Názory k článku Úniku dat 148 milionů lidí bylo možné zabránit, kdyby fungovalo IT oddělení

No z me zkusenosti, je to tak bohuzel vsude. Papir snese vsechno. TUV to podepise a vsichni jsou spokojeni. Je nejaka oblast kde se skutecne testuje, dokumentace odpovida realite, resi se bezpecnost? Mam zatim zkusenosti s enteprise podnikovymi systemy, automotive, drazni technologie, medicinske pristroje, automatizace ve fabrice. A vsude hruza a naprosty slendrian. Je kde si spravit chut? Jak je to v bankach, leteckem prumyslu nebo obrane a kosmonautice?

Bohuzel v bankach stejny bordel(osobni zkusenost). Staci jen pripomenout verejne znamy fakt ze stale spousta bankomatu bezi na Win XP a uz z logiky veci musi byt pripojeny k internetu.

Zeleznicni a letecka zabezpecovaci technika.

Nejspise nechapu kontext. Je to misto kde si zlepsit naladu, nebo je to naopak to same?

BTW nechapu minuskare, muzete se aspon vyjadrit?

Jestli nejseš IT, tak je ti to k ničemu. Protože bankovnictví se bere jako celek a to, že do bankomatu jiný vstup skrz kartu či teď novou bezkontaktní metodu není (krom fyzické). Jinak jestli si myslíte, že bankomat je připojenej na normální internet tak jste hovado. A jestli chcete vykráct bankomat jako hackerská legenda, která si dokázala vybírat peníze bez karty na účet banky tak to chce rozhodně jiný lvl myšlení a talentu než jak je to vaše.

No ja prave s tratovym zabezpecenim mel neco spolecneho konkretne Italske SCMT, ale take svycarske komponenty co papirove splnovaly SIL4. Papirove. Stejne to nefungovalo podle jasne specifikace, byla ta defaulti a trivialni hesla. Bastlili to vyvojari prede mnou doslova na koleni (laptop na kline). Nejak se mi nechce verit, ze letecky prumysl je lepsi.

Bankomaty nemusí být připojeny k internetu a obvykle nejsou. Že jsou na síti, neznamená, že jsou na internetu. Není síť, jako síť.

A to ze bankomat je pripojeny k sieti neznamena, ze je pripojene k sieti XP. Staci, ked vie komunikovat HSM.

Já si normálně vybírám peníze z bankomatu přes příkazový řádek, ani nepotřebuju kartu, už od dob kdy byly bankomaty na msdos. Spořitelna to radši odepíše, než by přešli na Linux.

Vela bank ma out-sorcovane bankomaty. A sem tam najdete aj take co su na ISDN ;-)

V nemecku byvala jeste rada bankomatu dokonce na frame-relay. U nas tech ISDN bankomatu moc neni (asi nejspis jen velka mesta nebo prazaci), nebot jednak historicky natahnout linku k bankomatu byl problem na dlouhe lokte (jakkoukoliv) a jednak historicky i levna komunikace pres D kanal byla v CR tak nechutne draha ze se na to banky vykaslaly. To byl koneckoncu duvod proc se velmi brzo zaclo u nas resit pripojeni bankomatu pres GPRS.

Kdyby jsi o tom opravdu alespoň trochu něco věděl, pak by sis nepletl MS-DOS a OS/2 ;(. Ale pro tebe je *OS jako *OS* ;), co?

Wuf, to mi nieco pripomina :-)
Firma mala privatny FTP, ale oni to bezne vesali dokumentaciu na Dropbox, zasielali mailom, ... Potom sa cudovali, ked to nasli v nemecku na vystave od azijcov a polovicu lacnejsie ako ponukali oni.

To s temi kamerami je super :D
V jedne firme to tak taky meli. Sice meli super DVR system pro nahravani apod. Ale kamery byly standardni IPcka bez hesla na livestream skrze rtsp. Nikdo k nim nemel mit pristup(dle vedeni) jenom zamestnanci prisli na spravne IP adresy a pouzivali to pres VLC jako Interphone ke vchodovym dverim aby videli kdo prisel ...

Hmmm... Obávám se, že v bankách i leteckým průmyslu je to stejné - osobní zkušenost. Papír snese vše, ale jak dojde na CAPEX nebo OPEX jse legrace stranou

Pokud vim, tak banky na to sice ser*u, ale o neco mene, nez jine firmy. Preci jen jde o prachy a to prachy hodne klientu. Vetsinou se tam testuje a delaji se i penetracni testy a to i nezavislou externi firmou. Ale jinak i v bankach plati, ze kdyz jim reknete "tadyhle mate chybu/diru" tak se dozvite akorat "vy tomu nerozumite" - vcelku chapu lidi, kteri se pak nastvou a fakt na banku pres onu slabinu zautoci.

