Spreken als beveiligingsanalist ...

Het gaat er niet om hoe lang je moet wachten, maar eerder: "Wat ga je doen als een hacker de exploit ontdekt en iemand in je bedrijf je realiseert wist er al van maar deed niets "

Ik zou zeggen dat u de zorgplicht heeft om dit probleem zo snel mogelijk te laten escaleren. U hoeft misschien niet helemaal naar de directeur beveiliging te gaan, maar het beveiligingsteam in het algemeen moet hiervan op de hoogte worden gebracht. Het beperkingsverzoek zal dan van hen naar de ontwikkelaar komen en zal aandacht krijgen.

Je zou het zeker kunnen bespreken met degene die verantwoordelijk is en blijven escaleren totdat het is opgelost.

Persoonlijk in plaats van de ontwikkelaar over het probleem te vertellen en het aan hem en anderen over te laten. Ik vind een probleem, ik zoek uit hoe ik het kan oplossen, ik geef ze een oplossing op hetzelfde moment dat ik het meld. Ik ben bezig met het oplossen van problemen, niet met het creëren ervan. IEDEREEN waardeert het als het op deze manier wordt gedaan.

Dus ik schets nooit een probleem zonder op zijn minst een voorlopig plan van aanpak.

Veel succes met je toekomstige carrière.

U bent dus de grootste beveiligingsexpert ter wereld. Je bent ook een expert op het gebied van softwareontwikkeling. Het verbaast je dat er oude code in een applicatie zit die een paar maanden geleden in gebruik is genomen? Applicaties worden niet de hele tijd helemaal opnieuw geschreven. Die applicatie zal gebaseerd zijn op een oudere applicatie die gebaseerd is op een nog oudere applicatie etc.

Je hebt contact opgenomen met de software ontwikkelaar. Wat denk je dat de ontwikkelaar gaat doen? Niets. Hij gaat niets doen tenzij het van zijn manager komt. U "wilt niet dat hij voelt dat ik probeer te dicteren hoe zijn sollicitatie wel of niet moet worden geschreven". Dat is erg aardig van je. Vertel hem dit alsjeblieft. Hij zal zeggen "heel erg bedankt, en als je het ooit probeert, zal ik gepast reageren om ervoor te zorgen dat je het niet nog een keer probeert". Zijn antwoord op uw informatie was: "Ja, dit kan beter". Er zijn duizenden dingen die beter zouden kunnen worden gedaan, en als we onbeperkte tijd en budget hadden, zouden we ze beter doen, maar dat doen we niet.

Het lijkt erop dat je iets hebt gevonden waarvan je in theorie weet. In de praktijk weet u niet of het exploiteerbaar is. U weet niet of de "gevoelige informatie" schadelijk zou zijn (als de "gevoelige informatie" bijvoorbeeld een handelsgeheim is, zal geen enkele concurrent het durven aanraken). U weet niets over prioriteiten - er is misschien geen budget om bepaalde dingen te doen, dus het probleem werd genegeerd.

In het ergste geval meld je dit schriftelijk aan het hoofd van de beveiliging, die dit niet meer kan negeren, wat betekent dat ontwikkelingsinspanning wordt besteed aan een beveiligingsoplossing waarvan niemand denkt dat deze nodig is, wat betekent dat het bedrijf dingen nodig heeft gebeuren niet. En wanneer de CEO vraagt ​​waarom dingen die hij wilde doen niet gebeurden, is het antwoord "omdat JRLambert een beveiligingsprobleem meldde".

Dit is wat u moet doen: ga naar de manager die verantwoordelijk is voor de ontwikkeling van het product, vertel het hem en kijk wat hij zegt. Aangezien u die toepassing begint te ondersteunen, is het uw taak om deze te repareren als deze belangrijk wordt geacht.