Celeritas
2016-01-10 07:02:02 UTC
Je suis un cours conçu avec la certification CISSP à l'esprit. Bien que la classe soit classée comme génie logiciel, nous avons beaucoup parlé de sécurité physique et, en particulier, d'inondations, d'incendies, de tremblements de terre et de voitures qui heurtent des objets. Comment est cette sécurité? Par exemple, on nous a dit que les centres de données sont les plus sûrs au milieu d'un bâtiment, car si le toit fuyait, le toit ne serait pas sûr et l'eau a tendance à descendre, de sorte que les étages inférieurs seraient les premiers à être inondés.
Est-ce vraiment un problème de sécurité? Par exemple, si le toit fuyait, l'ingénieur serait en faute, pas l'analyste de sécurité. Vous n'engageriez pas un analyste de la sécurité pour vous assurer que le toit est solide.
MISE À JOUR: De plus, des choses comme avoir des bornes autour d'un bâtiment pour protéger les piétons des voitures, comment est cette sécurité? Personne n'a encore vraiment expliqué cela. On m'a dit que les actifs les plus précieux de l'entreprise étaient leurs employés, mais avec ce raisonnement, qu'est-ce que la sécurité?
Si la disponibilité est si globale, qu'est-ce qui ne fait pas partie de la sécurité?
Opinion personnelle, je pense que c'est un moyen pour eux de vous faire sortir des sentiers battus, pour ainsi dire. C'est ce que vous auriez besoin de faire dans des scénarios réels. La sécurité de l'information n'est pas limitée à la protection numérique mais aussi à la protection physique des données.
Vous appliquez rapidement la question de sécurité physique à un «analyste». Le CISSP est destiné aux personnes ayant un niveau de sécurité supérieur à celles des analystes. Voulez-vous savoir pourquoi le CISSP inclut les catastrophes naturelles ou pourquoi un analyste devrait s'en soucier?
Si le cours est conçu pour CISSP, il ne s'agit pas d'un cours de génie logiciel. La sécurité de l'information comprend les enregistrements papier, la sécurité personnelle, la disponibilité des services, etc.
Vous souciez-vous vraiment de ce qui attaque vos données? Cela fait-il une différence pour vous (et plus important encore pour la façon dont vous le protégez) si quelqu'un détruit intentionnellement votre centre de données ou si un phénomène météorologique naturel se produit?
"si le toit fuyait, l'ingénieur serait en faute" mais si cela se traduisait par un problème de sécurité, l'analyste de sécurité est en faute. Le but n'est pas de trouver quelqu'un à blâmer mais de garder les ressources disponibles et sécurisées. Votre objectif devrait être d'avoir * toutes * les possibilités envisagées. Si le toit fuit, vous devriez soit avoir écrit quelque part qu'il s'agit d'un risque que l'entreprise est prête à accepter ou avoir des mesures d'atténuation. Mais dans tous les cas, c'est à vous de l'avoir considéré!
@Josef 1) Je n'appellerais pas ça le blâme, je dirais que c'est raisonnable 2) Ce n'était pas une mesure de sécurité en premier lieu d'avoir un toit qui ne fuit pas, donc ce ne serait pas la faute de l'analyste de la sécurité 3) en cela sens ce qui ne serait pas la sécurité?
Je suppose que mon point est, dans un scénario pratique, ce qu'une entreprise ferait plus probablement: s'assurer qu'elle a un toit de bonne qualité ou payer pour des ordinateurs étanches à l'eau? Dans la perspective de la sécurité, nous semblons parler de ce dernier, qui n'est pas rentable.
Bien sûr, ils s'assureront d'avoir une toiture de bonne qualité. Mais il est de votre responsabilité en tant qu'analyste de la sécurité de vous assurer que le toit est en bon état. Avec CISSP vous avez mangé ** pas ** un _computer guy_. Vous êtes responsable de la ** sécurité ** et le toit, les portes, les murs ... en font partie!
