Quante volte hai seguito una valutazione in cui ti chiedi "come diavolo sono passati l'anno scorso?" Posso dirti che lo vedo sempre come un QSA. I clienti lo odiano quando dico loro che hanno qualcosa di diverso, di portata più ampia, che costa di più, e impiega più tempo. Dico sempre: "Non so cosa sia successo l'anno scorso, ma indico il DSS e dico che è quello che devi fare.
Spesso mi chiedo se dovrei riportare il vecchio QSA, ma torno a; "Hanno usato il loro giudizio per passare la società, forse c'è qualcosa che non so." Come QSA usiamo il nostro giudizio per prendere decisioni in ogni momento. Potresti aver usato il tuo per far passare un cliente quando non soddisfaceva i requisiti della lettera, ma stava facendo un buon lavoro e il rischio era basso.
Personalmente ritengo che il tuo compito sia risolvere i problemi e dimenticare il passato - l'incidente della storia. Se il QSA fa questa cattiva pratica abbastanza spesso verranno catturati e perderanno la loro certificazione.
Mi proteggerò raccogliendo i fatti se la direzione decide di agire contro di te, ma il tuo compito ora è quello di risolvere il problema a portata di mano.
Ora,
Vai agli altri membri del gruppo esecutivo e racconta che vuoi usare un auditor diverso quest'anno, non la tua vecchia compagnia! In questo modo si evita il problema del "passaggio amichevole". Non farti incolpare del passato, perderai.
Basta dire: "Guarda, è stato un incidente storico, non mi interessa. Mi hai assunto per fare un lavoro. Ho bisogno di usare un auditor diverso per fare il lavoro correttamente ". Se non ti supportano, inizia a cercare un altro lavoro al più presto. Se la nuova compagnia chiede il perché - dice la verità senza esporre i nomi. Dì solo che la mia etica non mi consente di fare qualcosa che so è sbagliato. Mi trovavo in una posizione in cui sapevo che era davvero sbagliato ed era una situazione senza vittoria.
Data la tua esperienza, sai cosa deve essere fatto per proteggere l'azienda. Probabilmente i dirigenti saranno in grado di adattarsi, dato il tempo, le risorse necessarie per portare a termine il lavoro. Stendilo a freddo e se rifiutano, inizia a cercare un nuovo lavoro. Una volta che sei fuori, manda una lettera ai membri del consiglio di amministrazione facendogli sapere che hanno un problema nella gestione; lascia che si occupino degli exec come dovrebbe fare una buona tavola.
Se sei la terza persona nel ruolo, è probabile che la gente prima di te abbia tentato di fallire; hanno mostrato la porta o hanno smesso perché era insostenibile per loro. Dato che il regime attuale ha dimostrato di essere meno competente, potresti cercare un nuovo lavoro ora ed evitare la tempesta * & ^% che stai per avviare. Se cammini o vieni licenziato; devi mettere in guardia la tua squadra sui problemi e sulle possibili ripercussioni sulle loro carriere se dovesse accadere qualcosa di brutto alla società a causa di una culatta.
L'ingegnere in me dice di provare a metterlo fuori e risolvere il problema. Se ci riesci, hai una grande vittoria; il management ti rispetterà per aver fatto un duro lavoro; ma questo è ciò che ti sei iscritto. Il manager esperto in me dice di uscire subito prima di danneggiare il tuo operatore; ci sono molte altre buone aziende in cerca di gente come te.
Credo che aggiungerò questo; se le violazioni sono veramente flagranti; porte aperte, problemi di segmentazione, problemi di patching; nessun test PEN ... - roba che mette davvero a rischio l'azienda, dovresti segnalare il QSA. Non hai spiegato bene quanto siano state violente le violazioni; quindi usa il tuo giudizio qui. Stai attento che non sai cosa è successo l'anno scorso o gli anni precedenti.