ČNB nařizuje bankám provádět penetrační testy nezávislou firmou, ale už neřeší, že by se s výstupem z penetračních testů mělo něco dělat ... aspoň do nedávna tomu tak bylo.

V bance byly provadeny penetracni testy na aplikace, nicmene report z nich dosel az za rok. Mezitim i produkcni aplikace byly alespon dvakrat updatnuty. Frontend treba i vickrat. Takze bugy tam nebyly a byly tam jine ktere report nepodchytil.

Tak to vies zle. Banky vedu bankary a tym nedochadza ze uz dlho su banky skor IT firmamy ako klasickymi bankamy z pred par desiatok rokou. A ked si na IT-cko spomenu tak to len preto lebo chcu "cool" apku na iPhone aby ziskaly mladych ludi.

Banky ale byly vzdycky tahouny IT. Tedy banky. Nikoliv "banky". Pri tom mnozstvi dat to dava smysl.

To pokrivene chapani bank kde je trezor s hromadou penez a na prepazkach hromada uredniku dela nejdulezitejsi zpracovani dat je relikt nasi cesko-slovenske minulosti kdy IT a telekomunikace byly neskutecne zastarale a vetsina cinnosti jela jen pres davkova automaticka zpracovani (dodnes tak jede clearing) a uredniky. Tehdy to skutecne fungovalo jako vylepsena technologie 18teho stoleti. Jeste na zacatku 90tek pouzivala ceska sporitelna microfiche:-)))

V jedné bance jsem dělal. A když nám přišel report o XSS na našem webu, tak byl velmi promptně opraven. A to přes to, že díky sadě dalších opatření nebyla chyba reálně zneužitelná.

Takže asi tolik k tomu, jak banky na bezpečnost s***u.

tak ja vim o bance, kde i po x letech je RCE zranitelnost z vnitrni site...

Záleží na společnosti. Technologická firma s vlastním vývojem unikátních řešení a bolestivou zkušeností s cílenou průmyslovou špionáží (málem to firmu položilo, min. 200 - 250 000 000Kč za vývoj vyletělo oknem, nehledě na ušlý zisk a patenty), bude pravděpodobně mnohem zabezpečenější, než většina bankovních institucí. IT spolyká ohromné finanční prostředky, minimálně 2x ročně se podrobuje bezpečnostním auditům a všude se nasazují DLP řešení. S bezpečnostními provinilci se nikdo nepáře, důsledně se dbá na každý detail. Od telefonů, tiskáren, kopírek, ... až po datová pole.

Prostě neexistuje, že by firma přešla třeba na cloudové řešení. Majitel a zakladatel prohlásil "vlka také sliboval" a tím to hasne. Už je to 17 let, ale stále více se přitvrzuje v požadavcích na bezpečnost. Situace se nesmí opakovat a potom se nemůžete divit, že investované prostředky atakují astronomické sumy a dodavatelů (drsné podmínky a odpovědnosti) je jako šafránu. Tři, čtyři roky zpátky, byl problém se zabezpečením FortiGate (nasazený pro PLM systém Dassault) a bezpečnostní oprava nebyla dodána do stanoveného termínu (což bylo asi 10 dnů s dodatečnou záložní kontrolou). Skončil jak FortiGate, tak i dodavatel a platil smluvní pokutu. Smůla, ale paranoidní přístup (zaplacený) má něco do sebe.

Sice se nezabýváme bankovním sektorem, vlastně ani zbrojními systémy, ale vyrábíme špičkové technologické materiály pro letecký průmysl.

Konečně seriózní firma...

Zálohovat se člověk naučí až v okamžiku ztráty dat.

Z nepříjemné zkušenosti se stal neúnavný strašák, který neustále běhá pro prostorách a děsí všechny okolo. Zjistilo se, že zákazníci na kvalitu a bezpečnostní politiku společnosti slyší. Chráněné technologie neuniknou a kvalita se nesnížíla. Voda na mlýn nejprestižnějších zákazníků a projektů.

Existuji dva druhy lidi.

