Celeritas
2016-01-10 07:02:02 UTC
Biorę udział w kursie zaprojektowanym z myślą o certyfikacji CISSP. Chociaż ta klasa jest klasyfikowana jako inżynieria oprogramowania, dużo rozmawialiśmy o bezpieczeństwie fizycznym, w szczególności o powodziach, pożarach, trzęsieniach ziemi i zderzających się samochodach. Jak to jest z zabezpieczeniem? Na przykład powiedziano nam, że centra danych są najbezpieczniejsze w środku budynku, ponieważ gdyby dach przeciekał, dach nie byłby bezpieczny, a woda ma tendencję do spływania, więc niższe piętra byłyby pierwsze zalewane.
Czy to naprawdę problem dotyczący bezpieczeństwa? Na przykład, jeśli przecieka dach, winę ponosi inżynier, a nie analityk bezpieczeństwa. Nie zatrudniłbyś analityka ds. Bezpieczeństwa, który upewniłby się, że dach jest solidny.
AKTUALIZACJA: Poza tym, takie rzeczy jak posiadanie pachołków wokół budynku w celu ochrony pieszych przed samochodami, jak to jest? Nikt jeszcze tego nie wyjaśnił. Powiedziano mi, że najcenniejszymi zasobami firm są ich pracownicy, ale przy takim rozumowaniu czym nie jest bezpieczeństwo?
Jeśli dostępność jest tak obszerna, co nie jest częścią bezpieczeństwa?
Osobista opinia, myślę, że to dla nich sposób, aby skłonić cię do myślenia nieszablonowego, że tak powiem. Co trzeba zrobić w rzeczywistych scenariuszach. Bezpieczeństwo informacji nie ogranicza się do ochrony cyfrowej, ale także do fizycznej ochrony danych.
Szybko zadajesz fizyczne pytanie zabezpieczające „analitykowi”. CISSP jest przeznaczony dla osób o wyższym poziomie bezpieczeństwa niż osoby na poziomie analityków. Czy chcesz wiedzieć, dlaczego CISSP zawiera katastrofy naturalne lub dlaczego analityk powinien się tym przejmować?
Jeśli kurs jest przeznaczony dla CISSP, nie jest to kurs inżynierii oprogramowania. Bezpieczeństwo informacji obejmuje dokumenty papierowe, bezpieczeństwo osobiste, dostępność usług itp
Czy naprawdę obchodzi Cię, co atakuje Twoje dane? Czy ma dla Ciebie znaczenie (a co ważniejsze, sposób, w jaki je chronisz), czy ktoś celowo niszczy Twoje centrum danych lub czy jest to naturalne zjawisko pogodowe?
„Jeśli dach przecieka, winę ponosi inżynier”, ale jeśli spowoduje to jakiekolwiek problemy z bezpieczeństwem, winę ponosi analityk ds. bezpieczeństwa. Celem nie jest znalezienie kogoś, kogo można obwinić, ale zapewnienie dostępności i bezpieczeństwa zasobów. Twoim celem powinno być rozważenie * każdej * możliwości. Jeśli dach przecieka, powinieneś gdzieś napisać, że jest to ryzyko, które firma jest gotowa zaakceptować, lub zastosować środki łagodzące. Ale w każdym razie Twoim zadaniem jest to rozważyć!
@Josef 1) Nie nazwałbym tego winą, nazwałbym to rozsądnym 2) Przede wszystkim nie było środkiem bezpieczeństwa posiadanie szczelnego dachu, więc nie byłaby to wina analityka bezpieczeństwa 3) w tym wyczuć, co nie byłoby bezpieczeństwem?
Myślę, że w praktyce chodzi mi o to, co najprawdopodobniej zrobiłaby firma: upewnić się, że ma dach dobrej jakości, czy zapłacić za wodoodporne komputery? Z punktu widzenia bezpieczeństwa wydaje się, że mówimy o tym drugim, co nie jest opłacalne.
Oczywiście zadbają o dobry jakościowo dach. Ale Twoim obowiązkiem jako analityka bezpieczeństwa ** jest upewnienie się, że dach jest dobry. Z CISSP zjadłeś ** nie ** _komputera_. Odpowiadasz za ** bezpieczeństwo **, a dach, drzwi, ściany ... są tego częścią!
