Votre patron est payé pour prendre des décisions et être blâmé lorsque ses décisions s'avèrent erronées. En tant qu'employé responsable, il est de votre devoir de sensibiliser votre patron aux problèmes que vous voyez dans ses décisions. Mais quand ils décident de prendre le risque, vous êtes payé pour faire ce qu'ils disent.

Mais vous devez vous assurer que vous lui avez écrit un e-mail expliquant vos préoccupations. Si les choses tournent mal et que les gens commencent à chercher des boucs émissaires, vous pouvez retirer cet e-mail et dire "Ce n'est pas ma faute, je vous l'ai dit".

Points à prendre en considération:

• C'est vous qui implémentez les choses. Vous devriez être en mesure de dire à votre patron ce qui fonctionnera et ce qui ne fonctionnera pas.
• C'est votre patron qui est responsable des décisions prises en fonction de vos commentaires. Votre travail consiste à vous assurer que votre patron est tenu au courant des préoccupations / limitations.
• Peu importe si votre patron n'est pas averti en technologie. Ce n'est peut-être pas sa responsabilité. Il est de votre entière responsabilité de fournir la vision technique de la solution. Le travail de votre gestionnaire est de fournir l'angle commercial à la solution. À son tour, votre responsable peut obtenir ces scénarios de la part de votre utilisateur final.
• Dressez la liste de toutes les solutions et des failles dues à ces solutions. Si votre responsable souhaite aller de l'avant avec le échappatoires, ne vous inquiétez pas. La responsabilité incombe au gestionnaire.
• Capturez chaque préoccupation / limitation dans un e-mail. Si vous pensez que quelque chose que le client attend n'est peut-être pas la bonne chose à faire, faites-le savoir à votre responsable. Il peut revenir vers le client et lui faire part de la même chose (les clients n'ont pas toujours raison).
• Enfin, si votre responsable est sûr de l'approche à adopter (soit en raison des exigences de l'entreprise, soit en raison des exigences du client), vous devez aller de l'avant et le mettre en œuvre. Parfois, ce qui semble technologiquement parfait peut ne pas servir l’utilisateur final.

Permettez-moi de séparer cela en deux questions:

1 - Devez-vous faire ce que votre patron vous dit?

Oui.

En fin de compte, ils vous paient pour faire du travail. Prenez l'argent et faites le travail, ou ne prenez pas l'argent et ne faites pas le travail. Ce qu'il demande n'est ni contraire à l'éthique ni immoral, c'est juste imprudent.

La plupart des gens ne quitteront pas pour un ordre stupide, mais si vous n'avez vraiment aucune confiance dans la structure de commandement et sa capacité à faire des choses intelligentes , puis déterminez à quel point cela compte pour vous en termes de satisfaction professionnelle générale et si vous pouvez ou non prendre des mesures pour la changer.

2 - Dans un poste de travail axé sur les connaissances, est-il acceptable de question de la direction?

Oui - absolument.

Différents emplois fonctionnent différemment ici - par exemple, si vous étiez dans un secteur centré sur la réponse rapide (par exemple, le militaire, ou dans une salle d'urgence), puis interroger le chef dans des conditions de temps critique peut être une interdiction absolue.

Mais dans le travail des connaissances, on suppose généralement que les contributeurs individuels ont des compétences et une formation avancées et qu'ils faire des choix indépendants. Lorsqu'une directive de la direction va à l'encontre du bon sens de vos connaissances plus détaillées, il est juste de remettre en question la directive et de soulever des contre-points.

La clé ici est généralement que vous n'irez pas loin avec une négation pure et simple au lieu de cela, examinez des stratégies alternatives et suggérez une voie qui permet d'atteindre l'objectif, mais d'une meilleure manière. Et rassemblez des munitions qui sont formulées dans des concepts liés aux affaires, et non techniques. Dans cet exemple, en particulier, je suis d'accord avec vous - j'ai vu le verrouillage IP implémenté et cela a induit beaucoup de douleur et de souffrance. Mais le point que le patron a de l'absence d'accès à distance est juste du point de vue de la sécurité / des risques commerciaux.

Je commencerais donc par ce processus:

Obtenir les détails

Votre patron ou le grand patron comprend-il que vous pouvez accomplir très peu avec le verrouillage IP? Par exemple:

• les gens rapportent-ils leur ordinateur portable à la maison? Les fichiers peuvent-ils être téléchargés au travail sur l'ordinateur portable, puis ramenés à la maison?
• Le portail lui-même a-t-il des limitations afin que les données affichées sur le portail ne puissent être copiées sur un ordinateur portable / bureau?

Plutôt que l'angle technique, exprimez vos préoccupations d'une manière centrée sur la personne - par exemple, si j'étais était l'utilisateur et que je voulais travailler sur un rapport tard dans la nuit, je copiais les données du portail sur mon ordinateur portable, puis je travaillais de chez moi sur mon ordinateur portable une fois que les enfants se sont couchés ... est-ce possible ici?

Est-ce couvert par d'autres parties de l'entreprise? Dans quelle mesure le big boss veut-il prendre ces mesures de sécurité? Il est probable que vraiment contrôler cela coûtera plus cher qu'il ne le souhaite vraiment ...

Clarifier les ramifications en termes que les non-techniciens peuvent comprendre

Je soupçonne que la raison pour laquelle vous n'aimez pas cette solution est:

• difficile à administrer -> signifie que les utilisateurs auront plus de difficultés à se connecter la première fois, et tout changement dans le système au travail pourrait provoquer une panne lorsque les utilisateurs ne peuvent soudainement pas se connecter - en termes d'entreprise, cela pourrait entraîner de gros retards dans la satisfaction des besoins des clients.

