向雇主解释安全性

#1 楼

让我们一个接一个地解决您的问题。



第三方在公司范围内的电子邮件中向公司中的每个人发送了相同的密码。



每个人都知道的密码不是密码。就像将密钥留在垫子下面，只有没有垫子才能将其隐藏。



应用程序无法更改密码。



因此，如果您丢失了钥匙或认为其他人可能拥有钥匙，就无法更改锁-从第一点开始，我们知道您的钥匙已经在他人手中。



我们所有的用户名都是预先确定的且容易猜测的。




键还可以知道您的住所。



可以从任何设备以任何人的身份登录到此应用。



将前三个放在一起-别人有您的钥匙，他们知道您的住所，并且您无法更改锁-是的，结果就是这样。任何人都可以进入应该属于您自己的地方。为了循环利用您老板的汽车类比，他要求所有员工锁上汽车，但把钥匙留在门上，然后将车停在公司停车场内，其名字下方应有一个名字。

并在顶部在这一切中，他要您在您的个人电话上执行此操作。您的雇主无权触摸该设备。根据该应用程序的操作，由于您无法控制的第三方安全漏洞，这可能会使您的个人数据面临风险。

即使第三方应用程序不是恶意的，并且不做任何会造成风险的事情，也无法保证该应用程序100％不含可能导致安全漏洞或给其他恶意方带来机会的意外缺陷或错误。利用。鉴于该第三方公司对基本安全做法的残酷处理，例如“不通过电子邮件发送密码”，“不重新使用密码”和“始终允许用户更改密码”，因此其应用程序完全安全的可能性，安全且无漏洞的外观非常苗条。

#2 楼

我的建议是尝试解释基于风险的方法对安全性的影响。如果您安装的应用程序的安全性如此低，会发生什么？您不必解释如何利用应用程序中较差的安全性，而只需承担风险。对于许多管理人员而言，仅模拟就很重要，有人可能会做坏事并责怪另一个人，即使恶作剧也可能导致严重后果。

以我的经验，管理者需要在风险与收益之间取得平衡，一旦发现可能出了问题，便开始怀疑它是否真的值得。

#3 楼

尽管类推在向完全不熟悉该领域的人解释基本概念时很有用，但它们会严重损害专业讨论。了解每个类比都是主观的，而不代表任何特定领域的细节。实际上，汽车类比尤其糟糕，因为它混淆了安全性。最重要的是，谨慎使用类比，并在您感到无所适从的时候停止使用它们。相反，我会问您的雇主如何应对您可以识别的特定威胁。首先，这个程序似乎很容易被冒充。告诉你的老板你如何使用这个应用程序假装成别人，并问他将采取什么对策来防止这种情况。

#4 楼

在不了解有关该程序可以访问哪种数据的更多信息的情况下，我无法真正为您提供建议，但这听起来确实是可怕的安全性做法。您老板对安全的类比也很糟糕：这是违规开始的许多方式之一。

如果在被违反后的审核中，发现您的公司具有低于标准且极其不称职的安全标准（例如他现在建议的标准），则他可能对客户数据的任何损害承担责任。



第三者在公司范围内的电子邮件中向公司中的每个人发送了相同的密码。令人震惊的普遍现象，但这取决于它的用途。
该应用程序无法更改密码。现在，这太可怕了。如果其中之一被黑客入侵，或员工不满而离职，该怎么办？
我们所有的用户名都是预先确定的，容易猜测。过去，我实际上已经在用户名和密码中遇到了其中一些实现。使用用户名，这种情况是可以预期的。例如，许多公司将您的电子邮件地址设置为lastfirst，first.last和其他变体。在这种情况下，我会更担心密码。

可以从任何设备以任何人的身份登录到此应用。那么这个程序做什么？了解有关该应用程序的更多信息将使我们能够提供更好的建议。

对“程序”的担忧

以下是一些与我有关的事情：我以前已经看到过。它可以完全不同，也可以相同。撒上一粒盐。

听起来您的老板正在尝试要求所有人在自己的手机上安装某些东西，以便像特洛伊木马一样监视您的手机使用情况。告诉您的雇主，如果提供公司电话，您将很乐意允许这样做。

请记住，公司电话上不应包含任何私人物品。您的雇主可以并且会偷偷摸摸。实际上，即使在您的个人电话上使用公司交换电子邮件，也可以使您的雇主对其进行完全控制。当您尝试设置公司电子邮件时，即使在个人电话上，它也位于请求的权限中。不要这样做。

