Я веб-разработчик в очень большой ИТ-организации. Наши сайты видят значительную часть нашего трафика из Google Chrome. Итак, как веб-разработчик, у меня есть этот браузер на моем ноутбуке для разработки, чтобы тестировать с ним наши веб-приложения. Наряду с IE 8 (одобренный корпоративный браузер по умолчанию) и текущая версия FF (который также является одобренным программным обеспечением). Конечно, как и проблема с крупными организациями, наши бизнес-партнеры и партнеры по ИТ-безопасности не разговаривают друг с другом.
Итак, сегодня я получил электронное письмо от нашей внутренней группы ИТ-безопасности, в котором говорится, что Google Chrome не является одобренным программным обеспечением, и я цитирую «это огромный риск для организации». Они сказали мне, что собираются автоматически удалить его с моей машины сегодня. Итак, теперь я не могу поддерживать бизнес-требования по поддержке трафика Chrome и не могу обойти политику неутвержденного программного обеспечения.
Я понимаю, что браузеры (и, возможно, электронная почта) представляют собой самые большие внутренние угрозы ИТ-безопасности для внутренних сотрудников. Однако эта проблема определенно не уникальна для нашей организации. Поэтому мне любопытно узнать, как другие группы внутренней ИТ-безопасности обрабатывают одобрение браузеров для использования на корпоративном оборудовании.
Итак, теперь я не могу поддерживать бизнес-требования по поддержке трафика Chrome и не могу обойти политику неутвержденного программного обеспечения.
Это социальная проблема, поэтому для нее нет разумного технического решения. (Очевидно, что вы можете делать то, что нарушает политику безопасности, и рисковать тем, что в конечном итоге вас уволят или сделают выговор, или что не соответствует бизнес-требованиям, и рискнуть тем же.)
У вас проблема: ваш босс требует того, что вам запрещает служба безопасности. Это проблема, которую вам нужно обсудить с ним и найти решение.
(... и если это связано с нарушением правил службы безопасности, внесите это в письмо прежде чем вы это сделаете.)
Чаще всего я видел, что подобные ограничения возникают не только из-за стремления к соответствию, последовательности и простой поддержки, но также из-за требований соответствия или отчетности. В то время как ИТ-специалисты могут делать исключения из своих правил в отношении первой категории, последняя чаще всего имеет силу за пределами самого ИТ-отдела. Разрешение кто угодно отклонение от этих требований приведет к нарушению работы систем мониторинга, используемых для подтверждения соответствия, и для утверждения исключения часто требуется стихийное бедствие. Тот факт, что этими исключениями часто «злоупотребляют», когда что-то вроде Chrome быстро становится браузером по умолчанию, а также браузером для тестирования, совсем не помогает.
В результате от разработчиков часто по-прежнему ожидается, что они будут придерживаться базовой политики безопасности на своем основном рабочем столе.
Но это только для ядро система. Чтобы обойти эти глупые ограничения, разработчикам будет разрешено запускать виртуальные машины для тестовых сред., используя изображения или шаблоны, для которых либо настроены явные среды и приложения, либо они предоставляют им значительно больше свободы в установке. Сюда входят такие приложения, как Chrome, которые могут выходить за рамки обычной политики безопасности. Таким образом, с глупой управленческой отчетностью все в порядке, но работа все равно выполняется, когда это необходимо.
Другие варианты включают лабораторные среды с физическими машинами, где физические машины находятся в совершенно другом сегменте сети и коммутаторе. Теперь, когда виртуальные машины стали такими простыми, это стало менее распространенным явлением.
Однако у вас, скорее всего, нет возможности самостоятельно приобрести виртуальные машины или лабораторию. Вам нужно будет привлечь сюда своего босса. Если вы подойдете к проблеме через соответствующие каналы и попросите компромиссное решение, такое как среда виртуальной машины (и, возможно, оборудование для ее решения), вы покажете, что понимаете и уважаете связанные с этим проблемы безопасности и ИТ. Таким образом они с большей вероятностью отнесутся к вашему запросу серьезно.