Disabilita l'accesso a Internet del PC di sviluppo per motivi di sicurezza

Prima di tutto, sono nel campo che pensa che questa sia una pessima idea. La sicurezza riguarda i trade-off, di solito si traduce in sicurezza potenziale contro la convenienza. Ma in un ambiente aziendale si tratta di costi. Il costo di un'influenza esterna potenzialmente dannosa nel codice sorgente (che nel migliore dei casi è dubbio) dovrebbe superare l'aumento dei costi di sviluppo, che sarà drammatico.

Il costo dell'errore di sicurezza non è un gioco tutto-o-niente; è possibile attenuare il costo dell'errore di sicurezza utilizzando tecniche e strumenti appropriati di controllo, backup, revisione del codice e SCM. Inoltre, queste tecniche aiutano anche altri problemi, non solo i problemi di sicurezza.

L'unica scusa per una tale politica dovrebbe essere una grossolana sottovalutazione dei costi che imporrebbe e una mancanza di comprensione per quanto riguarda le alternative. E un'azienda con questo tipo di disabilità gestionale non è una buona prospettiva di lavoro a lungo termine.

Ora, detto questo, posso pensare a un ambiente in cui tale politica sia perfettamente ragionevole. In particolare, molte aziende legate alla sicurezza (e in particolare gli appaltatori della sicurezza governativa) hanno un rosso-verde divisione su tutte le risorse. Il lato "rosso" è suscettibile di influenza esterna, mentre il lato "verde" è assolutamente isolato e autonomo in ogni modo. Nessuna connessione incrociata, nessun sistema condiviso, nessun codice condiviso, nessuna informazione condivisa.

In tale ambiente, lo sviluppo "verde" dovrebbe avvenire su una macchina che è disconnessa da Internet. Tuttavia, anche in tali ambienti, ci si aspetta che ogni impiegato / sviluppatore abbia due workstation, una rossa e una verde, in modo che l'empoloyee non sia completamente isolato da Internet.

In realtà penso che questa sia una grande idea se la società è disposta a spendere soldi per l'hardware e il networking per configurarlo correttamente. Anche uno sviluppatore dovrebbe probabilmente avere più di due macchine, ma questo è un altro problema; -)

Se metti due schede di rete nella macchina Internet, una per Internet e l'altra per connettersi alla macchina di sviluppo (rete isolata), puoi usare un programma come Mouse without Boarders per consentire allo sviluppatore di copiare e incollare i dati da un computer all'altro. Inoltre può anche copiare file da una macchina all'altra.

I vantaggi in termini di sicurezza sembrano superare di gran lunga l'inconveniente.

Un rapido controllo conferma che questo è in ISO 27002, sezione 11.4.5, quindi è certamente un legittimo controllo di sicurezza delle informazioni da attuare.

Indipendentemente dal fatto che sia appropriato in un caso specifico, dipende dalle circostanze esatte - il modello di minaccia, la valutazione del rischio, il rischio accettabile, il costo della misura in termini di produttività.

Non credo che Google o Facebook eseguano abitualmente questo genere di segregazione, però. Questo post di alcuni ex dipendenti afferma che gli ingegneri di Google in genere hanno due computer, ma possono eseguire lavori di sviluppo su entrambi e che gli ingegneri di Facebook hanno in genere una macchina.

Anche a me sembra dubbio. Mi chiedo se potrebbe essere meglio consentire allo sviluppatore di utilizzare Internet, ma firewall (quindi le connessioni in entrata sono bloccate) e con alcune precauzioni per evitare compromessi (ad esempio, aggiornamenti automatici, utilizzare un browser moderno, installare Secunia PSI, forse persino eseguire il browser o altri programmi che si affacciano su Internet in una VM se la società è sufficientemente interessata, forse persino acquistare lo sviluppatore su un Mac in modo da non essere soggetto a malware Windows).

Dal lato positivo, almeno il datore di lavoro fornisce un secondo PC per la connessione a Internet, piuttosto che provare a fingere che non sia necessario. E in generale, penso che gli sviluppatori dovrebbero cercare di lavorare con la compagnia nel miglior modo possibile.

Quali sono i motivi che dà il datore di lavoro?

Anche se sembra un'idea di sicurezza non irragionevole, come sviluppatore sarebbe come tagliare una mano! Faccio spesso riferimento a contenuti Internet come riferimento. Un'installazione predefinita di Visual Studio otterrà tutto il contenuto della guida da fonti online, inoltre utilizzo i server dei simboli MS che AFAIK non può essere installato localmente.
Consentire l'accesso a Internet da una workstation primaria per sviluppatori. Tramite un proxy in modo che possa essere monitorato. Se la società ritiene che l'accesso debba essere limitato, suggerirei di utilizzare il proxy per limitare i siti che possono essere visitati ai siti rilevanti per la tecnologia utilizzata.

Mazza per rompere un dado se me lo chiedi. Full disclosure Sono uno sviluppatore:)

Esistono molti altri controlli che possono essere implementati per consentire a un PC di sviluppo un accesso ragionevolmente sicuro a Internet, ad es. tutto il traffico attraverso un proxy Web che richiede l'autenticazione, detto blocco del proxy noto sito non valido o che non presenta reali vantaggi aziendali (anche se la definizione potrebbe essere complicata a seconda delle dimensioni e del tipo di attività in cui ti trovi).

I problemi con i PC degli sviluppatori in un ambiente aziendale tendono a venire dalla necessità di installare strumenti "wierd" e "wacky". Cercare di spiegare all'IT perché hai bisogno di wireshark come sviluppatore può essere complicato, al punto che diventa quasi più facile isolare i PC degli sviluppatori dalla rete aziendale e gestire la connessione in ingresso.