NISHIO Hirokazu[Translate]
業務の妨げになるセキュリティ
>とある会社で、派遣・アルバイトに正社員より狭いアクセス権限を与えていたが、業務上必要なファイルを見るために正社員がダウンロードして渡すことが常習化していたという。その会社はセキュリティ講習を開き、全従業員に同じ権限を付与した。例えば私の前職ならその渡す手段を潰しているはず。
>両社のセキュリティインシデント歴を見ればどちらが正しいアプローチか一目瞭然である。セキュリティの基本は記録と制御。それらを一挙に破壊するシャドーITがどれだけ驚異になるかわかっているのだ。その対策は制限や禁止ではなく、環境・制度整備や教育が重要。従業員を信頼できない会社に未来はない

制限禁止をするルールは、それが業務上の目的の妨げになる場合に、無効化される #制約
権限を与え、オフィシャルに認められた行動とする代わりに、記録をする

"Engineer's way of creating knowledge" the English version of my book is now available on [Engineer's way of creating knowledge]

(C)NISHIO Hirokazu / Converted from [Scrapbox] at [Edit]