Question:
Est-il normal qu'un administrateur système connaisse le mot de passe d'un nouveau venu / agisse en tant qu'utilisateur (immédiatement après son recrutement)?
Diego Pascotto
2018-11-21 16:08:46 UTC
view on stackexchange narkive permalink

En quelque sorte lié à cette autre question. Je traite le cas suivant: une entreprise de taille moyenne à grande (avec environ 200 employés sur site) applique la procédure suivante pour tous les employés nouvellement recrutés (juste avant leur premier jour dans l'entreprise):

  • ils génèrent un mot de passe pour l'utilisateur (PAS une modification à la première connexion)
  • ils se connectent sur leur ordinateur portable (se faisant passer pour l'utilisateur final)
  • ils appliquent certains configuration (par exemple, ils accèdent à leur messagerie Outlook pour vérifier que tout fonctionne)
  • ils modifient à nouveau le mot de passe (cette fois avec un changement à la première connexion)
  • le ordinateur portable est livré à l'utilisateur

Il semble que cette procédure soit assez courante également dans les entreprises informatiques.

Je ne peux pas dire si la configuration initiale, "au nom de user ", est absolument nécessaire ou simplement dictée par des raisons de commodité (un ordinateur portable entièrement fonctionnel est livré à un utilisateur non informatique, évitant ainsi de nombreuses demandes au service informatique pour résoudre les problèmes courants), mais il y a quelques éléments qui sentent: p>

  • si je ne devais jamais indiquer mon mot de passe à un administrateur (car il a été répondu à la question citée), il n'y a aucune raison pour qu'un administrateur connaisse mon mot de passe, même au tout début de mon travail dans cette entreprise
  • I peut accepter qu'un administrateur connaisse mon mot de passe (quand il crée mon compte pour la première fois ou quand il le réinitialise) à condition qu'il s'agisse d'un mot de passe de changement à la première connexion (afin que je dispose de la preuve qu'il n'a pas été utilisé auparavant). Je soupçonne de toute façon que la plupart des systèmes hérités (comme AD) permettent aux administrateurs de réinitialiser les mots de passe avec une grande liberté (par exemple, définir les mots de passe sans avertir l'utilisateur, ou sans les forcer à définir un changement à la première connexion). Est-ce une pratique acceptée? Cela semble complètement différent de ce qui se passe par exemple dans Google (personne ne connaît mon mot de passe, si une activité est détectée, je suis notifié).

Edit: pour répondre à de nombreux commentaires affirmant que "l'ordinateur n'est pas le vôtre, c'est l'ordinateur de l'employeur, vous ne devriez pas avoir d'informations personnelles sur l'ordinateur de l'entreprise", je tiens à préciser qu'il ne s'agit pas de informations personnelles, mais des informations réservées concernant l'activité de l'entreprise. Donc, s'il est correct que je ne devrais pas utiliser l'e-mail de mon entreprise pour recevoir les résultats de mes analyses de sang de mon médecin, il est parfaitement courant que des informations réservées sur l'entreprise soient échangées entre l'employé A et l'employé B.

Lorsque l'ordinateur est joint au domaine et qu'un logiciel MDM est installé, les administrateurs du domaine peuvent toujours modifier les mots de passe et, selon la configuration, ils peuvent également lire et modifier tous les fichiers stockés sans se connecter en tant qu'utilisateur.Tant qu'ils ne connaissent pas un mot de passe que l'employé pourrait utiliser ailleurs, ils n'obtiennent pas plus d'accès ici qu'ils n'en ont probablement déjà.
J.A.K., donc la seule raison pour ne pas dire mon mot de passe à un administrateur est qu'il pourrait accéder à un autre système (si j'utilise le même mot de passe pour l'accès Web de ma banque, disons)?
Non - une fois que les données ont été associées au compte, ils peuvent y accéder sans que cela soit enregistré comme accès administrateur.Dans le scénario ci-dessus, les journaux afficheraient la génération de la modification lors de la première utilisation du mot de passe, et les actions antérieures pourraient être attribuées à l'administrateur.Les actions après la modification du mot de passe peuvent également être attribuées à l'utilisateur.Si vous aviez indiqué le nouveau mot de passe à l'administrateur, cette attribution dans les fichiers journaux ne s'appliquerait plus.Un autre risque est que ce n'est pas réellement l'administrateur qui le demande - un véritable administrateur n'aura pas besoin du mot de passe dans un système sensible.
@DiegoPascotto Non. Comme je l'ai dit dans ma réponse, cette règle est faite parce que les administrateurs ne doivent pas accéder à vos données confidentielles associées à votre compte telles que le courrier.Il n'y a pas de données associées sur le compte à ce stade.
@KolappanNathan Mais ils peuvent accéder au 'mail ... Ils ne peuvent pas sans preuve dans un système sain d'esprit, mais l'administrateur système pourrait presque certainement accéder aux données nécessaires pour reconstruire la boîte de réception.
@wizzwizz4: En tant qu'administrateur système, je peux lire toutes les données sans laisser aucune preuve des systèmes de production.Laissez cela pénétrer. En tant qu'administrateur système, j'ai la capacité de modifier le système d'exploitation et d'effacer les entrées de journal à volonté, mais je n'ai rien de tout cela, mais je ne fais que devenir l'agent de sauvegarde et lire les fichiers à volonté.
@wizzwizz4 sauf si vous sous-traitez votre système de messagerie à un tiers, il y aura toujours une personne qui travaille à un niveau qui peut accéder à la boîte aux lettres sans laisser aucune trace de preuve que vous pouvez voir (ou qui peut falsifier ou désactiver les journaux si elle le souhaiteà).Si vous sous-traitez à un tiers, cet administrateur système ne fonctionne tout simplement pas pour vous.La seule façon de se protéger contre cela est d'exiger un cryptage côté client pour tous les e-mails, même si cela entraînera toujours une fuite de métadonnées (qui envoie à qui et quand).
@Joshua Il devrait sûrement y avoir un journal de toutes les commandes, y compris la commande "désactiver le journal", envoyé à un serveur protégé que vous ne contrôlez pas?
Pour ceux qui discutent de l'automatisation, vous vivez probablement dans un monde de rêve.Au moins puisque les vendeurs d'ordinateurs portables commencent à utiliser du matériel différent en fonction du prix de la même série d'ordinateurs portables, il n'y a aucune garantie qu'une image fonctionnera sur un autre ordinateur portable avec la même configuration.Et s'il y a une myriade d'autres pièges, où un certain nom d'utilisateur, une mise à jour de Windows, une combinaison de rôles, ... pourraient conduire à de nouveaux problèmes sur le "même" matériel avec la "même" configuration automatique.
@wizzwizz4: Je ne suis pas si ridicule que de désactiver les journaux en exécutant la commande pour désactiver les journaux.C'est plus comme "a commencé mmc.exe avec un jeton élevé".
Très très très gros problème.Il existe rarement un paramètre pour "changement à la première connexion".C'est "change-at - *** NEXT *** - use".Dans Windows, votre scénario de mot de passe principal, vous, en tant qu'utilisateur final, ne sauriez pas si quelqu'un s'est déjà connecté avec ce mot de passe.Un administrateur peut définir cela sur votre mot de passe actuel demain et vous ne le sauriez pas.
@DiegoPascotto en ce qui concerne votre modification.lorsque l'administrateur système a été embauché, une partie de cela était de leur faire confiance avec le type d'informations que vous décrivez.parce que le gars qui installe vos systèmes ou celui qui gère votre réseau ou qui exécute vos e-mails pouvait tout voler de toute façon, ils ont été embauchés sur la base qu'ils ne le feraient pas.
Ne vous faites jamais passer pour un utilisateur.Après avoir créé un compte pour un nouvel utilisateur, il est de pratique courante pour un nouvel utilisateur de se connecter aux comptes matériels, logiciels et assignés.Lors de cette opération, le profil est créé sur l'ordinateur.Bien entendu, l'administrateur système doit configurer l'utilisateur pour qu'il change le mot de passe après s'être connecté avec succès pour la première fois.Quoi qu'il en soit, il est important pour le nouvel utilisateur de configurer ses paramètres, configurations, personnalisations, etc. lorsqu'il se connecte à tout.La triade CIA (confidentialité, intégrité et disponibilité) est immédiatement violée lorsque vous usurpez l'identité d'un utilisateur.
Quel est le problème ici?"Hey, pourquoi Nick le nouveau gars a-t-il supprimé la base de données prod? Et pourquoi l'a-t-il fait deux jours avant de commencer à travailler ici?"
Dix réponses:
Kolappan N
2018-11-21 17:05:48 UTC
view on stackexchange narkive permalink