@Josef nie wymagałoby doświadczenia w stolarstwie lub inżynierii budowlanej i najlepiej pozostawić tego rodzaju profesjonalistom? Ponadto możesz przestać używać wykrzykników i pogrubionych liter.
@Celeritas Nie. Tak nie działa zarządzanie! Musisz zdecydować, jaki ma być dach, w razie potrzeby uzyskać informacje zwrotne od specjalistów, a następnie zlecić specjaliście wykonanie tego w ten sposób! Jeśli potrzebujesz nowego połączenia internetowego, nie dostajesz łopaty, prawda? Ty decydujesz, jak ma to wyglądać (przepustowość, technologia, dwa kable w różnych kierunkach do redundancji ...), a następnie płacisz komuś za wykopanie i włożenie kabla! Ale nie dzwonisz też po prostu do jakiegoś przypadkowego faceta i mówisz mu „daj mi internet swoją koparką”.
@Celeritas, aby to wyjaśnić: „Upewnij się, że dach jest dobry” Nie mam na myśli wchodzenia na dach i uderzania w niego młotkiem lub polewania go wodą i sprawdzania, czy przecieka. Zwykle zatrudnia się profesjonalistę, który gwarantuje (w pisemnej umowie), że dach spełnia określone normy i może wytrzymać określone ilości deszczu, a co nie. Ale Twoim zadaniem jest poruszyć ten problem, a kierownictwo zadecyduje z Twoim wkładem, jakie standardy musi spełniać dach. Albo mówią ci, że ich to nie obchodzi. Następnie ** zapisz to **.
@Celeritas słupki SĄ do ochrony budynku, bezpieczeństwo pieszych jest szczęśliwym produktem ubocznym. Istnieje rodzaj przestępstwa zwany „napadami na barany”.
** Bezpieczeństwo to nie tylko „ochrona” w znaczeniu „ochroniarz” **
@Burgi tak myślałem, ale kiedy powiedziałem, że w klasie wszyscy się śmiali i mówili, że to dla bezpieczeństwa pieszych.
To może pomóc w twojej argumentacji: http://www.marshalls.co.uk/commercial/street-furniture/products/anti-ram-supermarket-bollard-webfa100039
Możesz spróbować spojrzeć na sprawy z punktu widzenia pracodawcy. Jeśli odmówisz wykonywania czynności, które według pracodawcy należą do Ciebie, wkrótce zostaniesz byłym pracownikiem.
@gnasher729 źle zrozumiałeś: Powiedziałem, że pracodawca rzadziej zatrudni konsultanta ds. Bezpieczeństwa, a nie jakiegoś pracownika budowlanego na takie rzeczy, jak dach lub ochrona przeciwpożarowa.
@Celeritas Oczywiście najlepiej jest zatrudnić pracownika budowlanego do spraw bezpieczeństwa w budownictwie, psychiatrę do profilowania psychologicznego pracowników i stu innych fachowców. Ale kto zatrudnia tych ludzi? Wyższe kierownictwo nie chce myśleć o setkach scenariuszy i dowiedzieć się, jakich ludzi potrzebuje. Nie mają 100 problemów, mają jeden wymóg „99,9% czasu pracy” i zatrudnią jednego gościa, który to zagwarantuje. Zadaniem tego faceta jest znalezienie wszystkich możliwych rzeczy, które mogą pójść nie tak i zatrudnienie specjalistów. A ten facet jest kierownikiem ochrony ;-)
Powiedzmy, że meteoryt uderza w budynek i całkowicie go niszczy. Twój klient oczekiwałby, że przygotujesz się na taką ewentualność (np. Przy zdalnych kopiach zapasowych). Jeśli powiesz „Ach tak, Twoje dane przepadły na zawsze, ale z technicznego punktu widzenia nie jest to kwestia bezpieczeństwa”, jak myślisz, jaka będzie ich reakcja? Moje brzmiałoby: „Cóż, nie wygląda na to, żebyś był bezpieczny, jeśli teraz zniknie na zawsze”.
Kategorie nie istnieją w naturze, są tworzone przez ludzi dla ludzi. Planowanie katastrofy idzie w parze z bezpieczeństwem, ponieważ działania wymagane do ich złagodzenia są zgodne z działaniami wymaganymi do zapewnienia bezpieczeństwa (aw niektórych przypadkach są to te same działania).