Erstens ist es ABSOLUT eine große Sache! Alles, was Ihre Datensicherheit gefährden kann, ist eine große Sache. Ihr Unternehmen ist nicht nur für die Haftung der verlorenen / kompromittierten Daten gefährdet, sondern auch für seinen Ruf.

Sie wären äußerst fahrlässig, wenn Sie dies nicht melden würden. Ein Muster von Verstößen ist von ernsthafter Bedeutung.

Versuchen Sie darüber hinaus nicht, festzustellen, warum Ihr Mitarbeiter dies tut. Geben Sie Ihrem Manager nur die Fakten und lassen Sie Ihren Manager damit umgehen, wie er es für richtig hält. Bleib nicht dran. Fragen Sie Ihren Manager nicht nach den "Ergebnissen" Ihrer Informationen. Melden Sie es und kehren Sie zu Ihrer Rolle zurück.

Ihr Manager entscheidet sich möglicherweise nur dafür, das Kennwort zu ändern und "abzuwarten", bis diese Person in den Ruhestand geht.

KOMMUNIKAT

Sprechen Sie mit dieser Person und fragen Sie sie, WARUM sie Ihnen das Passwort per E-Mail geschickt hat. Nur ein Passwort aus heiterem Himmel per E-Mail zu versenden, scheint ziemlich seltsam.

Dann fragen Sie, ob es für Sie in Ordnung ist, es zu haben - erklären Sie, was Ihr Chef immer für Sie tut - und erklären Sie, dass Sie Sie nicht wollen oder ihn in Schwierigkeiten zu bringen und sicherstellen wollen, dass der Chef damit einverstanden ist.

Wenn Sie WARUM haben, stellen Sie die nächste Frage: "Mir wurde immer gesagt, dass ich aus Sicherheitsgründen keine Passwörter per E-Mail senden soll. Ist das hier sicher?" Warten Sie auf die Antwort. Vielleicht weiß er etwas, was Sie nicht wissen.

Stellen Sie dann die nächste Frage: "Warum verwenden wir überhaupt Root-Passwörter?"

Wenn dieser Typ so brillant ist, wie Sie sagen, hat er möglicherweise eine gültige Antwort auf alle.

Aber am Ende des Tages muss er das Problem beheben (falls es eines gibt), und dies gibt ihm die Möglichkeit, dies zu tun, ohne dass Sie wie ein Tattletale aussehen .

Lassen Sie Ihren Chef wissen, aber tun Sie es auf eine Weise, die nicht "klappert".

Es gibt einen Unterschied zwischen der Frage "Ist es in Ordnung, dass Bob X gemacht hat?" und "Ist es in Ordnung, wenn ich Y mache (gegebenes X)". Fragen Sie Ihren Chef nach der Erlaubnis für sich , das Root-Passwort zu verwenden. Sie sagten, dass Ihr Chef diese Dinge immer für Sie erledigt, daher lautet die Antwort wahrscheinlich Nein.

Hey Chef, ich habe mich gefragt, ob ich einchecken muss, wenn ich Änderungen vornehmen möchte root auf Server X in der Zukunft, oder kann ich einfach weitermachen und es tun? Bob hat mir das Root-Passwort per E-Mail geschickt, damit ich es selbst machen kann, wenn das einfacher ist.

Dies benachrichtigt Ihren Chef über die Sicherheitsbedrohung, ist aber auch kein Problem mit Ihrem Kollegen. Ihr Chef kann entscheiden, wie ernst er damit umgehen soll (obwohl ich hoffen würde, dass er zumindest das Passwort ändert). Wenn er sich schockiert verhält und Sie auf die Details drängt, können Sie sogar

einwerfen. Ja, ich fand es ziemlich seltsam, weshalb ich Sie danach fragen wollte. P. >

Ein kleines Startup mit <10-Mitarbeitern, keinem IT-Personal, keinem Linux-Administrator und allen anderen ist schon viel länger dort? Die Chancen stehen gut, dass alle anderen dieses Passwort ebenfalls kennen und jeder weiß, dass jeder es weiß, und niemand denkt, dass es ernst genug ist, um etwas dagegen zu unternehmen.

