Извештај за ризик од VPN игнориран? Напишете ја одлуката, не резултатот

Белешка за ризик што завршува со рангирање по сериозност му дава на менаџерот пресуда и никаква акција. Затоа толку многу од нив се враќаат со „благодарам, забележано“ и ништо друго. Белешките што се одобруваат делат една форма: едно тесно проверливо тврдење, две именувани опции со цена и едно лице што мора да одговори до одреден датум. Сето подолу е за создавање на таа форма без претерување во она што го знаете.

Резултатот одговара на прашање што никој не го поставил

Аритметиката веројатност помножена со влијание создава број што ги подредува наодите еден против друг. Тој не му кажува на директорот што да потпише и поканува расправа за множителот наместо одлука за портата. Сум видел бројка за изложеност со две децимали да проголта цел состанок, додека вистинското прашање — дали да се финансира надградба ова тромесечје — остана непоставено.

Во оваа област има само неколку вистински одлуки. Финансирајте ја надградбата, прифатете ограничена изложеност до наведен датум или намалете го кругот на оние што можат да стигнат до услугата. Секоја има различен одговорен и различен трошок, и ниту една не е „намали го ризикот за 40 проценти“.

Инфлацијата на сериозноста го влошува проблемот. Кога секој наод е критичен, рангирањето престанува да разликува и читателот се враќа на единствениот преостанат сигнал — кој се пожалил најгласно. Белешка што вели дека изданието е надвор од поддршка, дека ова е второто тромесечје како е надвор од поддршка и дека одредена група вработени зависи од него, е многу поспроведлива од црвена значка.

Нејасноста е другиот неуспех. „VPN е небезбеден“ не може да се реши, бидејќи не кажува кое распоредување, која верзија или кој до што може да стигне. Реченицата што читателот може да ја провери е најмалата единица на корисен извештај.

Намалете го тврдењето додека некој не може да го провери

Закответе го тврдењето за објавена граница, а не за мислење. Надвор од поддршка на добавувачот, недостига чекор за задолжителна автентикација или достапност од мрежен сегмент што не треба да го гледа — сите се тврдења со тест зад нив. За првото, тестот е три команди на самата порта:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Линијата за верзија и барањето за пакетот обично се совпаѓаат, а кога не се, сте нашле втор проблем што заслужува посебен извештај. Датумот на истекување на сертификатот е полето што луѓето забораваат да го проверат додека клиентите не почнат да не можат да се поврзат, и тој припаѓа на истото прилог со докази како и низата за издание.

Забележете од каде доаѓа секој излез и кога е земен. Белешката „порта gw1, собрано во вторник“ скептик може повторно да ја изврши; екранската слика исечена до интересната линија не може. Отстранете клучеви, приватни адреси и имиња на сметки пред датотеката да ја напушти вашата машина.

Напишете ја белешката како избор меѓу именувани опции

Белешката за одлука е кратка затоа што врши една работа. Ова е формата што ја користам, пополнета за измислена средна организација чие издание за далечински пристап излезе од поддршка:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Секоја линија го заслужува своето место. Барањето е една реченица и содржи датум. Тврдењето е проверливо. Опцијата B постои за да биде опцијата A избор, а не формалност, и ја именува преинсталацијата на клиентот затоа што тоа е трошокот што луѓето го потценуваат. Трошокот на чекањето опишува последица, а не веројатност.

Она што белешката не смее да го прави е да прошверцува заклучок што не можете да го поддржите. Ако не е докажан компромис, кажете го во една линија, зашто читателот што подоцна ќе открие претерување ќе ги отфрли и вашите следни три белешки.

Што мора да содржи прифаќањето на ризикот

Прифаќањето не е отсуство на одлука и не е тишина. Ако одговорот е некое време да се живее со изложеноста, белешката бара три дополнувања: краен датум, чекор за следење што некој навистина го извршува и именувано лице што повторно го отвора прашањето кога датумот ќе дојде.

Привремената контрола бара ист третман. Ограничувањето на услугата на помала група ја намалува изложеноста само ако ограничувањето се спроведува некаде и некој ја одржува листата. Блокот што тивко запира ноќна сериска работа не е контрола, тоа е прекин со подобра документација.

Држете ги одвоени одговорниот за промената и одговорниот за одлуката кога се различни луѓе. Платформскиот тим извршува; директорот прифаќа. Пишувањето на двете имиња во белешката го отстранува најчестиот застој — добро подготвен план што чека лице што никогаш не го видело.

Проверете ја белешката наспроти распоредувањето пред да ја испратите

Тврдењата лошо стареат во организации со повеќе од една порта. Наодот копиран од форумска тема за друго издание или од домаќин што е преизграден минатиот месец ќе биде оспорен на состанокот и остатокот од белешката оди со него. Пуштете ги доказите повторно на секој домаќин што белешката го именува:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Ако двата домаќини не се согласуваат, белешката сега е за мешан парк, што е различен и обично попрегледен наод. Ако услугата е неактивна на домаќин за кој мислевте дека служи сообраќај, запрете и поправете го инвентарот пред белешката да отиде некаде.

Потоа прикачете го излезот, ставете го датумот на одлуката во темата и испратете го до лицето што може да каже да, а не до групата што ќе го дискутира. Ако одговорот се врати како „не сега“, прашајте за датумот кога станува „сега“ и запишете го тој датум во следната верзија на белешката.