Làm thế nào để một công ty lớn mắc lỗi tân binh để lại lỗ hổng bảo mật? [đóng cửa]

Sony gần đây đã bị hack bằng cách tiêm SQL và mật khẩu của người dùng của họ được lưu trữ dưới dạng văn bản thuần túy. Đây là những sai lầm của tân binh. Trong một công ty lớn như vậy, làm thế nào để vượt qua QA? Làm thế nào để họ không có đội tốt hơn để biết tốt hơn thế này?

Quy mô tuyệt vời của công ty đã bị hack làm cho điều này trở nên khác biệt. Nó ảnh hưởng đến tất cả chúng ta bởi vì tất cả chúng ta một ngày nào đó có thể thấy mình trong một nhóm chịu trách nhiệm cho một cái gì đó như thế này, và sau đó chúng ta có được chiếc rìu. Vậy đâu là những yếu tố dẫn đến điều này, và làm thế nào để chúng ta ngăn chặn chúng?

Điều đầu tiên xuất hiện trong đầu là bởi vì chúng đủ lớn để phát triển một vài tầng lớp quan liêu. Điều này có nghĩa, trong số những điều khác, bạn không còn có những lập trình viên thực sự thông minh phụ trách quá trình tuyển dụng, điều đó có nghĩa là họ mất khả năng loại trừ các lập trình viên tiềm năng và những người QA không đủ năng lực. Điều này dẫn đến mã xấu được viết và đưa nó vào sản xuất, và tất cả chúng ta đều biết điều gì xảy ra tiếp theo ...

Bởi vì các lập trình viên không được yêu cầu kiểm tra điều đó và văn hóa doanh nghiệp nghiền nát đã không cho họ đủ thời gian để có ý thức về đạo đức nghề nghiệp và yêu cầu một vài tuần nữa để kiểm tra các lỗ hổng bảo mật. Hoặc để nhấn mạnh rằng họ được an toàn ngay từ đầu.

Bởi vì ông chủ không muốn mất thêm vài tuần để thử nghiệm các vấn đề bảo mật vì ... bất cứ lý do gì. Một phần thưởng thêm vào cuối năm. Hiển thị Johnson từ bộ phận tiếp theo. Quyền khoe khoang. Bổn phận cho công ty. Lười biếng. Không tin tưởng vào lời khuyên của thuộc hạ.

Bởi vì ông chủ lớn đòi hỏi nhiều lợi nhuận hơn và thúc đẩy Johnson hơn Bob vì những con số của ông trông tốt hơn so với yêu cầu một sản phẩm tốt hơn. Bởi vì chất lượng và bảo mật là những giá trị khó hiển thị trên bảng tính. Bởi vì các tập đoàn tồn tại để kiếm tiền.

Những thứ như thế này là một vấn đề có hệ thống. Nó sôi sùng sục xuống "bởi vì họ là những kẻ ngốc".

Chỉnh sửa Lập trình viên có thể tránh làm con dê hy sinh bằng cách, khi nhận thấy sự thiếu hụt, đưa ra vấn đề cho ông chủ của họ. Anh ta sẽ làm điều đúng đắn và lên kế hoạch sửa chữa nó, hoặc bảo bạn bỏ qua nó. Nếu anh ta không sửa nó, hãy làm cho nó chính thức, hỏi về nó trong e-mail. Sử dụng các từ khóa liên quan đến vấn đề, như "lỗ hổng", "tiêm", "vi phạm bảo mật" trong trường hợp này. Thứ mà một tìm kiếm email sẽ nhận.

Đây là vượt qua buck. Bây giờ là trách nhiệm của ông chủ của bạn. Nếu nó quan trọng, giống như mọi người sẽ chết khi điều này thất bại, hãy qua đầu anh ta và đưa vấn đề cho ông chủ của anh ta. Bạn có thể bị đuổi việc chỉ vì vượt qua vòng lao lý, và bạn vẫn có thể bị đuổi việc ngay cả khi bạn vượt qua nó, nhưng đó là điều đúng đắn. Không hoàn toàn đúng như thực sự khắc phục vấn đề, nhưng đóng.

Tập đoàn càng lớn, càng xa các nhà ra quyết định từ bất kỳ trách nhiệm thực tế nào.

Biết cách các công ty làm việc, thiết kế trang web có thể được gia công cho một số công ty tư vấn được lựa chọn dựa trên giá thấp nhất cho mỗi nhà phát triển. Công ty đó sẽ lần lượt thuê một nhóm người ngẫu nhiên theo các tiêu chí tương tự, với một người trung bình ở lại dự án không quá 3 tháng trước khi được chuyển sang một thứ khác.

Làm thế nào để ai mắc lỗi? Thông qua sự lười biếng, thiếu kiến ​​thức, thiếu chuyên môn, kinh nghiệm, thiếu quy trình, v.v ... Làm thế nào để chúng ta ngăn ngừa sai lầm? Thông qua sự siêng năng, kinh nghiệm, biện pháp bảo vệ, v.v ... Tình huống này không khác biệt gì so với hàng ngàn lỗi nhỏ do mọi lập trình viên mắc phải; nó chỉ khác nhau về quy mô.

Những gì chúng ta có thể học hỏi từ này? Không nhiều.

Một lời giải thích có thể là một danh sách ưu tiên sai lệch. Nhiều công ty mà tôi đã làm việc đã đặt tầm quan trọng hơn trong việc đưa sản phẩm ra thị trường, thay vì chất lượng của sản phẩm / mã mà họ đang sản xuất. Hiệu ứng này được nhân đôi vì không chỉ các lập trình viên vội vàng hoàn thành, mà bộ phận QA cũng vậy (nếu họ thậm chí còn có một). Tôi cũng nhận thấy rằng thái độ này trùng hợp với việc đẩy mạnh sản phẩm tiếp theo trước khi hoàn thành trước đó, gây ra vấn đề thậm chí xa hơn.

Một mẫu số chung trong mỗi công ty này là quản lý phi kỹ thuật. Người quản lý dự án, Người quản lý CNTT và Người quản lý sản phẩm, về cơ bản mọi người đều nói về những gì nhóm phát triển làm việc, đều phi kỹ thuật và không hiểu tầm quan trọng của việc sản xuất mã chất lượng cao, an toàn, bảo mật. Đây là điều mà tôi tìm kiếm khi tôi phỏng vấn với các công ty bây giờ. Ai giữ triều đại tị nạn, tù nhân hay bác sĩ?

Tôi sẽ không ngạc nhiên nếu một cái gì đó tương tự, được kết hợp bởi sự quan liêu sâu sắc, là yếu tố góp phần trong các vấn đề bảo mật của Sony và các công ty khác.

Mọi người làm việc trong các công ty lớn, và mọi người sẽ phạm sai lầm, vì sự thiếu hiểu biết, lười biếng, thủ tục xấu, tài liệu xấu, v.v. Quy mô của công ty sẽ chỉ ảnh hưởng đến những sai lầm trong đó có thể có nhiều nguồn sai sót hoặc sai lầm hơn.