Si je ne devais jamais dire mon mot de passe à un administrateur (car il a été répondu à la question citée), il n'y a aucune raison pour qu'un administrateur connaisse mon mot de passe même au tout début de mon travail dans cette entreprise

L'une des principales raisons de cette règle est que les administrateurs ne doivent pas accéder à vos données confidentielles telles que les e-mails, etc ... Puisqu'il n'y a aucune donnée associée au compte au tout début, ce n'est pas un problème.

ils génèrent un mot de passe pour l'utilisateur (PAS un mot de passe à changement à la première connexion)

L'utilisation d'un mot de passe de connexion unique demandez un mot de passe normal avant de pouvoir modifier la configuration. Un mot de passe est donc nécessaire avant d'accéder à la configuration.

Je soupçonne de toute façon que la plupart des systèmes hérités permettent aux administrateurs de réinitialiser les mots de passe avec une grande liberté. Est-ce une pratique acceptée?

C'est une pratique acceptée. Pas d'anciens systèmes, mais des systèmes plus récents comme Office 365 permettent également aux administrateurs de réinitialiser le mot de passe des utilisateurs sans en avertir l'utilisateur. Cependant, de telles réinitialisations sont enregistrées dans le système et l'administrateur sera tenu responsable de tout problème.

Notez également que toutes les configurations ne peuvent pas être modifiées au niveau de l'administrateur. Certaines choses ne peuvent être effectuées que par l'utilisateur. Au lieu de dire à chaque utilisateur d'effectuer un ensemble d'étapes, il le fait à l'avance.

Certaines autres préoccupations liées au partage d'un mot de passe ne s'appliquent pas ici, comme

  • La réutilisation du mot de passe n'a pas d'importance car le mot de passe n'est pas le vôtre.
  • Aucune de vos informations personnelles n'est associée au mot de passe.

    • Pour répondre à quelques commentaires,

    Je soupçonne qu '"il n'y a pas de données associées au compte au tout début" ce n'est pas tout à fait vrai: je pourrais avoir des e-mails dans ma boîte aux lettres (quelqu'un aurait pu envoyer mon des informations confidentielles à mon adresse e-mail, car la boîte aux lettres a été activée avant ma première connexion)

    par Diego Pascotto

    L'ID de messagerie ne doit être partagé avec personne par les administrateurs avant la configuration. La boîte aux lettres doit avoir été activée lors de la configuration d'Outlook. Les identifiants de messagerie ne sont partagés qu'une fois le mot de passe de connexion unique défini. De plus, comme l’a souligné James Snell, il est peu probable que l’on reçoive un e-mail dans les minutes suivant la création du compte.

    Une entreprise compétente dispose d’images, de procédures via l’automatisation qui s’occupent de ces choses sans jamais vous connecter en tant que nouvel utilisateur à tout moment.

    par Sokel

    Les petites entreprises ne toujours investir dans l'automatisation. Si une entreprise embauche environ 10 employés par an et chacun avec un rôle différent, l'effort requis pour apporter l'automatisation et la maintenir sera plus grand que l'effort manuel. L'automatisation ne vaut l'effort que lorsque vous avez un travail qui est effectué à plusieurs reprises en grand nombre. En d'autres termes, l'effort requis pour l'automatisation devrait être inférieur à celui que vous avez requis pour le travail manuel

    Si l'administrateur a eu un accès non contrôlé à votre compte à tout moment; ils auraient pu mettre en place n'importe quoi sous votre nom - empêchant tout retour à eux.

    par UKMonkey

    Toute action entreprise par les administrateurs pendant ce temps, il peut leur être lié car il est clair que le compte n'est pas remis à l'utilisateur tant que l'utilisateur n'a pas réinitialisé le mot de passe à l'aide du mot de passe de connexion unique.