Ti co zalohuji a ti co jeste neprisli o sva data.

osobne si myslim ze nejvetsim bezpecnostnim rizikem je fakt ze data se daji primo zneuzit. Znalost jmena a social security ID by mela byt k nicemu a pak by se zas tak moc nestalo....

Tak jiste. Security by design. Premyslim jak je to paradxni, predstav si ze takova firma o tobe nasbira data bez tveho vedomi, hezky si na tom vydela, treba kvuli jejejich indexu ani nedostanes hypo i kdyz stejne budes cely zivot makat a platit tak jako tak a jeste po takove kradezi budes nekde kdovi jak prokazovat zes sis neco nekoupil - s kdovi jakym vysledkem ... aneb Jako slepý k houslím

Zvlastni, jak mnoha lidem unika princip.
Spatne je samozrejme to, ze vubec existuje spolecnost/or­ganizace, ktera shromazduje tak obrovske mnozstvi dat.

Pointa stejna jak s dotacemi. Lide furt resi nejake Daliky a stbaky koblihare a nechapou, ze zlo jsou samotne dotace a socialisticke prerozdelovani. Bez nej by nebyli tihle paznechti.

Odstrante potrebu shromazdovat tolik cennych dat na jednom miste a hackeri nebudou mit co zrat!

U nás ale existují obdobné společnosti např. Solus z.s.p.o., Czech Credit Bureau, a.s. (Bankovní registr klientských informací). Czech Non-Banking Credit Bureau, z.s.p.o. (Nebankovní registr klientských informací). Jsou dokonce často zřízené podle zákona. Především do bankovního registru (myslím) mají banky zákonnou povinnost zadávat údaje.

jj, jsou - kamarad pronajimal byt, nechtel se s tim moc trapit, tak oslovil nejakou agenturu.
obcas nasel sam nekoho - kdyz to rekl agenture, ta neprotestovala, jenom si vyzadala jmeno a datum narozeni.
pak mu rekli na daneho zajemcu, ze mel nejake problemy se splacenim pujcek, co rok - dva meni zamestnani, obcas na pracaku ... samozrejme ze takovemu radsi nic nepronajme

jsme koukali jak puci, ze obycejna realitka se dokaze dostat k takovymto informacim.

Správně, vyměňme počítače za kyje a hurá do doby kamenné! Pak už nás nějaké úniky dat rozhodně trápit nebudou :-D

Tak v principu se tomu nevyhneš, třeba u správy daní nemá smysl, aby daň z nemovitostí v každé vesnici spravovala jiná firma. To by bylo ještě horší - vesnice se 100 barákama by neměla na lepší řešení, než místního studenta průmyslovky, takže žádná hitparáda...

Jenom se o data musí starat někdo, kdo to umí a postupy nemá jenom na papíře. Rozdělit to na logický celky (několik DB) - uživatelé, platební info, vlastnictví, kontaktní údaje. Každá DB jiný přístup , každý systém musí mít přístup jenom k části dat, kterou opravdu potřebuje,...

Jenže to je dost naivní přístup v duchu "když to zakážeme, tak to nikdo dělat nebude". Zhruba jako "když zakážeme zloděje, tak nebude potřeba mít na dveřích zámky".

Ten princip lidem neuniká, jen mu holt nevěří. Výrok "odstraňte potřebu" je nereálný - dříve nebo později vždy někdo tu potřebu zase dostane. Pokud se vám ji tedy vůbec alespoň na chvilku podaří odstranit (zdravíme BIS, NSA apod.), pak ji máte poměrně rychle (ale tentokrát tajně a skrytě) zase zpátky. A rázem je to horší než dřív, protože občan žije v dobré víře, že ta data už nikdo nikde neukládá.

Osobně cestu ven nevidím: dokud jsou nějaká data benefitem pro mne, tak budou benefitem i pro někoho jiného. V USA si roky mysleli, jak je to úžasně jednoduché se všude identifikovat číslem sociálního pojištění. Nemusíte mít žádné doklady, stačí znát to číslo. Vlastně stejně jako s číslem kreditky. Jenže to je právě to, že ten benefit pro mne (stačí, abych nadiktoval číslo) je vždy benefitem i pro někoho jiného, kdo to se mnou nebude myslet dobře. Číslo kreditní karty / sociálního pojištění apod. začne být nezajímavé pro zloděje až ve chvíli, kdy bude k ničemu i mně.

Což v době, kdy se objevují názory, že naším základním lidským právem je možnost vyřídit si všechny úřední povinnosti po internetu, znamená jen že bude hůř. Představa, že stačí jeden ukradený certifikát a rázem máte absolutní moc nad člověkem a jeho životem, je docela děsivá. Ostatně to americké číslo sociálního pojištění bylo právě o tom.