Ich bin mir bewusst, dass dies ein großes Sicherheitsproblem ist . Abgesehen von der Tatsache, dass ich das Passwort jetzt kenne, wurde es auch per E-Mail (!) An mich gesendet, was an sich schon eine große Sicherheitsverletzung darstellt.

Verletzung von was speziell? Allgemeine branchenübliche Praktiken, Ihre Unternehmensrichtlinien, spezifische Branchenvorschriften, die Sie einhalten müssen, oder bestimmte Anweisungen Ihres Chefs?

Nur allzu oft kennen zufällige Personen Root-Passwörter, die Domain-Administratorkennwörter und die der anderen Passwörter und alle möglichen. Es scheint ein großes Sicherheitsproblem zu sein - aber die meisten Mitarbeiter sind nicht feindselig und die meisten Unternehmen verstecken keine nuklearen Geheimnisse und meistens geht das Leben weiter. Idealerweise sollten sie regelmäßig als Verfahren gewechselt werden. Wenn sie unvermeidlich auslaufen, gibt es ein begrenztes Zeitfenster, in dem sie schädlich verwendet werden können.

Sie sind als Mitarbeiter eines kleinen Unternehmens in einer vertrauenswürdigen Position. Seien Sie vertrauenswürdig, indem Sie die Dinge, die Sie versehentlich lernen, nicht missbrauchen. Aber auch alle anderen Mitarbeiter, und es wird wahrscheinlich einen großen Sicherheitsfehler erfordern, bevor das Unternehmen so etwas wie "weniger bequeme, sicherere Verfahren rundum" verinnerlicht und durchsetzt.

• Wenn es sich um eine behördliche Verordnung handelt Compliance-Sache, mit Kunden in Gefahr, Geldstrafen möglich, sagen Sie auf jeden Fall Ihrem Chef. In diesem Fall ist es Ihre Aufgabe, ein kleines Problem zu sein, weil Sie für das Unternehmen arbeiten, nicht für Bob.
• Wenn es darum geht, Ihren Hintern zu bedecken, falls Ihr Chef herausfindet, dass Sie es wissen und bestraft werden, sagen Sie es auf jeden Fall Ihrem Chef, aber lassen Sie Bob vielleicht aus. " Hey, ich habe um Zugriff auf einige Dateien auf diesem Server gebeten, aber jemand hat mir stattdessen das Root-Passwort gesendet. Ich möchte niemanden in Schwierigkeiten bringen, aber Sie sollten dieses Passwort wahrscheinlich zurücksetzen, wenn ich nicht gemeint bin um es zu wissen ".
• Wenn es sich um eine Unternehmensrichtlinie handelt, sagen Sie es wahrscheinlich Ihrem Chef. Sie sagen: " Er befolgt oft nicht die Regeln, versteht Sicherheit nicht wirklich und macht nur sein eigenes Ding. Die Leute übersehen dies, weil er brillant und ein Veteran in der Branche ist und wir ihn alle respektieren. "- Nun, wenn jeder weiß, dass Bob in Bezug auf Sicherheit nachlässig ist, dann sind Sie weder ein kleiner Trottel noch werfen Sie ihn unter einen Bus. Sie sind ein Junior, der im Auftrag eines Veteranen kleinere Probleme aufgreift, sie aufräumt und hilft das Unternehmen Deal. Großartig, kein Problem.
• Wenn es um bewährte Verfahren in der Industrie geht, herzlichen Glückwunsch, Sicherheit ist jetzt Ihre Aufgabe, wenn Sie es wollen, denn offensichtlich will es niemand anderes dort. Schreiben Sie einen kurzen Bericht für Ihren Chef, in dem Sie die Vorzüge von Sudoern, einen gemeinsamen Passwort-Tresor, Auditing, regelmäßige Passwortrotation, niemanden mit Root-Passwörtern usw. preisen. Bieten Sie Korrekturen an und wie Sie diese implementieren würden und wie lange es dauern wird. Boss wird dich mehr mögen. Vielleicht.

