आईएस प्रबंधक क्या बुरा करते हैं?

पिछले 6 वर्षों में मैंने सूचना सुरक्षा, आईटी जोखिम प्रबंधन और आईटी ऑडिट के क्षेत्रों में काम किया।

एक पेडेंट होने के नाते, मैं व्यक्तिगत प्रभावशीलता के मुद्दे से बहुत भ्रमित हूं और लगातार अपने काम के मुद्दों के ढांचे के भीतर इसे सुधारने के तरीकों की तलाश कर रहा हूं। इसमें प्रशिक्षण / प्रमाणीकरण शामिल है, जो आपको ज्ञान को व्यवस्थित करने और आम तौर पर मान्यता प्राप्त लोगों की तुलना में अपनी प्रथाओं का अंतराल विश्लेषण करने और ब्याज के सहयोगियों के साथ संचार करने की अनुमति देता है - कई वर्षों से मैं विभिन्न स्तरों पर सूचना सुरक्षा विशेषज्ञों के साथ परिचित हुआ हूं, तकनीकी सलाहकारों से लेकर शीर्ष तक बड़ी कंपनियों के प्रबंधक। लेकिन मेरे लिए सबसे बड़ा लाभ यह रहा है और अंत उपयोगकर्ताओं और प्रबंधकों से, अर्थात् व्यवसाय से प्रतिक्रिया ला रहा है।

IMHO, मैं अपने लिए आवंटित परिधि पर सूचना सुरक्षा को लोकप्रिय बनाने में कुछ सफलताओं को हासिल करने में कामयाब रहा (और कोई कम महत्वपूर्ण नहीं, सूचना सुरक्षा के स्तर को सुधारने में), एक ही समय में, मैं देखता हूं कि आईएस सेवा में विफल रहने वाले कुछ सहयोगी कैसे विफल हो जाते हैं। अब मैं आपको बताता हूँ कि जब आपको केवल 8 सरल चरणों में IS सेवा का प्रमुख नियुक्त किया गया है तो आप कैसे असफल हो सकते हैं। मैं आपको चेतावनी देता हूं कि खराब आईएस सेवा प्रबंधक के लिए एक वर्ष से अधिक समय लग सकता है, और आमतौर पर 10-12 साल।

1. कंपनी में व्यावसायिक कार्यों के मालिकों के साथ संवाद न करें।
एक व्यावसायिक फ़ंक्शन का मालिक एक शीर्ष प्रबंधक है जो व्यवसाय के किसी भी क्षेत्र के लिए जिम्मेदार है और तदनुसार, सभी अंतर्निहित जोखिमों को सहन करता है। उदाहरण के लिए, एक बैंक - खुदरा व्यापार के लिए कुछ डिप्टी चेयरमैन रिटेल के काम की देखरेख करते हैं, वह इस व्यवसाय फ़ंक्शन का मालिक है, वह इस बात का ध्यान नहीं रखता है कि फ्रंट-लाइन सिस्टम काम करता है, एक शाखा को खोलने में कितना समय लगता है और केवल कर्मचारी के लिए पासवर्ड रीसेट होने में कितना समय लगता है बिक्री के बिंदु पर। यदि आप फ्रंट-लाइन सिस्टम के दोष सहिष्णुता (उपलब्धता) को बढ़ाना चाहते हैं, तो बजट का समन्वय करने वाले लोगों में, शायद यह केवल वही होगा जो आपके तर्कों से प्रभावित होगा। एक अन्य बैंकिंग उदाहरण दूरस्थ सेवाओं के उपाध्यक्ष / उपाध्यक्ष हैं। इंटरनेट बैंकिंग प्रणाली के भाग्य की परवाह किसे नहीं है? आपके साथ गर्म आरक्षण और टोकन लाने के विचार को कौन आगे बढ़ाएगा? क्या आप जानते हैं कि आपके इंटरनेट बैंकिंग सर्वर को win2k पर क्यों होस्ट किया जाता है, और डोमेन एडमिन अकाउंट के तहत रेडमिन द्वारा प्रशासित किया जाता है?

