Diskusjonspunkter til personalmøtet
- Systemer uten support. Har vi noe som fortsatt kjører etter at supporten er utløpt, slik Fjordnett kjørte FN-SRV03? Hvem har ansvaret for å bestemme at det skal fases ut, og finnes det en reell dato for det, eller bare «en eller annen gang»?
- Tjeneste- og administratorkontoer. Kjenner vi alle automatiserte kontoer og alle administratorkontoer vi har, hvorfor hver av dem finnes, og når passordet sist ble byttet? Hvilke ville vi slite med å forklare?
- Tid til patching. Hvor lang tid tar det i praksis før vi installerer en sikkerhetsoppdatering etter at den er sluppet, og hva står, ærlig talt, i veien?
- Manipulerte alarmer. Hvis noen i det stille skrudde av sikkerhetsvarslene våre (en postboksregel, en deaktivert kontroll), hvor lang tid ville det ta før noen merket det? Hvem vokter vokterne?
- Å klare seg uten systemet. Hvis systemene våre gikk i svart i morgen, hvordan ville kundene våre, og vårt eget arbeid, klare seg i et døgn? Finnes det en reserveløsning på papir, og har vi noen gang faktisk testet den?
- Det vi leverer og installerer. Hvor mye stoler vi på komponentene og oppdateringene som strømmer inn i det vi bygger eller drifter? Kunne en ondsinnet endring bli med inn i en release uten at et menneske noen gang la merke til det?
- KI-drevet bedrag. Ville vi kjent igjen en phishingmelding skrevet av KI, eller en altfor tålmodig fremmed som tilbyr hjelp akkurat i rett øyeblikk? Hva ville fått oss til å stoppe opp og fatte mistanke?
- Rom for å be om hjelp. Ville en kollega med økonomiske eller personlige problemer føle at det gikk an å si fra her, før noen utenfor firmaet fant det ut og tilbød hjelp med betingelser?