Błędy związane z kontrolą bezpieczeństwa, za które możesz zostać zwolniony

Kolosalny błąd nr 1: obniżenie istotnej funkcjonalności firmy

Jeśli obniżysz kluczową funkcjonalność firmy na dzień bądź dłużej, wdrażając nowy proces ochronny bądź instalując nowe urządzenie, zaczniesz rozsyłać swoje CV zanim jeszcze usterka zostanie naprawiona. Biznes to biznes.

Wniosek: dowiedz się, co ma kluczowe znaczenie w Twojej firmie i nie ingeruj w działanie tych procesów, chyba że brak działania wyrządzi jeszcze większe szkody.

Kolosalny błąd nr 10: obchodzenie się z każdą słabością tak, jakby miała to być ta „najgrosza”

Zawsze w systemie istnieje niezliczona ilość słabych miejsc, które często traktuje się jako te, które doprowadzą do załamania sieci i wszystkich systemów. Potrzeba doświadczenia i umiejętności, by rozpoznać, o co naprawdę trzeba się martwić. Jeśli będziesz panikował przy każdej luce systemu, zaczniesz być postrzegany jako ktoś, kto nie zna się na tym, co robi. Gdy zagrożenie naprawdę się pojawi, nikt nie weźmie Cię na poważnie. Co prawda, prawdopodobnie nikt nie zwolni Cię za sianie paniki, ale z pewnością będzie miało to wpływ na perspektywy awansu.

Wniosek: oceniaj słabości prawidłowo i uważaj, by nie zachwiać swojej wiarygodności wśród współpracowników.

Kolosalny błąd nr 2: blokowanie dostępu CEO do wszystkiego

Widziałem już CEO, którzy krzyczeli na swoich ekspertów ds. bezpieczeństwa tylko dlatego że musieli non stop wprowadzać nowe hasła, by zalogować się do komputera bądź do aplikacji wysokiego ryzyka. CEO chcą zazwyczaj po prostu otworzyć laptopa, kliknąć na odpowiednią ikonę i mieć od razu dostęp do wszystkiego, a nie ciągle martwić się o kwestie bezpieczeństwa. Każdy pracownik działu bezpieczeństwa, który pracuje bezpośrednio z CEO, może podzielić się podobnymi historiami.

Wniosek: zatroszcz się o to, by CEO miał do wszystkiego jak najwygodniejszy dostęp, nie rezygnując jednocześnie z odpowiedniej dawki bezpieczeństwa.

Kolosalny błąd nr 3: zignorowanie niebezpiecznego incydentu

W zarządzaniu chodzi przede wszystkim o cenienie wyżej funkcjonalności niż bezpieczeństwa – do momentu, gdy jakiś niebezpieczny incydent nie wpłynie na funkcjonowanie firmy. Wówczas następuje zwrot i firma zaczyna działać tak, jakby działała, gdyby ktoś grabił ich sejfy.

Wniosek: zdefiniuj krytyczne incydenty, które najbardziej wskazują na złośliwe działania i zawsze sprawdzaj, czy rzeczywiście mogą doprowadzić do niebezpiecznych wydarzeń. Nie możesz reagować na każdy fałszywy alarm; musisz po prostu określić, które mogą mieć nieprzyjemne konsekwencje i być w ich przypadku wyjątkowo ostrożny.

Kolosalny błąd nr 4: czytanie poufnych danych

Jeżeli to CEO jest królem firmy, administrator sieci jest królem sieci. Znam wielu administratorów, którzy wykorzystali już kilkakrotnie swój nieograniczony dostęp do danych, by zapoznać się z informacjami, do których nie powinni mieć wglądu. A tego nie powinno się robić.

Wniosek: nie korzystaj z dostępu do danych, na których czytanie nie masz pozwolenia; poradź osobom, które są za te dane odpowiedzialne, by odpowiednio je zaszyfrowały przy użyciu kluczy, do których nie masz dostępu.

Kolosalny błąd nr 5: naruszenie prywatności

Naruszenie czyjejś prywatności jest kolejnym sposobem na natychmiastowe zwolnienie, nieważne jak nieistotne wydaje się to być.

