現代の企業のセキュリティ

まえがき

私は1つの大企業で開発者として働いています。 内部回路への侵入は、詐欺師にとってはちょっとした話です。 もちろん、同社にはセキュリティサービスがあります。 しかし、セキュリティサービスの仕組みとその効果は疑わしいです。

この記事では、自分の考えを共有し、現代のセキュリティサービスがどのように機能するか、そしてそれに対して何が期待されるかについての対話を求めたいと思います。

さらにSAT-セキュリティサービス

免責事項

私はSBの役員を怒らせたくありません。また、彼らに対する個人的な敵意、復ven、および彼らを中傷するつもりはありません。 さらに、私は彼らの仕事を尊重し、それを重要かつ非常に責任があると考えます。 私は自分の意見を表明しますが、これは誤った主観的なものです。

彼らと私たち

会社の従業員は通常、「セキュリティガード」と見なされ、通常の業務を非常に煩わしく妨害している部門と見なされます。 態度は無意味なものから非常に否定的なものに分散しています。 たとえ従業員が安全保障理事会の重要性を理解していても、 安全保障理事会は依然として彼の代わりに立ち、前進を「妨害」します。 すなわち 「彼らと私たち」には常に区分があります。

1 + 1 =負

安全保障理事会に対するこの態度が具体化している理由を理解してみましょう。

オディン

最初から始めましょう。 安全保障理事会の少なくとも1人の従業員に初めて会う前に、 安全保障理事会と協力しなければなりません。 雇われるために、彼らはアンケートを送り、あなたが安全保障理事会を通過する必要があると言います。 アンケートの質問は、クロスワードパズルのように解き、それらの意味を理解しようとするように設計されています。 同時に、ネガはすでに形成され始めています。なぜなら、この方法で記入しないと、アンケートをやり直す必要があるからです。

アンケートに記入し、 SBオフィサーまたはHRに記入するために必要な書類を準備するように人に依頼する方が論理的です。

まだ一人

アンケートに記入した後、面接自体を行う必要があります。 すべてではないにしても、 安全保障理事会の従業員のほとんどは、内務省、FSB、軍などから採用されています。 そしてどうやら彼らには行動規範があり、それを神聖に守っています。 私自身はこのコードを見ていませんでしたが、それらを見て、リバースエンジニアリングを行いました。回復したコードのいくつかのポイントを次に示します。

• 誰かが非難されなくても、誰もが非難される。
• 誰があなたの敵なのか
• 警備員は石の顔、石のような顔、より良い
• あなたが誰かと話しているとき、あなたはあなたが非常に重要で、忙しく、彼の幸せであること、あなたが彼と話したいと思ったことを理解するために対話者が必要です
• 敵と話さない方がいい
• 対談者を可能な限り屈辱すると、彼はあなたを恐れます
• 必要がなくても、必ず力を見せてください
• できるだけシンプルな音声システムは、言語のすべての豊かさを使用しないでください。 あなたのような忙しくて大切な人が余裕がある最大の長さは、1文につき5語です。
• 短い質問は短い答えでなければなりません。 対話者が詳細な方法で質問に答えようとする場合は、必ず中断してください。 これはスパイの秘密のトリックです。 第一に、彼はあなたの時間を費やし、第二に、あなたを混乱させたい、第三に、明らかに、彼は2つの言葉で答えることができないので、答えを知らない。

このコードによれば、たとえあなたが指定された時間に到着しても、あなたは待つでしょう。 すぐにここを離れることができますように、あなたは迎えられます。 彼らはここですべてがおもちゃではなく真剣であることを確実に思い出させます。 彼らは尋ねる必要のない質問をしますが、あなたがそれらに答えなければ、明らかにあなたは何かを隠しています。 司祭への告白はSBとのインタビューに比べて何もありません。

はい、もちろん、インタビュー中のSB役員の仕事は非常に難しく重要です。彼は明確なアイデアを作り、信頼できる人であるか否かを判断しなければなりません。 結局、彼が詐欺師/詐欺師の雇用に同意する場合、彼らはまず彼から尋ねます。そうでなければ、なぜ彼は給料をもらえますか？

