質問: 組織の開発者にローカル管理者アクセスを許可することは一般的ですか? 私は約1000人以上のスタッフを抱える会社で働いています。私たちは現在、Webベースのプロジェクト(約50人)に取り組むプログラミング開発スタッフを擁しています。 最近、セキュリティ上の懸念から、ITおよびセキュリティ部門では、ローカル管理者によるコンピュータへのアクセスを許可しない制限を設けました。会社全体では、ワークステーションとサーバーの両方にWindows OSを実行しています。私は、アドミンを削除するという決定に完全に同意しました。正直に言うと、(会社は患者データを扱い、HIPAAコンプライアンスを必要としているので)遅すぎると思いました。残念ながら、私は彼らが決断を下しすぎたと思います。サブグループまたはADグループは、自分の仕事をするために合法的に管理者アクセスを必要としていたユーザーのために作成されるものとしました(私のプログラミングチームより)管理者アクセスを保持するTechグループのようなもの。ただし、そうではありませんでした。唯一のグループが、ネットワークおよびヘルプデスクのスタッフ用に特定の管理者グループを作成しました。 主な問題は、Web開発者として、ローカル管理者アクセスを必要とするプログラムを実行していて、残念ながらそれらが管理者として実行されていないと私たちの仕事ができないことです。サンプルプログラムには、ASP.NET Web開発用のVisual Studio、ローカル開発用のMAMP、作曲家などが含まれます。これらのプログラムに管理者アクセスが必要な主な理由は、ローカルIISの実行と変更、コマンドラインなどが必要だからです。 基本的には、ローカル管理者アクセス権が削除された時期についての短い通知がありました。開発チームが仕事をできるようになるために水で死んでから約2日後、私と他のチームリーダーは基本的にITスタッフに叫んで叫んで解決策を思いついた。ローカルの管理者アクセスがなくても、管理者が特定のプログラムを管理者として実行する機能を作成できるようにするためのパススルーとして機能します。 残念ながら、私たちがローカル管理者アクセスに使用するこのプログラムは信じられないほどバグが多く信頼性が低く、信頼できるソースからのものではないため、他に代わるものはあまりないようです。 (私たちが使っているプログラムは公開したくない) 私の質問は、プログラマー/開発者に企業や企業でのローカル管理者アクセスを許可しないのが一般的なことですか?それがそうするのが一般的なやり方であるならば、開発者はローカル管理者として彼らが必要とするプログラムをどのように実行しますか? 私たちのネットワーク環境についてのもう少しの情報(それは私がこれを追加したいと思った質問に実際に関連しているというわけではない) 1. 承認済みリストにないプログラムをブロックするには、AppBlockerを使用します。 2. 添付ファイルをスキャンしてPDFに変換するなどの処理を行う電子メールセキュリティブロッカーを使用しています。 3. すべてのワークステーションに少なくとも2つの主要なウイルス対策プログラムがあります。 4. ネットワークとそのサーバーは非常に隔離されており、ユーザーは特定のサーバー、フォルダー、およびデータベースにしかアクセスできない。合法的にアクセスする必要がある。
回答: 私はしばらくの間、セキュリティを本当に信じる会社のために働いていました(あるいは彼らはそう考えています)。 時々ボウリングをするような、彼らは社会的なイベントを企画するでしょう。参加は無料でしたが、共有フォルダに置かれたExcelファイルのリストに自分の名前を追加する必要がありました。そのフォルダは社交イベント専用で、他には何もありません。 それで、あなたはボーリングをしたいですか?あなたはあなたの名前をそのリストに追加したいですか? Ohhhhhhhhhh、親愛なる...誰もがそのファイルを編集できるようにしているわけではありませんね適切な権限を要求する必要があります。 これが手順です。 * 会社のサイトを開く * いくつかのモジュールを入力する準備ができているセクションを探します * 「リリースシート」という文書を探してダウンロードします。 * 印刷する * あなたの要求を記入して署名します * 幹事に渡します * 幹事は、翌日の朝にこれらの要求をすべて管理者に伝えます。 * 遅かれ早かれマネージャーが署名します * 秘書があなたに返却します。 * この時点でスキャンできます * チケットを処理するためにITが使用するサイトを開く * 必要なものを説明したチケットを作成し、スキャンしたリリースシートを添付します。緊急性を1時間から2週間に設定することを忘れないでください。 * 最終的にはITが(うまくいけば)それを行います **On average, it would take 3-4 days to get it done. In some cases, weeks.** Really efficient, eh? Hey, you asked for access to a certain folder but forgot to mention the subfolder? HA! You've won another round! And, guess what? Since they were following some QA process, they were organizing documents in *a lot* of different folders. **When a new colleague came, he could easily spend *weeks* trying to get all the permissions he needed.** 今すぐ * 管理者は、署名している内容を確認するのに面倒を感じていましたか。確かに違います。彼らはリリースシートを認識しました、そしてそれはそれでした。 * 秘書はもっとチェックしていたと思いますか?たぶん彼らは試したが、彼らは私に特定のマシン上の特定のフォルダに対する読み書き許可を与えることの意味を本当に理解することができるだろうか?そうではありません。 * ITが緊急性について気を悪くしたと思いますか。そうではありません。 それでは、このアプローチは何につながったのでしょうか。会社がこれまでに作ったものすべてを盗もうと思ったら、USBドライブを持ってきてそれをあなたのPCに接続しなければならなかった。その "Confidential_Documents"フォルダにアクセスできない?それを要求するだけで、彼らはそれに署名します。そしてそれが緊急の場合? 「こんにちは、その文書が必要ですが、アクセスできません。パスワードを教えてください。」 **それで、この「セキュリティモデル」は信じられないほど遅く、不格好でイライラし、そして彼らの財産をまったく保護しませんでしたが、少なくとも誰もがボーリングイベントに参加者を混乱させることは容易にできませんhttps://xkcd.com/1200/ "rel =" nofollow noreferrer ">必須のxkcd )。** その会社にならないでください。他の人が言っているように、それが一般的であるかどうかを尋ねるのではなく、それが理にかなっているかどうかを尋ねなさい。そして答えは次のとおりです。いいえ、あなたの会社がお金を燃やすのが好きでない限り、そうではありません。