Deshabilite el acceso a Internet de la PC de desarrollo por seguridad

En primer lugar, estoy en el campamento que piensa que esta es una idea terrible. La seguridad se trata de compensaciones, por lo general, el intercambio de seguridad contra conveniencia. Pero en un entorno empresarial todo se trata de costos. El costo de una influencia externa potencialmente maliciosa en su código fuente (que es dudoso en el mejor de los casos) tendría que superar el aumento en los costos de desarrollo, que será dramático.

El costo del fallo de seguridad no es un juego de todo o nada; puede mitigar el costo de las fallas de seguridad al utilizar las técnicas y herramientas adecuadas de investigación, copia de seguridad, revisión de códigos y SCM. Además, estas técnicas también ayudan con otros problemas, no solo con problemas de seguridad.

La única excusa para tal política tendría que ser una subestimación bruta de los costos que impondría y una falta de comprensión con respecto a las alternativas. Y una empresa con ese tipo de discapacidad administrativa no es una buena perspectiva de empleo a largo plazo.

Ahora, dicho esto, puedo pensar en un entorno en el que tal política sea perfectamente razonable. Específicamente, muchas empresas relacionadas con la seguridad (y en particular los contratistas de seguridad del gobierno) tienen un rojo-verde División en todos los recursos. El lado "rojo" es susceptible a la influencia externa, mientras que el lado "verde" está absolutamente aislado y es autónomo en todos los sentidos. Sin conexiones cruzadas, sin sistemas compartidos, sin código compartido, sin información compartida.

En ese entorno, el desarrollo "verde" tendría que ocurrir en una máquina que está desconectada de Internet. Sin embargo, también en dichos entornos, se espera que cada empleado / desarrollador tenga dos estaciones de trabajo, una roja y una verde, por lo que el empoloyee no estará completamente aislado de Internet.

En realidad creo que esta es una excelente idea si la compañía está dispuesta a gastar el dinero en hardware y redes para configurarlo correctamente. También es probable que un desarrollador tenga más de dos máquinas, pero ese es otro problema ;-)

Si coloca dos tarjetas de red en la máquina de Internet, una para Internet y la otra para conectarse a la máquina de desarrollo (red aislada), puede usar un programa como Mouse without Boarders para permitir que el desarrollador copie y pegue datos desde una computadora para el otro. También él / ella también podría copiar archivos de una máquina a la otra.

Los beneficios de seguridad parecen superar mucho los inconvenientes.

Una verificación rápida confirma que esto se encuentra en ISO 27002, sección 11.4.5, por lo que ciertamente es un control de seguridad de la información legítimo que debe implementarse.

Si es apropiado en algún caso específico, por supuesto, depende de las circunstancias exactas: el modelo de amenaza, la evaluación de riesgos, el riesgo aceptable, el costo de la medida en términos de productividad.

Sin embargo, no creo que Google o Facebook hagan este tipo de segregación de forma rutinaria. Esta publicación por algunos ex empleados dice que los ingenieros de Google suelen tener dos computadoras, pero pueden realizar trabajos de desarrollo en ambas, y que los ingenieros de Facebook generalmente tienen una sola máquina.

A mí también me suena dudoso. Me pregunto si podría ser mejor dejar que el desarrollador use Internet, pero con firewall (por lo tanto, las conexiones entrantes están bloqueadas), y con algunas precauciones para evitar compromisos (por ejemplo, actualizaciones automáticas, usar un navegador moderno, instalar Secunia PSI, tal vez incluso ejecutar) el navegador u otros programas de acceso a Internet en una máquina virtual si la empresa está lo suficientemente preocupada, tal vez incluso le compre una Mac al desarrollador para que no sea susceptible al malware de Windows).

En el lado bueno, al menos el empleador está proporcionando una segunda PC para conectarse a Internet, en lugar de tratar de fingir que no es necesario. Y, en general, creo que los desarrolladores deberían tratar de trabajar con la empresa de la mejor manera posible.

¿Qué razones da el empleador?

Si bien suena como una idea de seguridad no irrazonable, como desarrollador, ¡sería como cortar una mano! Con frecuencia hago referencia al contenido de Internet como referencia. Una instalación predeterminada de Visual Studio obtendrá todo el contenido de ayuda de las fuentes en línea, también uso los servidores de símbolos de MS que AFAIK no puede instalarse localmente.
Permitiría el acceso a Internet desde una estación de trabajo principal de desarrolladores. A través de un proxy para que pueda ser monitoreado. Si la compañía piensa que el acceso debería estar restringido, sugeriría usar el proxy para limitar los sitios que se pueden visitar a los sitios relevantes para la tecnología utilizada.

martillo para romper una tuerca si me preguntas. Revelación completa Soy un desarrollador :)

Hay muchos otros controles que pueden implementarse que permitirían a una PC de desarrollo un acceso a Internet razonablemente seguro, por ejemplo. todo el tráfico a través de un proxy web que requiere autenticación, dicho proxy que bloquea el sitio mal conocido o aquellos que no tienen beneficios comerciales reales (aunque definirlo puede ser complicado según el tamaño y el tipo de negocio en que se encuentre).

Los problemas con las PC de desarrollador en un entorno corporativo tienden a venir de la necesidad de instalar herramientas "extrañas" y "extrañas". Tratar de explicar a TI por qué necesita Wirehark como desarrollador puede ser complicado, hasta el punto de que es casi más fácil aislar las PC de desarrollador de la red corporativa y administrar su conexión entrante.