向非技术经理解释安全性答案

【问题标题】：Explaining security to non-technical managers向非技术经理解释安全性
【发布时间】：2009-07-24 12:16:10
【问题描述】：

我正在为我的公司维护一个 Intranet 网站，他们希望将其暴露给广大而糟糕的外部世界。目前，它没有任何身份验证或授权。我管理用户帐户的想法是使用现有技术来验证用户帐户并在此基础上构建授权模型。现有技术将是 CardSpace 和 OpenID，这将使我们免于维护用户名和密码列表，从而使该网站对黑客来说不那么有趣。网站上的数据也不是那么敏感。实际上，我们只是将相同的数据作为 XML 导出给使用我们的桌面产品之一的用户，任何人只要知道它在哪里就可以查看这些信息。我们只是阻止所有人修改数据，除了少数超级用户。更糟糕的是，超级用户会破坏所有数据，在这种情况下，我们将不得不恢复备份。在最坏的情况下，我们会失去一天的数据输入，最多会转化为一百次修改。（98 次实际上是迄今为止单日修改次数最多的一次。）

总而言之，这不是非常关键的数据。我们只是想增加一些安全性。

现在，管理层建议建立一个额外的数据库，我们将在其中存储用户名和密码，添加加密并做各种其他事情来保护这些用户数据，他们基本上是在编造各种奇怪的方案来处理用户帐户。他们都没有软件设计技术方面的经验，也没有人知道如何确保系统安全。因此，他们的设计变得完全混乱。（大写 C。）他们已经花了两个月的时间来提出功能设计，因为他们甚至无法在某些安全方面达成一致。

因此，他们要求我向他们提供有关适当安全性的易于理解的见解。因为我知道 CardSpace 和 OpenID 都是相当安全的，所以我想向他们介绍这些作为管理帐户的最佳选择。添加一个简单的角色系统，其中每个帐户都连接到一个特殊角色，授予“仅查看”之外的其他权限，这将快速实施且易于维护。构建它，进行概念验证并找到足够的技术信息很容易。我只有一个问题...

如何向完全没有技术背景的人解释 CardSpace 和 OpenID 等技术？类似“OpenID for Dummies”的东西，但更容易理解。我很难找到合适的词而不会再次变得有点技术性。（更糟糕的是，如果我不能正确解释这一点，他们可能会决定不使用这种技术，而我将注定要实现一个可怕的结构。）

请帮忙！ :-)

哦，好吧。简化问题：我如何用非技术性的语言解释使用 OpenID 或 CardSpace 优于任何自制解决方案的优势？

附录：这些经理不是我的“正常”经理。他们基本上是公司的首席执行官和合作伙伴，他们提出了发布网站的想法。通常，他们会将这些任务委托给常规经理，并接受常规经理提出的任何解决方案。但这对他们来说已经成为一个有点声望的项目，因此他们亲自参与其中。至少他们中的一个人一直在互联网上搜索有关安全的信息，并希望它比诺克斯堡更安全。他引起了我需要制服的一点偏执狂，也不要冒犯他们。他们似乎都对这个“安全”的东西有了更多的了解，甚至没有了解技术方面。由于这是一个声望很高的项目，他们愿意接受昂贵的解决方案，但这对公司不利。就个人而言，我想告诉他们退后一步，让真正的专业人士来处理这个问题。再说一次，我也想保住我的工作，所以我需要一个更政治正确的答案。

【问题讨论】：

标签： security openid cardspace

【解决方案1】：

您可以使用“Verisign”参数出售它。

我们都可以生成和存储我们自己的强加密密钥，但这是一个巨大的开销，而且 Verisign 只收取象征性的费用，而且就像一个安全的银行（不是说周围有太多的银行），它拥有巨大的数量来自商业界的信任，虽然有其他公司提供相同的产品，但威瑞信是市场领导者。

互联网安全的另一个方面是用户 ID 和密码

“Open Id”就像（请原谅比喻）一本护照，它证明了你是谁，因为你已经向一个受信任的机构（护照的签发国，Verisign 等人的 Open Id）声明了你的身份，它可以之后用来证明你是谁。

Verisign 提供开放 ID，Versign 在市场上是受信任的，因此您可以信任开放 ID。

【讨论】：

听起来是我的最佳答案。与一家知名公司相比，金钱方面，openid 的信任……这听起来足以让我信服。 :-)
因此我的“原谅这个比喻”。您不希望某些决策者听到“Passport”并将其与 Microsoft Passport 相关联。他们要么抓住它“哇，让我们改用 Passport！”，要么将其忽略“哦不，我听说失败了，我们没有使用护照！”

【解决方案2】：

我一直认为，如果您从经济学角度解释安全性，向经理解释它是最简单的 - 不仅仅是从财务角度，而是尝试从经济理论角度描述用户体验：

记住另一个密码需要花费一定的脑力，而他们的解决方案会强制使用该密码
OpenID 登录过程需要付出一些脑力劳动，这会让您在不同站点之间跳转
每种方法都存在风险
每种方法都可以减轻某些风险
实施每种方法都需要一些钱
每种方法都需要一些钱来维护

现在您可以谈谈每种方法的货币成本、用户体验成本和开发成本，以及对业务的风险、可能性和概率。经理的报酬是为了了解成本和风险，所以应该善于处理你的解释:-)。

【讨论】：

啊，钱。没有想到这一点，但他们会理解这种方法。 :-)

【解决方案3】：

使用经过验证的解决方案（例如 OpenId 或 CardSpace）是：
- 成本更低
- 更可靠
- 更快实施
- 更安全
- 不要记住另一个密码

【讨论】：

我可以这么说，但他们会问我为什么它更容易/更可靠/更快实施/更安全。这些人是真正的非技术人员。（基本上，他们是我们公司的顶级员工，而不是我那些往往有一些技术知识的普通经理。）
我会删除更容易，尖头发的 in-duh-viduals 经常听到“懒惰”的“简单”（如果它很简单，它怎么能安全）。我会添加“更低的成本”，即使这是“可靠”和“更快”的“明显”（你会认为）结果

【解决方案4】：

编写自己的安全系统很难。出错的可能性很大。错误的后果是巨大的尴尬、潜在的诉讼以及最终对公司的底线造成损失。

明智的解决方案是将公司的风险降至最低。

（您也可以诉诸他们的自我保护意识。如果内部解决方案与现成的解决方案相比，谁来承担责任？）

【讨论】：

【解决方案5】：

您使用什么技术来编写这个 Intranet 站点？几乎每一种使用中的技术都有一种很好的方式来实现安全性——而从头开始重新发明安全性总是失败的。

这并不是说你的经理错了。就像您知道他们不了解的技术限制一样，他们可能知道您也不了解的公司政策或治理。

【讨论】：

该站点是用 ASP.NET 编写的，使用 SQL Server 并在 Windows 2003 服务器上运行。（大部分都是我写的。）