Celeritas
2016-01-10 07:02:02 UTC
Ich nehme an einem Kurs teil, der unter Berücksichtigung der CISSP-Zertifizierung konzipiert wurde. Obwohl die Klasse als Software-Engineering eingestuft ist, haben wir viel über physische Sicherheit und insbesondere über Überschwemmungen, Brände, Erdbeben und Autos gesprochen, die auf Dinge stoßen. Wie ist diese Sicherheit? Zum Beispiel wurde uns gesagt, dass Rechenzentren in der Mitte eines Gebäudes am sichersten sind, denn wenn das Dach undicht wäre, wäre die Oberseite nicht sicher, und das Wasser sinkt tendenziell, sodass die unteren Stockwerke als erste überflutet werden. P. >
Ist das wirklich ein Sicherheitsproblem? Wenn beispielsweise das Dach undicht ist, ist der Ingenieur schuld, nicht der Sicherheitsanalytiker. Sie würden keinen Sicherheitsanalysten beauftragen, um sicherzustellen, dass das Dach solide ist.
UPDATE: Wie ist diese Sicherheit, wenn Sie beispielsweise Poller um ein Gebäude haben, um Fußgänger vor Autos zu schützen? Das hat noch niemand wirklich erklärt. Mir wurde gesagt, dass die wertvollsten Vermögenswerte des Unternehmens seine Mitarbeiter sind, aber was ist mit dieser Argumentation nicht Sicherheit?
Wenn die Verfügbarkeit so umfassend ist, was ist dann nicht Teil der Sicherheit? P. >
Persönliche Meinung, ich denke, es ist eine Möglichkeit für sie, Sie dazu zu bringen, sozusagen über den Tellerrand hinaus zu denken. Welches ist, was Sie in realen Szenarien tun müssten. Die Informationssicherheit beschränkt sich nicht nur auf den digitalen Schutz, sondern auch auf den physischen Schutz von Daten.
Sie wenden die Frage der physischen Sicherheit schnell auf einen "Analysten" an. Das CISSP richtet sich an Sicherheitsleute auf höherer Ebene als an Analysten. Möchten Sie wissen, warum das CISSP Naturkatastrophen umfasst oder warum sich ein Analyst darum kümmern sollte?
Wenn der Kurs auf CISSP ausgerichtet ist, handelt es sich nicht um einen Software-Engineering-Kurs. Informationssicherheit umfasst Papierunterlagen, persönliche Sicherheit, Verfügbarkeit von Diensten usw.
Interessiert es Sie wirklich, was Ihre Daten angreift? Macht es für Sie (und vor allem für Ihren Schutz) einen Unterschied, ob jemand Ihr Rechenzentrum absichtlich zerstört oder ob es sich um ein natürliches Wetterphänomen handelt?
"Wenn das Dach undicht ist, ist der Ingenieur schuld", aber wenn dies zu einem Sicherheitsproblem führt, ist der Sicherheitsanalytiker schuld. Das Ziel ist nicht, jemanden zu finden, der die Schuld trägt, sondern die Ressourcen verfügbar und sicher zu halten. Ihr Ziel sollte es sein, * jede * Möglichkeit in Betracht zu ziehen. Wenn das Dach undicht ist, sollten Sie entweder irgendwo geschrieben haben, dass dies ein Risiko ist, das das Unternehmen zu akzeptieren bereit ist, oder Abhilfemaßnahmen treffen. Aber auf jeden Fall ist es Ihre Aufgabe, darüber nachgedacht zu haben!
@Josef 1) Ich würde es nicht als Schuld bezeichnen, ich würde es als vernünftig bezeichnen. 2) Es war überhaupt keine Sicherheitsmaßnahme, ein nicht undichtes Dach zu haben, also wäre es nicht die Schuld des Sicherheitsanalysten. 3) Darin spüren, was nicht Sicherheit wäre?
Ich denke, mein Punkt ist in einem praktischen Szenario, was ein Unternehmen eher tun würde: Stellen Sie sicher, dass es ein Dach von guter Qualität hat, oder zahlen Sie für wasserdichte Computer? Mit der Sicherheitsperspektive scheinen wir über Letzteres zu sprechen, was nicht kosteneffektiv ist.
Natürlich sorgen sie für ein qualitativ hochwertiges Dach. Aber es liegt in Ihrer Verantwortung als Sicherheitsanalytiker, sicherzustellen, dass das Dach gut ist. Mit CISSP haben Sie ** keinen ** Computertyp_ gegessen. Sie sind für die ** Sicherheit ** verantwortlich und das Dach, die Türen, die Wände ... sind Teil davon!
