Comment protéger mon entreprise de mon informaticien? [fermé]

Je vais engager un informaticien pour aider à gérer les ordinateurs et le réseau de mon bureau. Nous sommes un petit magasin, alors il sera le seul à faire de l'informatique.

Bien sûr, je vais interroger soigneusement, vérifier les références et faire une vérification des antécédents. Mais vous ne savez jamais comment les choses vont s'arranger.

Comment puis-je limiter l'exposition de mon entreprise si le type que j'engage s'avère être pervers? Comment puis-je éviter de faire de lui la personne la plus puissante de l'organisation?

Vous le protégez de la même manière que vous protégez la société contre la gestion des ventes avec votre liste de clients, ou avec le responsable des fonds détournés de la comptabilité, ou contre le responsable des stocks de la gestion de la moitié des stocks, en grande partie: faites confiance, mais vérifiez.

À tout le moins, j'exigerais que tous les mots de passe de tous les comptes d'administrateur sur des systèmes et des services relevant du service informatique soient conservés dans un coffre sécurisé (soit numériquement comme KeePass, ou sur une feuille de papier conservée dans un coffre-fort). Vous devrez périodiquement vérifier que ces comptes sont toujours actifs et disposent des droits d'accès appropriés. La plupart des informaticiens expérimentés appellent cela le scénario "si je suis touché par un bus", et cela fait partie de l'idée générale d'éliminer les points de défaillance.

Dans la seule entreprise dans laquelle je travaillais, j'étais l'unique administrateur informatique, nous entretenions une relation avec un consultant informatique externe qui le lui avait confié, principalement parce que l'entreprise avait été incendiée dans le passé (par incompétence plus que par malice). Ils avaient des mots de passe d'accès à distance et pouvaient, à la demande, réinitialiser les mots de passe administrateur essentiels. Cependant, ils n’avaient aucun accès direct aux données de la société. Ils ne pouvaient que réinitialiser les mots de passe. Bien sûr, puisqu'ils pourraient réinitialiser les mots de passe de l'administrateur d'entreprise, ils pourraient prendre le contrôle des systèmes. Encore une fois, il est devenu "Trust but Verify". Ils se sont assurés qu'ils pourraient accéder aux systèmes. Je me suis assuré qu'ils ne changeaient rien sans que nous le sachions.

Et rappelez-vous: le moyen le plus simple de s'assurer qu'une personne ne brûle pas votre entreprise est de vous assurer qu'elle est heureuse. Assurez-vous que votre salaire est au moins égal à la valeur médiane. J'ai entendu parler de trop nombreuses situations dans lesquelles le personnel informatique avait endommagé une entreprise par dépit. Traitez vos employés correctement et ils feront de même.

Comment empêchez-vous votre comptable de vous détourner? Comment empêchez-vous votre personnel de vente de recevoir des commissions de vos fournisseurs?

Les non-informaticiens ont la fausse idée que nous, informaticiens, pratiquons un art noir que nous exerçons depuis les frontières du bien et du mal et que, sur un coup de tête, nous recourrons à une machination néfaste dans le but de "faire tomber le patron pointu" ".

Gérer un employé informatique revient à gérer n'importe quel autre employé.

Arrêtez de regarder des films qui décrivent ceux d’entre nous qui prenons au sérieux la responsabilité de nos positions comme si nous étions des agents voyous déterminés à dominer et / ou à détruire le monde.

Oh vraiment? Gutsy question à poser sur serverfault, ne vous inquiétez pas si votre question choque certains, même si je comprends.

Ok, des solutions pratiques; vous pouvez insister (et fréquemment tester) avoir votre propre compte administrateur / équivalent root sur tout, ramener au hasard une des sauvegardes hors site et la restaurer, évidemment essayer de recruter des personnes que vous connaissez / en qui vous avez confiance ou de dépenser beaucoup d'argent. temps les employant.

Ma suggestion la plus forte consisterait à embaucher deux personnes - les deux se rapportant à vous, non seulement resteront-elles honnêtes, mais vous aurez une couverture pour l'une d'elles en vacances ou malade.

