VPN risk raporu görmezden mi gelindi? Skoru değil, kararı yazın

Ciddiyet sıralamasıyla biten bir risk notu, yöneticiye bir hüküm verir ve hiçbir eylem vermez. Bu yüzden pek çoğu «teşekkürler, not aldım» ve başka hiçbir şey olmadan geri döner. Onaylanan notlar tek bir biçimi paylaşır: dar ve doğrulanabilir tek bir iddia, fiyatı olan iki adlandırılmış seçenek ve belirli bir tarihe kadar yanıt vermesi gereken bir kişi. Aşağıdakilerin hepsi, bildiğinizi abartmadan bu biçimi üretmekle ilgilidir.

Skor kimsenin sormadığı soruyu yanıtlar

Olasılık çarpı etki aritmetiği, bulguları birbirine göre sıralayan bir sayı üretir. Bu sayı bir direktöre neyi imzalayacağını söylemez ve ağ geçidi hakkında karar vermek yerine çarpan hakkında tartışmaya davet eder. İki ondalıklı bir maruziyet rakamının bütün bir toplantıyı yuttuğunu, asıl sorunun — bu çeyrekte yükseltmeye bütçe ayrılsın mı — ise sorulmadığını gördüm.

Bu alanda yalnızca birkaç gerçek karar var. Yükseltmeye bütçe ayırın, ilan edilen tarihe kadar sınırlı maruziyeti kabul edin ya da hizmete kimin erişebileceğini daraltın. Her birinin farklı bir sorumlusu ve farklı bir maliyeti var ve hiçbiri «riski yüzde 40 azaltın» değil.

Ciddiyet enflasyonu sorunu daha da kötüleştirir. Her bulgu kritik olduğunda sıralama ayırt etmeyi bırakır ve okuyucu geriye kalan tek sinyale, yani en yüksek sesle şikâyet edene döner. Sürümün destek dışı olduğunu, bunun destek dışı olduğu ikinci çeyrek olduğunu ve belirli bir personel grubunun ona bağımlı olduğunu söyleyen bir not, kırmızı bir rozetten çok daha uygulanabilirdir.

Belirsizlik diğer başarısızlıktır. «VPN güvenli değil» çözülemez, çünkü hangi kurulumun, hangi sürümün veya kimin neye erişebildiğini söylemez. Okuyucunun doğrulayabildiği cümle, yararlı bir raporun en küçük birimidir.

Birisi doğrulayabilene kadar iddiayı küçültün

İddiayı görüşe değil, yayımlanmış bir sınıra bağlayın. Satıcı desteğinin dışında olmak, zorunlu bir kimlik doğrulama adımının eksikliği veya görmemesi gereken bir ağ segmentinden erişilebilirlik, hepsi arkasında test olan iddialardır. Birincisi için test, ağ geçidinin kendisindeki üç komuttur:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Sürüm satırı ile paket sorgusu genellikle örtüşür ve örtüşmediklerinde ayrı bir raporu hak eden ikinci bir sorun bulmuşsunuzdur. Sertifikanın son kullanma tarihi, insanların istemciler bağlanamayıncaya kadar kontrol etmeyi unuttuğu alandır ve sürüm dizesiyle aynı kanıt ekinde yer alır.

Her çıktının nereden geldiğini ve ne zaman alındığını kaydedin. «Ağ geçidi gw1, salı toplandı» diyen bir notu şüpheci biri yeniden çalıştırabilir; ilginç satıra kadar kırpılmış bir ekran görüntüsünü çalıştıramaz. Dosya makinenizden ayrılmadan önce anahtarları, özel adresleri ve hesap adlarını kaldırın.

Notu adlandırılmış seçenekler arasında bir seçim olarak yazın

Karar notu kısadır çünkü tek bir iş yapar. Kullandığım biçim bu; uzaktan erişim sürümü destek dışına çıkmış kurgusal orta ölçekli bir kuruluş için doldurulmuştur:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Her satır yerini hak eder. Talep tek bir cümledir ve bir tarih içerir. İddia doğrulanabilir. Seçenek B, Seçenek A'nın formalite değil seçim olması için vardır ve istemcinin yeniden kurulumunu adlandırır çünkü insanların hafife aldığı maliyet budur. Beklemenin maliyeti bir olasılığı değil, bir sonucu anlatır.

Notun yapmaması gereken şey, destekleyemeyeceğiniz bir sonucu gizlice içeri sokmaktır. Herhangi bir ihlal gösterilmediyse bunu tek bir satırda söyleyin, çünkü sonradan bir abartı keşfeden okuyucu sizin sonraki üç notunuzu da iskonto eder.

Riskin kabulünün içermesi gerekenler

Kabul, bir kararın yokluğu değildir ve sessizlik de değildir. Yanıt bir süre maruziyetle yaşamaksa, notun üç eklemeye ihtiyacı vardır: bir bitiş tarihi, birinin gerçekten yaptığı bir izleme adımı ve tarih geldiğinde soruyu yeniden açan adı belirli bir kişi.

Geçici bir kontrol de aynı muameleyi gerektirir. Hizmeti daha küçük bir gruba sınırlamak, maruziyeti ancak kısıtlama bir yerde uygulanıyorsa ve birileri listeyi sürdürüyorsa azaltır. Gece toplu işini sessizce durduran bir blok kontrol değildir; daha iyi evrak işiyle gelen bir kesintidir.

Değişikliğin sahibi ile kararın sahibi farklı kişilerse bunları ayrı tutun. Platform ekibi yürütür; direktör kabul eder. İki adı da nota yazmak en yaygın tıkanmayı ortadan kaldırır: hiç görmediği bir kişiyi bekleyen iyi hazırlanmış bir plan.

Göndermeden önce notu kuruluma karşı doğrulayın

Birden fazla ağ geçidi olan kuruluşlarda iddialar kötü yaşlanır. Başka bir sürüm hakkındaki bir forum başlığından veya geçen ay yeniden kurulan bir ana bilgisayardan kopyalanan bulgu toplantıda çürütülür ve notun geri kalanı da onunla gider. Kanıtları notun adlandırdığı her ana bilgisayarda yeniden çalıştırın:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

İki ana bilgisayar uyuşmuyorsa not artık karışık bir filo hakkındadır; bu farklı ve genellikle daha ikna edici bir bulgudur. Trafiğe hizmet ettiğini düşündüğünüz bir ana bilgisayarda hizmet etkin değilse durun ve not bir yere gitmeden önce envanteri düzeltin.

Ardından çıktıyı ekleyin, karar tarihini konu satırına koyun ve notu tartışacak gruba değil «evet» diyebilecek kişiye gönderin. Yanıt «şimdi değil» olarak gelirse «şimdi» olacağı tarihi sorun ve o tarihi notun sonraki sürümüne yazın.