"nechapou, ze zlo jsou samotne dotace a socialisticke prerozdelovani"

Pokud chcete udrzet nejaky geograficky celek stabilne a v ramci jednoho politickeho utvaru, musite provozovat redistribuci z jeho bohatsich casti toho do chudsich. Je to tak vsude na svete: Australie masivne dotuje osidlene poustni oblasti, v USA tecou proudy penez ze statu typu Kalifornie do statu typu Montana a pod. Ostatne pokud se podivate na vysledky voleb v sudetech, dojde vam ze je treba tam nasmerovat masivni a smysluplne dotace. Treba za absenci vyznamnejsiho turistickeho ruchu mistni lide skutecne nemuzou.

Jsem take spise odpurcem dotaci, ale uvedomuji si ze nejaka mira redistribuce bohatstvi byla vzdy (treba ve forme danovych ulev), a jako takova je nezbytna.
Jina vec je nastaveni jejich pravidel a vymahani jejich dodrzovani.

@Unknown

Společný rozpočet je něco jiného než dotace. Jediná škoda je že nezavedeme dotace na všechno, mohli jsme mít po problémech všude.

@Zdeno Sekerák

Tak v čechách se říkává že "Příležitost dělá zloděje". Nicméně příklad s peněženkou je špatně, protože peněženka a její obsah jsou čistě soukromé vlastnictví a není vystavováno či nabízeno zájemcům - což je opak dotací.

Rodne cislo je na jednu stranu osobni udaj na druhou stranu verejne dostupny udaj v pripade zivnostniku...

Jméno je taky na jednu stranu osobní údaj a na druhou veřejně dostupný údaj o herci, zpěvákovi, politikovi, sportovci, jednateli firmy,... Takže to se navzájem nevylučuje.

Osobní údaje sou vhodný jenom k identifikaci uživatele. Tyhle údaje má každý, od banky až po zubaře a jejich znalost sama o sobě nesmí být dostačující k právnímu jednání jménem jiné osoby.

Me to skoro prijde, ze byli domluveni s nekym ve vnitr nebo se nechali zamestnat

Já mám spíš pocti, že je to Kocourkov od sklepa po půdu.

- Juchů, máme monitoring. Tak ho zapneme... Za dva roky: Ono to nic nedělá, kterej jouda tam nedal certifikát?
- Kurňa, zase potřebujem ke správě serveru heslo. Jak to udělat, aby se k tomu dostali <b>všichni</b> admini? Hodíme to tady do veřejnýho adresáře. (jako kdyby si každej admin nemohl vygenerovat RSAčko pro SH se svým heslem a nedalo se to přidat na konkrétní server, záležitost minuty).
- IT to zaktualizuje. IT vezme seznam všech instalací. Hele, ten seznam je pět let starej, novější není? Ne, za to zodpovídá jiný oddělení. Tak fajn, zalepíme aspoň todle...

Jako by odměny musely mít cokoliv společného se skutečností ... ;-)

To se ale s Kocourkovem nevylučuje...

Prvy bod trochu poopravim:
Juchu mame monitoring, je tam aj certifikat, vsetko funguje ako ma, testnute, porobili sa testovacie incidnety, aha. Zamestnanec dostane odmenu, po pol roku sa z firmy poberie a o dva roky (a to je este konzervativne, kedysi boli certifikaty v pohode na 5 rokov) certifikat vyhnije, monitoring, ktory predtym nehlasil nic, lebo vsetky Struts boli aktualne nadalej nehlasi nic, ticho po pesine. Robim v korporate, je az zarazajuce na kolko cetrifikatov tesne pred vyprsanim sa pride len vdaka mailu od certifikacnej autority. A ak tam clovek dal len svoju osobnu mailovu adresu, alebo timova prestala existovat kvoli restrukturalizacii, nepride ten mail nikomu...

Takhle to v korporátu skutečně chodí. Všechno se udělá naprosto perfektně, špičková kvalita, tři úrovně testů, vystaví se protokoly a oficiálně se to předá. Pokud ten systém často havaruje nebo působí problémy, tak je to dobře a systém žije.

Problém jsou systémy, které nepůsobí problémy ani výpadky. Po pár měsících nebo letech se na ně zapomene. A to ani nemusí dojít k výměně lidí na pozicích.

