Объяснение безопасности нетехническим менеджерам

Question

Я поддерживаю веб-сайт Интранет для моей компании, который они хотят показать большому, плохому внешнему миру. Прямо сейчас у него нет никакой аутентификации или авторизации вообще. Моя идея управлять учетными записями пользователей заключается в использовании существующих технологий для проверки учетных записей пользователей и построения модели авторизации на основе этого. Существующими технологиями будут CardSpace и OpenID, которые избавят нас от ведения списков имен пользователей и паролей, что сделает сайт менее интересным для хакеров. Данные на сайте не так уж чувствительны. На самом деле, мы просто экспортируем те же данные для пользователей одного из наших настольных продуктов, что и XML, и любой может просмотреть эту информацию, если он знает, где она находится. Мы просто запрещаем всем изменять данные, кроме нескольких суперпользователей. В худшем случае суперпользователь уничтожает все данные, и в этом случае нам придется восстановить резервную копию. В худшем случае мы теряем один день ввода данных, что в лучшем случае приведет к сотне изменений. (98 было на самом деле самым большим количеством модификаций за один день.)

В целом, это не очень важные данные. Мы просто хотим, чтобы к этому добавилась некоторая безопасность.

Теперь руководство предложило создать дополнительную базу данных, в которой мы будем хранить имена пользователей и пароли, добавлять шифрование и делать все другие виды защиты этих пользовательских данных, и онив основном разрабатываю всевозможные странные схемы для обработки учетных записей пользователей. Никто из них не имеет опыта в технических аспектах разработки программного обеспечения, и никто из них не знает, как сделать системы безопасными. Таким образом, их проекты становятся полным хаосом. (С большой буквы.) Им требуется два месяца, чтобы придумать функциональный дизайн, поскольку они даже не могут договориться друг с другом по определенным аспектам безопасности.

Поэтому они попросили меня предоставить импонять понимание правильной безопасности. Поскольку я знаю, что и CardSpace, и OpenID достаточно безопасны, я хочу представить их им как лучший вариант для управления учетными записями. Добавьте к этому простую систему ролей, где каждая учетная запись связана с особой ролью, предоставляя дополнительные права «Только просмотр», это будет быстро внедрить и легко поддерживать. Построить это, сделать проверку концепции и найти достаточно технической информации легко. У меня только один вопрос ...

Как объяснить методики, такие как CardSpace и OpenID, людям, которые не имеют никакого технического образования? Что-то вроде «OpenID для чайников», но еще проще для понимания. У меня проблемы с поиском подходящих слов, не становясь немного техническим. (И что еще хуже, если я не смогу объяснить это правильно, они могут решить не использовать эту технику, и я буду обречен на реализацию монструозной конструкции.)

Пожалуйста, помогите! :-)

О, хорошо. Упрощенный вопрос: как объяснить нетехническими словами преимущество использования OpenID или CardSpace по сравнению с любыми домашними решениями? Приложение: Эти менеджеры не мои "нормальные" менеджеры. Они в основном генеральный директор и партнеры компании, которые пришли к идее опубликовать сайт. Обычно они делегируют эту задачу постоянным менеджерам и принимают любое решение, которое придут постоянные. Но это стало для них чем-то вроде престижного проекта, поэтому они лично участвуют. По крайней мере, один из них искал в Интернете информацию о безопасности и хочет, чтобы она была более безопасной, чем Fort Knox. Он вызывает немного паранойи, которую я должен покорить, не оскорбляя их. И все они, кажется, узнают больше об этой вещи "безопасности", даже не понимая технический аспект. Поскольку это престижный проект, они готовы принять дорогостоящее решение, но оно не очень хорошо для компании. Лично я хотел бы сказать им, чтобы они отступили и позволили настоящим профессионалам справиться с этим. С другой стороны, я также хотел бы сохранить свою работу, поэтому мне нужен более политкорректный ответ.

Answer 1

Вы могли бы продать его с аргументом «Verisign».

Мы все могли бы генерировать и хранить наши собственные надежные криптографические ключи, но это огромные накладные расходы, и Verisign делает это за номинальную плату, и, как надежныйБанк (не то, чтобы их было слишком много), пользуется огромным доверием со стороны бизнес-сообщества, и хотя есть другие компании, предоставляющие такие же продукты, Verisign является лидером рынка.

Еще один аспектИнтернет-безопасность - это идентификаторы и пароли пользователей

«Открытый идентификатор» подобен паспорту (простите за метафору), он доказывает, кто вы, потому что вы объявили свою личность доверенному агентству (стране выдачи паспорта,Verisign и др. Для Open Id), и его можно использовать для подтверждения того, кто вы.

Verisign предоставляет открытые идентификаторы, Versign доверяют рынку, поэтому вы можете доверять открытым идентификаторам.

Answer 2

Создать собственную систему безопасности сложно. Шансы ошибиться значительны. Последствия неправильного понимания - огромные затруднения, возможные судебные иски и, в конечном итоге, издержки для компании.

Мудрое решение состоит в том, чтобы минимизировать риск для компании.

(Вы также можете обратиться к их чувству самосохранения. Кто виноват, если внутрифирменное решение будетпо сравнению с готовым решением?)

Answer 3

Я всегда думаю, что объяснение безопасности менеджерам проще всего, если вы объясните это с точки зрения экономики - не только с финансовой точки зрения, но и попытаетесь описать пользовательский опыт также с точки зрения экономической теории:

• этостоит определенное количество умственных усилий, чтобы запомнить еще один пароль, который их решение наложит
• есть некоторые затраты на умственные усилия, связанные с процессом входа в систему OpenID, который заставляет вас переходить между различными сайтами
• есть риски, связанные с каждым подходом
• каждый подход смягчает определенные риски
• каждый подход требует затрат на реализацию
• каждый подход требует затрат на поддержание

Теперь вы можете говорить о денежных затратах, стоимости пользовательского опыта и стоимости разработки каждого подхода, а также о рисках для бизнеса, их вероятности и вероятности. Менеджерам платят, чтобы понять стоимость и риск, поэтому они должны хорошо разбираться в вашем объяснении: -).

Answer 4

Использование проверенного решения, такого как OpenId или CardSpace, является:
- более дешевой
- более надежной
- более быстрой реализацией
- более безопасной
- не нужно запоминать другой пароль

Answer 5

Какие технологии вы используете, чтобы написать этот интранет-сайт? Почти каждая используемая технология имеет хороший способ обеспечения безопасности - и переосмысление безопасности с нуля всегда терпит неудачу.

Это не значит, что ваши менеджеры ошибаются. Точно так же, как вы знаете технические ограничения, которые они не понимают, они могут знать о политике или управлении компанией, о которых вы тоже не знаете.