@Josef würde das nicht einen Hintergrund in Schreinerei oder Bauingenieurwesen erfordern und am besten diesen Arten von Fachleuten überlassen werden? Sie können auch keine Ausrufezeichen und fett gedruckten Buchstaben mehr verwenden.
@Celeritas Nein. So funktioniert Management nicht! Sie müssen entscheiden, wie das Dach sein muss, bei Bedarf Feedback von Spezialisten einholen und dann einen Spezialisten damit beauftragen! Wenn Sie eine neue Internetverbindung benötigen, bekommen Sie auch nicht Ihre Schaufel, oder? Sie entscheiden, wie es sein muss (Bandbreite, Technologie, zwei Kabel in verschiedene Richtungen für Redundanz ...) und bezahlen dann jemanden, der gräbt und das Kabel einsteckt! Aber du rufst auch nicht einfach einen zufälligen Typen an und sagst ihm "Hol mir mit deinem Bagger das Internet".
@Celeritas, um das klar zu machen: Mit "Stellen Sie sicher, dass das Dach gut ist" meine ich nicht, dass Sie auf das Dach steigen und darauf hämmern oder Wasser gießen und sehen sollten, ob es leckt. Normalerweise würden Sie einen Fachmann einstellen, der Ihnen (in einem schriftlichen Vertrag) garantiert, dass das Dach bestimmten Standards entspricht und bestimmte Regenmengen aushält und was nicht. Es ist jedoch Ihre Aufgabe, das Problem anzusprechen, und das Management entscheidet anhand Ihrer Eingaben, welche Standards das Dach einhalten muss. Oder sie sagen dir, dass es ihnen egal ist. Dann schreibst du das auf.
@Celeritas die Poller sind, um das Gebäude zu schützen, Fußgängersicherheit ist ein glückliches Nebenprodukt. Es gibt eine Art von Verbrechen, das "Ram Raiding" genannt wird.
** Bei Sicherheit geht es nicht nur um "Bewachen" im Sinne von "Wachmann" **
@Burgi das habe ich mir gedacht, aber als ich sagte, dass im Unterricht alle lachten und sagten, es sei für die Sicherheit der Fußgänger.
Dies könnte Ihrer Argumentation helfen: http://www.marshalls.co.uk/commercial/street-furniture/products/anti-ram-supermarket-bollard-webfa100039
Sie könnten versuchen, die Dinge aus Sicht eines Arbeitgebers zu betrachten. Wenn Sie sich weigern, Dinge zu tun, von denen der Arbeitgeber glaubt, dass sie in Ihrer Verantwortung liegen, werden Sie bald ein ehemaliger Mitarbeiter.
@gnasher729 Sie missverstanden: Ich sagte, ein Arbeitgeber ist weniger wahrscheinlich, einen Sicherheitsberater höher zu stellen als eine Art Bauarbeiter für Dinge wie das Dach oder den Brandschutz.
@Celeritas Natürlich ist es am besten, einen Bauarbeiter für die Gebäudesicherheit, einen Psychiater für die psychologische Profilerstellung von Mitarbeitern und hundert weitere Fachkräfte einzustellen. Aber wer stellt diese Leute ein? Das höhere Management möchte nicht über hundert Szenarien nachdenken und herausfinden, welche Personen sie benötigen. Sie haben keine 100 Probleme, sie haben eine einzige Anforderung "99,9% Verfügbarkeit" und sie werden einen einzigen Mann einstellen, der dies garantiert. Es ist die Aufgabe dieses Mannes, alle möglichen Dinge zu finden, die schief gehen könnten, und Spezialisten einzustellen. Und dieser Typ ist der Sicherheitsmanager ;-)
Nehmen wir an, ein Meteorit trifft das Gebäude und zerstört es vollständig. Ihr Client hätte erwartet, dass Sie sich auf eine solche Eventualität vorbereiten (z. B. mit Remote-Backups). Wenn Sie sagen "Ah ja, Ihre Daten sind für immer verschwunden, aber technisch gesehen handelt es sich nicht um ein Sicherheitsproblem", wie wird Ihre Reaktion Ihrer Meinung nach aussehen? Meins wäre "Nun, es scheint nicht so, als ob du in Sicherheit bist, wenn es jetzt für immer weg ist".
Kategorien existieren in der Natur nicht, sie werden von Menschen für Menschen geschaffen. Die Katastrophenplanung gehört zur Sicherheit, da die zur Minderung erforderlichen Maßnahmen gut zu den zur Sicherheit erforderlichen Maßnahmen passen (und in einigen Fällen dieselben Maßnahmen sind).