Wniosek: prywatność jest w dzisiejszych czasach jedną z wiodących kwestii bezpieczeństwa. Jeszcze kilka lat temu nikt nie widział problemu w tym, że admini, którzy mają dostęp do różnych systemów, rzucają czasem okiem na dane, do których nie są uprawnieni. Te czasy już minęły. W dzisiejszych systemach rejestrowany jest każdy pojedynczy akt dostępu – każdy pracownik powinien wiedzieć, że nieuprawione skorzystanie z danych będzie zauważone.

Kolosalny błąd nr 6: używanie prawdziwych danych przy badaniu systemów

Podczas testowania lub wdrażanie nowych systemów, trzeba zgromadzić lub stworzyć duże ilości danych. Jednym z najprostszych sposobów jest skopiowanie części rzeczywistych danych do systemu testowego. Do tej pory każdy tak robił. Jednak w chwili obecnej, jeśli użyjesz prawdziwych danych podczas badań, możesz popaść w poważne tarapaty, zwłaszcza jeśli zapomnisz o odpowiednich zasadach prywatności.

Wniosek: masz dwie opcje do wyboru – albo stwórz fałszywe dane do systemów testowych, albo postaraj się, by prawdziwe dane, których użyjesz, były odpowiednio zabezpieczone.

Kolosalny błąd nr 7: korzystanie z firmowego hasła na prywatnych stronach

Hakerom już wielokrotnie udało się włamać do systemów firmy, wykorzystując korporacyjne hasła używane przez pracowników na prywatnych kontach. Zazwyczaj wygląda to w następujący sposób: ofiara otrzymuje wiadomość e-mail z linkiem do popularnej strony internetowej (Facebook, Twitter, Instagram, itp.) lub hasło zostaje skradzione bezpośrednio z tej strony. Tak czy inaczej, haker otrzymuje dostęp do haseł, które są używane także w innych miejscach, gdzie znajdują się ważne dane dotyczące firmy.

Wniosek: upewnij się, że wszyscy pracownicy rozumieją ryzyko używania tych samych haseł na stronach prywatnych i korporacyjnych.

Kolosalny błąd nr 8: umożliwienie nielimitowanego dostępu

Byłbyś zaskoczony, gdybyś dowiedział się, ile zapór jest skonfigurowanych tak, by nie blokować żadnego ruchu – ani na zewnątrz, ani do wnętrza. Jest to tym bardziej ciekawe, ponieważ prawie wszystkie zapory zaczynają od najmniej przepuszczalnych uprawnień deny-by-default, a później nagle aplikacja przestaje działać. Po jakimś czasie ktoś zauważa, że to zapora jest przyczyną problemu, więc otwiera się nielimitowany dostęp, nie blokując żadnych działań ani z zewnątrz, ani z wewnątrz. Osoba, która się na to decyduje, chce zwykle tylko sprawdzić, jaką rolę w usterce odgrywa zapora.

Wniosek: nigdy nie zezwalaj nie nieograniczony dostęp.

Kolosalny błąd nr 9: niezmienianie haseł

Jednym z najczęstszych błędów, za które można zostać zwolnionym jest niezmienianie przez długi czas haseł administracyjnych. W prawie każdej firmie używa się wielu nieważnych, przestarzałych administratorskich haseł. Norma.

W każdym przewodniku konfiguracji zabezpieczeń komputera zaleca się zmianę haseł w rozsądnych odstępach czasowych, np. co 45-90 dni. Hasła administratorów powinny być zmieniane częściej i być jakościowo lepsze niż hasła użytkowników. W większości firm hasła adminów są długie i skomplikowane, ale zmienia je się bardzo rzadko.

Wniosek: co jakiś czas zmieniaj wszystkie hasła, zwłaszcza te do kont administratorskich. I zawsze natychmiast zmieniaj je po zwolnieniu jakiegoś pracownika. A dodatkowo, nigdy nie używaj kont administratorów, by wzmocnić swoje aplikacje.