もちろん、私は心理学の深い知識は持っていませんが、：

• 人はネガティブな環境で誠実で信頼できますか？
• 発言を許可されている人は、質問されたときよりも多く話すことはありませんか？
• 質問は対談者の話の過程で尋ねることができます。

私の主なメッセージは、インタビューは、カリスマ性のある有能な心理学者がリラックスした雰囲気の中で、可能な限り尋問と同様に行うべきだということです。
心理学者がセキュリティの分野で優れた専門家でない場合、本当の専門家は会話を観察し、ミラー、マイク、モニターを介して会話を調整することができます...とにかく。
おそらく、潜在的な従業員は、チェックポイントを除き、 セキュリティ担当者に出くわすことは決してないでしょう。これが彼を勝ち取る唯一のチャンスです。

他の企業ではどうなのかはわかりませんが、 安全保障理事会に対処しなければならなかった企業では、決定を下すために強制的な遅れが生じます。 これは通常、私がいつも考えているわけではありませんが、いくつかのインタビューの残りを終えた後に警告されます。 そして、このラグは誰にとっても同じように設定されています。どうやら彼らがどれほど忙しいのかをあなたに知らせるために、明らかにあなたは多くの人の一人です。

完全に一人で

さて、最後に、あなたは仕事をしていて、義務を果たし始めたいと思います、そして、ここであなたはおかしくなります、すべてがブロックされます、右へのステップ、左へのステップ-実行。 作業ツールではなく、非常に高価なタイプライターに直面しています。 アクセスが必要で、アプリケーションを作成し、必要性を正当化します。 Wi-Fiに接続する場合は、アプリケーションを作成し、必要性を正当化します。

会社によっては、職場を設定するためにまだ多くの承認を行う必要があることがわかります。

この問題は、 安全保障理事会ではなく、会社自体のプロセスの組織に関連している可能性が高く、それはすでに必要なすべてのフォーム、職場を組織するための申請書を人が働く前に作ることができます。

そしてそれは始まった

そして今、あなたの公式の義務を果たすために、あなたは絶えず安全保障理事会に対処しなければならないことが判明しました。 新しい機能を開発しています-SBと調整し、テストを記述し、データベースに接続する必要があります-SBと調整し、プロムに展開します-...そうですね。

もちろん、 安全保障理事会に対処する必要があるかどうかは責任に依存し、場合によっては安全保障理事会との協力が永続的である必要がありますが、プロセスは通常、自動化されません。
たとえば、ビジネスが新しい機能を開発し、提示する場合、 SBの従業員はそれに参加し、本質を掘り下げ、事前にセキュリティ問題を解決するのに役立つ必要があります。
従業員の仕事にSBとの絶え間ないコミュニケーションと連絡が必要な場合、 SB従業員自身が必要に応じてプロセスに参加するように、このプロセスを作成してください。 。 すなわち 新しい機能がロールアウトされ、 安全保障理事会はそれに関する通知を受け取ります。承認なしにロールアウトすることは不可能であるため、アプリケーションの形成の時間はなくなります。
ここでの私のメッセージは、 安全保障理事会の従業員はチームの一員であり、全員と平等に仕事をするべきであり、「仕事に干渉する人」ではなく、「仕事を助ける人」であることです。 人々は最終的に、安全に責任を持つ人々に直面して知るでしょう。

庭のすべて

安全保障理事会のセキュリティへのアプローチは非常に単純です。「すべての人にすべてを最初に禁止する」、聴聞会後にのみ許可します。
いいえ、もちろん、誰もが彼が安全規則を読んだと言って、違反の場合に責任を負う準備ができていると言っている紙に署名しました。 そして、ルールは10ページの契約の途中で小さな活字で書かれていませんでした（常に明確ではありませんが）。私がそれに署名したとき、誰も急いで気を散らしていませんでした。 しかし：

