दो-कारक प्रमाणीकरण नायक, भाग दो

हाल ही में, लेख के पहले भाग में , हमने कहा कि हम हैरान थे कि कुछ कंपनियां सूचना सुरक्षा के लिए दो-कारक प्रमाणीकरण की कमी को गंभीर खतरे के रूप में कैसे मानती हैं।

कारणों को समझने के लिए, हमने निर्णय निर्माताओं के चार विवरणों को संकलित किया - दो निदेशक और आईटी विभाग के दो प्रमुख, एक बड़ी और मध्यम आकार की कंपनी के लिए। इन मनोवैज्ञानिक चित्रों का उपयोग करते हुए, हम सूचना सुरक्षा कंपनी के प्रति उदासीन रवैये के कारण को समझने का प्रयास करेंगे।

पिछली बार, हमने फ्लाईटेक रिफाइनरी के आईटी विभाग के निदेशक की जांच की थी, और आज इसके प्रमुख (और अन्य दो पात्रों) से परिचित होने का समय है।

Constantin

कंपनी

तेल रिफाइनरी फ्लाईटेक, बड़े तेल होल्डिंग फ्लाईओल का हिस्सा है। कुल मिलाकर, 3 हजार से अधिक लोग रिफाइनरी में काम करते हैं, लेकिन लगभग एक हजार कंप्यूटर प्रौद्योगिकी से जुड़े हैं। ये दोनों सहायक इकाइयां (प्रबंधक, बहीखाता, रसद, बिक्री सेवा, विपणन) और Microsoft विंडोज के टर्मिनलों के माध्यम से आईसीएस के साथ काम करने वाले उत्पादन कार्यकर्ता हैं।

नौकरी का शीर्षक

जनरल निदेशक।

इसके लिए कौन जिम्मेदार है

1. समग्र रूप से रिफाइनरी के सुचारू संचालन के लिए।
2. इकाइयों के प्रभावी समन्वय के लिए - वित्तीय, वाणिज्यिक, औद्योगिक, परिवहन, सुरक्षा और आईटी।
   मोटे तौर पर, हर दिन तेल को रेल और तेल पाइपलाइन द्वारा रिफाइनरी तक पहुंचाया जाना चाहिए, तेल को गैसोलीन, मिट्टी के तेल, ईंधन तेल आदि में संसाधित किया जाना चाहिए। , कर्मचारियों को वेतन मिलना चाहिए, कंप्यूटर को काम करना चाहिए और कर्मचारियों और उत्पादन की सेवा करनी चाहिए। व्यक्तिगत रूप से प्रत्येक कार्य के लिए, विभाग का प्रमुख जिम्मेदार है, सभी के लिए एक बार - कोंस्टेंटिन।
3. संयंत्र के रणनीतिक विकास पर होल्डिंग के निदेशक मंडल और प्रबंधकों के प्रस्तावों के लिए।

क्या इसके लिए जिम्मेदार नहीं है

1. उपरोक्त इकाइयों के दैनिक कार्य के लिए उनके नेताओं की जिम्मेदारी है। यदि कारखाने में कोई दुर्घटना होती है, तो टैंक चोरी नहीं करते हैं, ग्राहक से पैसे नहीं आते हैं, नेटवर्क में सेंध लगाने का प्रयास किया गया है - विभाग प्रमुखों को इन सभी समस्याओं से निपटने के लिए आवश्यक कौशल, सूचना और उपकरण उपलब्ध कराने चाहिए।
2. पूरे जोत के काम के लिए।

पेशेवर विश्वदृष्टि

बाहर से ऐसा लगता है कि रिफाइनरी संभव उद्यमों के सबसे बड़े से दूर है, और हालांकि उत्पादन काफी खतरनाक है, यह अभी भी परमाणु ऊर्जा संयंत्र नहीं है। लेकिन यदि आप ऊपर से देखते हैं, तो यह देखा जाएगा कि रिफाइनरी वास्तव में एक शहर है, जिसके कार्यालयों, संयंत्रों, पाइपलाइनों, कैंटीन, फायरमैन, गार्ड और हजारों कर्मचारियों के अंदर कारखाने हैं।

