Hesabı koruyan yirmi dakika
Neredeyse hiçbir çalışma alanı zekice bir saldırıyla kaybedilmiyor. Ortak bir parola ve kimsenin sormadığı bir dizüstü ile kaybediliyor.
Bir çalışma alanında güvenlik çoğunlukla kriptografi değil, yönetim işidir. Dört karar, gerçekten ters giden şeylerin neredeyse tamamını kapsıyor.
Bir değil, yedi değil, iki yönetici
Tek yönetici; tatili olan ve telefonu kaybolabilen tek bir arıza noktasıdır. Yedi yönetici ise kimsenin sorumlu olmaması demektir, çünkü sorumluluk bölünmez.
Doğru sayı iki: biri asıl, biri ilkine ulaşılamadığında hareket edebilen. Herkes işine yetecek erişimi alır. Birine tek bir işi yapabilsin diye yönetici yetkisi veriyorsanız bu, o iznin ayrı olarak var olması gerektiğinin işaretidir; o kişinin bütün izinleri taşıması gerektiğinin değil.
Girişi asla paylaşmayın
Ortak hesap her zaman makul başlar — tek lisans, iki kişinin ara sıra kullandığı bir araç. Sonra bir parola yöneticisine, sonra bir mesaj dizisine düşer ve sonunda geçen yıl ayrılmış birine ait olur.
Ortak girişle iki şey bozulur ve ikisi de sonradan onarılmaz. Bir şeyi kimin yaptığını söyleyemezsiniz; herhangi bir değişiklik sorusu omuz silkmeyle biter. Ve tek bir kişinin erişimini kaldıramazsınız, çünkü tek kapı var ve anahtar herkeste aynı.
Cihaz listesine yılda iki kez bakın
İnsanlar dizüstü ve telefonlarını sandıklarından sık değiştiriyor; eskiler ise onları çıkaran bir şey olmadığı sürece oturumda kalıyor. Sessiz risk tam orada: bir baskın değil, çekmecede duran ya da satılmış, hâlâ oturum taşıyan bir cihaz.
Etkin oturumları açın; tanımadığınız ya da artık kullanmadığınız her şeyin oturumunu kapatın. Beş dakika sürüyor ve düzenli olarak bir şey bulan tek rutin güvenlik işi bu.
Biri ayrıldığı gün
Erişim kaldırmayı son gününde yapın, izleyen hafta içinde değil. Kişiye güvenmediğiniz için değil — genelde güvenirsiniz — aciliyet geçtiği anda bu iş diğer her şeyle yarışmaya başladığı için. Bir ayrılıştan sağ çıkan erişim, yıllarca yaşama eğilimindedir.
Sırayla üç şey: alandan çıkarın, yalnız ona ait olan ne varsa sahipliğini devredin, sonra değişmesi gereken ortak bir kimlik bilgisi var mı bakın. İkincisi ekiplerin unuttuğu adımdır ve sonradan kimsenin erişemediği o dosya her zaman mümkün olan en kötü anda keşfedilir.
Gerçekten sorulan sorular
Bir çalışma alanında kaç yönetici olmalı?
İki: biri asıl, biri ilkine ulaşılamadığında hareket edebilen. Tek yönetici tek arıza noktasıdır; çok sayıda yönetici ise kimsenin sorumlu olmaması demektir, çünkü sorumluluk bölünmez.
Bir araç için neden ortak giriş kullanılmaz?
Çünkü iki şey kalıcı olarak bozulur. Bir şeyi kimin yaptığını söyleyemezsiniz, her değişiklik sorusu omuz silkmeyle biter; ve tek kişinin erişimini kaldıramazsınız, çünkü tek kapı var ve anahtar herkeste aynı.
Biri ayrıldığında ne yapılmalı?
Son gününde: alandan çıkarın, yalnız ona ait olanların sahipliğini devredin, sonra ortak kimlik bilgilerini değiştirin. Unutulan adım devirdir; sahipsiz kalan dosya her zaman en kötü anda ortaya çıkar.