    Ok, je vois le point, mais je soupçonne qu '"il n'y a pas de données associées au compte au tout début" ce n'est pas tout à fait vrai: je pourrais avoir des e-mails dans ma boîte aux lettres (quelqu'un aurait pu envoyer mes informations confidentielles à mon e-mailadresse, car la boîte aux lettres a été activée avant ma première connexion)
    @DiegoPascotto Votre identifiant de messagerie ne doit être partagé avec personne par les administrateurs avant la configuration.La boîte aux lettres sera activée lors de la configuration d'Outlook.Les identifiants de messagerie ne sont partagés qu'une fois le mot de passe de connexion unique défini.
    @DiegoPascotto - puisqu'ils viennent probablement de configurer votre compte utilisateur avant de se connecter pour vérifier que cela fonctionne, c'est peu probable.
    Qu'entendez-vous par «ne pas partager votre identifiant de messagerie»?Si la politique de l'entreprise pour l'attribution d'une adresse e-mail est name.surname@mycompany.com, n'importe qui peut deviner mon e-mail et m'envoyer un message avant que je ne me connecte.
    Notez qu'il a dit que le compte de messagerie est activé lors de la configuration d'Outlook.Tous les e-mails envoyés à l'adresse avant ce point seront renvoyés.
    Remarquez également: en général, les e-mails de l'entreprise sont la propriété de l'employeur, et non les données privées de l'employé et (en fonction d'autres accords dans le contrat de travail, la législation nationale, les accords du comité des travailleurs, etc.)pour y accéder.
    La réponse ignore une politique très courante - ce qui arrive à votre compte est de votre responsabilité.La responsabilité est 99% de la raison des mots de passe;la société ne se soucie vraiment pas que l'administrateur accède à vos informations personnelles - cela ne devrait pas être sur les PC de l'entreprise en premier lieu;et l'administrateur peut généralement accéder à toutes les données du réseau pour les sauvegardes, etc. Si l'administrateur a eu un accès non surveillé à votre compte à tout moment;ils auraient pu mettre en place n'importe quoi sous votre nom - empêchant tout retour à eux.Donc non;il n'est pas acceptable pour l'administrateur système d'avoir le mot de passe à tout moment.
    Le seul problème peut être si l'utilisateur modifie son mot de passe et est informé que le mot de passe a déjà été utilisé, auquel cas le mot de passe utilisé par les administrateurs est divulgué.Les administrateurs ont donc intérêt à utiliser un mot de passe temporaire différent de tout mot de passe utilisé ailleurs dans le système.
    @UKMonkey Mais si l'administrateur est en train de configurer tout cela avant même que l'utilisateur n'ait reçu le système, il y a un enregistrement que tout ce qui s'est passé n'a pas été fait par l'utilisateur.Tout ce qui a été fait avant le changement de mot de passe lors de la première connexion a été fait par l'administrateur.
    "toute réinitialisation de ce type est enregistrée dans le système et l'administrateur sera tenu responsable de tout problème."De plus, l'administrateur ne peut pas le modifier BACK, donc l'utilisateur saura lui-même que cela s'est produit.
    @DiegoPascotto `Si la politique de l'entreprise pour l'attribution d'une adresse e-mail est name.surname@mycompany.com, n'importe qui peut deviner mon e-mail et m'envoyer un message avant que je me connecte réellement. 'Personne n'enverra un e-mail avant de savoir qu'un compte a été créé.Dans le cas d'une telle politique, ils savent que ce sera votre e-mail, mais ils ne le feront pas tant que le service informatique ne le leur aura pas dit.
    @KolappanNathan peut-être idiot, peut-être réaliste, exemple en fonction de l'utilisateur: je sais que je vais obtenir ChrisH@example.com parce que mon manager m'a dit / c'est la forme de toutes les adresses e-mail à l'exemple et ChrisH est un nom inhabituel (hypothétiquement).Je sais aussi, parce que les RH me l'ont dit, que je devrai mettre à jour mes coordonnées bancaires sur leur système afin que je puisse être payé.Je les envoie donc à moi-même au travail, avec un lien de partage vers mon calendrier personnel afin que je puisse voir les rendez-vous familiaux, avant de me rendre le premier jour, mais avant.le sysadmin effectue la configuration finale.(Évidemment * je * ne le ferais pas)
    @ChrisH ** Vous ne savez même pas si cet e-mail existe ou non, vous ne connaissez pas son mot de passe. ** Vous savez seulement que ce sera votre e-mail dans les ** prochains jours **.Cet e-mail sera le vôtre à l'avenir, mais ce n'est pas encore le vôtre.Sauf si vous avez reçu une information qui vous est attribuée * cet * e-mail et * ceci * est votre pass temporaire, aucun e-mail ne vous est attribué.Pourquoi enverriez-vous vos informations confidentielles à un e-mail qui n'est pas le vôtre?
    @DavidK Essayez-vous de me dire qu'un administrateur système ne sait pas comment modifier la date de création / dernière modification d'un fichier?S'ils sont même un peu bons dans leur travail, ils pourront cacher les preuves.
    Pour le courrier électronique et "faire des choses maléfiques sous votre compte" - 1. Un administrateur qui accède à votre matériel avec des privilèges administratifs peut déjà installer toute porte dérobée / rootkit qu'il veut.2. Il y a une heure fixe à laquelle votre compte vous est remis, seules les actions entreprises avec le compte après cette heure sont de votre responsabilité.
    @KolappanNathan * Je * ne le ferais pas.Beaucoup de gens autrement intelligents le feraient (je travaille dans le milieu universitaire, où les gens sont intelligents mais assez confiants et dans la plupart des cas ignorants de la sécurité).J'ai dû raconter l'histoire à la première personne pour qu'elle corresponde à la limite de caractères.
    @Sokel Si l'automatisation vaut toujours la peine à 100%, je suppose que vous, personnellement, avez déjà automatisé votre voiture (si vous en avez une) pour qu'elle soit autonome?Vous avez créé une IA pour répondre automatiquement à tous vos e-mails?Vous avez automatisé tout votre travail?Vous avez construit une machine pour vous laver les cheveux pendant que vous êtes sous la douche?Ou peut-être avez-vous décidé que certaines choses prendraient trop de temps (peut-être au point de l'impossibilité) pour automatiser et prendre des décisions stratégiques en fonction du temps, de la complexité et des modes d'échec d'une tâche pour savoir quand automatiser et quand faire les chosesmanuellement?
    @Sokel: Je travaille dans une entreprise de 7 employés et n'ai embauché qu'une seule personne au cours des deux dernières années.Allez-vous vraiment me dire que l'automatisation en vaut toujours la peine?Pensez-vous que nous avons une équipe complète de support informatique et de bureau * et pas seulement un seul employé qui s'occupe de cela de temps en temps?Tout le monde ne travaille pas dans une grande entreprise.
    @Sokel L'automatisation du processus d'ajout d'un employé implique l'intégration avec les fournisseurs de messagerie, les annuaires actifs, les services comme Slack, la gestion des tâches, l'hébergement de code, etc ... Le compte doit s'intégrer uniquement aux services requis.Ces automatisations sont interrompues par tout changement dans l'un de ces services ou lorsqu'un nouveau service est ajouté ou remplacé.en plus des modifications du système d'exploitation Windows / Mac / Android.Notez également que le cycle de mise à jour de Windows est désormais biannuel.Je comprends clairement les avantages de l'automatisation, mais ** l'effort requis pour l'automatisation doit être inférieur à celui requis pour le travail manuel. **
    @Sokel [Ah la vieille erreur d'automatisation] (https://xkcd.com/1319/).Personne ici ne prétend que l'automatisation ne vaut pas la peine pour les grandes entreprises.Mais le simple fait est que les petites entreprises n'en ont pas besoin très souvent et n'ont pas l'expertise en premier lieu.Ce qui signifie que c'est simplement un très mauvais retour sur investissement.
    @Sokel Vous n'avez pas répondu aux arguments réels de Kolappan ou de Voo.Le simple fait de signaler l'existence de la dette technique et de l'automatisation ne répond pas à leurs préoccupations.Lorsque le temps et l'argent consacrés à l'automatisation sont supérieurs au temps et à l'argent consacrés au processus manuel, l'automatisation est stupide.Période.
    Lie Ryan
    2018-11-21 20:59:37 UTC
    view on stackexchange narkive permalink

    Dans une petite entreprise, il est probable que l'administrateur qui configure la machine d'un nouvel employé soit également l'administrateur des e-mails et des serveurs de documents de l'entreprise. Dans ce cas, l'administrateur est déjà capable de lire vos e-mails ou d'envoyer un e-mail comme vous à tout moment sans jamais avoir besoin d'accéder à votre machine.

