 |
|
 |
|
Общие проблемы
У сотрудника СБ особый менталитет?
На блоге bloginfosec.com развернулась дискуссия о менталитете сотрудника службы безопасности.
Некий Брюс Шнейер высказал убеждение, что у специалиста по безопасности вырабатывается особый тип мышления. Профессионалы в этой сфере, во всяком случае, хорошие специалисты, по-особому смотрят на окружающий их мир. Вне работы они не могут пройти по магазину, не отметив про себя, как лежат товары и как можно совершить кражу. Они работают с компьютером, автоматически размышляя об уязвимостях программы, о хакерских угрозах. И так постоянно и везде. Этим они отличаются от других людей. Например, от инженеров. Если инженер думает о том, как сделать, чтобы все работало, то профессионал по безопасности, ставя себя на место преступника, думает, как можно сделать, чтобы все рухнуло. Если бы он смотрел на вещи по-иному, он бы никогда не смог выявлять кризисные с точки зрения безопасности проблемы.
С автором подобных размышлений спорит Кеннет Белва. Он согласен, что профессия охранника заставляет смотреть на мир с точки зрения угроз и рисков. Но это далеко не полная картина. Он опровергает утверждение, что инженер не способен взглянуть на вещи под углом безопасности, или что охранник не может мыслить как инженер.
Можно ли представить, развивает свою мысль оппонент, что инженер, возводя, скажем, мост через реку, не думает о том, насколько прочной будет конструкция, как она поведет себя при разных обстоятельствах? Любой инженер обязан представлять себе последствия просчетов и ошибок. Это не означает, что инженер должен просчитывать и предугадывать все возможные случаи, но не думать о последствиях своих серьезных ошибок не может.
Теперь возьмем обратную ситуацию, пишет далее Белва, связанную с работой службы безопасности в компании или правительственном учреждении. СБ отвечает за все вопросы безопасности в компании, включая защиту информации. СБ не может под предлогом исключения рисков утечки информации запретить сотрудникам компании входить извне в корпоративную компьютерную сеть с помощью мобильных устройств, или, например, отслеживать данные по производственным процессам, или работать с корпоративными базами данных. В нормальной современной компании служба безопасности не занимается одними только запретами и ограничениями, но ищет оптимального в интересах компании решения, в том числе с помощью инженеров и программистов.
Белва подводит итог: «Сводить образ мышления специалиста по безопасности исключительно к стремлению смотреть на вещи с позиции преступников и злоумышленников, значит ограничивать, обеднять парадигму безопасности простой ролью аудитора».
|
вернуться назад