Existuje několik protiopatření:

1. Mít checklist pravidelně prováděných akcí. A tam ten systém zapsat včetně instrukcí jak a co ověřit. Což obvykle funguje, jen pak bývají infarktové situace, když se o půlnoci v rámci pravidelné čtvrtletní odstávky zjistí, že jeden ze systémů už nejméně dva měsíce neběží jak má. Plus špatně napsané instrukce představují past - to vám IT celé roky bod "ověřit, že RPTDB běží" provádí tak, že se koukne na stav služby. Jenže pak vám jednoho dne dojde k poškození datového souboru a databáze se vám přepne do READ ONLY módu, dovolí přihlášení jen na uživatele SYSDBA a protestuje prakticky proti všemu s tím, že máte s pomocí RMAN opravit soubory. Což nikdo nezjistil, protože se jen dívali, zda služba OracleServiceRPTDB má stav "Running". Jenže ta ho má i poté, co databázi vypnete pomocí SHUTDOWN, takže ze stavu služby vážně nic nezjistíte. Chybama se člověk učí.

2. Koncipovat systém jako vždy reportující. Takže kromě obvyklého "když dojde k chybě tak pošli email" to nastavit ještě jako "když nedojde k chybě tak pošli email, že je to OK". Funguje to výborně až do chvíle, kdy admin dostává takových emailů několik denně a ztrácí tak přehled o tom, co už přišlo a co ne. Pokud ten email je jediný a posílá se před začátkem pracovní doby, tak si toho člověk obvykle všimne. Pokud tedy není zrovna na dovolené, což se jako na potvoru stává. A jak píšete - pokud si tam hodí admin jen svůj email, tak je to taky velký risk. Zažil jsem kluka z IT, co si málem utrhl nohu v koleni a byl s tím měsíc v nemocnici. Jó to bylo legrace. Nakonec nebyla jiná možnost, než aby prostě řekl svoje hesla, protože si pod práškama proti bolesti nedokázal (a asi ani nechtěl) vzpomenout na všechno, co dělá. I tady jedna zkušenost z praxe: ověřit si, že programátor zadání "dotaz nevrátí žádný záznam => je to ok" nepochopí stylem "dotaz nevrátí žádný záznam nebo spadne s ORA chybou => je to ok".

3. Postavit na to ještě "nadsystém", který bude vizualizovat stav všech systémů. V kombinaci s bodem 2 to funguje výborně. Automat zjistí, že nedostal v pravidelném intervalu report a začne blikat červeně. Prakticky neprůstřelné řešení, které funguje, pokud se správně nastaví a používá. Nastavení bývá menší problém (viz bod 2). Větší problém je to používání - pokud je to udělané tak, že na tabuli pořád něco svítí žlutě nebo červeně, tak jí lidé přestanou číst. V duchu "vždycky tam něco bliká, jak jsem měl vědět, že zrovna tohle je důležité?"

Bohužel v klasickém korporátu to většinou skončí jen u bodu 1. Někdy v bodě 2, ale s tím, že je těch notifikací tolik, že je vlastně nikdo aktivně nemonitoruje (v duchu "si říkám, že už jsem pár dní neviděl email od EDI serveru, tak kouknu a fakt jo, naposledy v úterý!"), případně to chodí na tolik lidí, že si všichni myslí, že to kontroluje někdo jiný. Do bodu 3 se dostane jen pár firem a to obvykle jen díky platné legislativě nebo jako nápravné opatření po nějakém průšvihu. Přitom taková informační tabule na stěně kumbálu, kde sedí IT administrátoři, působí tak úžasně geekovsky! A ten pocit, když vám volá mistr z výroby a vy mu hned řeknete "já vím, vám na hale 4 chcíply Zebra tiskárny, už na tom děláme" ? K nezaplacení :-) Jen na to člověk nesmí moc spoléhat a na dotaz ze zákaznického oddělení "nám za včerejšek nedošla žádná nová objednávka, není nějaký problém s EDI?" nereagovat prostým "nám to svítí zeleně".

Pěkný článek v rodném jazyce, hodil by se i odkaz na inspirační zdroj a další podobné případy https://krebsonsecurity.com/2018/12/scanning-for-flaws-scoring-for-security/ ;o)

"Například: správci provedli sken systémů pomocí nástroje Snort. V něm sice byla správná signatura, ale sken proběhl na špatném adresáři, ne na tom, kde byl ve skutečnosti nainstalován chybný Struts."
WTF?? Snort je snad sitove IDS a zadne systemy natoz adresare neskenuje, ne?