Und wenn es darauf ankommt und Sie zwischen Bob (der bald in den Ruhestand geht) und Ihrem Arbeitgeber, der Sie bezahlt, Partei ergreifen müssen und vielleicht noch ein Jahrzehnt dort arbeiten, Ihre Loyalität sollte Ihren Interessen (dh dem Unternehmen) entsprechen. Ärgerlicher Bob ärgert Bob ein bisschen, eine Sicherheitsverletzung, die dazu führt, dass das Unternehmen zusammenbricht, macht alle arbeitslos. Der Ruf, der hinterhältige Junior zu sein, der Passwörter erhält, auf die er keinen Zugriff haben sollte, könnte Ihren Ruf in die Gosse bringen.

[Dies ist ohnehin nicht dazu gedacht, seinen Ansatz zu billigen, sondern ihn in den Kontext eines realen kleinen Unternehmens ohne dedizierte Sicherheitshaltung und Ihrer Rolle als Mitarbeiter für Ihre eigenen Interessen zu stellen anstatt eines Managers oder Direktors].

Da Sie angegeben haben, dass Ihr Unternehmen nicht einmal über eine IT-Abteilung verfügt, würde ich dies für den spezifischen Kontext sagen, den einige der anderen Antworten nicht zu berücksichtigen scheinen , Sie würden wahrscheinlich Ihre Zeit verschwenden.

Es gibt eine Annahme , auf die Sie Ihre Frage stützen: "Ich weiß, dass ich dieses Passwort nicht haben soll, weil in der In der Vergangenheit hat mein Chef speziell Dinge für mich auf dem Server getan, anstatt sie mir zu geben. " Woher weißt du das? Haben Sie tatsächlich nach dem Grund gefragt, warum Sie das Passwort nicht erhalten haben? Manchmal erledigen vielbeschäftigte Chefs eine Aufgabe selbst, anstatt sich die Zeit zu nehmen, um sicherzustellen, dass ihre Berichte die Dinge richtig machen - in kleinen Läden gibt es nicht immer viele andere Optionen. Und wenn der Chef einen Tag frei haben muss, benötigen andere Mitarbeiter möglicherweise Dinge wie den Zugriff auf ein Verwaltungskonto, um die Dinge zu erledigen.

Das heißt, reagieren Sie nicht so schnell. Lassen Sie die E-Mail dort, wo sie ist. Sie können im Vorbeigehen im Gespräch erwähnen, dass Sie das Passwort für die Box und Ihren Chef haben, wenn er sich wohl fühlt, wenn Sie sich hier und da anmelden und sich um die Dinge kümmern . Machen Sie den anderen nicht zum Schwerpunkt Ihres Gesprächs, denn das ist nicht Ihre Aufgabe. Sie können ein Ja, ein Nein bekommen, oder er kann es aufschieben. Seien Sie bereit, eine dieser Antworten zu akzeptieren.

Halten Sie sich von dem fern, was diese andere Person in Ihrem Job tut, es sei denn, dies steht in Ihrer Jobbeschreibung oder führt zu einem Konflikt mit Ihnen, wenn Sie Ihre Arbeit erledigen.

Gehen Sie nicht davon aus, dass es ein Problem gibt.

Vielleicht erhalten Sie eine Beförderung. (Auch wenn es sich nicht um eine finanzielle Erhöhung oder einen neuen Titel handelt, haben Sie jetzt Zugriff erhalten.) Wenn die Person, die das Unternehmen verlässt, viele erhöhte Verantwortlichkeiten hatte, besteht möglicherweise die Erwartung / Hoffnung, dass die Mitarbeiter verstärkt neue Rollen übernehmen .

Wenn Sie zum Supervisor gehen, gehen Sie nicht darauf ein, dass Sie Zugriff erhalten. Informieren Sie Ihren Vorgesetzten, dass Sie jetzt Zugriff haben. Wenn es ein Problem ist, können Korrekturen vorgenommen werden. Wenn nicht, dann genießen Sie die Tatsache, dass Ihnen dies jetzt anvertraut wurde.

Wenn Sie dies so betrachten, als würden Sie Ihrem Chef von einer Sachlage erzählen, nur damit der Chef nicht unangenehmer überrascht wird , dann muss das nicht wie ein Geschwätz aussehen. Dies bringt einfach jemanden auf den neuesten Stand der Sicherheitseinstellungen. Kein Problem.