    Si tel est le cas, il n'y a pas de nouveau problème de sécurité ici, même s'il est vrai que la pratique est un peu superflue. En théorie, un administrateur ne devrait jamais avoir besoin de se connecter à votre compte en utilisant un mot de passe actif; ils peuvent se connecter en tant que compte administrateur à la place et faire à peu près tout ce dont ils ont besoin à partir de là.

    En pratique, à moins que votre équipe informatique ne soit suffisamment expérimentée pour être en mesure de configurer de nouvelles machines répétables, correctement et de manière fiable à chaque fois, il est souvent beaucoup plus facile de se connecter en tant qu'utilisateur pour tester la configuration et effectuer certaines configurations qui sont simplement plus faciles à faire en tant qu'utilisateur réel plutôt que d'essayer de simuler l'effet tout en étant connecté en tant qu'administrateur. De nombreux systèmes d'entreprise sont conçus pour permettre aux administrateurs de pouvoir réinitialiser un autre mot de passe utilisateur ou usurper l'identité d'un autre utilisateur sans le mot de passe de l'utilisateur, souvent il est enregistré pour permettre l'audit, mais dans les petites entreprises, le même administrateur a probablement également accès au système sur lequel il peut altérer le journal d'audit.

    La raison principale de l'adage selon lequel "ne jamais dire à un administrateur mon mot de passe" est d'empêcher les utilisateurs d'être victimes de l'ingénierie sociale, car si l'utilisateur est informé à tout moment L'administrateur n'aurait jamais besoin de votre mot de passe ou ne vous demanderait jamais votre mot de passe, cela devient une réponse automatique que seule une personne prétendant être un administrateur aurait besoin de vous demander votre mot de passe. La raison secondaire est que beaucoup de gens réutilisent leur mot de passe; auquel cas ils peuvent partager beaucoup plus qu'ils ne le pensent. Aucun de ces éléments ne s'applique dans cette situation.

    "ils peuvent se connecter en tant que compte administrateur à la place et faire à peu près tout ce dont ils ont besoin à partir de là."Le personnel informatique m'a spécifiquement dit que quelque chose à propos d'AutoCAD ou de certains de ses plug-ins rendait cela impossible.Malheureusement, je ne connais pas les détails exacts.
    @jpmc26: Je le sais.Fondamentalement, pour faire fonctionner AutoCAD, vous deviez l'installer avec les droits d'administrateur en tant qu'utilisateur qui l'utiliserait.Le logiciel a écrit toutes sortes de choses sur HKCU pendant l'installation.
    En tant qu'administrateur, ma troisième raison de ne jamais demander à l'utilisateur son mot de passe est que je le compare à la remise des clés de sa voiture ou de sa maison ... Alors ils n'auraient aucune preuve que c'était moi ou eux qui avaient fait quelque chose de malfaisant.
    Cela ne le rend pas vraiment impossible cependant, un administrateur peut modifier le HKCU d'un autre utilisateur.Bien qu'il soit probablement beaucoup plus facile de laisser le logiciel le faire que de déterminer quelles clés sont modifiées.
    @LieRyan Laissons-le simplement à "un coût prohibitif", car essayer de dupliquer la logique du programme d'installation d'AutoCAD (qui change probablement selon la version) est une proposition tout à fait déraisonnable.;)
    @jpmc26 Je suis d'accord
    J'aime que cette réponse aborde la question de * pourquoi * les administrateurs ne devraient pas connaître votre mot de passe.Souvent, la réalité de la sécurité a plus de nuances que la simple histoire que nous donnons aux clients.
    barbecue
    2018-11-22 06:28:07 UTC
    view on stackexchange narkive permalink

    Je vais aborder cette question sous un angle différent.

    Votre question est basée sur l'hypothèse que le compte est la responsabilité et / ou la propriété du nouvel utilisateur au moment de sa création, mais ce n'est pas vraiment vrai.

    Lorsque le compte est créé, il appartient au service informatique, pas à l'utilisateur .

    La configuration initiale que vous décrivez a lieu avant le nouvel utilisateur prend possession du compte.

    Le fait que le compte porte le nom du nouvel utilisateur n'y change rien. L'administrateur pourrait créer un compte pour Donald Duck, puis changer plus tard le nom en celui du nouvel utilisateur.

    L'utilisateur ne prend possession du compte et en devient responsable que lorsqu'il se connecte et attribue son propre mot de passe. C'est le transfert du compte.

    Supposons que vous commandiez une pizza pour la livraison. Le magasin écrit votre nom et commence à cuire la pizza. Ils pourraient y mettre les mauvaises garnitures, les brûler ou les faire tomber. Est-ce un problème de sécurité, car ils ont accès à votre pizza? Non, car ce n'est pas encore votre pizza . Il ne vous a pas été remis. Si le magasin fait une erreur, il lui incombe de la corriger.

    Une fois que vous l'avez payé et pris livraison, il devient votre responsabilité. Si vous le laissez tomber ou le jetez à votre voisin, la pizzeria n'est pas responsable.

    En ce qui concerne les problèmes liés aux e-mails, si l'e-mail est présent dans le compte avant la première connexion de l'utilisateur, cela n'a pas d'importance, car ce n'est pas encore son e-mail. L'e-mail n'est de toute façon pas sécurisé , il est facilement visible par n'importe quel nombre de personnes. De plus, dans la plupart des juridictions, le courrier électronique d'entreprise est la propriété de l'entreprise et non de l'individu.

