Zusammenfassung: Ich habe für ein kleines Startup gearbeitet, das von einem Mega-Unternehmen übernommen wurde. Die IT-Sicherheitsrichtlinien sind übertrieben, erhöhen jedoch nicht die Sicherheit und hindern mich an der Arbeit. Wie ändere ich das?
Zunächst ein Kontext: Das Startup (nennen wir es Tinyco), für das ich gearbeitet habe, wurde letztes Jahr von einem großen (tausende von Menschen) tech-orientierten Unternehmen gekauft (nennen wir es) it Megacorp zur leichteren Identifizierung) mit Büros auf der ganzen Welt. Ich leite ein Entwicklungsteam in dieser Firma. Ein Teil meiner Aufgaben, als wir noch Tinyco waren, umfasste viele sicherheitsrelevante Arbeiten. & Ich beherrsche diese Themen, aber seit dem Verkauf wurden diese Aufgaben an das engagierte Informationssicherheitsteam von Megacorp delegiert. Aufgrund der Art meiner Position bin ich in sicherheitsrelevanten Fragen immer noch weniger aktiv.
Das Problem ist, dass das Informationssicherheitsteam von Megacorp davon besessen zu sein scheint, zwei Dinge zu tun: Nein zu sagen und zu sagen Beschränken Sie alles, auf das sie nicht nein sagen, auf ein Niveau, das dem Nein entspricht. Beispiel:
- Wir müssen eine Single Sign-On (SSO) -Lösung verwenden. An sich ist es eine gute Idee, aber das Problem ist, dass wir mehrere SSO-Lösungen verwenden müssen. Es gibt keinen technologischen Grund dafür; Es handelt sich lediglich um mehrere Konten bei demselben SSO-Anbieter, die jeweils an einem anderen Ort verwendet werden.
- Dies negiert alle Sicherheitsvorteile von SSO und erhöht gleichzeitig die Komplexität. Dies bedeutet, dass Sie über mehr Kennwörter verfügen, um den Überblick zu behalten und eine höhere Chance zu haben einen zu vergessen / wiederzuverwenden / einen knacken zu lassen.
- Infolgedessen ist die IT jetzt daran gewöhnt, dass Personen, die Kennwortrücksetzungen für andere Personen anfordern, keine gute Sicherheitspraxis.
- Wenn mein Telefon mit Unternehmensdaten gestohlen wird, kann ich niemanden wissen lassen, dass es aus der Ferne gelöscht werden muss, und ich kann mich nicht bei meinem Laptop anmelden Infolgedessen haben sie sich aus "Sicherheitsgründen" geweigert, Netzwerkänderungen usw. vorzunehmen, obwohl sie nicht erklären konnten, warum diese Änderungen ein Risiko darstellen.
- Dies zwang alle dazu, einen Umweg zu machen, der oft weniger sicher ist, da der Job noch erledigt werden muss.
Ich habe mehrmals versucht, mit dem Leiter des Informationssicherheitsteams darüber zu sprechen, aber er sagt immer wieder: "Wir müssen hier einen zufälligen Sicherheitsstandard einfügen
, um dies zu tun", obwohl die Mehrheit von Die Dinge, die ich oben erwähnt habe (und die er in diesem Vortrag angesprochen hat), sind nicht Teil eines Sicherheitsstandards, den er erwähnt hat.
Ich bin ernsthaft ratlos, was ich noch tun soll, da dies negative Auswirkungen hat meine Arbeit. Ich habe gerade heute mehr als eine Stunde gezählt und mich nur mit sicherheitsrelevanten Einschränkungen befasst, und das ist nicht ungewöhnlich oder selten, was erheblich mehr ist als damals, als wir bei Tinyco waren, und gleichzeitig fühlt es sich erheblich weniger sicher an. Wie kann ich das Informationssicherheitsteam dazu bringen, dies zu sehen?