Come "Responsabile IT" è ragionevole non avere accesso all'Email o alla gestione del backup in quanto potrebbe contenere informazioni sensibili

5

Lavoro per una società di medie dimensioni di circa 100 persone o giù di lì - e sono impiegato per essere responsabile IT per backup, sicurezza, risoluzione di problemi tecnici, ecc. ecc.

Tuttavia, i miei diritti di amministratore di Exchange di Office365 e l'accesso al backup sono stati rimossi dai direttori della società sulla base del fatto che "potevo accedere a informazioni personali riservate". (Qualcosa che non ho mai o non avrei fatto)

Credo che questo significhi che non si fida di me e che non riesco a svolgere correttamente il mio lavoro (come impostare nuovi utenti sui backup o configurare le e-mail) a causa di ciò e devo passare per un regista.

Questo è anche il motivo per cui non avranno una rete di dominio in quanto significa che avrei accesso a tutto e sarei l'unico che sa come risolvere un problema se le cose andassero male. Invece hanno macchine locali standalone in un gruppo di lavoro che ognuno ha il proprio PC come amministratore locale che nella mia testa è un incubo di sicurezza orribile dato che non posso fare alcuna gestione generale per aggiornamenti, sicurezza, controllo virus, installazione di applicazioni, controllo di dispositivi rogue sulla rete ecc.

Pensate che sia una cosa ragionevole da fare?

    
posta Jeff 24.07.2018 - 17:42
fonte

3 risposte

6

Sembra borderline pazzo.
Ci sono due problemi principali che sembrano essere trascurati dai direttori delle società:

  • Pianificazione della continuità operativa / ripristino di emergenza
  • Controlli di accesso basati sui ruoli

Senza qualcuno con diritti di amministratore sul server Exchange, come dovrebbero essere eseguiti i backup? Ogni utente è responsabile della creazione dei propri backup e-mail e della loro sicurezza nel caso in cui debbano essere ripristinati? Del resto, dato che non esiste una rete di domini, come si suppone che le workstation debbano essere sottoposte a backup / ripristino centralizzato in caso di errore? Ogni macchina diventa un singolo punto di errore e qualsiasi documento critico su di essi potrebbe essere perso per sempre se qualcosa va storto.

In secondo luogo, mettere ogni stazione di lavoro in un gruppo home richiede accesso improprio ai dati. Poiché ciascun utente è l'unico amministratore della propria workstation, essenzialmente possiede qualunque dato risieda su di esso. Non vi sarebbe nulla che impedisca loro di dare accesso ad altri dipendenti, indipendentemente dal fatto che tali dipendenti debbano avere o meno accesso. Questo potrebbe avere enormi conseguenze legali a seconda del tipo di attività che la tua azienda conduce e potrebbe valere la pena di portare al dipartimento legale.

Infine, poiché ogni utente è il padrone delle proprie workstation, il mantenimento di ogni rete a un livello minimo di sicurezza sarà praticamente impossibile. Qualsiasi software antivirus o di prevenzione della perdita dei dati può essere semplicemente disattivato o rimosso dall'utente, per non parlare di tutti i software potenzialmente dannosi che potrebbero finire per installarsi da soli. Se una macchina finisce per essere compromessa, è probabile che venga compromessa con l'accesso completo da parte di un amministratore su una rete senza controlli di accesso standardizzati e senza backup o opzioni di ripristino garantiti. In sostanza, un incubo di furto / danno / riscatto (o paradiso, a seconda della prospettiva).

    
risposta data 24.07.2018 - 18:05
fonte
3

Do you guys think this is a reasonable thing to do?

No, non se non c'è qualcos'altro in corso che non sei a conoscenza o stai lasciando fuori dalla descrizione.

Un esempio che spiega come un'azienda possa bloccare severamente l'accesso alle comunicazioni come l'email è se sono in discussione sull'acquisto / vendita / fusione con un'altra azienda. Lo stretto controllo di queste informazioni prima di un annuncio pubblico può prevenire un numero di problemi significativi.

I am employed to be Head of IT responsible for backups, security, sorting out technical issues, among other things

Chiaramente non sei "Responsabile IT" e non so se questa è la tua posizione attuale o un titolo che ti dai come parte di uno staff IT limitato (forse uno staff di uno). Chiaramente il (i) direttore (i) che prende le decisioni è il vero capo dell'IT. Se questo è il modo in cui la descrizione del tuo lavoro viene letta, allora hai bisogno di riscrivere la descrizione del tuo lavoro.

Personalmente non continuerei a lavorare in un luogo in cui una descrizione del lavoro è così e non ho i mezzi per svolgere il mio lavoro. Avrei dubbi che sarei il capro espiatorio se / quando i problemi risultassero. "Dice che nella descrizione del tuo lavoro sei responsabile per xxx, quindi l'errore è colpa tua."

I have had my Office365 Exchange admin rights and backup access removed by the company directors on grounds that I "could access sensitive personnel information"

Chiaramente con quell'accesso è possibile accedere alle informazioni sensibili. Questa è sempre una potenziale preoccupazione per l'assunzione di personale IT, ma per il personale IT per svolgere il proprio lavoro hanno bisogno di accesso. Ci deve essere un livello di fiducia nel personale IT commisurato alle loro aspettative di lavoro e una protezione sufficiente per l'azienda. Per esempio, io stesso ho spesso riscontrato che ottengo lo stesso (o più) addestramento sui problemi di privacy rispetto ai professionisti medici quando si lavora in un simile ambiente. In altri casi, era richiesta una verifica NDA e / o in background.