Möglicherweise wusste dieser Oldtimer, dass Sie keinen Zugriff hatten. Deshalb wurde das Passwort geteilt. (Wenn er der Meinung wäre, dass Sie Zugriff haben sollten und das Passwort bereits hatten, hätte er es nicht geteilt.) Dies könnte eine beabsichtigte und genehmigte Handlung gewesen sein.

Was den Teil betrifft Je nachdem, wie sicher die E-Mail ist und wie wichtig dieses bestimmte Passwort wirklich ist, kann dies eine große Sache sein oder gar nicht. Wenn Sie höhere Standards haben, erfüllen Sie diese (indem Sie solche E-Mails nicht selbst senden), aber ich empfehle nicht, Ihrem Freund (der Ihnen ein Passwort anvertraut hat) Vorwürfe zu machen, bis Sie die Haltung der Organisation zu dem, was ist oder nicht, bestätigen. t akzeptabler Umgang mit diesen Daten.

Zunächst stimme ich als praktizierender InfoSec-Experte (IT-Prüfer) den verbleibenden Antworten voll und ganz zu.

Sie müssen Ihrem Chef und der IT-Sicherheitsfunktion mitteilen, ob Sie eine

Wie kann ich meinem Chef von dieser Sicherheitsverletzung erzählen, ohne wie eine kleine Geschichte zu klingen?

Sie haben nicht gesagt, welche Inhalte auf dem Server gespeichert sind , ob es vertrauliche Informationen enthält oder ob es sich um einen "Live" -Produktionsserver handelt. Sie wissen auch nicht, ob Ihr Mitarbeiter das ROOT-Passwort per E-Mail an andere nicht autorisierte Mitarbeiter in Ihrem Unternehmen oder an externe Dritte gesendet hat. Im Gegensatz zu Ihnen können andere genau wie Ihr Kollege sein und den Vorfall abwischen.

Beachten Sie jedoch folgende Tatsache: Wer weiß, welche böswillige Absicht ein bestimmter Insider-Mitarbeiter, Konkurrent oder Cyberkrimineller haben kann?

Was kann passieren? Sobald das Root-Passwort aus Sicht der Sicherheits-CIA kompromittiert wurde:

1. Eine böswillige Person kann nun die vollständige Kontrolle über den Server erlangen und andere überschreiben Von Ihren IT-Mitarbeitern festgelegte Sicherheitseinstellungen.
2. Er kann vertrauliche Daten löschen / stehlen, die sich möglicherweise auf dem Server befinden ( Verletzung der Integrität ).
3. Er kann den Server offline schalten und den Zugriff auf legitime Benutzer verweigern ( Verletzung der Verfügbarkeit )
4. Er kann die Kommunikation abfangen ( Verletzung der Vertraulichkeit )
ol>

Wenn Sie in einem regulierten Bereich wie dem Gesundheitswesen arbeiten, gelten bestimmte Vorschriften wie HIPPA. Strafen für Vorfälle können schwerwiegend sein. Selbst wenn Ihre Branche nicht reguliert ist, können die Folgen in Form eines verlorenen aktuellen Geschäfts sowie eines potenziellen zukünftigen Geschäfts schwerwiegend sein, wenn der Vorfall mit dem Kennwort Kundendaten offenlegt.

Um meinen Punkt zusammenzufassen:

Die Auswirkungen dieses Vorfalls auf die Sicherheit sind weitaus schwerwiegender als die Wahrnehmung, dass Sie ein "Tattle Tell" sind. Wie würden Sie sich fühlen, wenn ein Datenverstoß aufgetreten wäre und Sie Ihrem Manager nicht mitgeteilt hätten, wer die Auswirkungen hätte verringern können ?

Obwohl es sich um ein Sicherheitsproblem handelt (erstens, um Ihnen das Root-Passwort zu geben; zweitens, um es per E-Mail zu senden, was an sich nicht sicher ist), muss es kein Problem geben Sie müssen mit Ihrem Chef lösen.

Eine diplomatische und dennoch ethische Lösung für unerwünschte Passwörter lautet: Lernen Sie das Passwort nicht. Dies bedeutet, dass Sie die E-Mails, die Sie erhalten haben, löschen, den Papierkorb Ihres Mail-Systems bereinigen und nicht in Ihren persönlichen Passwort-Safe kopieren. Wenn das Passwort leicht zu merken ist, so dass es schwer aus Ihrem Gehirn zu löschen ist, sollten Sie es niemals verwenden, obwohl Sie es kennen.

