C чего начать аудит по "черному ящику" или какой результат показать Заказчику. ШАГ 1 (не выезжая на объект)

(подписывайтесь на https://t.me/dorofeevvi)

 "Черный ящик"? Когда Заказчик не дает аудиторам, исполнителям, специалистам (назовите как хотите) никаких данных. Плюсы и минусы такого подхода для Заказчика и для Исполнителя можем разобраться позже. 

Так с чего начать аудит по "черному ящику"?

 1) Анализ web-сайта организации (пока исключая сканирование).

а) находится на внешнем хостинге или на ресурсах организации. Если на ресурсах организации, то это может дать информацию о других хостах (ip-адресах).

б) контактные адреса, информацию на другие ресурсы, которые есть на сайте.

2) Составление списка социальных сетей сотрудников организации (поиск по месту работу в различных социальных сетях).

3) Серфинг сети для поиска электронных почтовых адресов сотрудников и списка сотрудников.

4) Исходя из первых трех пунктов сформируется перечень:

а) перечень социальных страниц сотрудников исследуемой организации;

б) перечень электронных почтовых адресов сотрудников;

в) списки потенциальных сотрудников организации. Скорее всего из анализа пункта 2 вы уже поняли правило при создании электронных почт, а значит можете воспользоваться сервисами по транслитерации (например, https://transliteration-online.ru/).

г) полученные электронные адреса из пунктов б) и в) можно проверить на предмет утечек по базам данных.

5) Вам осталось придумать текст фишинговой рассылки по электронной почте и собирать результаты.

По итогам 5 (пяти) пунктов вы можете предоставить Заказчику следующие результаты и потенциальные векторы атак.

1) перечень социальных страниц сотрудников. Некоторым Заказчикам мы предоставляли информацию о количество часов в режиме "онлайн" по этим соцстраницам (включая рабочее время). При этом вполне могут быть фотографии в открытом доступе с корпоративных мероприятий.

2) перечень электронных почт и результаты фишинговой рассылки.

3) в случае расположения web-сайта на внутренний ресурсах - карту вектора следующих атак.

4) план дальнейших действий для согласования Заказчиком.

 

 

Контроль параметров внешней среды критически важных помещений

 Когда у Вас один сервер в одной комнате Вам хватит ресурсов наблюдать за ним, но и то вопрос насколько он для Вас критичен.

Причем это ведь не только серверные, это любые другие помещения, которые для Вас критичны.

Например, архивы. Мало ли было случаев, когда архивы были затоплены?

Недавно у нас отключились кондиционеры, жара +40, в серверной быстро стала подниматься температура, сработал алерт на изменение состояния окружающей среды. 

Мы тестировали технологии IoT для мониторинга, но после анализа остановились на стандартном решении Vutlan s.r.o. (ранее известная как – Sky Control), занимается исключительно оборудованием для мониторинга.

 

Мобильный контроль удаленных точек (точки бурения, удаленные офисы, вахтовые автобусы и так далее)

 Добрый день.

Немного воспоминаний: 10 лет назад предлагал одному из директоров-владельцев сети пиццерий контроль сотрудников. Контроль примитивный на уровне вход/выход. На тот момент у него была стандартная карточная система, и его сотрудники (как оказалось это были повара из соседних республик) передавали по очереди все карточки дежурному, а тот их отщелкивал. Кстати владелец хотел биометрию и я предложил "Биолинк", так как на тот момент было два строительных объекта, где мы его внедрили. Почему кстати? Потому что недавно прочел, что собственник "Биолинк" стал главным по ИТ в "Билайн".

Вернемся в текущее:

Из последнего была задача установить контроль сотрудников на всех вахтовых автобусах. После проведенного анализа пришли к выводу, что самое быстрое, эффективное и экономически обоснованное решение - протестировать модуль Perco (СКУД также на Perco). Для информации https://www.perco.ru/resheniya/mobilnyy-terminal-dostupa/, но таких решений достаточно много.

