Как решать VM-ные задачи, когда организация состоит из нескольких юрлиц с общей IT-инфраструктурой? При этом VM-щик числится в одном юрлице, а IT-шники в другом ("внутреннем IT-интеграторе" или приобретённой дочерней компании). Ведь тогда IT-шникам гораздо проще препятствовать контролю своих активов со стороны VM-щика.

VM-щику следует начать с вопроса: "Кто я такой? Какая конкретная инфраструктура находится в моей зоне ответственности?" и формально подтвердить это у общего руководства организации.

🔹 Если есть мандат на контроль всей инфраструктуры, будьте любезны, товарищи IT-шники (независимо от юрлица), подчиняться общим требованиям по учёту активов и предоставлению к ним доступа для детектирования уязвимостей. 🥕

🔹 А если мандата нет, во всех коммуникациях следует подчёркивать, какая часть организации контролируется, а где контроля нет и где, скорее всего, самое адище. 🔥😈 Эти формальные свидетельства помогут вам, когда организацию подломят через неподконтрольную часть инфры. 😉