और अगर इस शहर को खराब तरीके से प्रबंधित किया जाता है, खराब समन्वित सेवाओं का उत्पादन किया जाता है, तो इसका परिणाम कोई भी हो सकता है, उत्पादन में ठहराव या ऐसी दुर्घटना भी हो सकती है कि यह पर्याप्त नहीं लगता है। और इससे पूरे क्षेत्र को ईंधन के प्रावधान को खतरा होगा।

इसलिए, कॉन्स्टेंटिन हर दिन उद्यम के स्वास्थ्य को बनाए रखने के लिए बहुत सारी दिनचर्या और तंत्रिका कार्य करता है। इस काम के लिए, उसे इतने विशेष ज्ञान और कौशल की आवश्यकता है कि उसके पास विशिष्ट क्षेत्रों को समझने की ताकत और समय न हो, जैसे कि वित्तीय लेखांकन की जटिलताओं या एसओसी के कार्यान्वयन। उनके ज्ञान और अनुभव का अधिकतम उत्पादन, विपणन और परिवहन के क्षेत्र में है। और यह सामान्य है - कितने आईटी कार्यकर्ता कम से कम सामान्य शब्दों में तकनीक को खुर या तेल शोधन के मूल सिद्धांतों को जानते हैं?

आईटी के खतरों के बारे में, कॉन्स्टेंटिन वायरस और रैंसमवेयर जानता है (वह यह जानने के लिए अच्छी तरह से वाकिफ नहीं है कि रैंसमवेयर वास्तव में एक ही वायरस है, लेकिन कुछ लक्षणों के साथ)।

उनका मानना ​​है कि सभी खतरों की रोकथाम की पूरी जिम्मेदारी फेडर के पास है, क्योंकि उनके पास उपयुक्त शिक्षा और अनुभव है। समस्या में गहराई से उतरने की उनकी कोई इच्छा या अवसर नहीं है। आईटी में समस्याओं के बारे में उसे बताने के सभी प्रयास उसे अस्वीकार करने का कारण बनते हैं। जो भी उसे आईटी की धमकियों के बारे में बताता है, वह फेडर पर पुनर्निर्देशित करता है।

यदि "बिजूका" कॉन्स्टेंटिन की आत्मा में डूब जाता है, तो वह फेडर से पूछता है कि उसे जोखिम की संभावना और रिफाइनरी के संचालन पर इसके संभावित प्रभाव पर एक रिपोर्ट देनी चाहिए, लेकिन फेडर की निष्पक्षता का आकलन, निश्चित रूप से कभी नहीं जांचता है।

2FA के लिए वर्तमान रवैया

1. कॉन्स्टेंटिन जानता है कि प्रमाणीकरण एक पीसी पर किया जाता है, फेडर सभी पीसी में लगा हुआ है, जिसका अर्थ है कि 2FA को लागू करने की आवश्यकता का पूरा आकलन फेडर से आना चाहिए।
2. कॉन्स्टेंटिन यह नहीं समझता है कि 2FA उन समस्याओं को संदर्भित करता है जो औपचारिक रूप से जिम्मेदारी के आसन्न क्षेत्रों में आते हैं, लेकिन वास्तव में, प्रत्येक पक्ष का मानना ​​है कि पासवर्ड की चोरी के लिए अन्य सेवाओं को जिम्मेदार होना चाहिए।
3. कॉन्स्टेंटिन 2FA के बीच संबंध को नहीं समझता है, उसके लिए समझ से बाहर है, और धमकी जो वह समझता है (जिसमें वह विश्वास करता है) - वायरस और रैंसमवेयर के साथ संक्रमण।

