Как решать VM-ные задачи, когда организация состоит из нескольких юрлиц с общей IT-инфраструктурой? При этом VM-щик числится в одном юрлице, а IT-шники в другом ("внутреннем IT-интеграторе" или приобретённой дочерней компании). Ведь тогда IT-шникам гораздо проще препятствовать контролю своих активов со стороны VM-щика.
VM-щику следует начать с вопроса: "Кто я такой? Какая конкретная инфраструктура находится в моей зоне ответственности?" и формально подтвердить это у общего руководства организации.
🔹 Если есть мандат на контроль всей инфраструктуры, будьте любезны, товарищи IT-шники (независимо от юрлица), подчиняться общим требованиям по учёту активов и предоставлению к ним доступа для детектирования уязвимостей. 🥕
🔹 А если мандата нет, во всех коммуникациях следует подчёркивать, какая часть организации контролируется, а где контроля нет и где, скорее всего, самое адище. 🔥😈 Эти формальные свидетельства помогут вам, когда организацию подломят через неподконтрольную часть инфры. 😉
Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно прочитать здесь. Приглашаю подписаться на мой канал в Telegram @avleonovrus. Я обновляю его чаще, чем этот сайт. Вы можете обсудить мои посты или задать вопросы в @avleonovchat или в группе ВКонтакте.
And I invite all English-speaking people to another telegram channel @avleonovcom.