Báo cáo rủi ro VPN bị bỏ qua? Hãy viết quyết định, không phải điểm số

Một ghi chú rủi ro kết thúc bằng xếp hạng mức độ nghiêm trọng trao cho người quản lý một phán quyết và không có hành động nào. Đó là lý do nhiều ghi chú quay lại với «cảm ơn, đã ghi nhận» và không gì khác. Những ghi chú được phê duyệt chia sẻ một hình dạng: một khẳng định hẹp có thể kiểm chứng, hai phương án có tên kèm chi phí, và một người phải trả lời trước một ngày cụ thể. Mọi thứ dưới đây nói về việc tạo ra hình dạng đó mà không phóng đại điều bạn biết.

Điểm số trả lời một câu hỏi không ai đặt ra

Số học xác suất nhân tác động tạo ra một con số sắp xếp các phát hiện với nhau. Nó không nói cho giám đốc biết phải ký gì, và mời gọi tranh luận về hệ số nhân thay vì quyết định về cổng kết nối. Tôi đã thấy một con số phơi nhiễm với hai chữ số thập phân nuốt trọn cả cuộc họp trong khi câu hỏi thật — có nên cấp ngân sách nâng cấp trong quý này không — không hề được nêu.

Chỉ có vài quyết định thật trong lĩnh vực này. Cấp ngân sách nâng cấp, chấp nhận phơi nhiễm có giới hạn đến một ngày đã nêu, hoặc thu hẹp ai có thể tiếp cận dịch vụ. Mỗi lựa chọn có người chịu trách nhiệm khác nhau và chi phí khác nhau, và không lựa chọn nào là «giảm rủi ro 40 phần trăm».

Lạm phát mức độ nghiêm trọng làm vấn đề tệ hơn. Khi mọi phát hiện đều nghiêm trọng, xếp hạng không còn phân biệt được và người đọc quay về tín hiệu duy nhất còn lại, là ai phàn nàn to nhất. Một ghi chú nói rằng bản phát hành đã hết hỗ trợ, đây là quý thứ hai nó hết hỗ trợ, và một nhóm nhân viên cụ thể phụ thuộc vào nó, có thể hành động được hơn nhiều so với một huy hiệu đỏ.

Sự mơ hồ là thất bại còn lại. «VPN không an toàn» không thể giải quyết, vì nó không nói triển khai nào, phiên bản nào, hay ai tiếp cận được cái gì. Một câu người đọc có thể kiểm chứng là đơn vị nhỏ nhất của một báo cáo hữu ích.

Thu nhỏ khẳng định cho đến khi ai đó có thể kiểm chứng

Neo khẳng định vào một ranh giới đã công bố, không phải vào ý kiến. Nằm ngoài hỗ trợ của nhà cung cấp, thiếu một bước xác thực bắt buộc, hoặc có thể tiếp cận từ một phân đoạn mạng không nên thấy nó — đều là những khẳng định có bài kiểm tra phía sau. Với điều đầu tiên, bài kiểm tra là ba lệnh trên chính cổng kết nối:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Dòng phiên bản và truy vấn gói thường khớp nhau, và khi không khớp, bạn đã tìm ra vấn đề thứ hai đáng một báo cáo riêng. Ngày hết hạn của chứng chỉ là trường mà người ta quên kiểm tra cho đến khi máy khách không kết nối được, và nó thuộc cùng tệp đính kèm bằng chứng với chuỗi phát hành.

Ghi lại mỗi đầu ra đến từ đâu và được lấy khi nào. Một ghi chú nói «cổng gw1, thu thập thứ Ba» thì người hoài nghi có thể chạy lại; một ảnh chụp màn hình cắt đến dòng thú vị thì không. Xóa khóa, địa chỉ riêng tư và tên tài khoản trước khi tệp rời khỏi máy của bạn.

Viết ghi chú như một lựa chọn giữa các phương án có tên

Một ghi chú quyết định ngắn vì nó làm một việc. Đây là hình dạng tôi dùng, được điền cho một tổ chức cỡ trung hư cấu mà bản phát hành truy cập từ xa đã hết hỗ trợ:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Mỗi dòng đều xứng đáng với chỗ của nó. Yêu cầu là một câu và có ngày tháng. Khẳng định có thể kiểm chứng. Phương án B tồn tại để phương án A là một lựa chọn chứ không phải thủ tục, và nó nêu việc cài đặt lại máy khách vì đó là chi phí mà người ta đánh giá thấp. Chi phí chờ đợi mô tả một hệ quả, không phải một xác suất.

Điều ghi chú không được làm là lén đưa vào một kết luận bạn không thể chống đỡ. Nếu chưa chứng minh được xâm nhập nào, hãy nói một dòng, vì người đọc về sau phát hiện sự phóng đại sẽ chiết khấu cả ba ghi chú tiếp theo của bạn.

Điều gì việc chấp nhận rủi ro phải bao gồm

Chấp nhận không phải là thiếu quyết định và không phải là im lặng. Nếu câu trả lời là sống chung với phơi nhiễm một thời gian, ghi chú cần ba bổ sung: một ngày kết thúc, một bước giám sát mà ai đó thực sự làm, và một người có tên mở lại câu hỏi khi ngày đó đến.

Kiểm soát tạm thời cũng cần cách xử lý tương tự. Giới hạn dịch vụ cho một nhóm nhỏ hơn chỉ giảm phơi nhiễm nếu giới hạn được thực thi ở đâu đó và ai đó duy trì danh sách. Một chặn âm thầm dừng công việc lô ban đêm không phải là kiểm soát, đó là sự cố với giấy tờ tốt hơn.

Tách người sở hữu thay đổi và người sở hữu quyết định khi họ là hai người khác nhau. Nhóm nền tảng thực thi; giám đốc chấp nhận. Viết cả hai tên vào ghi chú xóa bỏ tình trạng đình trệ phổ biến nhất, là một kế hoạch chuẩn bị tốt chờ một người chưa bao giờ thấy nó.

Kiểm chứng ghi chú với triển khai trước khi gửi

Các khẳng định lão hóa kém trong tổ chức có nhiều hơn một cổng kết nối. Một phát hiện sao chép từ luồng diễn đàn về bản phát hành khác, hoặc từ một máy chủ được dựng lại tháng trước, sẽ bị phản bác trong cuộc họp và phần còn lại của ghi chú ra đi cùng nó. Chạy lại bằng chứng trên mọi máy chủ mà ghi chú nêu tên:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Nếu hai máy chủ không khớp nhau, ghi chú giờ là về một đội hình hỗn hợp, đây là một phát hiện khác và thường thuyết phục hơn. Nếu dịch vụ không hoạt động trên máy chủ mà bạn tưởng đang phục vụ lưu lượng, hãy dừng lại và sửa bản kiểm kê trước khi ghi chú đi bất cứ đâu.

Sau đó đính kèm đầu ra, đặt ngày quyết định vào dòng chủ đề, và gửi cho người có thể nói có thay vì cho nhóm sẽ thảo luận về nó. Nếu câu trả lời quay lại là «không phải bây giờ», hãy hỏi ngày mà nó trở thành «bây giờ» và viết ngày đó vào phiên bản tiếp theo của ghi chú.