Der nächste, ebenso wichtige Schritt besteht darin, den Absender jetzt zuzulassen. Dies kann auf völlig neutrale, "egozentrische" Weise erfolgen: "Ich fühle mich unwohl, wenn ich dieses Root-Passwort habe; ich habe es gelöscht und werde es nicht verwenden. Ich weiß, wen ich kontaktieren muss, wenn ich Zugriff benötige, und werde mit ihnen an diesem Computer arbeiten , wenn nötig. " Wenn sie überhaupt sensibel für Sicherheitsthemen sind, werden sie den Punkt bekommen. Wenn nicht, dann spielt es sowieso keine Rolle. Führen Sie diese Kommunikation auf demselben Medium durch, auf dem Sie das Passwort erhalten haben (antworten Sie einfach auf die E-Mail, die Sie von ihnen erhalten haben, und ersetzen Sie das tatsächliche Passwort offensichtlich durch "***"), um für alle Fälle eine Papierspur zu erhalten.

Ihnen die Schuld zu geben oder es sogar Ihrem Chef zu bringen, scheint ein sicherer Weg zu sein, um danach kein so großartiges soziales Umfeld zu haben, und wird wahrscheinlich gar nichts tun, um die Sicherheit Ihres Chefs zu fördern Ort.

Es gibt einen Grund, warum größere Unternehmen eine separate Einheit (CISO oder ähnliches) haben, um diese Probleme außerhalb der allgemeinen Managementhierarchie zu behandeln.

Persönliche Anekdotenzeit (weil es immer persönliche Anekdotenzeit ist):

Ich habe ein Unternehmen unter ungünstigen Umständen verlassen. Ich war CTO, also hatte ich natürlich Zugriff auf jedes System. Ein paar Wochen später bemerkte ich, dass mein Benutzername und mein Passwort immer noch in der Produktionsdatenbank funktionierten.

Dies war typisch für das schlampige Verhalten, das dazu führte, dass ich überhaupt ging. Verärgerte Ex-Mitarbeiter sind immer die ersten Verdächtigen, wenn es zu einem Hacking-Angriff kommt, und wenn einer passiert ist, wollte ich nicht, dass jemand sagen kann: "Nun, Malvolio kennt das Passwort immer noch."

Also schickte ich eine unpersönlich formulierte E-Mail an den CEO und forderte ihn auf, sie zu ändern.

Zwei Wochen später überprüfte ich erneut, und sie war nicht geändert worden. Ich habe dem CEO eine noch unpersönlichere E-Mail gesendet, in der ich den Benutzernamen und das Passwort in den Hacker-Nachrichten veröffentlichen würde, wenn mein Passwort innerhalb von 48 Stunden noch funktioniert hätte.

Meine Quellen berichteten, dass der CEO sofort zurückkam rief ein Treffen aller verbleibenden Ingenieure an und befahl, jedes Passwort und jeden Benutzernamen im System zu ändern.

Er war nicht sehr klug.

Aber das wäre kein Gute Lösung in der Situation des OP, obwohl er sich in einer fast prekären Lage befindet wie ich.

Da er nicht kleinlich erscheinen möchte, ist dies der perfekte Zeitpunkt, um sich auf die passive Stimme zu verlassen:

• das Passwort "wurde verschickt für ihn könnte "
• die E-Mail" gelesen werden "
• vielleicht sollte daher das Passwort" geändert werden "
• und sogar eine neue Richtlinie" könnte verkündet werden "

Es ist keine großartige Prosa, aber es ist gute Politik.

Mein erster Gedanke wäre, zu der Person zu gehen, die Ihnen das Passwort gesendet hat, und ihm zu sagen, dass er das wirklich nicht tun sollte. Ich würde keine Notwendigkeit sehen, ihn in Schwierigkeiten mit dem Chef zu bringen. Ihr Kollege hat versucht, Ihnen zu helfen. Es scheint ziemlich schleimig, ihn dem Chef zu melden, weil er bei dem Versuch, Ihnen zu helfen, gegen Regeln verstoßen hat. Wenn ich gedankenlos gegen eine Unternehmensrichtlinie verstoßen habe, als ich versucht habe, einem anderen Mitarbeiter zu helfen, und er mich umgehend abgegeben hat, können Sie sicher sein, dass ich zum letzten Mal etwas für ihn getan habe. Seine nächste Anfrage Ich würde ihm sagen, dass er eine Anfrage über seinen Manager einreichen muss, um über die richtigen Kanäle verarbeitet zu werden.