@Josef ne nécessiterait-il pas une formation en menuiserie ou en génie des structures, et qu'il vaut mieux laisser à ces types de professionnels? De plus, n'hésitez pas à cesser d'utiliser des points d'exclamation et des lettres en gras.
@Celeritas Non. Ce n'est pas ainsi que fonctionne la gestion! Vous devez décider comment le toit doit être, obtenir des commentaires de spécialistes si nécessaire, puis charger un spécialiste de le faire de cette façon! Si vous avez besoin d'une nouvelle connexion Internet, vous n'avez pas non plus votre pelle, n'est-ce pas? Vous décidez comment cela doit être (bande passante, technologie, deux câbles dans des directions différentes pour la redondance ...) et ensuite payez quelqu'un pour creuser et mettre le câble! Mais vous ne vous contentez pas d'appeler un type au hasard et de lui dire "donnez-moi Internet avec votre pelleteuse".
@Celeritas pour que cela soit clair: avec "assurez-vous que le toit est bon", je ne veux pas dire que vous devriez monter sur le toit et marteler dessus ou verser de l'eau et voir si elle fuit. Habituellement, vous embauchez un professionnel qui vous garantirait (dans un contrat écrit) que le toit adhère à certaines normes et peut supporter des quantités de pluie données et autres. Mais il est de votre devoir de soulever la question et la direction décidera avec votre contribution des normes auxquelles le toit doit adhérer. Ou ils vous disent qu'ils s'en moquent. Ensuite, vous ** écrivez cela **.
@Celeritas les bornes SONT pour protéger le bâtiment, la sécurité des piétons est un heureux sous-produit. Il existe un type de crime appelé «raid à bélier».
** La sécurité ne consiste pas seulement à «garder» au sens de «gardien de sécurité» **
@Burgi c'est ce que je pensais, mais quand j'ai dit cela en classe, tout le monde a ri et a dit que c'était pour la sécurité des piétons.
Cela pourrait aider votre argument: http://www.marshalls.co.uk/commercial/street-furniture/products/anti-ram-supermarket-bollard-webfa100039
Vous pourriez essayer de regarder les choses du point de vue de l'employeur. Si vous refusez de faire des choses que l'employeur pense être de votre responsabilité, vous serez bientôt un ancien employé.
@gnasher729 vous avez mal compris: j'ai dit qu'un employeur est moins susceptible de nommer un consultant en sécurité plutôt qu'une sorte de travailleur de la construction pour des choses comme le toit ou la protection contre le feu.
@Celeritas Bien sûr, il est préférable d'embaucher un ouvrier du bâtiment pour la sécurité des bâtiments, un psy pour le profilage psychologique des employés et une centaine de professionnels supplémentaires. Mais qui embauche ces gens? Les cadres supérieurs ne veulent pas penser à une centaine de scénarios et découvrir les personnes dont ils ont besoin. Ils n'ont pas 100 problèmes, ils ont une seule exigence "99,9% de disponibilité" et ils embaucheront un seul gars qui garantira cela. C'est le travail de ce type de trouver toutes les choses possibles qui pourraient mal tourner et d'embaucher des spécialistes. Et ce type est le responsable de la sécurité ;-)
Disons qu'une météorite frappe le bâtiment et le détruit totalement. Votre client aurait attendu de vous que vous vous prépariez à une telle éventualité (par exemple avec des sauvegardes à distance). Si vous dites "Ah oui, vos données ont disparu pour toujours, mais techniquement ce n'est pas un problème de sécurité", quelle sera selon vous leur réaction? Le mien serait "Eh bien, il ne semble pas que vous soyez en sécurité si c'est maintenant parti pour toujours".
Les catégories n'existent pas dans la nature, elles sont créées par des personnes pour des personnes. La planification des catastrophes va de pair avec la sécurité car les actions nécessaires pour les atténuer vont bien avec les actions requises pour assurer la sécurité (et dans certains cas, ce sont les mêmes actions).