Büyük bir şirket güvenlik açıkları bırakan çaylak hatalarını nasıl yapar? [kapalı]

Sony, yakın zamanda bir SQL enjeksiyonuyla saldırıya uğradı ve kullanıcılarının şifreleri düz metin olarak saklandı. Bunlar çaylak hataları. Böyle büyük bir şirkette, bu KG'yi nasıl geçer? Bundan daha iyi bilmekten daha iyi takımları nasıl olmaz?

Saldırıya uğrayan şirketin büyüklüğü onu farklı kılıyor. Hepimizi etkiler, çünkü hepimiz bir gün kendimizi böyle bir şeyden sorumlu bir ekipte bulabiliriz ve sonra baltayı alırız. Peki buna yol açan faktörler nelerdir ve bunları nasıl önleriz?

Akla gelen ilk şey, çünkü birkaç kat bürokrasi yetiştirecek kadar büyükler. Bu, diğer şeylerin yanı sıra, işe alma sürecinden sorumlu gerçekten akıllı kodlayıcılara sahip olmadığınız anlamına gelir, bu da potansiyel programcıları ve yetersiz olan KG çalışanlarını ayıklama yeteneklerini kaybettikleri anlamına gelir. Bu da kötü kodun yazılmasına ve üretime girmesine neden olur ve hepimiz bundan sonra ne olacağını biliyoruz ...

Çünkü programcılara bunu test etmeleri söylenmedi ve ezici şirket kültürü, mesleki etik anlayışlarını harekete geçirecek ve güvenlik açıklarını test etmek için birkaç hafta daha talep edecek kadar boş yer vermedi. Ya da en başından beri güvende olmaları için ısrar etmek.

Çünkü patron, güvenlik meselelerini test etmek için birkaç hafta daha harcamak istemedi. Yıl sonunda ekstra bonus. Johnson'ı bir sonraki bölümden göstermek. Övünme hakları. Şirketin görevi. Tembellik. Underling'in tavsiyesine güvensizlik.

Çünkü büyük patron daha fazla kar istedi ve Johnson'u Bob üzerinden tanıttı çünkü sayıları daha iyi bir ürün talep etmenin aksine daha iyi görünüyordu. Çünkü kalite ve güvenlik bir e-tabloda gösterilmesi zor değerlerdir. Çünkü şirketler para kazanmak için var.

Bunun gibi şeyler sistematik bir sorundur. "Çünkü onlar aptallar" diye kaynar.

Edit Programmers, bir eksiklik fark ettikten sonra sorunu patronlarına getirerek kurban keçi olmaktan kaçınabilir. Ya doğru olanı yapar ve düzeltmek için bir plan yapar ya da görmezden gelmeni söyler. Düzeltmezse, resmi hale getirin, e-posta ile sorun. Bu durumda, "güvenlik açığı", "enjeksiyon", "güvenlik ihlali" gibi sorunla ilgili anahtar kelimeler kullanın. Bir e-posta aramasının alacağı şeyler.

Bu parayı geçiyor. Artık patronların sorumluluğu. Eğer önemliyse, insanlar bu şey başarısız olduğunda ölecek gibi, başının üzerine çık ve meseleyi patronuna getir. Sadece parayı geçtiği için kovulabilirsin ve onu geçse bile kovulabilirsin, ama yapılması gereken doğru şey. Aslında sorunu çözmek kadar doğru değil, ama yakın.

Şirket ne kadar büyük olursa, karar vericiler o kadar uzakta gerçek hayattan sorumludurlar.

Şirketlerin nasıl çalıştığını bilerek, site tasarımı muhtemelen geliştirici başına en düşük fiyata göre seçilen bazı danışmanlık şirketlerine dış kaynaklardan sağlanmıştır. Bu şirket de benzer kriterler halinde rastgele bir grup insan kiralayacak ve ortalama bir kişi başka bir şeye dönmeden önce 3 aydan fazla bir süre projede kalmayacaktı.

Nasıl hata yapar? Tembellik, bilgi eksikliği, uzmanlık eksikliği, amaca uygunluk, süreç eksikliği vb. Yoluyla Hataları nasıl önleyebiliriz? Çalışkanlık, deneyim, güvenceler, vb. Yoluyla. Bu durum, kategorik olarak her programcı tarafından yapılan binlerce küçük hatadan farklı değildir; sadece ölçekte farklı.

Bundan ne öğrenebiliriz? Fazla değil.

Olası açıklamalardan biri, çarpık bir öncelik listesidir. Çalıştığım birçok şirket, ürettikleri ürünün / kodun kalitesinden ziyade, bir ürünü pazara sunmaya daha fazla önem verdi. Bu etki iki katına çıkar, çünkü sadece programcılar tamamlanmak için acele etmiyor, aynı zamanda KG departmanı da (eğer varsa). Ayrıca bu tutumun, daha önce tamamlanmadan önce bir sonraki ürüne geçerek, sorunu daha da ileriye götürdüğünü fark ettim.

Bu şirketlerin her birinde ortak payda teknik olmayan yönetim olmuştur. Proje Yöneticileri, BT Yöneticileri ve Ürün Yöneticileri, temel olarak geliştirme ekibinin üzerinde çalıştığı konusunda söz sahibi olan herkes teknik değildir ve yüksek kaliteli, güvenli, kod üretmenin önemini anlamamaktadır. Bu, şimdi şirketlerle görüştüğümde aradığım bir şey. Sığınmacılara, mahkmatmlara veya doktorlara hakim olan kimdir?

Derin bir bürokrasinin bir araya geldiği benzer bir şeyin Sony ve diğer şirketin güvenlik konularında etkenler yaratması şaşırtıcı olmazdı.

İnsanlar büyük şirketlerde çalışırlar ve insanlar cehalet, tembellik, kötü prosedürler, kötü belgeler vb. Dışında hatalar yaparlar.