Comment protéger mon entreprise de mon informaticien ?

Comment empêcher votre comptable de vous détourner de vos fonds ? Comment empêcher votre personnel de vente d'accepter des pots-de-vin de vos fournisseurs ?

Les non-informaticiens ont l'impression erronée que nous, informaticiens, pratiquons un art noir que nous manions à la frontière du bien et du mal et que, sur un coup de tête, nous aurons recours à une machination infâme dans le seul but de "faire tomber le patron aux cheveux pointus".

La gestion d'un employé des TI est comme la gestion de n'importe quel autre employé.

Arrêtez de regarder des films qui dépeignent ceux d'entre nous qui prennent la responsabilité de leur poste au sérieux comme si nous étions des agents rebelles prêts à tout pour dominer et/ou détruire le monde.

Wow - vraiment ? une question courageuse à poser sur serverfault, ne vous inquiétez pas si certains sont offensés par votre question, bien que je comprenne.

Ok, des solutions pratiques ; vous pourriez insister (et tester fréquemment) pour avoir vos propres comptes administrateurs/root équivalents sur tout, prendre au hasard une des sauvegardes hors site et la restaurer, essayer évidemment de recruter des personnes que vous connaissez/en qui vous avez confiance ou passer beaucoup de temps à les employer.

Ma suggestion la plus forte serait d'engager deux personnes - toutes deux sous votre responsabilité, non seulement elles se garderont mutuellement honnêtes mais vous aurez une couverture lorsque l'une d'entre elles sera en vacances ou malade.

Avez-vous un responsable des ressources humaines ? Ou un comptable ? Comment empêcher votre responsable des ressources humaines d'être maléfique et de vendre les informations personnelles de chacun ? Comment empêcher votre comptable ou vos financiers de voler tout ce que l'entreprise possède sous votre nez ?

Pour tous les postes, vous devez mettre en place des procédures limitant les dommages qu'une personne peut causer. Votre position par défaut devrait être de faire confiance aux personnes que vous embauchez (si vous ne leur faites pas confiance, ne les embauchez pas ou ne les gardez pas), mais il est raisonnable d'avoir des contrôles et des contrepoids.

Même pour une petite entreprise, il ne faut pas avoir un seul "informaticien" qui soit le seul à savoir quelque chose. (de même que vous ne devriez pas avoir une seule personne qui puisse s'occuper des salaires - que se passe-t-il si cette personne tombe malade ?) Quelqu'un d'autre a besoin des mots de passe, doit vérifier les sauvegardes, etc.

Une chose que vous pouvez faire est de faire de la documentation une priorité. Assurez-vous de donner à la personne que vous embauchez le temps de documenter la façon dont les choses sont mises en place et discutez de la documentation lorsque vous interrogez les candidats - demandez-leur ce qu'ils ont fait dans le passé pour documenter leur réseau, demandez à voir un échantillon.

J'ai l'habitude de toujours rédiger un "Guide des systèmes" qui documente plus ou moins les éléments suivants tout - quel équipement nous avons, comment il est installé, les procédures que nous suivons, etc. etc. Il s'agit évidemment d'un document en constante évolution (une série de documents et de fichiers dans la plupart des cas), mais à tout moment, vous pouvez en prendre une copie et vous faire une idée de la manière dont le responsable informatique a organisé les choses et des informations essentielles que quelqu'un d'autre doit connaître au cas où le responsable informatique serait renversé par un bus. Si vous voulez vraiment être prêt, vous pouvez demander à un consultant externe de parcourir le manuel des systèmes et de vous dire ce dont il aurait besoin pour intervenir si quelque chose arrivait au technicien informatique.

Ou, si vous êtes vraiment paranoïaque, vous pouvez demander à un consultant extérieur de venir et de comparer ce qui figure dans le manuel des systèmes avec ce qu'il voit lorsqu'il examine vos systèmes. D'autres logiciels sont-ils installés ? Y a-t-il des comptes d'administration ou d'accès à distance supplémentaires ?

C'est difficile, car l'échec entraîne la douleur ( Comment rechercher les backdoors de l'informaticien précédent ? ). I

Vous engagez quelqu'un à qui vous accorderez une grande confiance, vous devez donc lui faire confiance en retour. Si vous n'êtes pas sûr à 100 %, ne l'engagez pas. La vérification des antécédents peut vous aider. Insistez sur les recommandations personnelles de caractère pas seulement compétence ; s'ils ont un profil LinkedIn, demandez à certains de leurs contacts ou insistez pour les contacter.

Oui, ce sera très intrusif. Si vous avez vraiment des doutes sur quelqu'un, cela en vaut la peine, car cela coûtera cher à l'entreprise au cas où le pire se produirait. Lorsqu'ils commencent, travaillez avec eux de très près. Apprenez à les connaître. Laissez toute l'entreprise interagir avec lui. Observez comment ils travaillent avec les gens.

Une fois que l'éclat du nouvel emploi s'est dissipé, observez comment ils gèrent les revers inattendus. Sont-ils rancuniers et maussades, ou haussent-ils les épaules et font-ils face à la situation ? Si votre bureau est du genre à faire des bizutages occasionnels aux nouveaux employés, voyez comment ils réagissent : subtils et silencieux, avec beaucoup d'embarras pour la personne visée par la vengeance, ouverts et voyants, ou riant et se défilant ? Ce sont quelques-uns des indices qui peuvent aider à identifier un saboteur de vengeance potentiel.