Q. Che livello di accesso alla sicurezza dovrebbe avere un utente di computer per fare il suo lavoro?
A. Le misure di sicurezza sono un compromesso tra rischio e costo. Non c'è una soluzione "unica per tutti". Un semplice punto di partenza è mettere in relazione la sicurezza con la formazione - se non hai avuto la formazione, non hai l'accesso (e questo include i capi). Quanto fine sia l'accesso dipende dai fattori di rischio.
L'accesso di amministratore/radice in particolare dovrebbe essere dato solo a coloro che hanno sia la formazione che la responsabilità - una copia dei codici di accesso può essere la cassaforte dei capi nel caso in cui cambino il personale IT impiegato per fare il lavoro, ma una volta che si ha un'infrastruttura a più livelli, generalmente i direttori e il management superiore non dovrebbero avere accesso admin/root.
Per fare un esempio che mi è successo il secolo scorso, il preside di una scuola elementare ha dato ai suoi bambini la password di root in modo che potessero "giocare" mentre lui era occupato a lavorare - hanno distrutto abbastanza del sistema che il bibliotecario ha portato il sistema xenix al negozio di computer locale per una riparazione economica o per evitare l'imbarazzo, il negozio ha prontamente cancellato la "partizione dos corrotta" e installato dos (il sistema non stava eseguendo dos). Alla fine è costato molto alla biblioteca spedire il computer a noi per reinstallarlo completamente, ricaricare il loro backup vecchio di settimane e poi rimandarlo indietro per reinserire una settimana di lavoro.
Similmente il libro paga e altre informazioni personali devono essere tenute private per legge nella maggior parte dei paesi, e ci sono costi legali se si viene sorpresi a non farlo.
Le aziende devono decidere quali sono i rischi che si sta cercando di mitigare, quali sono i costi di un fallimento della sicurezza, e quanto è probabile che questi rischi si realizzino. Poi l'azienda deve prendere una decisione, preferibilmente con il feedback degli specialisti della sicurezza fisica e informatica e della loro compagnia di assicurazione su quale livello e mix di misure di sicurezza sia appropriato. Includo la compagnia di assicurazione perché il costo e la copertura della responsabilità pubblica e di altre assicurazioni possono essere influenzati da queste decisioni e quindi dovrebbero essere un fattore incluso.
Una delle grandi decisioni di implementazione è se si parte da un default di tutto ciò che è permesso o di tutto ciò che è proibito.
Sul lato dei costi, una buona sicurezza cade da qualche parte in una gamma tra un lieve fastidio fino a influenzare significativamente la produttività, così come il costo da implementare, monitorare e mantenere.
Per fare un esempio, uno dei miei clienti ha impiegato settimane e migliaia di dollari di tempo per capire chi avesse bisogno di cosa tra i 105 ruoli di sicurezza quando hanno effettuato l'aggiornamento ad AX 2012 [e non potevamo dare a tutti "Admin", perché avrebbe esposto il libro paga e altre informazioni riservate]. Sapevate che "waterspider", per esempio, era un ruolo di sicurezza con sei compiti secondari? Non lo sapevo! La maggior parte del personale finiva per avere circa 15 ruoli, e spesso lo capivamo solo facendo un reverse trace da ogni modulo e rapporto che usavano per vedere quali ruoli di sicurezza corrispondevano (e non si poteva semplicemente scegliere tutti i ruoli "manager" perché alcuni dei ruoli di lavoratore includevano mansioni e quindi l'accesso che i ruoli manager non concedevano). Ci sono voluti mesi prima che l'ultimo problema di autorizzazione fosse scoperto e risolto dopo il go live.
Allo stesso modo tutte le API esterne hanno dovuto essere esercitate e debuggate fino a quando non hanno smesso di innescare problemi di accesso su una delle migliaia di classi e oltre 6.000 tabelle, e poi agli utenti che utilizzavano software che usavano quelle API sono stati assegnati quei ruoli.