Відповідь насправді: немає простого відповіді так чи ні. Але безпека як мінімум важлива для ваших розробників, як і для всіх інших.
З одного боку, так, дияволи, як правило, технічно більш кмітливі. З іншого боку, їхня робота часто є напруженою роботою, і їхні основні етапи розвитку, ймовірно, матимуть перевагу над додатковим доглядом, необхідним для підтримки власної системи як безпечного середовища. Це не критика розробників; це чесне врахування їх щоденних обов'язків.
Якщо ви збираєтеся надати розробникам повний, безперебійний доступ до їхніх систем, то вам слід дійсно розглянути наступні додаткові заходи:
- Забезпечте іншу систему, заблоковану стільки, скільки звичайні користувацькі системи заблоковані, для нормального використання не для розробників.
- Покладіть свої повнорозмірні верстати для розробників у спеціальну VLAN, що має доступ лише до ресурсів розробника.
- Запитайте, що, якщо що-небудь не завадить зараженій системі загрожувати кодовій базі. Чи міг бэкдор-машину перевірити злоякісний код чи стерти базу коду в руках ворожого хакера? Вживайте відповідних заходів для зменшення цього ризику.
- Аналогічно запитайте, що якщо що-небудь захищає бізнес-дані, що зберігаються в системах, до яких мають доступ розробники.
- Регулярно проводите інвентаризацію програмного забезпечення та аудит безпеки систем розробників.
- Отримайте уявлення про те, що вони працюють, і скористайтеся цією інформацією для створення зображень для перерозподілу системи розробок.
- Рано чи пізно у вас з’явиться розвідник, який стає недбалим і встановлює речі, явно небезпечні або зовсім не пов'язані з роботою. Швидко надсилаючи попередження, коли це станеться, ви дасте спільноті розробників знати, що так, хтось дивиться, і вони несуть відповідальність дотримуватися розумних норм.
- Ви регулярно скануєте шкідливі програми? У деяких випадках розробники справедливо скаржаться на податок на продуктивність, що стягується AV-системами під час доступу (ті АВ системи, які завжди увімкнено, завжди скануючи кожен доступ до файлів). Можливо, бажано перейти до стратегії нічного сканування та / або створити виключення файлів / папок для сканування під час доступу. Переконайтеся, що виключені файли скануються іншим способом.
- Чи можуть ваші адміністратори з розробленими дисками вимкнути все сканування AV? Як би ви виявили та усунули це?
Якщо ви збираєтесь заблокувати системи розробників, то вам слід врахувати наступне:
- Чи є у вас можливість підтримки швидко відповідати на їх запити? Розгляньте середню ставку оплати ваших розробників і запитайте, заслуговує чи ні, чи вони заслуговують на швидший час у відповідь на угоду. Це, мабуть, не має сенсу тримати ваші диски в розмірі 120 тис. Доларів (хто є ключем до багатомільйонного проекту), поки ви обробляєте технічну підтримку від співробітників 60 000 доларів на рік.
- Чи є у вас чітка та однозначна політика щодо того, які запити про підтримку ви хочете, а не будете обслуговувати своїх розробників? Якщо вони починають отримувати відчуття , що підтримка є довільною, ви будете в кінцевому підсумку відчувати біль.
Так чи інакше, вам потрібно визнати, що розробники - це особливий випадок, і їм потрібна додаткова підтримка. Якщо ви не сплачуєте бюджет на це, проблеми, швидше за все, гнійні зараз ... або будуть у майбутньому.
Як зауваження, я бачив дуже схожі аргументи, що мають місце з систематинами. Щонайменше на двох різних роботах я бачив, як системні адміністратори доволі люто сперечаються, коли було висловлено припущення, що вони повинні самі заблокувати системи або принаймні використовувати два логіни (один з root / admin privs; один без). Багато сисадмінів вважали, що їх ні в якому разі не можна закривати, і наполегливо виступали проти таких заходів. Рано чи пізно у якогось адміністратора, що запобігає заблокуванню, виникне інцидент із безпекою, і приклад матиме навчальний вплив на всіх нас.
Я був одним із тих сисадмінів, які весь час бігали з адміністратором приват. Коли я вніс зміни в подвійні рахунки і лише підняв на потребу, я визнаю, що це було дуже неприємно протягом перших кількох місяців. Але срібна підкладка в хмарі полягала в тому, що я дізнався набагато більше про безпеку систем, якими я керував, коли мій звичайний обліковий запис жив під тими ж обмеженнями, які я розміщував на користувачів. Це зробило мене кращим адміністратором! Я підозрюю, що те саме стосується розробників. І, на щастя, у світі Windows зараз у нас є UAC, що полегшує запуск обмеженого користувача та піднімає його лише за потреби.
Особисто я не думаю, що хтось повинен бути вище якоїсь форми безпеки. Кожен (системні адміністратори, розробники, вищий рівень управління) повинен мати достатню кількість процедур безпеки та нагляду, щоб тримати їх на ногах. Сказати інакше - це сказати, що системи та дані компанії не варті зусиль для захисту.
Давайте по-іншому. Якщо Марка Русиновича можна взяти за допомогою руткіта , будь-хто може!