¿Cuántas veces ha realizado una evaluación de seguimiento en la que se pregunta, "¿cómo diablos pasaron el año pasado?" Puedo decirle que veo esto todo el tiempo como un QSA. Los clientes lo odian cuando les digo que tienen que hacer algo diferente, de mayor alcance, cuestan más dinero y demoran más. Siempre digo: "No sé lo que sucedió el año pasado, pero señalo el DSS y digo que esto es lo que tiene que hacer.
A menudo me pregunto si debo reportar el antiguo QSA, pero vuelvo a; "Ellos usaron su juicio para aprobar la empresa, tal vez haya algo que no sé". Como QSA, usamos nuestro juicio para tomar decisiones todo el tiempo. Es posible que haya usado el suyo para dejar pasar a un cliente cuando no estaba cumpliendo con los requisitos de la carta, pero tenía un trabajo suficientemente bueno y el riesgo era bajo.
Personalmente, creo que su trabajo es simplemente solucionar los problemas y olvidarse del pasado, un accidente histórico. Si el QSA realiza esta mala práctica con la suficiente frecuencia, quedarán atrapados y perderán su certificación.
Me protegería al recopilar los hechos si la administración decide tomar medidas en su contra, pero ahora su trabajo es solucionar el problema.
Ahora,
Vaya a los otros miembros del grupo ejecutivo y dígales que desea usar un auditor diferente este año, ¡no su compañía anterior! De esta forma evitas el tema del "pase amistoso". No te metas en una guerra de culpas por el pasado, perderás.
Simplemente diga: "Mira, fue un accidente de la historia, no me importa. Me contrataste para hacer un trabajo. Necesito usar un auditor diferente para hacer el trabajo correctamente ”. Si no te apoyan, comienza a buscar otro trabajo lo antes posible. Si una compañía nueva pregunta por qué, diga la verdad sin exponer los nombres. Solo di que mi ética no me permite hacer algo que sé que está mal. Me pusieron en una posición en la que sabía que estaba realmente mal y que era una situación de no ganar.
Dada su experiencia, usted sabe qué se debe hacer para proteger a la empresa. Probablemente los ejecutivos tendrán un ajuste dado el dinero, el tiempo, los recursos que necesita para hacer el trabajo correctamente. Póngalo en frío y si se niegan, comience a buscar un nuevo trabajo. Una vez que esté fuera, envíe una carta a los miembros de la junta informándoles que tienen un problema en la administración; Permítales tratar con los ejecutivos como debería hacer una buena junta.
Si usted es la tercera persona en el rol, es probable que la gente antes de que lo intentara y fallara; Se les mostró la puerta o se retiraron porque era insostenible para ellos. Dado que el régimen actual ha demostrado ser menos que competente, puede buscar un nuevo trabajo ahora y evitar la tormenta de * & ^% que está a punto de comenzar. Si caminas o te despiden; debe advertir a su equipo sobre los problemas y el posible revés en sus carreras si algo malo le sucede a la empresa debido a un problema.
El ingeniero que está en mí dice que intente sacarlo y solucionar el problema. Si tienes éxito tienes una gran victoria; la gerencia te respetará por hacer un trabajo duro; pero para eso te inscribiste. El gerente experimentado en mí dice que salgas ahora antes de que dañes a tu operador; Hay muchas otras buenas empresas que buscan gente como tú.
Supongo que añadiré esto; si las violaciones son realmente flagrantes; puertos abiertos, problemas de segmentación, problemas de parches; no hay pruebas de PEN ... - cosas que realmente ponen en riesgo a la empresa, entonces debe informar el QSA. No explicaste qué tan graves eran las violaciones; así que usa tu juicio aquí. Tenga en cuenta que no sabe lo que sucedió el año pasado o los años anteriores.