• 義務として、または学生心理学でテストに合格するために読まれたもの-合格し忘れた
• 正しいことを試みますが、住宅と公共サービスの支払いの領収書、購入したチケット、要約などを印刷します。 それでも同じように、それは必要です。彼らはあなたを解雇しませんよね？
• そして、それはあなただけではないことが判明し、他の人もそれを行い、あなたは悪化していませんか？ -群衆の心理学

当然、このアプローチは、全体主義国家があり、「犯罪」が厳しく処罰される場合に非常に効果的ですが、企業環境では機能しません。
あなたが仕事に来たとき、あなたはすべてのガジェットを渡し、通常の電話で行かなければならない会社があります。 しかし、もし会社が若い専門家がそこで働くことを望むならば、彼らは彼らに彼らのガジェットを手放すように彼らを説得するために彼らを非常にやる気にさせなければなりません。 ただし、これは極秘の軍事施設、または原子力発電所など、ハッキングが人命を脅かす施設にのみ適用する必要があります。 そして、それでも、このアプローチは紙面でより効果的です。 秘密の施設で軍隊に勤めた友人がいますが、それでも彼らはこれに目をつぶっていると言います。 Stuxnetウイルスの例を次に示します
安全保障理事会は、すべてを禁止せずに行動すべきであると思います。そうすることで、人々は仕事で望ましい快適さを達成するために禁止事項を回避する方法を考えず、人々は何かを克服する必要があると考えずに罰を受けることができるようにします。 すべての人に合ったルールを設定します。 これについては以下で詳しく説明します。

いくつのクラスを修了しましたか？

当然、従業員として有罪となるのは安全保障理事会だけではありません。 セキュリティの分野（サイバーと普通の両方）の人々のありふれた非識字は、ほとんどの間違いを犯します。
多くの人は、身に着けているガジェットが非常に生産性の高いコンピューターだとさえ考えていません。わずか15年前には、人々は大金を得ることができました。 一般的なコンピューター化と広範なアクセシビリティは、非常に速いペースで私たちの生活に入ってきました。 かつてはそうではなかったという事実についてさえ考えない世代の人々がすでに成長しています。
ガジェットについて何が言えますか。 周辺には、スマートホームや、インターネットを介して侵入できるものがあります。 1つの例を次に示します 。 コーヒーマシンを介してWannaCry 。
さらに、私を信じて、ハッカーはテレビからの発明と恐怖物語であると真剣に信じている人々がいます。

もちろん、企業は従業員間の情報の非識字をなくすためのトレーニングを実施しています。 そして、そのような作業は正式に行われますが、残念ながら、実際には存在しないほど正式に行われます。 情報セキュリティが最優先事項である非常に大きな金融会社であっても、事態は非常に悪いものです。 私の観察では、小さな会社ではこれはより厳密に行われ、時には棒を曲げます。
私は子供用のおもちゃを製造している会社で働かなければなりませんでしたが、ポリグラフを通さずに彼らはこの会社を取りませんでした。 子供のおもちゃ、カール！ どうやら、経営陣はすべてを独自に測定し、産業スパイを恐れていたため、これらの製品やその他の新製品をどこから入手したのか、理由がないわけではないという噂がありました。

主婦、秘書、会計士だけがサイバーセキュリティの知識がないと思いますか？ 残念ながら、プログラマーの中には、まったく考えない人がいます。 そうでない場合、ハッキングストーリーはそれほど頻繁に表示されません。

ある部門またはチームがアプリケーションのセキュリティを担当し、他のプログラマーが保護されているという事実に基づいて開発する場合があります。 つまり、アプリケーションの別のレイヤーにあります。 原則として、小規模なアプリケーションがあり、ハッキングのリスクが許容できる場合、このアプローチはある程度正当化できます。 しかし、個人的には、 安全保障理事会の従業員は少な​​くとも各リリースのレビュアーとして立つべきだと思います。