2. आप कभी भी परियोजनाओं में भाग नहीं लेते हैं
यदि आप नहीं चाहते हैं कि सिस्टम के उत्पादन में जाने से पहले नियंत्रण और सुरक्षा सुविधाओं को लागू किया जाए, तो आईएस की आवश्यकताओं को अनदेखा करने का सबसे अच्छा समय परियोजना की शुरुआत है, उसी क्षण जब समय, बजट और अनुमानित वास्तुकला का ढोंग कर रहे हैं। परियोजना के कार्यान्वयन के पहले चरणों में जोखिम मूल्यांकन की अनुपस्थिति भविष्य में भारी सिरदर्द का कारण बनती है और स्थिति को क्रम में रखने की लागत को काफी बढ़ा देती है। लेकिन आप चीजों को क्रम में नहीं रखेंगे।

3. आप कभी भी आंतरिक ऑडिटर्स से आईएस की समस्याओं के बारे में बात नहीं करते हैं
आखिरकार, आप बेहतर जानते हैं कि कंपनी में क्या हो रहा है और आपको बाहर से एक स्वतंत्र दृष्टिकोण की आवश्यकता नहीं है।
और सबसे महत्वपूर्ण बात, आपको शीर्ष प्रबंधकों पर अतिरिक्त दबाव डालने के लिए किसी की आवश्यकता नहीं है, जिससे उन्हें आईटी \ आईएस जोखिमों को कम करने के लिए उपाय करने के लिए मजबूर होना पड़ेगा।

4. क्योंकि एक जोखिम-आधारित दृष्टिकोण केवल हस्तक्षेप करेगा
चूंकि यह 20 मिलियन के लिए DLP (डेटा रिसाव की रोकथाम) समाधान को लागू करने के लिए उसके साथ काम नहीं करेगा। (उपयोगकर्ताओं के पत्राचार पर नजर रखने और उन्हें VKontakte पर बैठने से प्रतिबंधित करने के लिए संपत्ति को 230 रूबल एक ट्रिफ़ल से बचाने के लिए)। आखिरकार, किससे, कोई फर्क नहीं पड़ता कि आप प्रेरणा और बढ़ती कर्मचारी निष्ठा के मुद्दों से कैसे निपटते हैं?

5. उपयोगकर्ताओं के साथ संवाद न करें
उपयोगकर्ताओं की राय महत्वपूर्ण नहीं है, क्योंकि वे सूचना सुरक्षा मुद्दों को नहीं समझते हैं और एक प्राथमिकता आपके विशेषज्ञ की राय के खिलाफ कुछ भी रचनात्मक पर आपत्ति नहीं कर सकती है।
आपके द्वारा शुरू किए गए परिवर्तन मजबूर करने वाले उपाय हैं जो कंपनी में सूचना सुरक्षा को बढ़ाते हैं, और श्रम उत्पादकता (निश्चित रूप से)।

6. सुरक्षा के लिए सुरक्षा लागू करें।
यो डॉग, मैं आपको डीएलपी पसंद करता हूं, इसलिए मैंने आपके डीएलपी में डीएलपी डाला।
बहुत सारे नियंत्रण नहीं हैं, इसलिए इंटरनेट से फ़ाइलों को डाउनलोड करने पर रोक लगाना अच्छा होगा। और प्रवेश लॉगिन और पासवर्ड द्वारा किया जाता है, निश्चित रूप से एक बार के एसएमएस पृष्ठों वाले पृष्ठों के बीच प्रत्येक संक्रमण की पुष्टि के साथ। लेकिन, केवल जिम्मेदार कर्मचारी द्वारा संचालन की पुष्टि के बाद (सुरक्षित में संग्रहीत एक कागज़ पत्रिका में दर्ज किया गया), जो, अपने कार्यस्थल के रास्ते पर, दो गेटवे से गुजरा, पांच बार एक पास प्रस्तुत किया, दो बार हस्ताक्षर किए और एक व्याख्यात्मक नोट लिखा, जैसे जब मैं एक्स-रे के माध्यम से चला गया तो मैं अपनी जेब से फ्लैश ड्राइव को निकालना भूल गया।
किसी को भी आपकी सूचना सुरक्षा नीति का उल्लंघन करने की अनुमति नहीं है!

7. कंपनी प्रबंधन के साथ नीतियों का समन्वय न करना
यदि आप कंपनी में आईबी की नीति तय नहीं कर सकते हैं, तो कौन? आखिरकार, आप एक विशेषज्ञ हैं, आपको सूचना सुरक्षा सुनिश्चित करने के लिए काम पर रखा गया था। यह सरल है - यदि आप चाहते थे कि आप व्यवसाय या उपयोगकर्ताओं के हितों को प्रतिबिंबित करें, तो आपको किसी अन्य पद के लिए काम पर रखा जाएगा।
इसलिए, इंटरनेट से नीति डाउनलोड करें, उसमें एक चुटकी लाठी जोड़ें और धीरे से मुख्य चीज़ के हस्ताक्षर पर इसे पर्ची करें।