अब, फ्लाईटेक रिफाइनरी में दो-कारक प्रमाणीकरण की कमी के कारण के बारे में परिकल्पना उभरने लगी। शायद तथ्य यह है कि कॉन्स्टेंटिन और फेडोर 2 एफ को एक दूसरे की चिंता मानते हैं और यह महसूस नहीं करते हैं कि पासवर्ड चोरी या डेटा फैलने की स्थिति में यह एक आम समस्या बन जाएगी। नतीजतन, कॉन्स्टेंटिन का मानना ​​है कि चूंकि फेडर आईटी समस्याओं का संकेत नहीं देता है, इसलिए वे मौजूद नहीं हैं। लेकिन फेडर को लगता है कि पासवर्ड सुरक्षा एक प्रशासनिक कार्य है, और चूंकि कॉन्स्टेंटिन इस पर ध्यान केंद्रित नहीं करता है, इसलिए यह समस्या गंभीर नहीं है।
इस परिकल्पना की पुष्टि या खंडन करने के लिए, आइए दो और पात्रों को देखें।

चूंकि हमने बड़े निगमों में दो-कारक प्रमाणीकरण का पता लगाया है, इसलिए यह पता लगाने का समय है कि माध्यम में चीजें कैसे हैं। इसके लिए, हम Tradex परिवहन कंपनी के साथ आए और इसके सीईओ (और एक ही समय में स्वामी) और आईटी विभाग के प्रमुख का वर्णन किया। शायद हम इसके साथ शुरू करेंगे।

पीटर

कंपनी

ट्रांसपोर्ट कंपनी "ट्रेडएक्स"। यह रूस, सीआईएस, चीन और तुर्की में माल परिवहन करता है। इसके पास वैगन और ट्रकों का अपना और आकर्षित बेड़ा है, साथ ही साथ इसका अपना गोदाम परिसर भी है। विदेशी व्यापार गतिविधियों (विदेशी आर्थिक गतिविधि) को वहन करता है, इलेक्ट्रॉनिक बोली में भाग लेता है।

नौकरी का शीर्षक

आईटी के प्रमुख वह तीन लोगों की एक टीम का नेतृत्व करता है, जहां एक कर्मचारी को नेटवर्क उपकरण और सॉफ्टवेयर स्थापित करने में काफी अच्छा ज्ञान है, और अन्य दो शुरुआती "एनाइकाइशिकी" हैं।

इसके लिए कौन जिम्मेदार है

कंप्यूटर से जुड़ी हर चीज के लिए। इसी समय, न तो काम की नीतियां और न ही प्राथमिकताएं बताई जाती हैं। इस प्रकार, किसी कंपनी के वेबसाइट पर DDoS हमले को रद्द करने की तुलना में निर्देशक के कंप्यूटर पर विंडोज को पुनर्स्थापित करना अधिक महत्वपूर्ण हो सकता है।

उसी समय, पीटर को भरोसा है कि अधिकांश समस्याओं को उनकी घटना के तथ्य से हल किया जा सकता है, और मालिक अन्य समस्याओं के बारे में दार्शनिक रूप से विचार करेंगे। वह है:

• सीआरएम / 1 सी से डेटा नष्ट हो जाता है - खराब, सीआरएम / 1 सी एक दिन काम नहीं करता है - सहनशील;
• निदेशक का पीसी काम नहीं करता - बुरा, साधारण प्रबंधक का पीसी दिन के दौरान काम नहीं करता - सहनशील
• क्लाइंट-बैंक काम नहीं करता - बुरा, ईमेल काम नहीं करता - सहनशील।

