En 2018, la respuesta depende de sus resultados de análisis de amenazas y riesgos. Lo que, por supuesto, realizó, identificó los escenarios probables, los calificó y tomó una decisión de negocios basada en el impacto y la frecuencia, de acuerdo con un método estadístico o cuantitativo adecuado.
Su empleado individual, sin embargo, ha realizado su propio análisis de riesgo personal y llegó al resultado que usted indicó, a saber:
no puede responsabilizarse de su identidad de red en tal caso
Y él es perfectamente correcto en esa evaluación. Incluso una mirada superficial a la situación deja claro que alguien que no sea él, con habilidades técnicas mínimas, podría hacerse pasar por él.
Para usted el riesgo comercial es aceptable (obviamente, quiero decir que es 2018, que la red interna no esté encriptada es una decisión intencional y no, por ejemplo, un caso de que siempre lo hemos hecho -es como eso, ¿verdad?) y puede que tengas razón en esa decisión. Aceptar un riesgo es una opción perfectamente válida.
Para él el riesgo no es aceptable. Tenga en cuenta que no toma una decisión comercial para la empresa con su declaración. Él toma una decisión personal por sí mismo. Es por eso que los dos análisis de riesgo pueden llegar a resultados diferentes: contexto diferente, apetito por el riesgo, impactos.
La respuesta correcta es que usted está asumiendo la responsabilidad que él se niega a aceptar. Al ejecutar la red sin cifrar y aceptar el riesgo, la empresa asume la responsabilidad de la identidad de red de los usuarios de esa red, ya que ha decidido no protegerlos.
También puedo equivocarme en mis suposiciones acerca de su gestión de riesgos corporativos, en cuyo caso recomiendo realizar un análisis de riesgos de este hecho en particular (red interna sin cifrar) y amenaza (suplantación de usuarios) para que pueda revisar la decisión. de tener una red sin cifrar, o solidificarla con resultados que muestren que proteger la red sería más costoso que la pérdida esperada.
