Як запитати виняток безпеки в англійській мові

Запит винятку безпеки, який просто каже «ми повинні тимчасово пропустити цей контроль», ймовірно, буде відхилений або, гірше, тихо ігнорований - запит, який отримує схвалення, точно говорить, що обходить, чому, на скільки часу і що компенсує прогалини в той час. Цей підручник містить англійську мову для написання такого підручника, який команда безпеки зможе дійсно схвалити.

Ключовий словник

** Policy control ** — специфічна вимога безпеки, яку запитують як виняток, названа точно (наприклад, « обов’ язкове MFA для облікових записів адміністратора »), а не описана нечітко. “Відповідне керування правилами є нашою вимогою щодо шифрування у стані спокою для всіх виробничих баз даних — ця застаріла система використовувалась до цього правила і не підтримує його вбудовано.”

** Обґрунтування ** — конкретна бізнесова або технічна причина, з якої керування не може бути виконано, відрізняє справжнє обмеження від простої незручності. “Відповіддю є те, що платформа виробника не підтримує потрібний метод шифрування, і перехід на нього повністю є окремим, вже обмеженим проектом на наступний квартал.”

** Обсяг (винятку) ** — точно визначає, що охоплює і не охоплює виняток — які системи, які середовища, які дані — зазначено вузько, а не широко, щоб обмежити вплив. “Обсяг винятку обмежений середовищем стаджування для цієї однієї служби — виробництво залишається повністю сумісним, а стажування не обробляє реальні дані клієнта.”

Компенсаційний контроль — альтернативний захист, встановлений для зменшення ризику, поки первинний контроль не задовольняється, демонструючи, що запит не залишає прогалини повністю нерозв’ язаною. “Як компенсаційний контроль, ми обмежили доступ до мережі до цієї системи певним внутрішнім діапазоном IP і додали додаткове реєстрування аудиту для кожного доступу.”

** Дата закінчення дії ** — конкретна дата закінчення дії винятку, після якої слід виконати вимоги керування або офіційно відновити виняток, запобігаючи тим самим тому, щоб виняток став постійним. “Це виключення закінчується 30 вересня, пов’ язане з запланованою датою завершення перенесення — це не відкритий виняток.”

** Прийняття ризику ** — формальне підтвердження, зазвичай, відповідальним власником, що залишковий ризик винятку розуміється і приймається від імені організації. “Прийняття ризику для цього винятку підписується віце-президентом з інженерії, оскільки це рішення з наслідками на рівні організації, а не те, що окремий інженер повинен прийняти сам.”

Звичайні фрази

• «Політика контролю, для якої ми запитуємо виняток, є [спеціальний контроль]»
• «Виправданням є [спеціальне технічне або бізнес-обмеження], а не загальна зручність»
• “Обсяг цього винятку обмежений [спеціфічними системами / середовищами], а не ширшим.”
• “Як компенсаційний контроль, ми встановили [спеціальну альтернативну захист].”
• “Цей виняток закінчується на [конкретну дату] і потребує відновлення, а не автоматичного продовження, після цього.”

Приклади висловлювань

Запис повного запиту на виняток: “Запит на виняток з обов’ язкової політики MFA для облікового запису служби застарілої системи звітів, оскільки бібліотека автентифікації виробника не підтримує MFA, а заміну заплановано на 3-й квартал. Область: тільки цей один обліковий запис служби. Компенсаційний контроль: обліковий запис обмежено одним внутрішнім IP- адресою і змінюється кожні 30 днів. Закінчення дії: 30 вересня, пов’язане з датою завершення проекту заміни. ”

Відкидання занадто широкого виняткового запиту: “Перед тим, як я зможу схвалити це, я хотів би, щоб обсяг був сужений — як написано, цей виняток буде застосовуватися до всіх облікових записів адміністратора, але фактичне обмеження, яке ви описуєте, впливає лише на один обліковий запис старої служби.”

