Nếu thông số kỹ thuật là thiếu sót, nó vẫn nên được theo dõi?

Tôi đã được chỉ định phát triển tích hợp với một trong các ứng dụng của chủ nhân của tôi với một hệ thống bên ngoài do khách hàng của chúng tôi phát triển. Đặc điểm kỹ thuật của khách hàng của chúng tôi cho việc tích hợp có một số lỗ hổng trắng trợn liên quan đến bảo mật. Các lỗ hổng sẽ cho phép người dùng truy cập trái phép vào hệ thống để xem dữ liệu bị hạn chế.

Tôi đã chỉ ra các lỗ hổng và rủi ro bảo mật tiềm ẩn của chúng nếu chúng được triển khai như thiết kế và cung cấp một giải pháp thay thế không có lỗi, nhưng (nói ngắn gọn) đã được khách hàng nói "hãy làm theo cách chúng tôi đã chỉ định".

Liệu một lập trình viên có trách nhiệm đạo đức KHÔNG thực hiện mã với các rủi ro bảo mật đã biết? Tại thời điểm nào các yêu cầu của khách hàng vượt xa trách nhiệm đạo đức mà chúng tôi có với tư cách là nhà phát triển phần mềm để tạo các ứng dụng an toàn?

— Nick Orlando
nguồn

Bạn đã chỉ ra các rủi ro, nhưng bạn cũng đã chỉ ra khả năng và (có thể quan trọng hơn) tác động của những rủi ro này đến một số khía cạnh của hoạt động của họ? Bạn có chắc chắn rằng khách hàng hiểu đầy đủ các rủi ro và có tài liệu về tác động đó?

— Thomas Owens

Gần đây tôi đã ném nó trong đầu trong một số công việc của tôi. Nếu chúng ta so sánh tương tự với một người xây dựng cây cầu, trong đó anh ta yêu cầu xây dựng một cây cầu không có những hỗ trợ gây phiền nhiễu, cản trở bên dưới nó, hoặc chỉ có thể chịu được sức nặng của hai chiếc xe, thì vì lợi ích của anh ta, anh ta Sẽ có khả năng từ chối. Tôi nghĩ rằng thực sự phải đến một điểm khi nhiệm vụ của một kỹ sư / người phải từ chối. Cấp, phần lớn các bất bình thiết kế không đến gần nguy cơ thương tích / tử vong của con người.

— Katana314

@ Katana314 Chắc chắn không có nguy cơ chấn thương hoặc tử vong với kịch bản hiện tại của tôi. Điều đó chắc chắn dễ trả lời hơn ... Nhưng tôi nghĩ rằng bạn đánh vào đầu đinh. Tìm kiếm bổ sung đã đưa tôi đến Quy tắc đạo đức của ACM , dường như củng cố trách nhiệm của chúng tôi trong việc xác định và đưa ra bất kỳ vấn đề nào có thể thấy trước.

— Nick Orlando

@TheSoftwareDev Đủ công bằng, nhưng tôi sẽ chỉ nói thêm rằng đôi khi rủi ro của con người có thể sâu sắc hơn chúng ta nhận ra. Rủi ro bảo mật cho phép tin tặc dễ dàng lấy thông tin của mọi người và đánh cắp danh tính của họ, khiến họ trở thành vô gia cư để sau đó tự sát; Một lỗ hổng mạng xã hội cho phép kẻ rình rập chặn đường liên lạc riêng tư của một người phụ nữ về cuộc họp tại nhà hàng, sau đó theo dõi và gài bẫy cô ta; Thật là hơi bệnh hoạn khi nghĩ RATNG một cách sáng tạo, nhưng đôi khi chúng ta có thể quên đi những dự án của chúng ta có thể được sử dụng sâu rộng như thế nào.

— Katana314

@gnat Không thực sự là một bản sao. Câu hỏi được liên kết là về cách tiếp cận chung về đạo đức phần mềm, câu hỏi này hỏi OP nên đấu tranh bao nhiêu trước khi nói 'không phải vấn đề của tôi nữa'.

