(Dis)ordine e (in)sicurezza

In questi giorni passo molto più tempo del solito in trasferta, per seguire alcuni progetti che dovrebbero trovare la luce entro la fine dell'anno.
Riflettevo, in queste occasioni, su quanti dati dell'IT, in forma di semilavorato, di informazioni non strutturate come semplici scambi di email, di report di riunioni e di SAL, sono distribuite a vari livelli presso una azienda di medie-grandi dimensioni.
La complessità di questo fatto è tanto più evidente quando si prova, come mi è capitato oggi di fare, a recuperare ed a raccogliere tutti i dati significativi di un progetto quando non si è certi (ahimè, mi capita anche abbastanza spesso!) di aver mantenuto in ordine le directory con lo storico di tutte le bozze, i deliverables etc... Mi sono domandato: come facevo quando non avevo a disposizione beagle (prima) e Spotlight (oggi)?

• Prima considerazione: facevo prima, perchè non contando sul fatto che qualcuno risolvesse per me il problema, mi attrezzavo a tenere in maggiore ordine la documentazione!

• Seconda considerazione: "filtravo" molto di più le informazioni. Semplicemente, mantenevo copia degli stati essenziali dei documenti, contando sul client di posta come repository delle informazioni più significative, che è essenzialmente quello che faccio ancora oggi.

Quindi, necessariamente, il problema reale è che ultimamente ho mantenuto poco ordine tra le caselle di posta elettronica :-(

In ogni caso, deve essermi rimasta accesa una lampadina in testa, perchè leggendo qualche sera fa la notizia della pubblicazione delle top-20 del Sans , ed in particolare dove dice:

Users who are allowed by their employers to browse the Internet have become a source of major security risk for their organizations. A few years back securing servers and services was seen as the primary task for securing an organization. Today it is equally important, perhaps even more important, to prevent users having their computers compromised via malicious web pages or other client-targeting attacks.

con maggior forza ho pensato a quanto la disseminazione dell'informazione presso l'azienda comporti:

• un limite, dal punto di vista dello storico e della gestione delle informazioni. In questo, certamente, i processi di qualità, tanto odiati da chi svolge attività operative, costringono quanto meno a gestire le informazioni in modo strutturato, indipendentemente poi da quanto queste siano "sparse" come bozze, mail etc.... E, di nuovo, informazioni strutturate sono un prerequisito, assieme a processi operativamente applicati, per essere poi gestite e conservate mediante sistemi sempre più "intelligenti" (motori di workflow etc...);

• un rischio, perchè ogni sistema di ogni utente coinvolto in un processo sul quale siano memorizzate informazioni anche non specificatamente pertinenti al proprio lavoro, costituisce una fonte di dati la cui compromissione può causare un danno anche rilevante per l'azienda.

Questo è tanto più vero nelle aziende o nei settori che operano nell'IT, dove le informazioni che circolano sono proprio quelle di cui avrebbe bisogno un attaccante per meglio introdursi logicamente o fisicamente nell'azienda, ma più semplicemente dove la disponibilità di dati corretti o aggiornati è fondamentale per una buona gestione (leggere: sicurezza) dei sistemi.

Cosa accade quando un operativo cambia lavoro?
Oppure, se un disco di una postazione utente si danneggia?

O quando, trascorsi mesi dal passaggio in esercizio, si riprende in mano la documentazione per la manutenzione evolutiva? Si sa chi è in possesso della versione definitiva dei documenti, oppure le informazioni si trovano sulle classiche "bozze definitive" delle quali non si sa quale sia l'effettiva ultima versione?