    Toutefois;si votre entreprise vous remet un ordinateur portable que vous pouvez utiliser pour un usage privé, la plupart des pays ont mis en place des lois sur la confidentialité pour protéger l'utilisateur contre les espions de l'entreprise, même s'il pourrait techniquement posséder l'ordinateur portable.Vous avez la confidentialité au travail et vous avez la confidentialité lorsque vous ne travaillez pas.Suivant votre théorie, cela signifie que l'entreprise peut simplement installer le logiciel RAT parce qu'elle possède l'ordinateur portable, puis le donner à l'utilisateur et aucun mal n'est fait?
    @KevinVoorn: Je m'apprêtais à répondre dans la même veine avec un scénario simple - le futur employé décide que le travail n'en vaut pas la peine et ne commence jamais à travailler Maintenant, il y a une activité sous un nom d'utilisateur qui aurait été utilisé par luiA quoi servent les personnes qui n'ont jamais été embauchées? Rien, parce qu'il n'a jamais eu accès et n'a rien fait, et on ne peut pas raisonnablement prétendre qu'il l'a fait.il a commencé à travailler.Quant au courrier électronique et à la confidentialité, transformez-le en physique: il a fait irruption dans mon cube sans votre permission et a fouillé mon classeur.
    @KevinVoorn, toute la question de savoir si un administrateur informatique pourrait ou non faire des choses illégales ou néfastes n'est pas pertinente, car la question porte sur les risques inhérents à la procédure décrite, PAS sur les risques inhérents à la confiance du personnel informatique.Si vos administrateurs informatiques souhaitent installer des logiciels malveillants sur votre ordinateur, ils n'ont pas besoin de VOTRE identifiant pour le faire.
    @jmoreno Voici un exemple concret de ma propre expérience.Un utilisateur a été embauché pour un poste, un compte a été créé, une prévision informatique, etc. Peu de temps avant de commencer, un test de dépistage positif est revenu, le rendant inéligible pour le poste.À ce moment-là, le finaliste de la position a été contacté.Elle a accepté le poste immédiatement.Le compte existant qui avait été créé pour le premier employé a simplement été renommé pour le nouvel employé.Aucun des deux employés n'était encore propriétaire du compte.Le compte était toujours sous le contrôle du service informatique.
    @barbecue C'est vrai, mais je donnais un autre exemple comme vous l'avez fait avec la pizza de pourquoi votre logique a des défauts à mon avis.Je suis d'accord avec la conclusion, mais pas avec les arguments qui y ont conduit ;-)
    @KevinVoorn Si vous pouvez être plus précis sur ce que vous voyez exactement comme une faille dans mon raisonnement, je vais essayer d'y remédier.J'aborde spécifiquement la question de savoir s'il existe ou non un risque de sécurité inhérent à la connexion sous les informations d'identification d'autres utilisateurs avant qu'ils ne prennent possession du compte, et je ne vois aucun qui n'existe pas si une procédure différenteest suivi.
    Ce que vous dites est correct, même si `` l'ordinateur n'appartient pas encore à l'utilisateur pour que le service informatique puisse faire tout ce qu'il veut '' n'est pas vrai dans tous les cas, c'était quand même ma pensée.
    [Une chaîne de pizza américaine] (https://www.dominos.com/en/pages/carryout-insurance/) semble [en désaccord] (https://www.adweek.com/creativity/dominos-offers-to-réparer-les-nids-de-poule-dans-votre-quartier-pour-emporter-les-pizzas-rentrer à la maison en toute sécurité /) (pour attirer l'attention, bien sûr)
    Luc
    2018-11-21 16:55:17 UTC
    view on stackexchange narkive permalink

    En général, il est recommandé d'utiliser un compte personnel pour tout ce que vous faites. Les journaux montreront qui a fait quoi. C'est pourquoi les administrateurs ne se connectent pas tous simplement avec "root" ou "Administrator", mais ont leurs propres comptes: vous pouvez dire qui a fait quoi, et vous pouvez facilement révoquer les informations d'identification de l'administrateur sans changer le mot de passe de tous les administrateurs.

    Les utilisateurs ont du mal à choisir des mots de passe sécurisés. S'ils ont mémorisé quelques mots de passe forts et les utilisent pour tout, vous pouvez probablement le considérer déjà comme un utilisateur supérieur à la moyenne. Si les administrateurs connaissent le mot de passe de l'utilisateur, ils pourront peut-être se connecter aux comptes privés de l'utilisateur (tels que la messagerie personnelle, le service de diffusion de musique, etc.). L'administrateur peut toujours se faire passer pour un utilisateur: il peut réinitialiser le mot de passe, et il est souvent également possible de se connecter en tant que cet utilisateur sans connaître le mot de passe. Sur les systèmes de type Unix, vous pouvez exécuter la commande su john pour vous connecter en tant que john: si vous êtes un utilisateur normal, il vous demandera le mot de passe de john; si vous êtes root, il vous connectera simplement en tant que john sans avoir besoin de leur mot de passe. Ce n'est pas recommandé pour la raison mentionnée dans le premier paragraphe, mais c'est tout à fait possible sur de nombreux systèmes.

    La dernière information pertinente est que les choses sont plus faciles à configurer depuis l'utilisateur qui en a besoin. Si Jean a besoin d'Outlook, vous pouvez écrire un script et planifier son exécution lors de la première connexion. Dans les petites organisations, cependant, il peut être plus efficace de se connecter une seule fois en tant que John et de configurer Outlook manuellement. Windows en particulier ne se prête pas bien à la création de scripts: la plupart est possible, mais ce n'est pas bien établi et certaines choses ne sont encore accessibles que via l'interface utilisateur graphique (GUI).

    En conclusion, en supposant qu'il s'agit de la procédure établie, je n'y vois aucun risque. Les administrateurs peuvent de toute façon se connecter en tant qu'utilisateur, de sorte qu'ils n'obtiennent pas plus de privilèges grâce à lui. Ils n'apprennent pas non plus le mot de passe personnel de l'utilisateur. Le seul problème est que les journaux afficheront brièvement l'activité sous le mauvais nom, mais je ne vois aucun avantage pour un administrateur malveillant: il existe mille autres moyens (plus simples) de faire des choses malveillantes.

    D'après votre réponse, je vois que c'est une pratique acceptée qu'un administrateur définit un mot de passe pour l'utilisateur et se connecte à un système en tant qu'utilisateur (je me limite uniquement au système Windows).Si un administrateur malveillant lit ensuite les e-mails de l'utilisateur, cela doit être considéré comme un risque acceptable (il n'obtient pas plus de privilèges avec cette action).Qu'en est-il * d'envoyer * un e-mail en tant qu'utilisateur?
    @DiegoPascotto - il n'y a aucune raison de le limiter aux fenêtres.Il est parfaitement raisonnable pour le service informatique de vérifier que l'environnement utilisateur fonctionne correctement avant que le compte / la machine ne leur soit remis.Ce n'est généralement pas nécessaire, mais dans une petite / moyenne entreprise comme celle-là, ce n'est pas inhabituel.
    @DiegoPascotto Dans la réponse, j'ai dit "il y a mille autres moyens (plus faciles) de faire des choses malveillantes".Un exemple de cela est la lecture / l'envoi d'e-mails au nom de l'utilisateur: l'administrateur peut déjà le faire sans se connecter en tant qu'utilisateur.Soit l'administrateur se connecte avec son compte administrateur et lit votre fichier courrier (par exemple, fichier PST), soit il regarde dans votre boîte aux lettres côté serveur.L'envoi peut être effectué en utilisant telnet.Pour les actions malveillantes, il n'y a aucun avantage à modifier temporairement le mot de passe de l'utilisateur, puis à se connecter en tant qu'utilisateur.
    @DiegoPascotto * "Si un administrateur malveillant lit alors les e-mails de l'utilisateur" * Attendez quoi?Plus tôt, vous disiez que c'était une chose ponctuelle lors de la création d'un compte.Maintenant, vous dites qu'il y a un e-mail dans le compte de l'utilisateur, ce qui implique que l'administrateur ne doit pas le lire.Si vous modifiez la question, vous ne devriez pas vous attendre à ce que ma réponse corresponde toujours.Lire / envoyer un e-mail est différent de la fin de la configuration d'un compte.
    Je ne change pas la question, c'est en fait une chose ponctuelle.Je suppose que ce n'est pas une situation fréquente mais il peut arriver que lors de cette opération (la configuration Outlook) la boîte de réception ait déjà des messages entrants.Dans ce cas la lecture (volontaire ou non) d'un email serait quasi incontournable (imaginez le panneau de prévisualisation qui est paramétré par défaut).Ma question est toujours "la configuration effectuée par l'administrateur en tant qu'utilisateur est-elle une pratique acceptable"?
    @DiegoPascotto Cela peut se produire dans un scénario comme celui-ci: le service informatique est informé que John Doe commencera à travailler dans quelques jours et devra travailler sur le projet X. Le service informatique crée le compte, y compris le courrier jdoe@example.org.Pour une raison quelconque, l'embauche effective de John Doe est reportée de quelques semaines, mais d'autres membres internes (ou externes prématurément informés) envoient déjà du courrier.Peu avant la date réelle, le service informatique vérifie à nouveau la configuration.- Je dirais que c'est toujours la faute des expéditeurs ou en particulier des personnes qui diffusent (accidentellement) de fausses informations sur le statut de John Doe.
    Frank Hopkins
    2018-11-22 00:03:30 UTC
    view on stackexchange narkive permalink

    La configuration effectuée par l'administrateur EN TANT QUE L'UTILISATEUR est-elle une pratique acceptable?

