Como "Jefe de TI" es razonable no tener acceso al correo electrónico o la administración de copias de seguridad, ya que podría contener información confidencial

5

Trabajo para una empresa mediana de alrededor de 100 personas, y soy empleado para ser responsable de TI responsable de las copias de seguridad, la seguridad, la resolución de problemas técnicos, entre otras cosas, etc., etc.

Sin embargo, los directores de la empresa me quitaron los derechos de administrador de Office365 Exchange y el acceso a la copia de seguridad porque "podía acceder a información personal confidencial". (Algo que nunca he hecho o que no haría)

Siento que esto significa que no confían en mí y que no puedo hacer mi trabajo correctamente (como configurar nuevos usuarios en copias de seguridad o configurar correos electrónicos) por eso y tengo que hacerlo a través de un director.

Esta es también la razón por la que no tendrán una red de dominio, ya que significa que tendría acceso a todo y sería la única que sabe cómo solucionar un problema si las cosas salieron mal. En su lugar, tienen máquinas locales independientes en un grupo de trabajo en el que todos tienen su propia PC como administrador local, lo que en mi opinión es una horrible pesadilla de seguridad, ya que no puedo hacer ninguna gestión general para las actualizaciones, la seguridad, la detección de virus, la instalación de aplicaciones, la comprobación de dispositivos no autorizados. en la red, etc. etc.

¿Ustedes piensan que esto es algo razonable?

    
pregunta Jeff 24.07.2018 - 17:42
fuente

3 respuestas

6

Esto parece una locura límite.
Hay dos problemas principales que parecen ser pasados por alto por los directores de la compañía:

  • planificación de la continuidad del negocio / recuperación de desastres
  • Controles de acceso basados en roles

Sin alguien con derechos de administrador en el servidor de Exchange, ¿cómo se supone que se realicen las copias de seguridad? ¿Todos los usuarios son responsables de hacer sus propias copias de seguridad de correo electrónico y mantenerlas seguras en caso de que necesiten ser restauradas? En este caso, dado que no hay una red de dominio, ¿cómo se supone que las estaciones de trabajo deben ser respaldadas / restauradas centralmente en caso de falla? Cada máquina se convierte en un punto único de falla y cualquier documento crítico en ellos podría perderse para siempre si algo sale mal.

En segundo lugar, colocar cada estación de trabajo en un grupo en el hogar está solicitando un acceso de datos inadecuado. Como cada usuario es el único administrador de su estación de trabajo, esencialmente posee cualquier dato que se encuentre en él. No habría nada que les impida dar acceso a otros empleados, independientemente de si esos empleados deben tener acceso o no. Esto podría tener enormes ramificaciones legales dependiendo del tipo de negocio que realice su empresa y puede valer la pena llevarlo al departamento legal.

Por último, siendo cada usuario el maestro de sus propias estaciones de trabajo, mantener cada red a un nivel de seguridad mínimo será básicamente imposible. Cualquier antivirus o software de prevención de pérdida de datos puede simplemente ser deshabilitado o eliminado por el usuario, sin mencionar todos los programas potencialmente maliciosos que pueden terminar instalando por su cuenta. Si alguna máquina queda comprometida, es probable que se vea comprometida con el acceso total del administrador en una red sin controles de acceso estandarizados y sin opciones de copia de seguridad ni opciones de recuperación garantizadas. Básicamente, una pesadilla de robo / daño / rescate (o el paraíso, según la perspectiva).

    
respondido por el Mr. Llama 24.07.2018 - 18:05
fuente
3
  

¿Ustedes piensan que esto es algo razonable?

No, no si no hay algo más en juego de lo que no estés al tanto o que estés dejando de lado en la descripción.

Una razón de ejemplo por la que una empresa puede restringir severamente el acceso a las comunicaciones como el correo electrónico es si están en discusiones sobre comprar / vender / fusionar con otra compañía. El control estricto de esta información antes de un anuncio público puede evitar una serie de problemas importantes.

  

Estoy empleado para ser responsable de TI responsable de las copias de seguridad, la seguridad, la resolución de problemas técnicos, entre otras cosas

Claramente, usted no es el "Jefe de TI" y no sé si esa es su posición actual o un título que se otorga como parte de un personal de TI limitado (posiblemente un personal de uno). Claramente, el director (es) que toma las decisiones es el jefe real de TI. Si así es como se lee la descripción de su trabajo, entonces los necesita para volver a escribir la descripción de su trabajo.

Personalmente, no continuaría trabajando en un lugar donde la descripción de un trabajo se lee así y no tengo los medios para hacer mi trabajo. Me preocuparía que fuera el chivo expiatorio si surgieran problemas. "En la descripción de su trabajo se dice que usted es responsable de xxx, por lo que la falla es su culpa".

  

Los directores de la empresa eliminaron mis derechos de administrador de Office365 Exchange y el acceso de respaldo debido a que "podía acceder a información personal confidencial"

Claramente, con ese acceso puede acceder a información confidencial. Esa es siempre una preocupación potencial para la contratación de personal de TI, pero para que el personal de TI haga su trabajo, necesitan acceso. Tiene que haber un nivel de confianza en el personal de TI en proporción a las expectativas de su trabajo, así como una protección suficiente para la empresa. Por ejemplo, yo mismo he encontrado a menudo que recibo la misma (o más) capacitación en temas de privacidad que los profesionales de la medicina cuando trabajan en ese entorno. En otros casos, se requirió una NDA y / o verificación de antecedentes.