Tuttavia, sono curioso di sapere "Ho avuto ... accesso rimosso dai direttori della società". Sembra che tu abbia avuto accesso e che sia stato portato via. Questo non è qualcosa che normalmente si farebbe se non avessi fatto qualcosa per giustificare un tale cambiamento. Se non l'hai fatto, fai riferimento a qualche paragrafo sopra nella mia risposta, a partire da "Io personalmente non continuerei a lavorare ..."

I feel like this means they do not trust me, and that I cannot do my job properly

Se le responsabilità di lavoro che hai definito sono accurate e / o qualcos'altro non succede, no non lo fanno e no non puoi.

Tuttavia, forse vedono le tue responsabilità di lavoro in modo un po 'diverso e in quanto tali non credono che tu abbia bisogno dell'accesso che descrivi. Se questo è il caso, sii grato. Se non ho bisogno di accedere per svolgere il mio lavoro, preferirei non averlo. È difficile dare la colpa a qualcuno per cose come informazioni personali trapelate se non hanno accesso ad esso in primo luogo.

This is also the reason why they will not have a domain network as it means I would have access to everything and I would be the only one who knows how to sort a problem out if things went wrong.

Ah, um, wow? Cosa posso dire a questo? Così ragionato, spero che questa sia la traduzione frustrata della loro posizione.

Un dominio gestito e gestito correttamente può ridurre significativamente il rischio che qualcosa vada storto. Ciò include la corretta documentazione e formazione di un amministratore secondario o di backup (anche se la loro funzione principale di lavoro non è IT ... come il direttore di cui sopra forse?).

Soprattutto perché quella documentazione dovrebbe prevedere la pianificazione di un disastro e per una società piuttosto piccola raccomanderei di includere le informazioni di contatto per una risorsa di supporto di terze parti (società di servizi IT locale) per quando sei in vacanza e l'amministratore secondario è malato / feriti / morti.

Instead they have local standalone machines in a workgroup which everyone has their own PC as a local administrator which in my head is a horrible security nightmare as I cannot do any overall management for updates, security, virus checking, application installation, checking for rogue devices on the network

Avresti potuto semplicemente terminare questa frase dopo "incubo" e rimosso "nella mia testa". Di nuovo, sembra che tu non abbia il controllo dell'IT in alcun senso, tornando indietro non sei il "Responsabile IT" dell'azienda. Se tu fossi il "Responsabile IT", saresti in grado di prendere decisioni sul modo in cui l'IT opera per l'azienda.

La rete è sicura quanto il collegamento più debole e quando ogni individuo è responsabile della manutenzione e della sicurezza della propria workstation, non esiste uno standard per mantenere un livello minimo di sicurezza.

    
risposta data 25.07.2018 - 06:37
fonte
1

Il punto è qui:

I feel like this means they do not trust me, and that I cannot do my job properly

Avevo lavorato sia come sysadmin che come non manager IT, e in entrambi i casi avevo paura di ciò che un amministratore di sistema poteva vedere e fare. Il comportamento più comune è quello di ignorare questo punto: i dati altamente riservati vengono lasciati non crittografati sui server, con diritti di accesso rigorosi - tranne che qualsiasi membro del personale IT può anche accedervi ...

Stai solo affrontando il comportamento opposto, in cui i massimi dirigenti non sono autorizzati ad accedere ai loro dati riservati. Può avere senso, ma significa anche che non puoi proteggere e amministrare le loro macchine.

Se hanno condotto una vera analisi del rischio, e dopo di ciò che il rischio maggiore di perdita di dati è all'interno dell'organizzazione, una rete di macchine standalone in cui tutti sono amministratori locali potrebbe avere senso. Il reparto IT si è quindi occupato solo della sicurezza periferica (proxy e firewall), del supporto generale incluso storage e backup per dati a bassa sensibilità e consigli.

In un mondo reale, non posso immaginare sull'organizzazione in cui tutte le macchine dovrebbero funzionare da solo. I prerequisiti per questo sono dati altamente sensibili e al di sopra delle conoscenze di base sull'amministrazione e sulla sicurezza IT. Dalla mia esperienza, dovrebbero essere protetti solo i dirigenti più alti dal personale IT.

La mia opinione è che il modo corretto di gestire la domanda sia (come al solito quando si parla di sicurezza) un'analisi dei rischi. Se il capo afferma che la perdita di dati da parte del personale IT è un rischio, è necessario tenerne conto. E come specialista IT, devi anche avvertirlo degli altri rischi legati alle macchine in cui le patch di sicurezza non sono installate e dalle macchine in cui il proprietario è un amministratore locale. Una volta fatto questo, l'obiettivo è determinare quali minacce dovrebbero essere considerate e come mitigare al meglio i rischi non accettabili. Oggi tutti lo fanno non è efficace per convincere un dirigente esecutivo. Facendo ciò espone l'organizzazione a quella minaccia con quei possibili risultati generalmente parla più strong.

Dopotutto, la responsabilità generale è la loro. Puoi solo chiarire che cosa potresti fare e ciò a cui non sarai responsabile, se qualcun altro ha i privilegi di amministratore.

    
risposta data 25.07.2018 - 12:16
fonte

Leggi altre domande sui tag