Звіт про ризик VPN проігноровано? Напишіть рішення, а не оцінку

Нотатка про ризик, що закінчується рейтингом серйозності, дає керівникові вирок і жодних дій. Тому так багато з них повертаються з «дякую, занотував» і більше ні з чим. Нотатки, які затверджують, мають одну форму: одне вузьке перевірюване твердження, два названі варіанти з ціною і людина, яка має відповісти до певної дати. Усе нижче — про створення цієї форми без перебільшення того, що ви знаєте.

Оцінка відповідає на запитання, якого ніхто не поставив

Арифметика ймовірності, помноженої на вплив, дає число, яке впорядковує знахідки одну щодо одної. Воно не каже директорові, що підписувати, і запрошує до суперечки про множник замість рішення про шлюз. Я бачив, як показник експозиції з двома знаками після коми поглинув цілу нараду, поки справжнє питання — чи фінансувати оновлення цього кварталу — так і не було поставлене.

У цій галузі є лише кілька справжніх рішень. Профінансуйте оновлення, прийміть обмежену експозицію до названої дати або зменште коло тих, хто може дістатися сервісу. Кожне має іншого відповідального та іншу ціну, і жодне не є «знизити ризик на 40 відсотків».

Інфляція серйозності погіршує проблему. Коли кожна знахідка критична, рейтинг перестає розрізняти, і читач повертається до єдиного сигналу, що залишився, — до того, хто скаржився найголосніше. Нотатка, у якій сказано, що випуск поза підтримкою, що це вже другий квартал поза підтримкою і що від нього залежить певна група працівників, набагато дієвіша за червоний значок.

Невизначеність — інша невдача. «VPN небезпечний» неможливо розв'язати, бо не сказано, яке розгортання, яка версія і хто до чого може дістатися. Речення, яке читач може перевірити, — мінімальна одиниця корисної доповіді.

Зменшуйте твердження, доки хтось не зможе його перевірити

Прив'яжіть твердження до опублікованої межі, а не до думки. Поза підтримкою постачальника, відсутній обов'язковий крок автентифікації або доступність із мережевого сегмента, який не повинен його бачити, — усі це твердження, за якими стоїть тест. Для першого тест — три команди на самому шлюзі:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Рядок версії та запит пакета зазвичай збігаються, а коли ні, ви знайшли другу проблему, варту окремої доповіді. Дата завершення сертифіката — це поле, про перевірку якого забувають, доки клієнти не перестають підключатися, і воно належить до того самого додатка з доказами, що й рядок випуску.

Запишіть, звідки взято кожен вивід і коли його зроблено. Нотатку «шлюз gw1, зібрано у вівторок» скептик може запустити знову; знімок екрана, обрізаний до цікавого рядка, — ні. Видаліть ключі, приватні адреси та імена облікових записів, перш ніж файл залишить вашу машину.

Напишіть нотатку як вибір між названими варіантами

Нотатка про рішення коротка, бо виконує одну роботу. Ось форма, яку я використовую, заповнена для вигаданої середньої організації, чий випуск віддаленого доступу вийшов із підтримки:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Кожен рядок заслуговує свого місця. Прохання — одне речення, і в ньому є дата. Твердження перевірюване. Варіант B існує для того, щоб варіант A був вибором, а не формальністю, і він називає перевстановлення клієнта, бо це та ціна, яку люди недооцінюють. Ціна очікування описує наслідок, а не ймовірність.

Нотатка не повинна протягувати висновок, який ви не можете обґрунтувати. Якщо компрометацію не показано, скажіть це одним рядком, бо читач, який згодом виявить перебільшення, знецінить і ваші наступні три нотатки.

Що має містити прийняття ризику

Прийняття — це не відсутність рішення і не мовчання. Якщо відповідь — якийсь час жити з експозицією, нотатці потрібні три доповнення: дата завершення, крок моніторингу, який хтось справді виконує, і названа людина, яка знову відкриває питання, коли дата настане.

Тимчасовий захід потребує такого самого підходу. Обмеження сервісу меншою групою знижує експозицію лише тоді, коли обмеження десь застосовується і хтось веде список. Блокування, яке тихо зупиняє нічне пакетне завдання, — це не захід, це збій із кращою документацією.

Тримайте власника зміни та власника рішення окремо, коли це різні люди. Команда платформи виконує; директор приймає. Запис обох імен у нотатці усуває найпоширенішу затримку — добре підготовлений план, що чекає на людину, яка його ніколи не бачила.

Перевірте нотатку щодо розгортання, перш ніж її надіслати

Твердження погано старіють в організаціях із кількома шлюзами. Знахідка, скопійована з гілки форуму про інший випуск або з хоста, перебудованого минулого місяця, буде оскаржена на нараді, і решта нотатки піде разом із нею. Проженіть докази знову на кожному хості, який називає нотатка:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Якщо два хости розходяться, нотатка тепер про змішаний парк, а це інша і зазвичай переконливіша знахідка. Якщо сервіс неактивний на хості, який ви вважали таким, що обслуговує трафік, зупиніться і виправте інвентар, перш ніж нотатка кудись піде.

Потім додайте вивід, поставте дату рішення в тему листа і надішліть його людині, яка може сказати «так», а не групі, яка обговорюватиме це. Якщо відповідь надходить як «не зараз», запитайте дату, коли це стане «зараз», і впишіть цю дату в наступну версію нотатки.