Решение оказалось красивым, так как после дозакупки модуля Perco к ядру системы - решение масштабировалось на все удаленные точки по России. Конкретно для вахтовых автобусов были куплены корпоративные телефоны с NFC (находились у водителей), а сотрудники отмечались по своим картам стандарта MIFARE.

Сейчас мы реализуем историю дальше, инвентаризируем мобильные устройства сотрудников, чтобы авторизация происходила по модели  телефон-телефон. На будущее скажу, что инвентаризацию мы делаем и для реализации целого пласта задач (решения будут очень интересные).

В интернете Вы найдете сравнения решений для мобильного контроля пользователей, у некоторых, помимо NFC, поддерживается технология блютуз. Но необходима ли она Вам?

Пять пороков команды

 Добрый день.

Сегодня за день прочитал книгу Патрика Леонсиони "Пять пороков команды" - советую.

Написано в интересно стиле.

В книге (как очевидно) описываются 5 пороков команды:

1) недоверие.

2) боязнь конфликта.

3) безответственность.

4) нетребовательность.

5) безразличие к результатам.

Одна мысль, показалась мне, не до конца раскрытой.

Героиня книги говорит команде ТОП-менеджмента, что они должны выбрать, что основная команда это команда, именно, топ-менеджмента, а не их подчиненных. Но далее эта тема не обсуждается.

Распознавание текста

Вопрос распознавания текстов не вопрос "дня сегодня", а вопрос вчерашней повестки.

Но несмотря на то, что на данный момент на рынке достаточно много инструментов для распознавания "бумаги", мало кто поставил это на поток.

Поэтому хочу рассказать о нашем опыте и выборе продуктов для разных отделов.

Да, для некоторых документов в наших бизнес-процессах не обошлось без обучения нейросети.

Продолжение следует.

Подписывайтесь на канал https://t.me/dorofeevvi

Тлг канал

 Добрый вечер.

Подписывайтесь на канал:

https://t.me/dorofeevvi

Сравнение продуктов

Эту мысль, я часто рассказываю студентам.

Во фразе "сравнение продуктов" очень часто пропускают слово "маркетинговое".

Как происходит по факту на рынке?

У многих вендоров есть некие сравнительные таблички их с конкурентами, но по факту:

1) задача любого вендора продать, поэтому будут выбраны именно те критерии сравнения, которые необходимы. Например, Коля лучше Мити, потому что у Коли рост 180, а у Мити 175.

2) в тех критериях, где автор "табличек" понимает, что эта функция важна для клиента происходит обычно так. Яркий пример из моего богатого опыта:  

программное обеспечение А интегрировалось с 20 мессенджерами, программное обеспечение Б с пятью (и среди них не было телеграм, вайбера, скайпа и так далее), но в сравнительной таблице, конечно же, графа "интеграция с мессенджерами" имеет плюсы и там и там.

3) еще одним классическим приемом такого сравнения является табличку, в которой сравнивается релиз, который "вот вот выйдет" и версия конкурента, которая была год назад.

Противоядие:

Противоядие на адекватных людей или на людей, которые не преследуют некие цели.

Дайте клиентам самим у разных вендоров запросить их таблицы сравнения.

В моей практике было несколько случаем, когда к клиенту пришло 4 вендора (производителя) я предложил Заказчику самостоятельно запросить таблицы сравнения у всех трех, а я такие таблицы предоставлять не буду.

Так как Заказчик был заинтересован в выборе максимально близкого им продукта он пришел ко мне через неделю и сообщил, что не знает, что и думать, так как все вендоры прислали таблицы сравнения себя друг с другом и они четко противоречат друг другу, да и критерии выбраны разные.

Я ничего не сказал. Я молча попросил их выбрать те пункты, в которых наш продукт указан как отстающий и продемонстрировал функционал (тот который якобы отсутствует).

И, конечно, выбирайте критерии, которые нужны Вам и соответствуют вашим бизнес целям, а как только Вам приносят таблицы сравнения у вас должен прозвенеть звоночек.

 П.с.

Критическое мышление, вот одно из главный компетенций руководителя.