‏راهنمای عملی اجرای سیاست‌های امنیتی در سازمان

این یادداشت نسخه‌ی نوشتاری یک سخنرانی در BSidesSeattle است و به یک حقیقت مهم اشاره می‌کنه: تیم‌های امنیتی مدام سیاست تعریف و اجرا می‌کنن، اما تعریف سیاست بخش آسون ماجراست؛ بخش سخت، دانستن این است که واقعاً چه چیزی قابل‌اجراست و بعد اجرای آن.

گام اول، گرفتن ورودی است. معمولاً بین «سیاست» (چیزی که می‌خوای درست باشه، مثل بازبینی همتا روی تغییرات production) و «کنترل» (نحوه‌ی اجرا، مثل قواعد branch protection) فاصله‌ای برای تفسیر وجود داره. باید از کسانی که قراره با این کنترل‌ها زندگی کنن (مهندسی، محصول، SRE برای production و IT برای سیاست‌های سازمانی) ورودی بگیری؛ آن‌ها می‌خوان بدونن «چقدر طول می‌کشه؟» و مهم‌تر «وقتی خراب شد کی پاسخ‌گوست؟».