我认为不应该允许BYOD，并且连接到计算机的所有设备都应该属于雇主。就个人而言，我不会在雇主网络上使用个人电话或设备。我不想将易受攻击的设备引入网络，也不想让他们向我的设备引入易受攻击的应用程序。

#5 楼

您的手机，您的安全性

它是您的手机，您有权按照自己的意愿保护它。但是，您可以考虑采取相反的方法-说它根本不会得到保护（请参见下文）。

他们的手机及其安全性

如果您的公司要求您使用移动设备访问公司数据（权限完全在其权限范围内），则公司应提供符合其规格要求的设备。这样，他们负责保护应用程序所在的平台的安全。

企业数据安全策略

查看您的公司安全策略，并从公司安全人员那里进行研究。观点：

由于您的设备不是安全平台，他们无法通过使用设备来确保应用程序提供的数据的安全性或应用程序本身的安全性。

贵公司对笔记本电脑有何政策？笔记本电脑是否必须具有加密的硬盘驱动器？而且，有安全感吗？如果是这样，那么指向手机的手机也应该如此，指向它们提供用于此目的的自己的设备。

翻转参数-注意其数据

（注意：如果您的公司在数据安全方面发展迅速而松懈，这可能行不通。）

不是说您保持设备的超级安全，而是说您不能确保设备的安全，其他人会保证有权使用它，您对任何数据泄露或意外数据丢失不承担任何责任。

例如，如果该应用程序以任何方式处理PII数据，或者如果被黑客入侵可能是获取PII数据的载体，则您的公司数据安全员根本无法允许它，除非您的设备在其设备的保护之下。控制-使其成为设备。

如果手机丢失了怎么办？他们不介意其数据可访问吗？如果您让小表妹Willy玩手机，却忘记了该应用程序仍处于打开状态且可用，而小Willy会删除数据该怎么办？可以吗？

通过扮演保护其数据的角色，您正在做出一个商业案例，即使用个人手机来存储公司数据是错误的商业决策。

#6 楼

在谈论安全性时，很多人（在栅栏的两侧）都无法理解的一件事是：

您保护什么？

我有几个帐户受一个“容易受猜中的”密码保护。这是因为，如果它被黑客入侵，我不在乎。

密码是保护您的手机还是保护公司的数据？如果您必须知道密码，那么我猜是后者。如果是这样，那么它在您手机上的事实就好像是一条红鲱鱼-您的手机没有风险。实际上，您对应用程序的使用不会增加任何人的风险-如果您从不使用它，风险仍然存在。

如果数据被盗或被修改，对公司有何价值？ ？

如果这些数据泄漏很少或没有后果，请吞下骄傲并继续前进。

在这种情况下，除非确保安全您的工作，可能对该软件影响不大。写下您的担忧-未经授权的人可以相对容易地复制/修改任何数据（视情况而定，具体取决于应用程序的工作），并指出公司/失去客户的潜在尴尬/损失（如果适用）。 。准备好被忽略，如果您愿意，那就接受它。保留信件/电子邮件的副本，以防万一。

我希望这不用说：

不要！在任何情况下！破解可以显示的系统！甚至只是一点点！ （除非获得公司的明确授权才能这样做！）

许多人都倾向于“展示”风险。使工作不好的安全管理员（或任何人！）尴尬是使人们感激您的可怕方式-即使他们可能应该对此表示感谢。

#7 楼

假设该应用程序提供对某些私人信息的访问权，则您只需向雇主提供概念证明。事先征求他的正式许可（未经许可进行任何此类操作可能会使您陷入麻烦，具体取决于您公司的政策）。获得许可后，向他/她展示如何轻松地使用他/她的凭据登录并获得私人信息。

此外，在未征得每一位员工明确同意的情况下，公司也不应该有权在员工的个人手机上安装任何类型的数据。

#8 楼

问题-可能根本不是问题，这取决于应用程序实际执行的操作-是您可以以其他人的身份登录，而其他人可以以您的身份登录。密码永远不会更改，因此不久之后，不再在公司工作的人仍可以以仍在那工作的人身份登录。