क्या इसके लिए जिम्मेदार नहीं है

डेटा और सेवाओं तक पहुँच के लिए अधिकारों और नीतियों के लिए। विभाग के प्रमुख ने कहा कि वीपीएन और आरडीपी को दूरस्थ रूप से कर्मचारी को डेस्कटॉप तक पहुंच प्रदान करें। क्या कोई कर्मचारी "मर्ज" कर सकता है डेटा पहले से ही सामान्य निदेशक और विभाग के प्रमुख के लिए एक समस्या है।
विभिन्न प्रकार के जोखिमों के लिए बढ़ी हुई तत्परता के लिए। यदि कर्मचारी अचानक अपना खुद का सामान तोड़ देता है, तो Tradex के पास अतिरिक्त लैपटॉप खरीदने के लिए पैसे नहीं हैं। अब, अगर यह टूट जाता है, तो हम सोचेंगे कि इसके साथ क्या करना है। उसी समय, निश्चित रूप से, सबसे अधिक संभावना जोखिमों को ध्यान में रखा जाता है - जैसे कि बैकअप कार्यालय संचार चैनल।

पेशेवर विश्वदृष्टि

"यह काम करता है - स्पर्श न करें।" पेट्र के निदेशक अत्यधिक उत्साह के लिए उनकी प्रशंसा करने की संभावना नहीं रखते हैं, लेकिन यदि सुधार की प्रक्रिया में वह खराब हो जाती है (या कम से कम अस्थायी रूप से काम करने वाले को निष्क्रिय कर देती है), तो पीटर दोषी होगा। इसलिए, पीटर को प्रयोग पसंद नहीं है। हर बार यह विचार करते हुए कि क्या कुछ नया पेश करना है, वह इस बात का आकलन करता है कि क्या इन अवसरों के अभाव से कंपनी को उन समस्याओं का खतरा है जो उस पर आरोपित हो सकती हैं। और क्या वह परिचय उन समस्याओं को जन्म देगा, जिसमें वह आरोपी है।

2FA के लिए वर्तमान रवैया

पीटर ने इस बारे में सुना, लेकिन मुझे यकीन है कि यह उनकी कंपनी के बारे में नहीं है। अधिकांश कर्मचारी सादे दृष्टि में हैं, और यदि कोई किसी अन्य व्यक्ति के पासवर्ड के साथ डेटा को मर्ज करने का प्रयास करता है, तो सुरक्षा परिषद या निदेशक स्वयं इसे करने दें। हालांकि अगर पीटर इस तरह की धमकी की वास्तविकता में विश्वास करता है, तो वह निश्चित रूप से निर्देशक को बताएगा - ताकि कुछ होने पर चरम न हो।

जैसा कि आप देख सकते हैं, पीटर आईटी में सभी समस्याओं के लिए जिम्मेदार है, और यहां तक ​​कि पहले भाग से उनके सहयोगी फेडर से भी अधिक। क्योंकि औसत कंपनी बड़ी नहीं है, कोई समर्पित सुरक्षा सेवा नहीं है (कम से कम आईटी मामलों में सक्षम)। पीटर किसी और को जिम्मेदारी के क्षेत्र, या सेवा निर्देशों का उल्लेख नहीं कर सकते।

और अंत में, हम आपका ध्यान पीटर - पॉल, डायरेक्टर और ट्रेडएक्स के मालिक के सामने पेश करते हैं।

पॉल

कंपनी

ट्रांसपोर्ट कंपनी "ट्रेडएक्स"। यह रूस, सीआईएस, चीन और तुर्की में माल परिवहन करता है। इसके पास वैगन और ट्रकों का अपना और आकर्षित बेड़ा है, साथ ही साथ इसका अपना गोदाम परिसर भी है। विदेशी व्यापार गतिविधियों (विदेशी आर्थिक गतिविधि) को वहन करता है, इलेक्ट्रॉनिक बोली में भाग लेता है।

