Re: [Sysadmins] запрет скачивания переименованных mp3

["Денис Смирнов" <mithraen@altlinux.ru>]

[-- Attachment #1: Type: text/plain, Size: 6026 bytes --]

On Wed, Apr 11, 2007 at 11:15:38AM +0300, Dmitriy L. Kruglikov wrote:

DLK> По вашей идеологии, к подъезду нужно подавать два такси, на случай, 
DLK> если пассажир одно из них изгадит до невозможности применения...
DLK> А еще два должно круглосуточно дежурить за углом, на случай, если
DLK> пассажиру взбредет в голову что-либо, непредсказуемое заранее,
DLK> так же, как и непредсказуемо поведение вируса, который еще не опознается
DLK> антивирусами, но который уже подвесили в iframe на сайте с голой ж...

Нет. Это означает что если курящему директору крупной компании подадут
машину без пепельницы, он открутит кому-то голову, а по дороге бычки может
и на пол кидать. Потому что безопасники открутят голову водителю, если тот
забудет предварительно заблокировать стеклоподъемники в закрытом
состоянии.

А перевозка VIP-персон на нескольких машинах это вообще обычная практика,
в случае каких-либо проблем с одной из машин (за что техникам открутят
головы скорее всего) он всегда может пересесть в другую (а безопасники в
этот момент заколебутся развертывать перед этим над этими машинами шатер).

Кстати курьерская служба и штат водителей это по сути полный аналог IT
инфраструктуры по своей логике и значимости.

NG>> В чем по вашему мнению
NG>> принципиальное отличие системного администратора от водителя такси?
DLK> В том, что вы не позволите себе в такси гадить на пассажирское сидение,
DLK> а если позволите, к вам применят монтировку...
DLK> А на рабочее место администратора, которое распространяется на все оборудования сети,
DLK> включая и вашу рабочую станцию, и установленный на ней софт,
DLK> вы считаете позволительным гадить, аргументируя тем, что без вас, незаменимого,
DLK> фирма денег не заработает...

Ошибочка. Рабочие места сотрудников это рабочие места сотрудников. И админ
к ним имеет ровно такое же отношение как и уборщица. А вот если сотрудник
притронулся к коммутатору хотя бы (не говоря уж о сервере), то тут да, это
для него скорее всего плохо кончится.

DLK> Может быть, не вас, конкретно, но в данном случае вы выступаете от имени того
DLK> сотрудника, которому 95% рабочего времени якобы можно пялиться на голую задницу.

Если он при этом будет приносить моему бизнесу десятки килобаксов, он
вправе делать все, что не противоречит законодательству РФ, и не вредит
никак другим людям, в том числе сотрудникам фирмы. То бишь если он будет
этим заниматься в своем кабинете, и не провоцировать других сотрудников на
такое же поведение -- это его личное право.

До тех пор пока сотрудник приносит деньги, и при этом не мешает остальным
-- меня не волнует что он делает. А если админ неспособен оградить сеть от
действий одного сотрудника, то он скорее всего будет уволен в тот же день
как это выяснится. И если он ко мне не придет с докладной на тему "воооон
тот порнуху качает, зарезать али от сети изолировать?" тоже.

NG>> Уверяю вас, художник 10-15 минут подождет пока разворачивается система
NG>> из бекапа, это не принесет каких-либо существенных затрат. Этим людям
NG>> не требуются финансовые сводки.
DLK> А все остальные, которым нужно работать именно сейчас ?
DLK> Сисадмин должен обеспечить нормальную работу всем, включая этого "ху...".

Если хоть один сотрудник своими действиями может навердить
работоспособности сетевой инфраструктуры в целом, то я даже не знаю о чем
уж тот говорить. Это означает либо что админ несоответствует занимаемой
должности, либо что руководство игнорирует его запросы на необходимое ПО и
оборудование. И кто-то из этих двоих должен покинуть организацию
немедленно.

NG> >> Виновным в сбое будет не сисадмин, а сотрудник, действия которого повлекли сбой,
NG> >> потому как в предложенной вами схеме именно такой режим и предусмотрен.
NG>> Нет, если при этом сотрудник порушит чужие системы - будет виноват
NG>> сисадмин, не обеспечивший внутреннюю безопасность при работе в ЛВС.
DLK> Так вот, внутренняя безопасность ЛВС обеспечивается не быстрым устранением последствий,
DLK> а ПРЕДУПРЕЖДЕНИЕМ возникновения сбоев.
DLK> Самым надежным способом предупреждения является ограничение возможностей возникновения
DLK> этих самых сбоев.

Разумеется. Но ЛВС котоую можно порушить скомпрометировав один
единственный компьютер это детский сад.

NG>> Точно так же невозможно требовать от хорошего художника, чтобы он
NG>> приходил на работу каждый день в 9 утра, невозможно требовать от него
NG>> чтобы он не сидел на форумах, не тусил всю ночь и не звонил в 16:00 на
NG>> следующий день со словами: "О, моя голова, она до сих пор болит". А
NG>> многие и не позвонят даже.
DLK> Не нужно пропагандировать бардак, который у вас возведен на уровень религии.
DLK> Если бизнес основан на деятельности человека с непредсказуемым поведением,
DLK> то этот бизес весьма ненадежен.

Закон больших чисел, однако, работает.

DLK> Ваш художник-то в туалете после себя смывает, или вы позволяете ему гадить где попало,
DLK> нанимая штат смывальщиц, которые за ним бегают.

Если этот художник будет рисовать картины ценой в миллион долларов за
штуку -- таки найму. Правда скорее всего найму инженеров, который смогут
сделать  автосмыв в сортире, это практичнее.

Дмитрий, неужто ты не согласен с тем что возможна организация в компании
рабочих мест без каких-либо ограничений, так чтобы это не подвергало
опасности остальную инфраструктуру? А вот есть ли в этом необходимость или
нет для данного сотрудника -- решать его прямому руководителю и только.

Да, по-умолчанию запрещено вообще все. Но если руководство согласно что
данный сотрудник имеет право делать то-то и то-то, задача IT отдела
реализовать это без негативных последствий. В их обязанности входит
сделать анализ рисков и сформировать несколько вариантов решения проблемы,
и положить это все на стол руководителю данного сотрудника.

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------
Documentation - The worst part of programming.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]