可怕的是，尽管有密码，第三方公司仍会使用密码在这种情况下毫无意义。如果每个人都使用相同的密码，则根本不应该输入密码。这很可怕，因为它表明该公司不了解安全性，并且不应该受到机密数据的信任。

简而言之，如果该应用程序仅存在于该应用程序中，以找出谁带来蛋糕来庆祝某事，谁喜欢什么样的蛋糕，并防止同一天带进过多的蛋糕，您很好。但是，如果该应用程序用于机密数据（例如性能跟踪和评论），则您的公司可能很快会遇到法律麻烦。尽管第三者做了什么，但对于您的公司来说，数据显然不安全是很明显的，因此，部分责任在于它们。

如果需要类推，这些文件可以存储在在公司办公室内的储物柜中，只有选定的人才能拥有钥匙，或者文件被存放在自助餐厅的纸板箱中-自助餐厅向公众开放。

#9 楼

对于初学者来说，您应该告诉他这是您的个人手机，并且他无权将您的手机弄乱。

使用您的汽车类比，该应用看起来就像汽车使用了防盗锁（I希望写的正确），而且每个人都有相同的密码，无法更改，这给了他们一个万能钥匙，所以剩下的就是猜测您离开汽车的位置（也就是您的用户名），这对于里面的人来说并不难公司，然后偷你的车。

如今，用盐渍哈希存储好密码是最低标准，因此，这不会对您的安全性造成太大的影响，而是作为超级安全车的描述我将描述一个3因子（密码+密钥+ biometrc）锁。

#10 楼

恕我直言，首先，当与高老板说话时-从损失开始。它们不喜欢它们，但是要取得令人满意的效果，您必须对每个损失（以美元为单位）进行真正的良好评估。根据我的实践，最有效的媒介是：



执法费用。如果出现问题，您的公司将受到哪些法律的处罚。列出完整清单，法律规定+“罚款金额”
PR损失。要计算该数据，只需获取一家公司的利润数据，然后将其削减一半，以应对竞争对手的情况，即由于声誉损失/损坏而将公司当前的市场占有率。
第1点和第2点的回收成本是，每个损坏都需要维修！通常要花一些钱

，但不要在这里停下来！您还必须提供非常详细的计划，并附有甘特图，说明如何正确处理问题：时间和成本，一步一步地实现。

在最后一张幻灯片中仅作一个数字，让他们进行比较即可。它对我来说工作了很多次，但是您需要花费大量的时间和耐心，使所有这些细小的螺母和螺丝钉可以像瑞士钟一样工作。

#11 楼

我最近从十年的医疗保健I.T.中退休。防守前是16。在医疗保健领域，年度审核发现该应用会对政府规定的公共质量等级造成严重的不愉快后果。作为辩护，这是一项可能使某人入狱的随机审计发现。

如果我的老板要求我将其放在手机上，除了指出上述几点之外，我还建议经理向某人生气用他的名字登录，然后发布色情内容，并开除经理。

#12 楼

这全都与风险评估有关。对于经理来说，这应该是一个关键概念。他需要了解风险-不是技术问题，而是实际风险。因此，请这样解释：

事实：每个人都有相同的密码和用户名格式，并且无法更改。

风险：


心怀不满的前雇员可以以任何人的身份登录并阅读任何人的消息，或以任何人的名义发送消息。
现任雇员可以通过以其他用户身份互相“恶作剧”登录来滥用该系统，例如，通过“从老板”发送消息。

如果您的老板不希望发生这两种情况，那么他需要立即解决密码问题。

不满的前雇员风险可能是最重要的：如果您解雇某人，应该很容易撤销他们的所有访问权限，但是如果他们知道如何像公司中的其他任何人一样登录，那么撤销他们的权利将无济于事阻止他们将您的所有公司机密泄露给刚刚雇用他们的竞争对手。

您还没有透露该应用程序的用途，除了模糊的“内部社交媒体”我的评论。公司面临的风险的严重性取决于（a）使用它的人数，（b）使用它的人员的资历水平以及（c）通过它发送的信息种类。

例如，如果该应用程序仅用于员工在彼此之间聊天的地方，则风险要比管理人员打算使用该应用程序向员工发送机密信息的风险低。

尽管存在风险，但仍然存在风险，因为即使在最良性的情况下，它仍将为社会工程领域带来广阔的机会。