C'est fou ces normes qui sont là pour empêcher de réfléchir.
Oui, même si ce que j'ai écrit est un raccourci, il y a une part de vrai : avoir un cadre prédéfini permet de gagner du temps en ne se reposant pas forcément toutes les questions. Il y a un côté confortable, mine de rien. Bon il y a aussi un côté "mais bordel foutez-moi la paix". Le tout est trouver le bon dosage sans s'énerver :).
Sans entrer dans les détails, dans d'autres entreprises, j'ai dû gérer directement les arbitrages entre ce que demande un référentiel de sécu, ce que je pensais utile ou non, ce que le patron pensais utile ou non, le prix que ça coûte, et le risque de se faire rembarrer lors des audits (de norme ou audit client direct). Ben c'est pas toujours facile, mais les personnes qui audident sont souvent ouvertes aux compromis tant que ça semble justifié et acceptable.
Au final, tu as facilement 20% des trucs que tu ne vas pas faire, parce que ça ne rentre pas dans comment fonctionne ton entreprise.
Pour reprendre le sujet de l'antivirus EDR, c'est sans doute impossible de justifier que tu n'en as pas besoin sur un équipement nomade, qui est physiquement entre les mains d'un employé qui le connecte à divers réseaux plus ou moins sûrs, et qui a accès à Internet.
[^] # Re: Antivirus
Posté par cg . En réponse au journal Présentation d'un laptop certifié PCI-DSS. Évalué à 3.
Oui, même si ce que j'ai écrit est un raccourci, il y a une part de vrai : avoir un cadre prédéfini permet de gagner du temps en ne se reposant pas forcément toutes les questions. Il y a un côté confortable, mine de rien. Bon il y a aussi un côté "mais bordel foutez-moi la paix". Le tout est trouver le bon dosage sans s'énerver :).
Sans entrer dans les détails, dans d'autres entreprises, j'ai dû gérer directement les arbitrages entre ce que demande un référentiel de sécu, ce que je pensais utile ou non, ce que le patron pensais utile ou non, le prix que ça coûte, et le risque de se faire rembarrer lors des audits (de norme ou audit client direct). Ben c'est pas toujours facile, mais les personnes qui audident sont souvent ouvertes aux compromis tant que ça semble justifié et acceptable.
Au final, tu as facilement 20% des trucs que tu ne vas pas faire, parce que ça ne rentre pas dans comment fonctionne ton entreprise.
Pour reprendre le sujet de l'antivirus EDR, c'est sans doute impossible de justifier que tu n'en as pas besoin sur un équipement nomade, qui est physiquement entre les mains d'un employé qui le connecte à divers réseaux plus ou moins sûrs, et qui a accès à Internet.