上司に会社のVPNが安全でないことを伝える必要がありますか？
私は小さな会社で働いており、VPNサービスを提供する新しいサーバーに最近投資しました。
今日は担当のIT会社に連絡を取り、ノートパソコンを接続して自宅で仕事ができるようにしました。 VPNが使用しているプロトコルを尋ねると、PPTPが表示されました。
私はこれが非常に古いプロトコルであり、そのセキュリティがわずかに侵害されていることを知っています（たとえば、CloudCrackerによって）。
現在、機密性の高い情報は扱っていないため、データを危険にさらすために時間とお金を投資する人を想像するのは難しいようです。しかし、これは避けるべき脅威だと思います。
私の上司は非常に心配な人であり、すべての可能なシナリオを経験することから彼を守るために私は彼にそれについて話すのをためらっています。
近いうちにIT企業を変える可能性があります。
私は何をすべきか？
これは良い質問であり、この正確な質問に対する答え-「XにYは次のように伝えるべきです安全ではありませんはほとんど常に "いいえ"です。優れたコンテキストと説明を提供するために、ステートメントを孤立させないでください。
上司には、決定を下すための実用的な情報とフレーミングが必要です。その特定の言語の選択では、実行可能な情報は伝達されず、決定も提示されません。さらに、「安全」と「安全ではない」という用語は、実際には安全ではないことを理解しているセキュリティエンジニアにとってのみ有用な意味を持ちます。安全でないものがたくさんあります。
このような問題を整理するためのより良い方法は、含意を処理し、意思決定としてのプレーの状態を伝えることです。ここでの決定は、おそらくITプロバイダーの変更を通じて、別のプロトコルへの変更に投資するかどうかです。
セキュリティ投資の決定を組み立てるのに役立つだけでなく方法は、保険の形でのドルの支出の観点からです。特にセキュリティの規制とコンプライアンス、ドル建てでは表現できない顧客の信頼の懸念など、その他の多くの検討領域があります。しかし、ROIがビジネスの投資と成長の側面を見るのに役立つ共通言語であるのと同じように、保険コストはビジネスのリスクの側面を見るのに役立つ方法です。
ここでは、一方で、アップグレードまたは移行を行う際のコストと時間、およびワークフローへの影響を確認したいとします。
反対に、違反のコストを見積もる必要があります。基本的なプロセスは、違反の潜在的な結果を特定し、それらに対処するためのコストの範囲を推定し、特定の時間枠内で発生する可能性を推定することです。
これは見積もるように思えるかもしれませんが、必要なのは、潜在的な不良ケースシナリオの非常に大まかな大まかな範囲であり、少数の資産/顧客/影響を持つ小規模企業の場合、それをかなり実行できるはずです。早く。実際に判断する必要があるのは、1,000ドル、10,000ドル、100,000ドル、または1,000,000ドルの予想損失について話しているかどうかだけです。
アップグレードのコストは、潜在的な損失に対する保険です。上司はその保険に加入するかどうかを決めることができます。もしそうなら、素晴らしい。そうでなければ、それも大丈夫です。プロセスの後で、ことわざにあるように、コストやリスクの一部が過小評価されていることに気付いた場合は、クラブへようこそ！ただ対話を続けてください。ボスはそれを感謝します。
幸運を。
脅威について考えることは重要だと思います。おそらく、懸念事項の一部に折り返し電話することをお勧めします。セキュリティは「はい」「いいえ」ではなく、通常は「十分に安全」です。多くの場合、「十分に良い」ソリューションを見つけるのではなく、システムのすべての欠陥を排除しようとします。あなたの言うことから、あなたの現在のソリューションは「十分」です。
はい、PPTPはおそらく最も安全なVPNテクノロジではありません。しかし、どの脅威から保護し、何を保護するかという観点から考えることが重要です。VPNの脆弱性の悪用攻撃者はトンネルの2つのエンドポイントの間のどこかにいる必要があることを意味します。つまり、攻撃者はエンドポイント（コーヒーショップ、家など）を閉じるか、トラフィックをそこに誘導するために何らかの巧妙な攻撃を行う必要があります。前者の脅威は範囲と期間が限定されており、後者は手ごわい敵によってのみ達成可能です。
また、盗む価値のあるものは何もないので、誰もVPNプロトコルをクラックする可能性は低いとあなたは言います。これはすべて、セキュリティの問題についてはほとんどまたは何も言わないことをお勧めすることを示しています。
さらに問題になるのは、使用しているITプロバイダーが、そのような安全でないテクノロジをまだ使用している場合、特に技術に精通しているとは思えないことです。これは将来の参考のために、あなたの脳のどこかに保管しておきます。別の会社を選択したかどうかについて言及する価値があります。