Osobně jsem potkal jen několik bezpečáků z velkých firem.

a) Nikdo z nich neměl potřičné technické vědomosti.
b) Jejich práce spočívala z prohlížení výstupů z nějakého automatického toolu (např. Nessus).
c) Pokud by se nějaký monitoring tool tvářil jakože je vše OK, žili by v klidu až do smrti.
d) Na základě výstupů z těch monitorovacích toolů pak otravují ostatní s požadavky typu: až web server neukazuje svoji identifikaci, ať TCP neobsahuje timestamps, atd... Nobody has time for that shit.

Presne. Mohu potvrdit. Co s clovekem, ktery je uplne hloupy a nechce jit delat do marketingu? Bude delat bezpecaka IT. Mam pocit, ze rozumet tomu, jak IT funguje, ze blocker pro to, aby clovek delal bezpecaka.

Tez je to jeste jinak. Pokud bezpecak upozornuje a to tak ze vyrazne, tak je z banky odejit. Skutecny pripad jedne velmi velke banky u nas. Nastesti v dane bance odesel brzy i manazer ktery rozhodoval takze trochu instant karma (nejsem naivni, ta chyba tam urcite je stale). Nicmene je fakt ze od te doby se bojim mit jakkekoliv vazby na tuto banku. Dava mi opravdu zabrat nerici jmeno na plno.

ma 2 pismena a prvni je K? :D

Nikoliv. Pripadne to bylo v dobe posozeovske a ta uz se mne netyka neb jsem utekl z tohoto sektoru zcela. Ale jsi blizko:)

Banky si musi rozmyslet jestli bezpecaci maji byt pajdulaci na papiry a nebo lidi delajici svoji praci. A hlavne nemuzu dat senior bezpecakovi s praxi v bankovnim prumyslu 70k a myslet si ze je to zaba na prameni. Jen jejich skoleni se pohybuji mezi 100-300k.

Jj, za vse muzou IT :) Ale kdyz maji pripominky, tak je nikdo neposloucha.

Casto IT resi 90% problemu za jine zamestnance nebo musi obsluhovat 100 ruzneho sw, podpora uzivatelu (excel, word, mail, powerpoint, apache, web, uloziste souboru, ruzna presmerovani, sms branu, elektronicke zamky a zavory... ). Zcela neudrzitelna situace, kdyz to delaji treba 2 lide. Nelze se pak poradne venovat konkretnimu systemu.

Ale resit takove problemy neprinasi zisk!

Jasně, v Equifaxu dělali IT dva lidi co při tom podporovali uživatele s Excelem. Tady někdo spadl na hlavičku.

Tak to jsi toho moc neviděl. Ano, v malých firmách, kde jsou ty ajťáci jen dva to opravdu tak může být. Ale ve větších jsou lidi, co se starají o počítače zaměstnanců jiné oddělení než to, které se stará o produkční servery. A často se ještě zase jiné oddělení stará o devops. A Equifax je z těch větších firem.

To vidlak z horni dolni bramborove lhoty nechape. Tam franta nainstaluje windows, resne router, vymeni toner a jde po sichte do lokalky na svych deset kousku.

Je to tak.

Dobrý den,
dobrý článek, realita je taková skoro všude. Nevíte jaké skutečné dopady na firmu Equifax dopadli, kromě těch propuštěných manažerů?

Vazeni nelibi se mi ambivalentni nadpis ktery sice muze vyznit na adresu managementu, nicmene da se pochopit take jako ocernovaci pro nizsi management a jejich technicke zamestnance.
Z me dlouhodobe zkusenosti technicti zamestnanci obvykle o problemech vedi, ale nemaji podporu vedeni (resp. jinak nastavene priority) pripadne investic do zdroju s tim neco delat. Prijde mi to vuci nim znacne nefer. Ryba smrdi od hlavy.

Bylo by asi lepsi rici ze nefungoval IT management,n astaveni procesu, priorit pripadne ze neco bylo podinvestovane z hlediska zdroju.

A co s tim chcete dělat, když vedení chce mít jen "zelený alarmy" a zbytek je nezajímá?
Nebo když manažer plánuje jen na svoje funkční období a další manažer předělává práci po předchůdci.

Pokud bys rozumel psanemu textu tak bys vedel ze to je presne to co mi vadi.
Slo mi jen o to ze nadpis clanku je odsuzuje cele oddeleni a nadpis uplatnuje tzv. koncept kolektivni viny. Nic vic.