Sie haben nicht gesagt, welche Art von Informationen sich auf diesem Server befinden. Wenn es etwas ist, das, wenn es kompromittiert wird, Menschen töten oder zumindest das Unternehmen viel Geld kosten könnte, wären energischere Maßnahmen erforderlich, als wenn nur das Archiv der letzten 50 Jahre des Unternehmensnewsletters darauf steht. Ist es ebenfalls ein Server, auf den über das Internet zugegriffen werden kann, oder ist er nur in einem internen Netzwerk verfügbar? Usw.

Ich denke, ich sollte meinem Chef davon erzählen, damit er das Passwort ändern kann, aber ich habe Mühe, herauszufinden, wie ich es anstellen soll. Ich möchte nicht als Tattle-Tale rüberkommen.

Ich glaube nicht, dass Ihnen gesagt werden muss, dass Ihr Chef es wissen muss: Das Ziel ist lediglich, Sie zu informieren Chef auf eine Weise, die Ihr Kollege nicht als Anruf bei der Polizei wahrnimmt.

Als Erstes müssen Sie erkennen, dass dies möglicherweise nicht möglich ist - wenn er absolut entschlossen ist, beleidigt zu sein, gibt es keine Weg, um Ihren Chef zu sagen und nicht Ihren Kollegen zu beleidigen. Aber das ist sein Pech, (absichtlich oder versehentlich) einen Anreiz für andere zu schaffen, seine Fehler zu verbergen.

Gehen Sie als Nächstes zu Ihrem Kollegen zurück und sagen Sie es ihm (don ' t ihn nicht fragen), dass du leider nicht das Passwort haben darfst, das er dir gerade gegeben hat. Sie wissen das, weil Ihr Chef dieses Passwort kontrolliert und es Ihnen in der Vergangenheit verweigert hat. Also, weil Sie es jetzt wissen: Entweder benötigen Sie die Erlaubnis Ihres Chefs, um das Passwort zu haben, oder das Passwort muss geändert werden. Dies wäre unabhängig davon der Fall, wie es Ihnen gegeben wurde.

Da es Ihnen per E-Mail gegeben wurde, muss höchstwahrscheinlich das Passwort ohnehin geändert werden, auch wenn Sie erhalten die Erlaubnis, es zu wissen. Wenn das betreffende Passwort einen sehr geringen Wert hat und Ihr E-Mail-System einigermaßen sicher ist, kann Ihr Chef dieses Risiko möglicherweise akzeptieren, dies muss jedoch auf eine bestimmte Berechnung zurückzuführen sein. Ein etwas ausgeklügeltes Beispiel: Wenn die Remote-Kennwortanmeldung deaktiviert ist, ist der Computer virtuell (daher kann er sich nicht von einem lokalen Terminal aus anmelden), und Sie waren die einzige Person mit Zugriff auf den Computer, die das Root-Kennwort noch nicht kennt Es besteht möglicherweise kein unmittelbares Risiko, das Root-Passwort in 10-Fuß-Buchstaben an der Seite des Gebäudes zu malen. Aber es ist immer noch keine gute allgemeine Praxis, also könnte Ihr Chef sich dafür entscheiden, das nicht zu tun!

Dies zeigt Ihrem Kollegen das Problem, wie Sie es sehen. Konzentrieren Sie sich entscheidend auf das Problem "Ich weiß, was ich nicht wissen sollte", nicht "Sie haben das getan, was Sie nicht hätten tun sollen", und sprechen Sie nicht über Schuld. Sie könnten dann zwei Lösungen anbieten:

• Ihr Kollege wendet sich an Ihren Chef, um dies zu klären.
• Sie erledigen das für ihn und wenden sich selbst an Ihren Chef.