— Rath

Tôi nghĩ bạn đã hoàn thành phần của mình bằng cách chỉ ra vấn đề và đề xuất một giải pháp thay thế. Nếu họ khăng khăng rằng bạn làm những việc khiến họ gặp phải một mức độ rủi ro nhất định, bạn nên đảm bảo rằng bạn có một dấu vết giấy (và sao lưu của nó) cho thấy rằng họ yêu cầu rõ ràng điều này, biết những rủi ro liên quan. Nếu bạn thực sựlo lắng, bạn có thể nói với họ rằng bạn sẵn sàng làm những gì họ muốn, nếu trước tiên họ ký một loại tài liệu pháp lý / từ chối trách nhiệm trong đó họ thừa nhận những rủi ro liên quan đến những gì họ đã yêu cầu bạn làm (và dĩ nhiên là nhờ luật sư để soạn thảo một tài liệu như vậy). Cá nhân tôi không biết bất kỳ tiền lệ nào cho một tài liệu như vậy cho tình huống này, nhưng tôi chắc chắn bạn có thể tìm một luật sư để giúp bạn trong việc này. Nếu công ty của bạn có một bộ phận pháp lý, đó có thể là điều họ nên tham gia nếu có tiềm năng trách nhiệm pháp lý của công ty. Và tất nhiên, nếu nó nghiêm trọng, bạn cũng nên thảo luận điều này với người quản lý của mình.

Tôi nghĩ rằng tình huống duy nhất có thể ổn khi chỉ từ chối thực hiện công việc là nếu đây là phần mềm cho một hệ thống mà lỗ hổng mà bạn lo lắng có thể dẫn đến hệ thống bị xâm phạm theo cách mà nó có thể dẫn đến trong rất có khả năng mất mạng / thương tích cá nhân nghiêm trọng hoặc mất một số tài sản thảm khốc.

— Thất vọngWithFormsDesigner
nguồn

Hoặc trách nhiệm cá nhân ... tức là, nếu điều đó sẽ khiến bạn bị sa thải hoặc tệ hơn

— Dan Pichelman

Không có tài liệu nào cho thấy khách hàng hoặc chủ lao động có thể ký tên sẽ cấp quyền miễn trừ OP khỏi vụ kiện dân sự. Anh ta có thể, tùy theo tính chất công việc của mình, thuộc định nghĩa và sự bảo vệ của mối quan hệ đại lý với công ty của anh ta, cung cấp một lá chắn trách nhiệm, nhưng không có lá chắn như vậy, "Tôi chỉ tuân theo mệnh lệnh" không phải là một biện pháp phòng vệ vấn đề làm thế nào tài liệu tốt. Nguyên đơn / công tố có thể chỉ đơn giản nói "bạn có thể vừa mới nghỉ việc; ngay cả khi người khác đã làm việc đó, nó sẽ ở trên đầu họ bây giờ, không phải của bạn".

— KeithS

Điều tốt nhất mà công ty có thể làm là đảm bảo bảo hiểm trách nhiệm tài chính của OP bao gồm cả chi phí pháp lý và tòa án. Công ty không thể vào tù vì anh ta nếu anh ta vi phạm luật.

— KeithS

@BazzPologistsoNut: Có vẻ như OP đã cố gắng chỉ ra các rủi ro và giải thích chúng, và đang bị bỏ qua. Nếu họ không thể / không muốn từ chối thực hiện công việc, tôi nghĩ họ phải che mông càng nhiều càng tốt và họ cũng nên hỏi ý kiến luật sư (người mà tôi nghi ngờ sẽ cho họ lời khuyên cụ thể hơn về tình huống này, và cũng nói họ để che mông của họ).

— Thất vọngWithFormsDesigner

+1 cho dấu vết giấy và cũng cẩn thận nếu bạn tham gia vào việc triển khai. Mặc dù không thể đến với nó, nhưng có rất nhiều luật (ví dụ Đạo luật bảo vệ dữ liệu ở Anh) có nghĩa là việc xử lý sơ suất dữ liệu cá nhân có thể trở thành hành vi phạm tội nghiêm trọng.

— Matt