8. अपने काम के परिणामों को प्रबंधन से छिपाएं
यदि भगवान ने मना किया है, तो आपको काम के परिणामों पर रिपोर्ट करने के लिए कहा जाएगा, तो नुस्खा सरल है। निम्नलिखित स्लाइड के साथ एक प्रस्तुति बनाएं:
- एंटीवायरस कंसोल से उतारना, अधिक संख्या - बेहतर। यह सबसे खतरनाक खतरों पर सबसे स्पष्ट डेटा है। 93.8% !!!
- फ्लैश ड्राइव के साथ घटना की जांच के परिणामों के साथ अध्यक्ष को संबोधित एक ज्ञापन, पत्र की लंबी श्रृंखलाओं से अधिक पाठ - बेहतर। एक व्याख्यात्मक संलग्न करना उचित है।
- दौरा किए गए संसाधनों और यातायात की खपत की एक सूची के साथ एक प्रॉक्सी के साथ लोड करना। दर्शकों के बीच गहरी दिलचस्पी जगाने के लिए, आपको लाल रंग में चिकना साइटों को उजागर करना चाहिए,

लेकिन बेकार बकवास में संलग्न न होने के लिए, यह पर्याप्त है:
- याद रखें कि सूचना सुरक्षा का एक महत्वपूर्ण हिस्सा केवल उपयोगकर्ता की चेतना पर निर्भर करता है (उसे प्रशिक्षित करने की आवश्यकता है, उसे मदद करने की आवश्यकता है, उसे सुनने की आवश्यकता है)
- कर्मचारियों और प्रबंधन के साथ संचार में खुला और सक्रिय रहें
- सूचना सुरक्षा प्रबंधन में शीर्ष प्रबंधन को शामिल करें, उन्हें दिलचस्पी लें और समर्थन प्राप्त करें।
- उन व्यवसाय को समझें जिनका आप बचाव करते हैं और समस्याओं के समाधान का प्रस्ताव रखते हैं (इससे पहले कि वे सामने आएं)
- उन संपत्तियों को समझें जिनकी आपको रक्षा करने की आवश्यकता है
- अनावश्यक नियंत्रणों के कार्यान्वयन पर संसाधनों को खर्च न करें। लागत लागू करने वाले घटक को याद रखें - यह अनुमान लगाने के लिए कि नई कार्यान्वित सुरक्षा प्रणाली की लागत कितनी है और घटना से संभावित मात्रात्मक क्षति क्या होगी।
- अपने कोकून में बंद न करें। यह संचार में सामान्य मित्रता और लागू आईएस समस्याओं को हल करने में अन्य इच्छुक प्रतिभागियों को आकर्षित करने की क्षमता पर लागू होता है (जैसा कि ऊपर दिए गए उदाहरण में ऑडिटिंग के साथ होता है, जिसमें अक्सर कंपनी में अधिक प्रभाव और स्वतंत्रता होती है)।
- सुलभ भाषा में संवाद का संचालन करें। उपयोगकर्ताओं के लिए, यह सामान्य लोगों की एक लंबे समय से भूल गई मानव भाषा है। प्रबंधन के लिए - पैसे की भाषा, यदि आप अपने जोखिम को कम करने की योजना को शीर्ष प्रबंधकों में से एक को बेच सकते हैं, तो वह पहले से ही इसे किसी को बेच देगा जो पैसे को सलाम करेगा।
- याद रखें कि सूचना सुरक्षा का एक महत्वपूर्ण हिस्सा केवल उपयोगकर्ता की चेतना पर निर्भर करता है (यह इतनी दृढ़ता से पकड़ता है)
- [बड़ी कंपनियों के लिए वास्तविक] सूचना सुरक्षा के क्षेत्र में प्रत्येक उपलब्धि को एक सुंदर आवरण में पैक किया जा सकता है और नेताओं में से एक को प्रस्तुत किया जाता है, वह बदले में, इस एक कदम को उच्च और इतने पर पेश करेगा। यह कॉर्पोरेट वातावरण में एक प्रभावी जीवन का एक अनिवार्य हिस्सा है जहां शीर्ष प्रबंधन आमतौर पर केवल समस्याओं और नकारात्मक को हल करके रहता है, और अपनी स्थिति बनाए रखने के लिए प्रयास करता है। यदि आप अपने नेता के लिए ऐसी मिठाई लाएंगे, तो यह बहुत संभव है कि वह आपके प्रस्तावों और निर्णयों को बढ़ावा देने के लिए प्रयास करेगा जो अधिक मिठाइयाँ उत्पन्न करेगा।

मुझे इस विषय पर चर्चा करने में खुशी होगी, इससे भी अधिक खुशी होगी अगर इस लेख में कोई अपनी गलतियों को देखता है और इसके बारे में सोचता है।