Підтвердження близько до закінчення терміну дії:

• “Це виключення буде скасоване через два тижні. Чи можете ви підтвердити, чи було вирішено основне обмеження, або нам потрібно офіційне оновлення з оновленим обґрунтуванням?»*

Професійні поради

• Назвіть точний контроль політики, який виключено — нечітке « ми не можемо повністю дотримуватися політики безпеки зараз » не переглядається; названий, конкретний контроль є.
• Тримайте ** обсяг ** таким же вузьким, як і фактичне обмеження вимагає - запит з широким обсягом « щоб бути безпечним » важче схвалити і створює більше залишкового ризику, ніж потрібно.
• Завжди пропонувати ** компенсаційний контроль ** — запит на виняток без заходів зменшення ризику сприймається як просто прийняття ризику, а не керування ним.
• Встановіть тверду ** дату закінчення дії ** і розглядайте відновлення як справжню переоцінку, а не формальність — винятки без дат закінчення дії є поширеним джерелом давніх забутих прогалин безпеки.

Практичні вправи

1. Напишіть одноречення, яке пояснює гіпотетичний виняток з правил безпеки.
2. Написати компенсаційний контроль для системи, у якій тимчасово відсутнє шифрування у стані спокою.
3. Напишіть речення, у якому буде вказано конкретну дату закінчення дії ліцензії і умову її продовження.

Навигація нюансів: точність у винятках безпеки для не-національних мовців

Запит винятку безпеки - чи це дозволити певний інструмент або процес через певну потребу - може бути складним. Це не просто про те, щоб сказати, що вам щось потрібно; це про те, щоб сформулювати свій запит чітко і переконливо, продемонструвати, що ви розглянули наслідки, і запропонувати реальні альтернативи. Для розробників, які все ще вдосконалюють свою професійну англійську, це вимагає більше, ніж просто перекладу слів; це вимагає розуміння очікуваного тону, фразування і рівня деталізації, необхідних у формальному середовищі роботи. Давайте розглянемо, як підвищити рівень комунікації навколо винятків безпеки, зосередившись на створенні довіри і демонстрації ретельності.

Один з поширених сценаріїв виникає під час перегляду коду. Сара, розробник з невеликого стартапу, потребувала використовувати сторонню бібліотеку, яка отримала змішані оцінки безпеки. Під час перегляду її колега Марк прокоментував: «Ця бібліотека викликає певні сумніви щодо потенційних вразливостей. Чи можете ви розібратися, чому це необхідно і які стратегії зменшення на місці?»  Початкова відповідь Сари — «Це просто працює!» — не була б достатньою. Замість цього вона могла відповісти на щось більш структуроване, наприклад: «Марк, я розумію твою занепокоєність щодо рейтингу безпеки бібліотеки. Ми оцінили його використання в рамках нашого поточного проекту і вважаємо, що потенційні переваги - а саме [згадайте конкретну функціональність] - переважають ризики. Щоб уникнути цих ризиків, ми впроваджуємо компенсаційні заходи контролю, включаючи регулярне сканування на вразливості і суворе обмеження доступу. Ми також пропонуємо перегляд цього винятку кожні 90 днів, щоб забезпечити постійне узгодження з найкращими практиками. “Зауважте ретельну фразу: визнання занепокоєння, зазначення виправдання, детальні дій для зменшення ризику і планування подальших дій.

Аналогічно, під час написання опису запиту на завантаження для запитів винятків з безпеки інформаційних технологій, уникайте нечітких вказівок. Замість « Запит на дозвіл на використання [інструмента] » спробуйте щось на зразок: « Цей PR вимагає доступу до [Назва інструменту]. Ми розуміємо, що цей інструмент класифікується як високого ризику через його потенціал для витоку даних. Щоб зменшити це, ми пропонуємо обмежене використання лише в середовищі розробки (особливо, для тестування і зневадження - * не * виробництво). Ми впровадимо багатофакторну автентифікацію і регулярно будемо стежити за мережевим трафіком на предмет підозрілих дій. Ми хотіли б запросити виняток, чинний протягом шести місяців, з переоцінкою після завершення поточної фази проекту. Це демонструє активне керування ризиками і чітке розуміння наслідків безпеки. Пам’ ятайте, ясність і детальний аналіз - це ваші союзники під час обговорення складних питань.

І, нарешті, не бійтеся прохання про пояснення. Якщо ви не впевнені щодо очікуваного рівня деталізації або бажаної фрази, ввічливо запитайте. Просте повідомлення на кшталт: « Чи можете ви надати деякі рекомендації щодо найкращого способу вираження цього запиту, щоб переконатися, що він відповідає протоколам безпеки нашої команди? » може бути дуже корисним для демонстрації вашого бажання дотримуватися встановлених процедур і будувати міцніші професійні відносини.