¿Factor de autobús de malabares y separación de tareas en un equipo pequeño?

Personalmente no he tenido que tomar esta decisión, aunque sí trabajo en un entorno donde se implementa tal separación de tareas.

¿Es usted el propietario de este negocio o está trabajando para otra persona?

La razón por la que pregunto es porque de manera realista se trata de una decisión comercial. (salvo la perspectiva infosec obvia de "¡SEPARAR TODAS LAS COSAS!")

Para encontrar la respuesta, debe preguntarse a sí mismo / propietario / CFO esta pregunta:

  

Es el costo de agregar más empleados para implementar la separación de tareas   menos que la cantidad de negocios que se perderán para los clientes que   Requerir tal, o puede aumentar el costo del software vendido para cubrir   Los salarios de más empleados sin perder negocios adicionales debido.   al aumento de precios?

Si es así, entonces puedes agregar más empleados sin ponerte en números, financieramente.

Bienvenido al mundo de la seguridad informática empresarial. Como se ha enterado, es fácil para los departamentos de seguridad hacer recomendaciones que indiquen vagamente las "mejores prácticas". Es mucho más difícil implementar esto en el terreno. Pero puede abordar esto y obtendrá algunos beneficios.

Implementaciones con un solo clic : las nuevas versiones deben empaquetarse para que se puedan instalar fácilmente. Puedes combinar esto con el despliegue automático usando algo como Puppet. En ese momento, la implementación debe ser lo suficientemente simple como para dejarlo en manos de un colega menos técnico. Un beneficio de este enfoque es que evita errores de implementación. El desarrollador puede probar la implementación completa en la preproducción.

Correlación de registros : haga que sus servidores inicien sesión en un servidor de correlación de registros central, utilizando algo como Splunk. Puede dar a su equipo de desarrollo acceso de solo lectura a este sin violar la separación de tareas. También puede realizar un monitoreo centralizado de la CPU, la memoria, el disco, etc. Idealmente, tendrá suficiente análisis automatizado de los registros para que un colega menos técnico pueda juzgar si las cosas están bien o no.

Automatizar tanto como puedas. El mantenimiento de rutina debe ser programado y programado. Es posible que también desee escribir ciertas respuestas a problemas, como reiniciar un servidor de aplicaciones.

Acceso de emergencia : a veces, su aplicación se interrumpirá de manera que necesite que un desarrollador inicie sesión para vivir y corregirlo. Esto es aceptable incluso con la separación de deberes. Probablemente desee un proceso que parezca: "el operador de operaciones identifica el fallo, solicita asistencia" "el administrador aprueba el acceso de emergencia" "el operador de operaciones emite una contraseña temporal".

Si hace todo eso, puede usar a sus dos colegas menos técnicos como personal de operaciones. Su factor de bus (buen término por cierto) no se ve afectado seriamente porque ha perdido la habilidad del rol de operaciones.

¿Está ejecutando su aplicación en las instalaciones o en la nube? Le será más fácil cumplir con este requisito utilizando una plataforma como servicio en la nube.