    Oui.

    Comme avec toutes les pratiques cela dépend du contexte. Mais d'une manière générale, c'est une pratique courante et acceptable, étant donné que vous avez un niveau de confiance de base dans vos administrateurs et pas un niveau de sécurité très élevé, comme lorsque vous gardez des secrets d'État.

    C'est correct , malgré la règle générale, car initialement votre compte ne contient pas de données sensibles. Bien qu'il y ait une courte fenêtre de temps où les e-mails pourraient arriver, avant que vous ne changiez le mot de passe, il est généralement si peu probable que a) soit le cas et b) contiennent des données vraiment sensibles que cela n'est généralement pas considéré comme un problème.

    Notez que de nombreuses entreprises se réservent le droit d'accéder de toute façon à vos e-mails et / ou fichiers sur votre ordinateur de travail . Bien que les entreprises éthiques gardent cet accès en exigeant que vous soyez présent ou qu'au moins deux administrateurs soient présents lorsqu'ils se connectent à votre compte, afin de s'assurer qu'ils n'agissent que conformément à leur tâche administrative , par exemple supprimer un virus, rechercher un fichier totalement nécessaire pendant que vous êtes en vacances, etc. Les mêmes garanties pourraient être en place pendant cette courte période où ils ont un accès direct à votre nouveau compte.

    Notez que vous devez faire confiance à votre service administratif en général - ils pourraient simplement installer un système corrompu de toute façon. Le risque d'usurpation d'identité dans un court laps de temps est toutefois minime, car il ressort clairement de votre contrat et de l'horodatage de votre changement de mot de passe initial, à partir du moment où vous avez eu le contrôle de votre compte.

    Si la pratique est acceptable sans autres garanties, par exemple Le principe des 4 yeux dépend des besoins de sécurité de votre entreprise / emploi. Plus la sécurité est cruciale, plus les sauvegardes doivent être strictes - et plus on viserait à automatiser ces processus pour minimiser la fenêtre d'opportunité pour quiconque de corrompre votre machine / compte ou d'accéder temporairement à vos données. Notez que ce dernier peut également être réalisé en vous demandant simplement d'activer votre adresse e-mail une fois le mot de passe réinitialisé.

    DoubleD
    2018-11-22 00:49:46 UTC
    view on stackexchange narkive permalink

    Acceptable mais pas idéal

    Pour que cela soit acceptable, cela doit faire partie d'une procédure documentée. Cela sert à expliquer la raison du comportement et à éviter toute accusation d'irrégularité.

    Les documents sont généralement approuvés lorsqu'ils sont signés ou autrement finalisés, ce qui établirait également l'approbation officielle de la pratique.

    Meilleure idée ...

    S'il y a des actions qui doivent être effectuées avec les informations d'identification de l'utilisateur, il est préférable d'automatiser le processus. L'automatisation peut prendre la forme d'un script, d'un assistant de configuration ou d'un portail en libre-service --- ce que l'organisation préfère.

    Cela offre de multiples avantages:

    Premièrement, le L'interaction de l'utilisateur est minimisée pour éviter une mauvaise configuration. Deuxièmement, le «temps de contact» de l'administrateur est réduit. Troisièmement, la configuration ne souffrira pas d'erreurs humaines ou d'incohérences entre les déploiements. Enfin, vos préoccupations concernant l'utilisation du compte seront éliminées.

    Mises en garde

    Des compétences supplémentaires sont nécessaires pour l'automatisation (par rapport à l'installation manuelle), et votre organisation n'a peut-être pas ces compétences. Certaines plates-formes sont difficiles à automatiser, bien que ce soit moins problématique qu'auparavant. Ou bien, l'entreprise peut tout simplement ne pas comprendre les avantages de l'automatisation.

    Tom K.
    2018-11-21 21:35:18 UTC
    view on stackexchange narkive permalink

    Ce que les autres réponses manquent à l'OMI est:

    Pourquoi ce processus n'est-il pas automatisé?

    Le provisionnement des comptes utilisateurs (quel que soit le système d'exploitation) n'est rien de ce qu'un administrateur devrait faire à la main encore et encore. La configuration initiale d'un compte utilisateur et l'approvisionnement du logiciel peuvent être effectués via l'automatisation. Le paramétrage du mot de passe respectif du compte utilisateur se ferait également automatiquement. Cela devrait être "changer après la première utilisation". Ce processus d'automatisation doit être revu régulièrement et doit être mis en œuvre avec un principe à quatre yeux.

    Tout ce qu'un administrateur fait sur une machine doit être consigné . Si un administrateur se déplace librement sur un système avant l'approvisionnement, des scénarios de "mauvais administrateur" sont inévitables.

    Modifier:

    Cette réponse a suscité une certaine conversation, laissez-moi ajoutez ce qui suit:

    Voici quelques outils pour provisionner des images Windows sur le matériel de l'entreprise, pour Windows 8, le Microsoft Deployment Toolkit et le System Center Configuration Manager pour Windows 10. Ces outils sont des outils officiels de Microsoft, ils sont gratuits (pour autant que je sache) et de prime abord assez bien documentés. Vous pouvez y implémenter et documenter facilement tous les processus de provisionnement de Windows 8/10 sur le matériel de l'entreprise. Tous les accès administrateur à une machine doivent être effectués via des outils comme ceux-ci et doivent être enregistrés avec un serveur de journalisation. Ensuite, il y a moins de possibilités pour un seul administrateur de manipuler une seule machine.

    Si un administrateur gère chaque machine à la main, 1) la manipulation est possible et 2) des erreurs sont inévitables. Un processus automatisé peut être examiné et audité, un processus manuel est impossible à contrôler.

    L'engagement envers des outils comme ceux-ci est une étape vers un provisionnement plus sécurisé des systèmes d'exploitation et des comptes utilisateurs dans l'environnement de l'entreprise.