しかし、包括的に、私は完全に異なるアプローチがあるべきだと信じています。 各プログラマーは、テスト/セキュリティコースを十分に理解して合格し、少なくとも、自分のプログラミング言語で使用される最も一般的なハッキング方法をすべて知っている必要がありますが、会社自体は定期的に会議やトレーニングを実施し、許可しないでください確立された最小値を持たない人を開発する。

また、従業員だけでなく、ハッカーが関心を持っている会社のパートナーのシステムに侵入することは簡単です。これはセキュリティが平凡です。 ハッカーグループCobalt

吸盤はマンモスではありません、吸盤は死なないでしょう

調査によると、ハッキングの最も一般的で成功した方法は、システムではなく人です。 専門家が開発したシステムに侵入するよりも、教育を受けた人をだます方がはるかに簡単です。 ハッカー誌

リスト全体を発表してください！

それは何ですか？

• 企業のSBは非常に「類似」しているため、 SBの仕事の必要性、有用性、重要性全体を理解していても、従業員自身とそのプロセスは継続的な否定を引き起こすような方法で構築されています。
• ほとんどの人は、セキュリティに関して平凡な非識字を持っています
• セキュリティトレーニングプロセスが正式に構築されているため、実質的に意味がありません

百メートル後、右折します

企業のセキュリティプロセスを構築する方法

第一に

会社の一部であるようにSBを再構築し、誰もが近くのどこかに座っているSBの人に近づき、アプリケーションを作成せずに、そして話し合った後、理解できない手紙に対処したり、エキサイティングなセキュリティ問題について相談したりできるようにする必要があります彼らは屈辱を感じません。

第二に

職務と責任を考慮に入れて、すべての従業員に対して社内での定期的なセキュリティトレーニングが必要です。
当然、デジタル技術の頂点にいるプログラマーにとって、トレーニングに対する根本的に異なるアプローチが秘書とは異なります。

第三に

トレーニングは可能な限り形式的ではなく、インタラクティブな方法で興味深いトレーニングを行う必要があります。そのため、知識を受け取った人は他の人と共有し、完了して忘れないようにします。

第四

禁止するのではなく、従業員が会社のセキュリティを形成するプロセスに自発的に参加する方法を見つける必要があります。

そのため、たとえば、会社は、従業員が働いている会社内で使用されるすべてのガジェットとシステムでアンチウイルスソフトウェアの支払いを原始的に提供する場合があります。 従業員がVPNを介してネットワークに接続する場合、「清潔な」職場を確保する必要があります。

ワークステーションでインターネットにアクセスできる場合、アクセスはオープンかつ透過的でなければなりませんが、安全な環境で実行する必要があります。 ですから、私が働いている会社の中には、安全なインターネット、リモートマシンで実行する特別に設計されたブラウザなどがあり、何か問題が発生しても動作するマシンでは動作しません。 このアプローチは非常に有望であると考えていますが、現在の実装でこのようなブラウザを使用して作業することは非常に不便です。

おわりに

今日の世界では、禁止によるセキュリティの提供は非常に非効率的な方法です。
従業員の教育と、各従業員と安全保障理事会との相互作用に基づいて、まったく異なるアプローチが必要です。
最大の脆弱性は人間の愚かさであるため、非識字を排除するシステムを開発および実装できる企業のみが効果的な保護方法を実現できます。

セキュリティレベルを開発する場合、従業員の快適な労働条件を考慮することが不可欠です。 人がソーシャルネットワークにアクセスする必要がある場合、これを禁止する方法ではなく、ソーシャルネットワークを安全に使用する機会を与える方法について考える必要があります。 従業員を訓練する方が、 SBの人員を膨らませ続けるより簡単です。

また、セキュリティの編成方法についても考えますが、記事が大きすぎることが判明しました。 もしこの記事が 読む 人気。

トピックに関する役立つリンク：

• この記事を書いているときに私の手に落ちたポッドキャストは、私を大いに助けてくれました。 ヴァシリーディアギレフ（チェックポイントセキュリティ）
• コーヒーマシンでWannaCry
• ハッカーグループCobalt
• ハッカー誌