ИТ система выйдет из строя, если мы не будем действовать

Для тех, кто родился после эры мини-компьютеров (совпадающей с исходным Star Trek), дилитий является топливом, используемым для питания силовой установки с варп-ядром, необходимой для межзвездных путешествий.

Дилитий встречается в природе и редко, и когда он тает из-за чрезмерного использования ядра варпа, звездолет в основном превращается в капут. Эта метафора имеет смысл, если вы продолжите читать. Я мог бы использовать «Русские идут» из той же эпохи, но это могло показаться мне слишком на носу. Итак, Дилитий.

Россия недавно активизировала хакерскую операцию, которая принесла нам SolarWinds, и мы, кажется, саботируем себя недостаточным программным обеспечением, ориентированным на сотрудников, для управления некоторыми из крупнейших технологических компаний (говорю о вас, Amazon). Ни одна из этих тенденций / событий не является хорошей, и их можно предотвратить, потому что на рынке есть продукты, если бы мы только их использовали.

Эту статью ведут две статьи в New York Times. Один касается недавней активизации российской хакерской операции, начатой ​​как SolarWinds. Другой — о смущающей (до той степени, в которой она может смущать) неспособности Amazon создать необходимые системы, которые помогут ей управлять персоналом.

Шпионы будут шпионами

Во-первых, по мнению Microsoft, все похоже на Россию. Microsoft заявила, что российская служба безопасности предприняла еще одну атаку на киберпространство Америки — все, чтобы украсть данные и подорвать бизнес, а также правительство.

Но вы, возможно, не захотите перекладывать всю вину на русских. Джон Халтквист, вице-президент по анализу разведывательных данных в Mandiant, который обнаружил более ранний взлом SolarWinds, просто отметил, что «шпионы собираются шпионить».

По данным Microsoft, за последние три года она обнаружила более 20 000 попыток атак со стороны остального мира, а недавно уведомила более 600 организаций о примерно 23 000 попытках атак на их системы из небольшого числа стран, включая Россию.

«Шпионы собираются шпионить» сводится к молчаливому признанию того, что корпоративная Америка, возможно, не усвоила урок и не усилила свою кибербезопасность в достаточной степени после нескольких последних событий такого рода.

Похоже, что в стремительном движении от центра обработки данных к облаку некоторые компании могли заблуждаться, что их безопасность теперь передана на аутсорсинг поставщикам инфраструктуры. Вы можете предположить, что ответственность за физическую безопасность теперь лежит на чьем-то другом, но есть и другие уровни безопасности, которые могут быть не такими пуленепробиваемыми.

ИТ должны участвовать

Все взломы происходят без физического насилия. Это не должно быть рекламой Oracle, но если вы освещаете отрасль, вы можете закрыть глаза и вспомнить несколько последних конференций OpenWorld, на которых технический директор Ларри Эллисон представил преимущества автономной базы данных и автономного Linux своей компании.

Фишка Эллисона всегда будет включать ужасное предупреждение о том, что в среднем ИТ-отделу требуется около 13 месяцев для применения исправления после обнаружения уязвимости и предоставления средства правовой защиты. Вам не нужно быть метеорологом, чтобы знать, в какую сторону дует ветер, и вам не нужно работать с высокой скоростью, чтобы иметь возможность вывести из строя системы, на то, чтобы вас заморозить больше года.

Шпионы будут шпионить, волки будут охотиться, но и овчарки тоже должны патрулировать. ИТ должны сыграть свою роль, и кажется, что слишком многие руководители могут не торопиться или даже отвергать советы Microsoft и других по укреплению своих систем. (Я чуть не написал вакцинировать их системы но, опять же, может, тоже на носу?)

Наверняка в статьях, которые я читал об этом взломе, нет ни слова о проникновении в облачные системы Oracle, но, возможно, это просто упущение. Опять же, зачем усердно работать над преодолением безопасности Oracle, когда есть другие, более простые цели?

Проблемы с персоналом Amazon

Чтобы не отставать, похоже, что Amazon может невольно оказывать помощь плохим парням, намеревающимся подорвать бизнес и цепочку поставок. Похоже, что внутренние системы Amazon, предназначенные для управления отпуском сотрудников, с оплатой или без нее, не соответствуют требованиям рабочей силы, насчитывающей более миллиона человек и быстро растущей.

В каком-то смысле это старая история о детях сапожников, которые ходят босиком. В прессе есть множество примеров того, как сотрудникам недоплачивают или ошибочно отстраняют от работы и, исчерпав резервы, разорившись, потеряв машины и сковывая ценные вещи, такие как обручальные кольца, они держат крышу над головой, пока они пытаются исправить положение. .

При таком большом количестве сотрудников вы можете себе представить, что, когда системы, подобные этой, ломаются, в отделе кадров не хватает почти достаточного количества людей, чтобы справиться с нагрузкой, что приводит к ненужным трудностям.

В одной особенно ужасающей ситуации работник Amazon в штате Вашингтон был уволен, потому что политика Amazon в отношении неоплачиваемых отпусков не соответствовала законодательным требованиям его штата.

Я хотел бы проявить милосердие и сказать, что что-то вроде того, что все совершают ошибки или ошибаться — это человек, но эти бромиды кажутся совершенно несоответствующими отрасли и времени, в котором мы живем. Согласно статье, компания, похоже, уделила свое внимание пользовательский опыт, а не гайки и болты, обеспечивающие работу машины.

Если это правда, Amazon далеко не уникален. В последних новостях также есть много статей в Wall Street Journal и в других местах о том, что Facebook работает над сохранением статус-кво, который лучше всего поддерживает его бизнес-модель, вместо того, чтобы вносить существенные изменения в свои системы, которые могут защитить пользователей.

Последние мысли

Мы используем метафоры, такие как дилитий, для объяснения сложных концепций, и плавление — верная иллюстрация того, что система выйдет из строя, возможно, катастрофически, если мы не будем действовать.

Безопасность системы и поддержка внутренних бизнес-процессов не приносят прибыли, по крайней мере, напрямую, но они являются необходимыми ингредиентами секретного соуса. Отсутствие внимания к ним — и к последующим и предотвратимым сбоям, которые они вызывают — является признаком времени и продолжающейся незрелости отрасли.