    Comment la procédure telle que la configuration de l'application Outlook sur l'ordinateur portable d'une personne peut-elle être automatisée?De même, les petites entreprises n'investissent pas toujours dans l'automatisation.Si une entreprise embauche environ 10 personnes par an, l'effort requis pour l'automatisation et la maintenance sera supérieur à l'effort manuel.
    Automatiser un processus de configuration système de 10 minutes prendra ** beaucoup ** plus de 10 minutes et nécessitera certainement un administrateur système beaucoup plus cher.Si vous demandez à un administrateur incompétent de faire l'automatisation, dans le meilleur des cas, cela ne fonctionnera pas.Le pire des cas est qu'ils ouvrent chaque système à des vulnérabilités.Vous avez également besoin d'un gestionnaire qui sait faire la différence et sait embaucher pour l'automatisation.C'est une entreprise beaucoup plus coûteuse.Avez-vous déjà essayé de créer un disque d'installation Windows personnalisé avec des pilotes préinstallés spécifiques?Cela m'a pris plusieurs heures la première fois ...
    @Nelson Je ne sais pas où vous en êtes?Selon [ce] (https://xkcd.com/1205/) tableau scientifique (!), Économisant 30 minutes par semaine (ce que je suis presque sûr que cette tâche prendra si je lis bien OP), on peut investir 21 heuresdans cela.
    @KolappanNathan Je ne sais pas.Je ne suis pas administrateur système Windows, mais je suis sûr qu'il existe un moyen.
    Je peux vous assurer que 21 heures d'automatisation dureront peut-être 1 mois, puis vous devrez le refaire lorsque de nouvelles choses sortiront.C'est beaucoup plus compliqué si l'entreprise n'utilise pas de terminal stupide.Différents départements, différents logiciels, etc. C'est un temps énorme, et cela change, au minimum, une fois par an, dans chaque département.
    1. Je ne pense vraiment pas.2. Même si, et alors?Ce n'est pas parce que les choses sont difficiles que je veux que ma machine soit configurée manuellement par un administrateur.
    @TomK.J'ai travaillé dans de grandes et petites organisations pendant de nombreuses années.Vous ne pouvez pas tout automatiser.Il peut être beaucoup plus efficace pour l'administrateur de le faire à la main avant que l'utilisateur n'arrive plutôt que de guider le nouvel utilisateur tout au long du processus le premier jour.Pour une «nouvelle expérience utilisateur», les frapper avec un processus complexe et sujet aux erreurs est une mauvaise première impression.Et ce sont des administrateurs, ils ont de toute façon accès à tout.
    @schroeder 1. Certes, vous ne pouvez pas tout automatiser.Mais je suis presque sûr que cela est automatisable (?) Car cela se fait automatiquement dans mon entreprise.2. Tout autre accès par un administrateur doit être enregistré et doit être responsable.Si un ordinateur portable est remis au service informatique et qu'un administrateur aléatoire le gère, personne ne sait qui a géré quelle machine.
    @TomK.sauf que l'administrateur qui fait cela serait connu."Tom configurait de nouveaux appareils".Et je ne sais pas pourquoi il doit y avoir une attribution supplémentaire alors qu'aucun accès n'est accordé ou exercé.
    J'ai modifié ma réponse pour clarifier les choses.
    L'automatisation en vaut toujours la peine à 100%.Peu importe qu'il s'agisse d'un serveur Linux ou Windows ou d'un poste de travail Linux ou Windows.Vous disposez d'une automatisation qui vous fait gagner du temps.Oui, il y a une courbe d'apprentissage, @KolappanNathan mais une fois que vous l'avez fait une fois, c'est tout.Vous serez désormais toujours en mesure d'avoir des processus et des procédures reproductibles et de savoir à quoi faire ou à attendre, réduisant ainsi toute responsabilité.
    «Là, vous pouvez facilement mettre en œuvre et documenter tous les processus de provisionnement de Windows 8/10 sur le matériel de l’entreprise», dit-il comme quelqu'un qui n’a apparemment jamais utilisé aucun des deux outils ou qui a dû essayer d’automatiser les dizaines d’autres outils dont vous aurez besoin dans votretravail quotidien.Non sérieusement, dans quel type d'environnement avez-vous utilisé ces outils et combien de temps vous a-t-il fallu pour savoir comment automatiser l'installation des outils tiers habituels dont vous auriez besoin?
    Je demande parce que par expérience, ce ne sont généralement que les personnes qui n'ont jamais eu à comprendre pourquoi MSSQL n'a pas réussi à s'installer correctement automatiquement bien que cela fonctionne parfaitement bien si vous essayez les mêmes paramètres de ligne de commande dans la session CLI interactive, qui pensent que c'est trivialet fait en un après-midi.Faisable?Absolument.Mais un investissement assez gros qui demande une implication constante (vous avez besoin de nouvelles images très régulièrement et les procédures de configuration changent tout le temps).Pour une petite entreprise, le retour sur investissement n'existe tout simplement pas dans mon expérience.
    nigel222
    2018-11-22 17:36:16 UTC
    view on stackexchange narkive permalink

    Il semble y avoir une hypothèse erronée ici, selon laquelle un ordinateur portable appartenant à un employeur et un compte de messagerie fourni et payé par un employeur appartiennent en quelque sorte à l'employé. Ils ne le font pas! La situation est que vous êtes employé et payé pour faire fonctionner leur équipement et pour traiter leurs données. (Idem, les administrateurs système).

    Donc, le seul moyen d'être sûr de la confidentialité est de traiter les questions privées sur le matériel que vous possédez personnellement. Votre téléphone mobile connecté au réseau mobile est probablement cet appareil, tandis que tu es au travail. Si votre employeur autorise l'utilisation personnelle de sa connexion à Internet en général, la communication sécurisée (https) avec un compte personnel sur un service de messagerie externe tel que Gmail est presque aussi sûre - à condition que vous fassiez confiance à votre employeur faites tout ce qui est manifestement immoral, comme installer un enregistreur de frappe sur votre PC appartenant à l'employeur pour intercepter votre mot de passe privé et un enregistreur d'écran pour permettre à l'employeur de regarder votre écran plus tard. Dans l'UE, cela serait manifestement illégal à moins que les politiques des employeurs (dont vous avez été informées et qui font partie de votre contrat de travail) vous en avertissent. Il est probable que ce soit illégal même si tel est le cas, sauf si vous travaillez dans un environnement particulièrement sensible (auquel cas toute utilisation personnelle du matériel de l'employeur est susceptible d'être interdite pour des raisons de sécurité raisonnables).

    Les administrateurs système sont payés par l'employeur pour maintenir ses actifs conformément à ses politiques. Ces politiques doivent être conformes à la loi. Ainsi, dans l'UE, il y a une attente de confidentialité en ce qui concerne les e-mails, entourée d'actions nécessaires pour que l'employeur puisse effectuer. Ainsi, un administrateur système peut devoir consulter des courriers électroniques «privés» pour administrer un système de serveur de messagerie, mais ne doit jamais révéler ou agir sur ce qu'il voit à moins que cela ne révèle une faute grave ou un crime. Il ne devrait certainement jamais regarder délibérément les e-mails en dehors des politiques définies par l'employeur et connues de l'employé.

    Mais un administrateur système défectueux ou corrompu est privilégié, vous ne pouvez donc rien faire pour vous protéger. lui. Si vous ne faites pas entièrement confiance à votre employeur, n'utilisez pas au minimum son matériel à des fins privées qui vous blesserait s'il était rendu public. Au maximum, vous devriez être à la recherche d'un nouvel emploi!

