Celeritas
2016-01-10 07:02:02 UTC
Sto frequentando un corso progettato pensando alla certificazione CISSP. Sebbene la classe sia classificata come ingegneria del software, abbiamo parlato molto di sicurezza fisica e, in particolare, inondazioni, incendi, terremoti e auto che si imbattono in cose. Com'è questa sicurezza? Ad esempio, ci è stato detto che i data center sono più sicuri nel mezzo di un edificio perché se il tetto perdeva, la parte superiore non sarebbe stata sicura e l'acqua tendeva a scendere, quindi i piani inferiori sarebbero i primi ad allagarsi.
Questo è davvero un problema di sicurezza? Ad esempio, se il tetto perde, la colpa sarebbe dell'ingegnere, non dell'analista della sicurezza. Non assumeresti un analista della sicurezza per assicurarti che il tetto sia solido.
AGGIORNAMENTO: Inoltre, cose come avere dissuasori intorno a un edificio per proteggere i pedoni dalle auto, com'è questa sicurezza? Nessuno lo ha ancora spiegato davvero. Mi è stato detto che le risorse più preziose delle aziende sono i loro dipendenti, ma con questo ragionamento, cosa non è la sicurezza?
Se la disponibilità è così globale, cosa non fa parte della sicurezza?
Opinione personale, penso che sia un modo per farti pensare fuori dagli schemi, per così dire. Che è quello che dovresti fare in scenari di vita reale. La sicurezza delle informazioni non è limitata alla protezione digitale ma anche alla protezione fisica dei dati.
Applichi rapidamente la domanda di sicurezza fisica a un "analista". Il CISSP è per persone di sicurezza di livello superiore rispetto a quelle a livello di analista. Vuoi sapere perché il CISSP include i disastri naturali o perché un analista dovrebbe preoccuparsi?
Se il corso è progettato per il CISSP, non è un corso di ingegneria del software. La sicurezza delle informazioni include documenti cartacei, sicurezza personale, disponibilità di servizi, ecc
Ti interessa davvero cosa sta attaccando i tuoi dati? Fa differenza per te (e soprattutto per il modo in cui lo proteggi) se qualcuno sta intenzionalmente distruggendo il tuo data center o se si verifica un fenomeno meteorologico naturale?
"se il tetto perde, l'ingegnere sarebbe colpevole" ma se questo si traduce in un problema di sicurezza, la colpa è dell'analista della sicurezza. L'obiettivo non è trovare qualcuno da incolpare, ma mantenere le risorse disponibili e sicure. Il tuo obiettivo dovrebbe essere quello di considerare * ogni * possibilità. Se il tetto perde dovreste aver scritto da qualche parte che questo è un rischio che l'azienda è disposta ad accettare o che ha delle mitigazioni. Ma in ogni caso, è tuo compito averlo considerato!
@Josef 1) Non lo chiamerei biasimo, lo definirei ragionevole 2) Non era una misura di sicurezza in primo luogo avere un tetto che non perdeva quindi non sarebbe colpa dell'analista della sicurezza 3) in questo senso cosa non sarebbe la sicurezza?
Immagino che il mio punto sia, in uno scenario pratico, cosa farebbe più probabilmente un'azienda: assicurarsi di avere un tetto di buona qualità o pagare per computer impermeabili? Dal punto di vista della sicurezza, sembra che si parli di quest'ultimo, che non è conveniente.
Ovviamente si assicureranno di avere un tetto di buona qualità. Ma è ** tua responsabilità come analista della sicurezza ** assicurarti che il tetto sia buono. Con CISSP hai mangiato ** non ** un _computer guy_. Sei responsabile della ** sicurezza ** e il tetto, le porte, i muri ... ne fanno parte!
@Josef non richiederebbe una formazione in carpenteria o ingegneria strutturale e sarebbe meglio lasciare a quei tipi di professionisti? Inoltre, non esitare a smettere di usare punti esclamativi e lettere in grassetto.
@Celeritas No. Non è così che funziona la gestione! Devi decidere come deve essere il tetto, ricevere feedback dagli specialisti se necessario e poi incaricare uno specialista di farlo in questo modo! Se hai bisogno di una nuova connessione Internet, non ottieni nemmeno la pala, vero? Decidi tu come deve essere (larghezza di banda, tecnologia, due cavi in direzioni diverse per la ridondanza ...) e poi paga qualcuno per scavare e inserire il cavo! Ma non chiami nemmeno un ragazzo a caso e gli dici "portami Internet con la tua scavatrice".
@Celeritas per chiarire: con "assicurati che il tetto sia buono" non intendo dire che dovresti salire sul tetto e martellarlo o versare acqua e vedere se perde. Di solito assumeresti un professionista che ti garantisca (in un contratto scritto) che il tetto aderisce a determinati standard e può sostenere determinate quantità di pioggia e cosa no. Ma è tuo compito sollevare la questione e la direzione deciderà con il tuo contributo a quali standard deve aderire il tetto. Oppure ti dicono che non gli importa. Quindi ** lo scrivi **.
@Celeritas i dissuasori SONO per proteggere l'edificio, la sicurezza dei pedoni è un felice sottoprodotto. Esiste un tipo di crimine chiamato "raid ariete".
** La sicurezza non è solo "guardia" nel senso di "guardia di sicurezza" **
@Burgi è quello che pensavo, ma quando ho detto che in classe tutti hanno riso e hanno detto che è per la sicurezza dei pedoni.
Questo potrebbe aiutare la tua argomentazione: http://www.marshalls.co.uk/commercial/street-furniture/products/anti-ram-supermarket-bollard-webfa100039
Potresti provare a guardare le cose dal punto di vista di un datore di lavoro. Se ti rifiuti di fare cose che il datore di lavoro pensa siano una tua responsabilità, presto sarai un ex dipendente.
@gnasher729 hai frainteso: ho detto che un datore di lavoro è meno propenso a nominare un consulente per la sicurezza piuttosto che una sorta di operaio edile per cose come il tetto o la protezione antincendio.
@Celeritas Ovviamente è meglio assumere un operaio edile per la sicurezza degli edifici, uno strizzacervelli per il profilo psicologico dei dipendenti e un centinaio di professionisti in più. Ma chi assume queste persone? Il management superiore non vuole pensare a cento scenari e scoprire di cosa hanno bisogno le persone. Non hanno 100 problemi, hanno un unico requisito "99,9% di uptime" e assumeranno un solo ragazzo che lo garantirà. È compito di questo ragazzo trovare tutte le possibili cose che potrebbero andare storte e assumere specialisti. E quel ragazzo è il responsabile della sicurezza ;-)
Diciamo che un meteorite colpisce l'edificio e lo distrugge totalmente. Il tuo cliente si sarebbe aspettato che ti preparassi a tale eventualità (ad esempio con backup remoti). Se dici "Ah sì, i tuoi dati sono andati per sempre, ma tecnicamente non è un problema di sicurezza", quale pensi che sarà la loro reazione? Il mio sarebbe "Beh, non sembra che tu sia tenuto al sicuro se ora è andato per sempre".
Le categorie non esistono in natura, sono create dalle persone per le persone. La pianificazione dei disastri va di pari passo con la sicurezza perché le azioni necessarie per mitigarli vanno bene con le azioni richieste per fare la sicurezza (e in alcuni casi sono le stesse azioni).