalina dažniausią strigimą — gerai paruoštą planą, laukiantį žmogaus, kuris jo niekada nematė.

Prieš siųsdami patikrinkite pastabą pagal diegimą

Teiginiai blogai sensta organizacijose, turinčiose daugiau nei vienus vartus. Radinys, nukopijuotas iš forumo temos apie kitą leidimą arba iš praėjusį mėnesį perstatyto serverio, bus užginčytas susirinkime, ir likusi pastabos dalis nueis su juo. Paleiskite įrodymus iš naujo kiekviename serveryje, kurį pastaba įvardija:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Jei du serveriai nesutaria, pastaba dabar yra apie mišrų parką, o tai kitas ir paprastai įtikinamesnis radinys. Jei paslauga neaktyvi serveryje, kuris, jūsų manymu, aptarnavo srautą, sustokite ir pataisykite inventorizaciją, prieš pastabai kur nors einant.

Tada pridėkite išvestį, įdėkite sprendimo datą į temą ir nusiųskite tai asmeniui, kuris gali pasakyti taip, o ne grupei, kuri tai aptars. Jei atsakymas grįžta kaip „ne dabar“, paklauskite datos, kada tai taps „dabar“, ir įrašykite tą datą į kitą pastabos versiją.