Nun könnte der Kollege an dieser Stelle eine dritte Option anbieten: "Tu nichts und betrüge mich nicht". In diesem Fall können Sie es nicht vermeiden, ihn zu beleidigen, und müssen tun, was Ihr Gewissen vorschreibt, ungeachtet der damit verbundenen Unannehmlichkeiten. Aber wenn er die erste Option wählt, lassen Sie ihn seine eigene Schadensbegrenzung mit Ihrem Chef machen und fragen Sie Ihren Chef einige Zeit später, was das Ergebnis war, soweit es Sie betrifft. Dies dient zwei Zwecken: Sie möchten wissen, wie viel Zugriff Sie auf die Maschine haben, und es hält Ihren Kollegen ehrlich, wenn er aus irgendeinem Grund lieber sagen möchte, dass er sich an Ihren Chef wendet und dies dann tatsächlich nicht tut.

Wenn er die zweite Option wählt (weil er der Meinung ist, dass es keinen Schaden für ihn gibt, wenn Sie zu Ihrem Chef gehen), können Sie zu Ihrem Chef gehen und sich keine Sorgen über die Konsequenzen machen. Wenn Sie Recht haben, dass er kein Interesse an Sicherheit hat, nachlässig ist und seine Position vollständig sichert, dann wird er höchstwahrscheinlich die zweite Option wählen. Wenn er sich versichern möchte, nimmt er möglicherweise das erste.

Möglicherweise möchten Sie auch mit Ihrem Chef die Frage aufgreifen, warum jemand das Root-Passwort überhaupt verwendet. bevorzugt die ordnungsgemäße Verwaltung der Liste der Sudoer. Aber das ist eine separate Aufgabe. Dies ist eine der Ursachen für dieses Problem, aber das Anerkennen räumt das Chaos nicht auf.

Nein, es ist wahrscheinlich in Ordnung. Erwähnen Sie es Ihrem Chef, um zu überprüfen, ob er das Passwort zurücksetzen möchte, nachdem Sie damit fertig sind. Wenn dies nicht der Fall ist, fragen Sie, ob Sie zusätzliche Protokolle befolgen müssen, nachdem Ihre Zugriffsebene erhöht wurde. Die Sache ist, wenn Ihr Mitarbeiter in der Lage war, jemandem das Passwort zu geben, bedeutet dies laxe Sicherheit, unabhängig davon, ob er tatsächlich jemandem wie Ihnen gegeben hat oder nicht.

In einem Sicherheitshinweis sollten Sie Ihre Server neu konfigurieren, damit Der Root-Zugriff wird ohne gemeinsame Nutzung von Kennwörtern verwaltet (ein spezielles Konto mit Sudo-Berechtigungen ist ein gängiges Muster).

Sie können mit dem Problem der Rassel auf eine Weise umgehen, wie es Manager manchmal tun. Identifizieren Sie "alle", ohne die Person hervorzuheben. Sofern nicht zur Information gedrückt.

Sie : Boss, ich muss "Dateien" vom "Server" kopieren, um meine Aufgabe abzuschließen. Ich finde es, dass ich es selbst tun kann, da ich jetzt im Besitz des Root-Passworts für den Server bin. Wird es für mich in Ordnung sein, meine Dateien zu kopieren?

Boss : Was? OH MEIN GOTT! Passwort?! Sicherheit! Wie?!! Wer hat es getan?!

Sie : Jemand vom Personal hat mir das Passwort gesendet, als ich darum gebeten habe, mir bei meiner Aufgabe zu helfen.

Boss : Wer hat es getan? Es war Bob, nicht wahr? Er macht immer so etwas.

Sie : Ich ziehe es vor, niemanden unter den Bus zu werfen, aber vielleicht darauf hinzuweisen, dass wir im Büro eine Kultur der laxen Sicherheit haben, und ich Ich denke, wir können es verbessern. Das Passwort wurde mir per E-Mail gesendet.

Chef : Sagen Sie es mir trotzdem, sonst verlieren alle.

Sie : Das war es Bob. Bob hat es geschafft. Das Senden eines Klartext-Root-Passworts per E-Mail ist eine große Sache und ein großes Sicherheitsproblem, das das gesamte Unternehmen gefährdet und haftbar macht.