Správa o riziku VPN ignorovaná? Napíšte rozhodnutie, nie skóre

Poznámka o riziku, ktorá končí rebríčkom závažnosti, dáva manažérovi verdikt a žiadnu akciu. Preto sa ich toľko vracia s „ďakujem, poznamenal som si“ a ničím iným. Poznámky, ktoré prejdú schválením, majú rovnaký tvar: jedno úzke overiteľné tvrdenie, dve pomenované možnosti s cenou a človek, ktorý musí odpovedať do určitého dátumu. Všetko nižšie je o vytvorení tohto tvaru bez preháňania toho, čo viete.

Skóre odpovedá na otázku, ktorú nikto nepoložil

Aritmetika pravdepodobnosti krát dopadu vytvorí číslo, ktoré zoradí zistenia proti sebe. Nehovorí riaditeľovi, čo má podpísať, a pozýva k hádke o násobiteli namiesto rozhodnutia o bráne. Videl som číslo expozície s dvoma desatinnými miestami pohltiť celú poradu, kým skutočná otázka — či financovať upgrade v tomto kvartáli — zostala nepoložená.

V tejto oblasti je len niekoľko skutočných rozhodnutí. Financujte upgrade, prijmite obmedzenú expozíciu do uvedeného dátumu alebo zmenšite okruh tých, ktorí sa k službe dostanú. Každé má iného vlastníka a inú cenu a žiadne nie je „znížte riziko o 40 percent“.

Nafukovanie závažnosti problém zhoršuje. Keď je každé zistenie kritické, rebríček prestane rozlišovať a čitateľ sa vráti k jedinému zostávajúcemu signálu — k tomu, kto sa sťažoval najhlasnejšie. Poznámka, ktorá hovorí, že verzia je mimo podpory, že je to už druhý kvartál mimo podpory a že na nej závisí určitá skupina zamestnancov, je oveľa vykonateľnejšia ako červený odznak.

Neurčitosť je druhé zlyhanie. „VPN je nezabezpečená“ sa nedá vyriešiť, pretože nehovorí, ktoré nasadenie, ktorá verzia ani kto sa kam dostane. Veta, ktorú čitateľ môže overiť, je minimálnou jednotkou užitočnej správy.

Zmenšite tvrdenie, kým ho niekto nemôže overiť

Ukotvite tvrdenie vo zverejnenej hranici, nie v názore. Mimo podpory dodávateľa, chýbajúci povinný krok overenia alebo dostupnosť zo sieťového segmentu, ktorý by ho nemal vidieť, sú všetko tvrdenia s testom za sebou. Pre prvé je testom trojica príkazov priamo na bráne:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Riadok s verziou a dopyt na balík zvyčajne sedia, a keď nie, našli ste druhý problém, ktorý si zaslúži samostatnú správu. Dátum vypršania certifikátu je pole, ktoré ľudia zabudnú skontrolovať, kým sa klienti nezačnú neúspešne pripájať, a patrí do tej istej prílohy s dôkazmi ako reťazec verzie.

Zaznamenajte, odkiaľ každý výstup pochádza a kedy bol získaný. Poznámku „brána gw1, zozbierané v utorok“ môže skeptik znova spustiť; snímku obrazovky orezanú na zaujímavý riadok nie. Pred odoslaním súboru z vášho počítača odstráňte kľúče, súkromné adresy a názvy účtov.

Napíšte poznámku ako voľbu medzi pomenovanými možnosťami

Poznámka o rozhodnutí je krátka, pretože robí jednu vec. Toto je tvar, ktorý používam, vyplnený pre vymyslenú stredne veľkú organizáciu, ktorej verzia vzdialeného prístupu vyšla z podpory:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Každý riadok si svoje miesto zaslúži. Žiadosť je jedna veta a obsahuje dátum. Tvrdenie je overiteľné. Možnosť B existuje preto, aby možnosť A bola voľbou, nie formalitou, a uvádza preinštalovanie klienta, pretože to sú náklady, ktoré ľudia podceňujú. Náklady čakania opisujú dôsledok, nie pravdepodobnosť.

Poznámka nesmie prepašovať záver, ktorý neviete podložiť. Ak nebol preukázaný žiadny kompromis, povedzte to jednou vetou, pretože čitateľ, ktorý neskôr odhalí nadsádzku, zľaví aj z vašich ďalších troch poznámok.

Čo musí prijatie rizika obsahovať

Prijatie nie je neprítomnosť rozhodnutia a nie je ticho. Ak je odpoveďou nejaký čas žiť s expozíciou, poznámka potrebuje tri doplnenia: koncový dátum, krok monitorovania, ktorý niekto skutočne vykonáva, a menovanú osobu, ktorá otázku znova otvorí, keď dátum nastane.

Dočasné opatrenie potrebuje rovnaké zaobchádzanie. Obmedzenie služby na menšiu skupinu znižuje expozíciu len vtedy, ak sa obmedzenie niekde presadzuje a niekto udržiava zoznam. Blokovanie, ktoré ticho zastaví nočnú dávkovú úlohu, nie je opatrenie, je to výpadok s lepšou dokumentáciou.

Držte vlastníka zmeny a vlastníka rozhodnutia oddelene, keď ide o rôznych ľudí. Tím platformy vykonáva; riaditeľ prijíma. Zapísanie oboch mien do poznámky odstraňuje najčastejšie zaseknutie — dobre pripravený plán, ktorý čaká na človeka, ktorý ho nikdy nevidel.

Overte poznámku voči nasadeniu, skôr než ju odošlete

Tvrdenia v organizáciách s viac než jednou bránou zle starnú. Zistenie skopírované z vlákna fóra o inej verzii alebo z hostiteľa prestaveného minulý mesiac bude na porade spochybnené a zvyšok poznámky pôjde s ním. Znova spustite dôkazy na každom hostiteľovi, ktorý poznámka vymenúva:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Ak sa dvaja hostitelia nezhodujú, poznámka je teraz o zmiešanej flotile, čo je iné a zvyčajne presvedčivejšie zistenie. Ak je služba neaktívna na hostiteľovi, o ktorom ste si mysleli, že obsluhuje prevádzku, zastavte sa a opravte inventár, skôr než poznámka niekam pôjde.

Potom priložte výstup, dajte dátum rozhodnutia do predmetu a pošlite to človeku, ktorý môže povedať áno, nie skupine, ktorá to bude diskutovať. Ak odpoveď príde ako „teraz nie“, spýtajte sa na dátum, kedy sa to stane „teraz“, a ten dátum napíšte do ďalšej verzie poznámky.