VPN-risikorapport oversett? Skriv avgjerda, ikkje poengsummen

Eit risikonotat som endar med ein rangering av alvor, gjev ein leiar ein dom og inga handling. Difor kjem så mange av dei tilbake med «takk, notert» og ingenting anna. Notata som blir godkjende, deler ein form: eitt smalt, kontrollerbart påstand, to namngjevne alternativ med ein pris, og éin person som må svare innan ein dato. Alt nedanfor handlar om å lage den forma utan å overdrive det du veit.

Poengsummen svarar på eit spørsmål ingen stilte

Rekning med sannsyn gonger konsekvens gjev eit tal som sorterer funn mot kvarandre. Det fortel ikkje ein direktør kva som skal signerast, og det inviterer til ein diskusjon om multiplikatoren i staden for ei avgjerd om gatewayen. Eg har sett eit eksponeringstal med to desimalar sluke eit heilt møte medan det eigentlege spørsmålet — om oppgraderinga skal finansierast dette kvartalet — aldri vart stilt.

Det finst berre nokre få reelle avgjerder på dette området. Finansier oppgraderinga, godta ein avgrensa eksponering til ein oppgjeven dato, eller avgrens kven som kan nå tenesta. Kvar har ein annan eigar og ein annan kostnad, og ingen av dei er «reduser risikoen med 40 prosent».

Oppblåst alvor gjer problemet verre. Når kvart funn er kritisk, sluttar rangeringa å skilje, og lesaren fell tilbake på det einaste signalet som er att, nemleg kven som klaga høgast. Eit notat som seier at utgåva er utanfor støtte, at dette er andre kvartalet ho er utanfor støtte, og at ei bestemd gruppe tilsette er avhengig av ho, er langt meir handlingsretta enn eit raudt merke.

Uklarleik er den andre feilen. «VPN-et er utrygt» kan ikkje løysast, fordi det ikkje seier kva utrulling, kva versjon eller kven som kan nå kva. Ei setning lesaren kan kontrollere, er den minste eininga i ein nyttig rapport.

Krymp påstanden til nokon kan kontrollere han

Forankre påstanden i ei publisert grense i staden for i ei meining. Utanfor støtta til leverandøren, eit manglande påkravd autentiseringstrinn eller tilgjenge frå eit nettverkssegment som ikkje burde sjå det, er alle påstandar med ein test bak. For det første er testen tre kommandoar på gatewayen sjølv:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Versjonslinja og pakkespørjinga stemmer vanlegvis, og når dei ikkje gjer det, har du funne eit andre problem som fortener ein eigen rapport. Utløpsdatoen til sertifikatet er feltet folk gløymer å kontrollere til klientane ikkje får kopla til, og det høyrer i same dokumentasjonsvedlegg som versjonsstrengen.

Noter kvar kvar utdata kom frå og når ho vart henta. Eit notat som seier «gateway gw1, samla tysdag», kan ein skeptikar køyre på nytt; eit skjermbilde skore til den interessante linja kan ikkje. Fjern nøklar, private adresser og kontonamn før fila forlèt maskina di.

Skriv notatet som eit val mellom namngjevne alternativ

Eit avgjerdsnotat er kort fordi det gjer éin jobb. Dette er forma eg brukar, fylt ut for ein oppdikta mellomstor organisasjon der fjernaksesutgåva gjekk ut av støtte:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Kvar linje fortener plassen sin. Førespurnaden er éi setning og inneheld ein dato. Påstanden kan kontrollerast. Alternativ B finst for at alternativ A skal vere eit val og ikkje ein formalitet, og det nemner nyinstallasjonen av klienten fordi det er kostnaden folk undervurderer. Kostnaden ved å vente skildrar ein konsekvens, ikkje ein sannsyn.

Det notatet ikkje må gjere, er å smugle inn ei slutning du ikkje kan støtte. Viss inga kompromittering er påvist, seie det på éi linje, fordi ein lesar som seinare oppdagar ei overdriving, vil også diskontere dei neste tre notata dine.

Kva aksepten av risikoen må innehalde

Aksept er ikkje fråvær av ei avgjerd og ikkje stille. Viss svaret er å leve med eksponeringa ei stund, treng notatet tre tillegg: ein sluttdato, eit overvakingstrinn som nokon faktisk utfører, og ein namngjeven person som opnar spørsmålet igjen når datoen kjem.

Ein mellombels kontroll treng same handsaming. Å avgrense tenesta til ei mindre gruppe reduserer eksponeringa berre viss avgrensinga blir handheva ein stad og nokon vedlikeheld lista. Ei blokkering som stille stoppar ein nattleg batchjobb, er ikkje ein kontroll, det er eit avbrot med betre papirarbeid.

Hald eigaren av endringa og eigaren av avgjerda frå kvarandre når dei er ulike personar. Plattformteamet utfører; direktøren aksepterer. Å skrive begge namna i notatet fjernar den vanlegaste stagneringa, nemleg ein godt førebudd plan som ventar på ein person som aldri har sett han.

Stadfest notatet mot utrullinga før du sender det

Påstandar blir dårlege med alderen i organisasjonar med meir enn éin gateway. Eit funn kopiert frå ein forumtråd om ei anna utgåve, eller frå ein vert som vart bygd på nytt førre månad, vil bli utfordra i møtet, og resten av notatet går med. Køyr dokumentasjonen på nytt på kvar vert notatet nemner:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Viss dei to vertane er usamde, handlar notatet no om ein blanda flåte, som er eit anna og vanlegvis meir overtydande funn. Viss tenesta er inaktiv på ein vert du trudde betente trafikk, stopp og rett inventaret før notatet går nokon stad.

Legg så ved utdataa, set avgjerdsdatoen i emnefeltet, og send det til personen som kan seie ja i staden for til gruppa som vil diskutere det. Viss svaret kjem tilbake som «ikkje no», spør om datoen det blir «no», og skriv den datoen inn i neste versjon av notatet.