Sin embargo, tengo curiosidad por la declaración "He tenido ... acceso eliminado por los directores de la empresa". Esto suena como si tuvieras acceso y te lo quitaron. Esto no es algo que normalmente se haría si no hubiera hecho algo para justificar tal cambio. Si no lo ha hecho, consulte los párrafos anteriores en mi respuesta que comienzan en "Yo personalmente no continuaría trabajando ..."

  

Siento que esto significa que no confían en mí y que no puedo hacer mi trabajo correctamente

Si las responsabilidades laborales que estableciste son precisas y / o algo más no está sucediendo, no, no, no, no puedes.

Sin embargo, tal vez vean sus responsabilidades laborales de manera un poco diferente y, como tal, no creen que necesite el acceso que describe. Si este es el caso, entonces sé agradecido. Si no necesito acceso para realizar mi trabajo, preferiría no tenerlo. Es difícil culpar a alguien por cosas como información personal filtrada si no tienen acceso a ella en primer lugar.

  

Esta es también la razón por la que no tendrán una red de dominio, ya que significa que tendría acceso a todo y sería la única que sabe cómo solucionar un problema si las cosas salieron mal.

Ah, um, wow? ¿Qué puedo decir a eso? Tan mal razonado, espero que sea su traducción frustrada de su postura.

Un dominio administrado y mantenido adecuadamente puede disminuir significativamente el riesgo de que algo salga mal. Eso incluye la documentación adecuada y la capacitación de un administrador secundario o de respaldo (incluso si su función de trabajo principal no es TI ... ¿como el director mencionado anteriormente?).

Especialmente debido a que la documentación debe incluir la planificación de desastres y para una compañía pequeña, recomendaría que incluya información de contacto para un recurso de soporte de terceros (compañía local de servicios de TI), para cuando esté de vacaciones y su administrador secundario esté enfermo / heridos / muertos.

  

En su lugar, tienen máquinas locales independientes en un grupo de trabajo en el que cada uno tiene su propia PC como administrador local, lo que en mi opinión es una horrible pesadilla para la seguridad, ya que no puedo hacer ninguna gestión general de actualizaciones, seguridad, control de virus, instalación de aplicaciones, control para dispositivos maliciosos en la red

Podrías simplemente haber terminado esta oración después de "pesadilla" y eliminada "en mi cabeza". Una vez más, parece que usted no tiene control de TI en ningún sentido, ya que los círculos no son el "Jefe de TI" de la empresa. Si usted fuera el "Jefe de TI", entonces podría tomar decisiones sobre cómo funciona la TI para la empresa.

Su red es tan segura como el enlace más débil y cuando cada persona es responsable del mantenimiento y la seguridad de su propia estación de trabajo, no existe un estándar para mantener un nivel mínimo de seguridad.

    
respondido por el YLearn 25.07.2018 - 06:37
fuente
1

El punto está aquí:

  

Siento que esto significa que no confían en mí y que no puedo hacer mi trabajo correctamente

Trabajé como administrador del sistema y como administrador no de TI, y en ambos lugares me asustaba lo que un administrador de sistemas pudiera ver y hacer. El comportamiento más común es simplemente ignorar ese punto: los datos altamente confidenciales se dejan sin cifrar en los servidores, con derechos de acceso estrictos, excepto que cualquier miembro del personal de TI también puede acceder a él ...

Se está enfrentando al comportamiento opuesto, donde los gerentes más altos consideran que no está autorizado para acceder a sus datos confidenciales. Puede tener sentido, pero también significa que no puede proteger y administrar sus máquinas.

Si han realizado un verdadero análisis de riesgo, y luego de eso considera que el mayor riesgo de fuga de datos se encuentra dentro de la organización, entonces una red de máquinas independientes donde todos son administradores locales podría tener sentido. El departamento de TI solo está a cargo de la seguridad periférica (proxy y firewalls), soporte general que incluye almacenamiento y respaldo para datos de baja sensibilidad y consejos.

En un mundo real, no puedo imaginar en la organización donde todas las máquinas deberían ejecutarse de forma independiente. Los requisitos previos para ello son datos altamente confidenciales y un conocimiento básico sobre administración y seguridad de TI. Desde mi experiencia, solo los gerentes más altos deben estar protegidos del personal de TI.

Mi opinión es que la forma correcta de manejar la pregunta es (como de costumbre cuando se trata de seguridad) un análisis de riesgo. Si el jefe dice que la filtración de sus datos por parte del personal de TI es un riesgo, debe tenerlo en cuenta. Y como especialista de TI, también debe advertirle de los otros riesgos que implican las máquinas donde no se instalan los parches de seguridad y las máquinas donde el propietario es un administrador local. Una vez hecho esto, el objetivo es determinar qué amenazas deben considerarse y cómo mitigar mejor los riesgos no aceptables. Todo el mundo lo hace hoy en día no es eficiente para convencer a un gerente ejecutivo. Hacer eso expone a la organización a esa amenaza con esos posibles resultados generalmente habla más fuerte.

Después de todo, la responsabilidad general es suya. Solo puede dejar claro lo que podría hacer y lo que no tendrá que hacer frente, si alguien más tiene los privilegios de administrador.

    
respondido por el Serge Ballesta 25.07.2018 - 12:16
fuente

Lea otras preguntas en las etiquetas