    En passant, je suis un administrateur système d'une petite entreprise et j'ai configuré les PC à peu près comme décrit. Chez un ancien employeur, c'était s.o.p. pour envoyer un e-mail unique du PC nouvellement configuré au compte de messagerie de l'entreprise de l'administrateur système, répondez à cela et supprimez la réponse, pour vous assurer que tout fonctionnait bien. C'était aussi s.o.p. pour envoyer un e-mail plus long de l'administrateur système au compte de l'employé nouvellement créé, en l'accueillant généralement dans l'organisation et en fournissant des informations standard sur la mise en route. Il les attendrait après leur première connexion, en réinitialisant leur mot de passe.

    blahblah
    2018-11-24 06:50:28 UTC
    view on stackexchange narkive permalink

    J'ai l'impression que cette question ne fait que souligner la dichotomie entre «comment nous souhaitons que ça marche» et «comment ça marche vraiment».

    À un moment de l'histoire, je parie que les informaticiens ont mis en place un ordinateur portable pour un cadre. Lorsqu'ils ont fait passer l'ordinateur portable, l'exécutif a été irrité de ne pas fonctionner ou d'avoir besoin d'une configuration supplémentaire. Donc, ils se font crier dessus, et c'est probablement à ce moment-là qu'une politique a commencé de "se connecter et de s'assurer qu'elle est entièrement configurée et fonctionne avant le transfert".

    Est-ce idéal? Non. Mais personne dans l’informatique n’est jamais surpris de la quantité d’accommodements qu’offre l’informatique pour que les choses fonctionnent correctement dans une entreprise, en particulier lorsque cela a un impact sur les cadres supérieurs.

    C'est un peu comme la façon dont un entrepreneur obtient embauché, mais qui continue de donner de mauvaises nouvelles au locataire sera en faillite .. enfin, un service informatique qui continue de gérer les choses à la lettre et qui dérange les gens qui les embauchent sera éventuellement remplacé.

    IT marche souvent sur des œufs, et doit choisir ses batailles.

    Configurer un ordinateur portable et s'y connecter pour faire toutes les post-configurations pour les programmes impairs et revérifier pour que tout fonctionne (QA) avant le transfert ... c'est quelque chose pour lequel l'IT vient de faire une concession pour faciliter la vie de tout le monde. Tant que les administrateurs informatiques étaient les seuls à le faire, c'était une "valeur sûre" à faire.

    Mais, lorsque les dirigeants demandent à quelqu'un de se connecter pour eux et de travailler (ce à quoi l'administrateur peut se laisser entraîner à préparer les livres pour quelqu'un sans s'en rendre compte) .. ou un cadre / gestionnaire demandant au service informatique de se détendre sur une politique destinée à protéger les utilisateurs contre eux-mêmes, ou à protéger les serveurs contre les virus (par exemple: "laissez simplement mon peuple garder leurs mots de passe sur des post-its à côté de l'ordinateur "... euh, non.)

    Vous devez choisir vos batailles. Vous pouvez choisir la politique toute la journée, et en fait, si vous continuez à creuser dans la politique, vous serez frustré de voir toutes les petites consolations que le service informatique fait pour que les choses fonctionnent bien.

    L'autre problème avec ceci est que lorsque le service informatique fait des consolations, il peut être considéré comme un groupe prêt à contourner les règles. Ainsi, certaines personnes peuvent ne pas prendre les règles aussi au sérieux, ou s'attendre à ce qu'elles les plient au point de

    Donc, IT, tout comme la philosophie Jeet Kun Do de Bruce Lee est "être comme l'eau". Vous souhaitez répondre aux besoins et aux désirs de l'entreprise pour laquelle vous travaillez pour que les choses se passent bien tout en satisfaisant votre objectif principal. Mais, vous voulez aussi être une force avec laquelle il faut compter si quelqu'un vous pousse dans une direction qui est clairement mauvaise pour elle-même ou pour l'entreprise.

    C'est pourquoi il y a un équilibre délicat dans les entreprises. Vous souhaitez embaucher des personnes de confiance en informatique. Je préférerais avoir des employés informatiques médiocres en qui j'ai confiance que des rockstars qui m'inquiètent de trouver des moyens de détourner de l'argent sur le côté ou de soutirer les serveurs pour travailler sous contrat la nuit.

    D'un autre côté, Je ne veux pas non plus que le personnel exécutif pense qu'il peut marcher partout dans l'informatique. Traiter avec l'informatique devrait être comme traiter avec la police. Ils doivent être dignes de confiance pour avoir assez de pouvoir pour repousser les gens qui sont arrogants, mais aussi assez dignes de confiance pour ne pas abuser de leur pouvoir.

    Alors, tl; dr ... je pense que vous ' re rester coincé sur une politique qui ne semble pas idéale d'un point de vue académique / idéal, mais est probablement née d'un faux pas passé, et agit maintenant comme le service informatique se souciant suffisamment de l'assurance qualité des choses avant de les transmettre aveuglément.

    Kwisatz Haderach
    2018-11-22 18:57:10 UTC
    view on stackexchange narkive permalink

    Vous achetez une nouvelle voiture. Au moins une fois par an, vous le présentez chez le mécanicien pour un entretien (contrôle d'huile, etc.). La plupart d'entre nous donneront une clé au mécanicien et sont allés faire quelque chose (courses, café, etc.). Ils ont un accès complet à votre voiture. Ils peuvent tout faire. Considérez-vous cela comme un gros problème car vous pourriez laisser / oublier votre ordinateur portable privé / de bureau à l'intérieur ou certains documents personnels ou .... ??

    Tout comme l'entretien de votre voiture, la préparation de votre compte est quelque chose qui doit être fait. Vous pouvez vous asseoir, regarder et faire semblant de savoir ce qu'ils font ou les laisser faire eux-mêmes en leur faisant confiance qu'ils sont des professionnels et qu'ils savent ce qu'ils font.

    En cas de déménagement vers un nouvel emploi, je serais plus préoccupé par ma boîte aux lettres pleine laissée sur l'ancien emploi que vide sur un nouvel emploi.

    Être paranoïaque est tout à fait acceptable, tant que vous êtes sûr de savoir pourquoi vous êtes paranoïaque.

    Cela me rappelle une blague sur le RGPD:
    Dans le cabinet médical, une infirmière sort en disant: "En raison du RGPD, je ne suis pas autorisé à dites vos noms en public, mais celui qui a la syphilis peut aller voir un médecin ... "

    Cela ne répond pas à la question et l'analogie ne convient pas.L'analogie serait "lors de l'achat d'une voiture, est-ce normal que le concessionnaire ait les clés en premier?"
    Mauvais exemple!Ayant eu trop souvent affaire à des mécaniciens non professionnels, je vais maintenant regarder d'un œil différent les informaticiens!


    ⓘ
    Ce Q&R a été automatiquement traduit de la langue anglaise.Le contenu original est disponible sur stackexchange, que nous remercions pour la licence cc by-sa 4.0 sous laquelle il est distribué.
    Loading...