infowatch (infowatch) wrote,
infowatch
infowatch

Category:

ИБ и риторика

В политике безопасности одной компании содержалось положение, что служебный адрес электронной почты у каждого работника должен быть единственным (не ящик, а именно адрес, т.е. алиасы также запрещались). Разумеется, со временем появился такой работник (не рядовой, конечно), который поставил вопрос: «А почему, собственно? Какой смысл в этом ограничении?» И возжелал себе второй адрес.

Сотрудник службы защиты информации ему ответил, что это ради безопасности. Ведь необходимости в наличии нескольких адресов нет. А всё, что не является необходимым и полезным, запрещается. На это пользователь возразил: «А что страшного в наличии двух адресов? В чём тут уязвимость? Как злоумышленник может этим воспользоваться?» Работник отдела ЗИ стал морщить мозг и пытаться придумать ситуацию, когда из этого действительно проистекала бы некоторая угроза.


"Благодеяния, оказанные недостойному, я считаю злодеяниями"
М.Т.Цицерон
Его лепет прервал начальник отдела ЗИ, он сказал: «Отсутствие известной уязвимости – не аргумент для ослабления политики безопасности. Да, мы не знаем, как злоумышленник может воспользоваться той или иной фичей или настройкой. Но это не причина её открывать. Существенная (если не бОльшая) часть взломов происходила через уязвимость, которая не была на тот момент известна защитникам. Поэтому защищаться надо и от неизвестных уязвимостей.» Приведённые аргументы возымели действие.

Почему-то некоторые работники ИБ до сих пор ловятся на этот простой демагогический приём. «Как именно нас могут взломать через эту настройку (программу/канал/протокол)? Не знаете, как. Следовательно, никак. Значит, защита (ограничение/запрет/перепроверка) тут не нужна.» Ловятся и углубляются в спор по поводу того, какие именно методы может применить злоумышленник и при каких условиях. Вместо того, чтобы сразу отвергнуть подобную постановку вопроса.

Казалось бы, всё просто. Ничего принципиально нового ваш покорный слуга сейчас не сказал. Но признайтесь, вас на такой приём хоть раз ловили.




UPD для штатских. Политику безопасности принято строить по принципу "белого списка" (презумпции запрета). Из этого принципа вытекает: при рассмотрении каждого случая не требуется доказывать, почему "нет"; требуется доказывать, почему "да". Докажешь – политика будет изменена. Не докажешь – останется "нет".


Tags: оценка рисков, политика безопасности
Subscribe

  • Post a new comment

    Error

    default userpic

    Your IP address will be recorded 

    When you submit the form an invisible reCAPTCHA check will be performed.
    You must follow the Privacy Policy and Google Terms of use.
  • 46 comments