Avez-vous une personne des ressources humaines? Ou un comptable? Comment empêchez-vous vos ressources humaines de faire le mal et de vendre les informations personnelles de chacun? Comment empêchez-vous votre comptable ou vos finances de voler tout ce que la société possède en dessous de vous?

Des procédures devraient être en place pour tous les postes, limitant les dommages qu'une personne peut causer. Votre position par défaut devrait être que vous faites confiance aux personnes que vous embauchez (si vous ne leur faites pas confiance, ne les embauchez pas ou ne les gardez pas), mais il est raisonnable de disposer de freins et contrepoids.

Même pour une petite entreprise, vous ne devriez pas avoir un seul "informaticien" qui est le seul à savoir quoi que ce soit. (comme vous ne devriez pas avoir une seule personne capable de gérer la paie - que se passe-t-il si cette personne tombe malade?). Quelqu'un d'autre a besoin de mots de passe, de vérifier les sauvegardes, etc.

Une chose que vous pouvez faire est de faire de la documentation une priorité. Assurez-vous de donner à la personne que vous engagez du temps pour documenter la manière dont les choses sont organisées et discuter de la documentation lorsque vous interviewez des candidats - demandez ce qu'ils ont fait dans le passé pour documenter leur réseau, demandez à voir un échantillon.

C’est mon habitude de toujours mettre en place un "Guide des systèmes" qui documente plus ou moins tout , quel est le matériel dont nous disposons, comment il est configuré, les procédures que nous suivons, etc. C'est évidemment un document en constante évolution (série de documents et fichiers dans la plupart des cas), mais à tout moment, vous pouvez en prendre une copie et avoir une idée de la façon dont le responsable informatique a mis en place les éléments et quelles informations critiques une personne a besoin de savoir au cas où le responsable informatique serait frappé par un bus. Si vous voulez vraiment être préparé, vous pouvez faire appel à un consultant externe pour consulter le manuel du système et vous indiquer ce qu’il faudrait faire si le responsable informatique devait intervenir.

Ou, si vous êtes vraiment paranoïaque, vous pouvez faire appel à un consultant externe pour qu'il compare le contenu du manuel des systèmes à ce qu'il voit s'il examine vos systèmes. Est-ce qu'un autre logiciel est installé? Existe-t-il des comptes administrateur ou d'accès à distance supplémentaires?

C'est difficile, car un échec est douloureux ( Comment recherchez-vous des portes dérobées de la part du précédent informaticien? ). Si vous êtes assez petit pour ne pas avoir déjà une présence informatique, le type de structures compartimentées pouvant limiter l'exposition est vraiment, vraiment difficile à mettre en place. Sauf si vous avez quelqu'un d'autre pour faire toutes les activités à haute confiance, telles que celles qui requièrent des informations d'identification d'administrateur de domaine, vous devrez les donner à votre nouvel employé.

Vous embauchez quelqu'un qui bénéficiera d'une grande confiance. Vous devez donc lui faire confiance en retour. Si vous n'êtes pas certain à 100%, ne les embauchez pas. Les vérifications des antécédents peuvent aider. Insister sur les recommandations personnelles de caractère et pas seulement sur la compétence ; s'ils ont un profil LinkedIn, demandez à certains de leurs contacts ou insistez pour les contacter.

Oui, ce sera très intrusif. Si vous avez vraiment des doutes sur quelqu'un, cela en vaut la peine en raison du coût pour l'entreprise au cas où le pire se produirait. Quand ils commencent, travaillez avec eux très étroitement. Apprenez à les connaître. Laissez toute la société interagir avec eux. Regardez comment ils travaillent avec les gens.

Une fois que le nouvel emploi a disparu, observez comment ils gèrent les revers inattendus. Est-ce qu'ils ont du ressentiment et sont hargneux, ou est-ce qu'ils s'en vont et traitent? Si votre bureau est du genre à bizuter occasionnellement de nouvelles personnes, voyez comment elles réagissent; subtile et calme avec beaucoup d'embarras sur la cible de vengeance, manifeste et flashy, ou de rire et de hausser les épaules? Ce sont quelques-uns des indices qui peuvent aider à identifier un saboteur potentiel de vengeance.