नौकरी का शीर्षक

सीईओ और मालिक सभी एक में लुढ़क गए।

इसके लिए कौन जिम्मेदार है

हर चीज के लिए। यह सिर्फ इतना है कि वह कुछ चीजों को समझता है और पूरी तरह से उन्हें नियंत्रित करता है, और बाकी कलाकारों को सौंपता है। तथ्य यह है कि वह नहीं समझता है, निर्देशक को समस्याओं की अनुपस्थिति और परिवर्तनों के लिए समय पर प्रतिक्रिया की आवश्यकता है। यही है, पावेल को "क्रिप्टोग्राफर" शब्द नहीं पता है, लेकिन अगर कंपनी के सभी पीसी अचानक अवरुद्ध हो जाते हैं, तो वह आईटी विभाग के प्रमुख से निपटेंगे। और अगर ड्राइवर अचानक द्वि घातुमान में चला जाता है, तो वह परिवहन विभाग के प्रमुख को चलाएगा।

क्या इसके लिए जिम्मेदार नहीं है

जैसा कि पहले ही उल्लेख किया गया है, कुछ प्रक्रियाओं के विवरण के ज्ञान के लिए।

पेशेवर विश्वदृष्टि

यह पॉल की कंपनी है, इसलिए वह यह मानना ​​चाहता है कि वह अपनी सभी प्रक्रियाओं को पूरी तरह से नियंत्रित करता है। वह समय-समय पर विभाग प्रमुखों के साथ मिलते हैं और वे उन्हें वर्तमान स्थिति के बारे में विस्तार से बताते हैं, संभावित खतरों और नए उत्पादों के बारे में (और यह पहली जगह में आईटी के बारे में नहीं है - उदाहरण के लिए, पावेल आय पर प्लेटो प्रणाली के कार्यान्वयन के प्रभाव में बहुत रुचि रखते थे)।

पावेल विभिन्न उद्योग सम्मेलनों में भाग लेना पसंद करते हैं, यह उनकी स्थिति पर जोर देता है और वास्तव में महत्वपूर्ण कुछ सीखने का अवसर प्रदान करता है। अगर वहां वे कुछ कहते हैं जो उसे रुचता है, लेकिन उस क्षेत्र से जहां वह विशेषज्ञ नहीं है, तो पावेल इस जानकारी को संबंधित विभाग के प्रमुख को स्थानांतरित करता है, इसे छांटने और उसे रिपोर्ट करने के लिए कहता है।

2FA के लिए वर्तमान रवैया

पावेल को 2FA के बारे में कुछ नहीं पता है। विशेष सम्मेलनों में, इन मुद्दों को संबोधित नहीं किया जाता है, पीटर उसे इस बारे में नहीं बताते हैं। यदि उन्हें संभावित जोखिम के बारे में सही ढंग से बताया गया था, तो उन्होंने मांग की होगी कि पीटर समझें और रिपोर्ट करें कि वे उनकी कंपनी में कितने महत्वपूर्ण और संभावित हैं। और अगर पीटर कहते हैं कि उन्हें 2FA की आवश्यकता नहीं है, तो पावेल यह गारंटी देने की मांग करेंगे कि इस तकनीक की शुरुआत के बिना, Tradex की सुरक्षा प्रभावित नहीं होगी। और फिर पावेल के लिए जिम्मेदारी लेने की तुलना में 2FA को लागू करना आसान हो जाएगा।

निष्कर्ष

कारणों के बारे में स्मार्ट निष्कर्ष होना चाहिए कि चार स्मार्ट लोग, ईमानदारी से अपनी कंपनियों की सुरक्षा के बारे में चिंतित हैं, प्रभावी और अच्छी तरह से स्थापित दो-कारक प्रमाणीकरण तकनीक के बारे में जानते हैं, लेकिन इसे घर पर लागू नहीं करते हैं। इस तथ्य के बावजूद कि लागत और समय के संदर्भ में परिचय कठिन और महत्वपूर्ण नहीं है।

लेकिन निष्कर्ष बहुत सरल थे। हमें पासवर्ड के खतरों और 2FA के लाभों के बारे में अधिक बात करने की आवश्यकता है, न केवल आईटी कर्मचारियों को, बल्कि सीईओ को भी - और 2FA तैनाती की संख्या में काफी वृद्धि होगी।

सहमत नहीं हैं? मुझे टिप्पणियों में चर्चा करने में खुशी होगी!