Ответ user10472639 в «Айтишники потребовали отдельную заявку на каждую папку. Я послушался»12
Ооооо, как ибешник с почти 20 летним стажем, мне есть что тут сказать.
Такое случается, когда постарались внедрить иб, не внедрив процесс иб в бизнес-логику. Иб не может существовать в воздухе, как отдельная сущность и процесс. Иб служит для защиты информации, и средств её обработки, и процесс и люди является частью это обработки. Иб не должна быть препятствием нормальному течению информации.
Как только у нас появляются вот такие заборы, это рушит все. Человеку неудобно работать, он ищет обходные манёвры и самое главное находит, при этом у нас появляется аномалия, которая становится нормой. И если иб её не выявляет, то это мнимость, и именно этой брешью воспользуется реальный атакующий. А чем сложнее мы строим подобные организационные структуры, тем больше мы порождаем брешей.
Иб должна быть проста для пользователя. Он не должен думать как сделать безопасно. Он должен выполнять функцию. А иб строит забор вокруг, а не на пути.
Кроме того есть тут и проблема увеличения стоимости владения актива. Иб и так вдовый пассив, который никогда не приносит доход. Если при этом у нас увеличивается стоимость работ, а при таком подходе она увеличивается, сам собственник начинает негативно относиться к иб, так как само иб становится угрозой как минимум показателю доступности.
Но к сожалению, среди ciso сейчас чаще всего встречаются 2 крайности. Беззубые тюфяки, и получаем полное игнорирование проблем, и бирюзовые компании, или адовые теоретики, которые прослушали курсы лекций о защите гостайны 30 или 40 летней давности, где основной носитель информации-бумага, а поток данных, секретарь Ирочка. И вот там заборы работают, так как Ирочка опять забыла папку с грифом на принтере, а пачку пломб в туалете.