• cher (parfois ) - y a-t-il un coût en termes de licence d'équipement ou d'autres fonctionnalités? L'argent est quelque chose que les utilisateurs professionnels comprennent. Prenez également en compte le temps nécessaire pour administrer - payez pour votre temps pendant que vous faites la maintenance plutôt que pour d'autres choses.

Offrez quelque chose de mieux

Trouvez une meilleure option qui donne au patron ce dont il a vraiment besoin à un prix inférieur à cette option. Il est difficile de discuter lorsque vous obtenez ce que vous voulez. Ne niez pas qu'il existe un problème ou un risque pour l'entreprise - c'est probablement là que le patron sait le mieux. Mais trouvez une meilleure stratégie, puis trouvez un moyen d'expliquer de manière non technologique pourquoi c'est mieux.

En tant que professionnel travaillant dans la profession d'InfoSec, je suis entièrement d'accord avec l'esprit de la demande de votre patron, mais pas nécessairement avec l'approche recommandée.

Votre patron essaie de limiter le nombre de personnes qui peuvent accéder les données produit de votre entreprise, en limitant l'accès aux seuls locaux de l'entreprise. Il s'agit d'une bonne pratique de sécurité, conforme au Principe du moindre privilège. Autoriser l'accès public sur Internet augmente inutilement l'exposition de l'entreprise au risque de divulgation non autorisée de données.

Outre la divulgation potentiellement non autorisée de données, il existe d'autres risques qui sont augmentés par autoriser l'accès public à Internet, tel que le risque de compromission du réseau interne par des menaces telles que les logiciels malveillants sur le périphérique informatique de l'utilisateur final. Vous n'avez pas indiqué explicitement la classification de sécurité des données, mais si les données sont sensibles, alors le patron a tout à fait raison de vouloir protéger les données dans la mesure du possible. Cependant, vous vous interrogez si la méthode proposée est la plus efficace est tout à fait appropriée et ** quelque chose que vous devriez faire.

Une connexion client sur l'Internet public est par défaut non approuvée et peut contenir toutes sortes des méchancetés que l'entreprise peut ne pas être en mesure de se permettre d'attaquer. À moins que la connexion que vous utilisez ne soit correctement cryptée, par exemple via un tunnel VPN correctement configuré utilisant un protocole de cryptage accepté par l'industrie (ex: SSH, IpSec, etc.), tout trafic circulant sur le lien peut être facilement reniflé sur le fil via l'homme dans l'attaque du milieu. De plus, à moins que vous n'ayez un certificat client, l'entreprise ne peut pas être certaine que votre machine est ce qu'elle prétend être.

Pour résumer, vous devez absolument suivre l'esprit de ce que veut votre responsable, mais pas nécessairement la façon dont il propose de le faire.

Il semble que le véritable objectif soit de sécuriser ce site en limitant les endroits où il est accessible. Ce sont les informations de l'entreprise, donc ils peuvent en faire ce qu'ils veulent.

Votre patron n'est pas techniquement averti, alors pourquoi ne vous assurez-vous pas de comprendre ce qu'il veut accomplir et demandez-vous si vous le pouvez essayer une autre solution? Sinon, je ne vois pas quel est le problème si vous implémentez la mauvaise solution technique et montrez ensuite que cela ne fonctionne pas. Si vous prévoyez beaucoup de problèmes pour annuler cette solution et mettre en œuvre autre chose, vous devez vous assurer que le patron comprend cela dès le départ.

Comme la plupart des gens l'ont indiqué: vous faites des suggestions, le patron prend des décisions et non l'un est parfait.

Je suggérerais de voir la restriction d'accès demandée et les détails techniques sur la façon de l'implémenter comme deux choses distinctes. Les gestionnaires demandent que l'accès au matériel ne soit possible qu'à partir d'une certaine adresse IP physique. Cela signifie souvent «à partir d'un emplacement physique spécifique». Je ne trouve pas du tout cela offensant. Si c'est ce que veut la direction, je suggère que c'est quelque chose à prendre comme une exigence concrète.L'étape suivante consiste à évaluer si leur suggestion technique de se verrouiller sur l'adresse IP est la meilleure. Si vous ne le pensez pas, donnez quelques arguments pour expliquer pourquoi ET le plus important; suggérer une solution qui à la fois remplit les conditions requises et est réalisable à accomplir.

Je suggère que si vous ne pouvez pas imaginer une solution alternative, continuez avec l'adresse IP. Si c'est le cas, assurez-vous de informez les responsables de tout problème de sécurité que vous pourriez avoir et demandez-leur de confirmer que c'est ce qu'ils veulent.

C'est pénible, mais parfois vous devez mettre en œuvre votre solution pour tenir compte des lacunes de vos patrons. Vous pouvez voir des choses qu'il ne peut pas. C'est bon. Plutôt que de faire le travail deux fois, installez une solution configurable. Dans la configuration "a", cela fonctionne comme le demande votre patron. Dans la configuration "b", cela fonctionne comme ils en auront besoin pour fonctionner quand ils comprendront qu'ils se sont accrochés. Basculez entre eux en utilisant un fichier de configuration quelque part. Voila.

Vous êtes le héros dans les deux cas - tant que vous êtes humble dans ce domaine.