Essendo il creatore di un programma, probabilmente si è in una posizione migliore di chiunque altro per essere al corrente delle vulnerabilità della sicurezza e dei potenziali hack. Se sei a conoscenza di una vulnerabilità in un sistema che hai scritto, è un segnale che la sicurezza aumentata DEVE essere aggiunta prima del rilascio, o dovrebbe essere valutata caso per caso per determinare la gravità del divario di sicurezza?
Direi che dovrebbe essere fatto caso per caso. Tu sei l'autore, conosci molti dei buchi. Alcune vulnerabilità potrebbero essere conosciute solo da te. Ovviamente questo significa che se qualcuno di questi viene sfruttato, potresti avere alcune domande difficili a cui rispondere, quindi potrebbe essere una buona idea ridurre queste vulnerabilità se possibile. Più importante è se qualcuno può facilmente modificarlo come un sistema Blackbox.
Ho avuto la sfortunata esperienza di essere nella situazione due volte. In entrambi i casi, l'azienda stava pubblicando prodotti con problemi di sicurezza gravi con dati molto sensibili.
In entrambi i casi l'attività non sembra interessata, nonostante i miei migliori sforzi per renderli consapevoli dei rischi che stavano assumendo.
L'unica cosa che puoi fare è protestare il più a voce * (e professionalmente) possibile, cercando di essere il più chiaro possibile sulle potenziali conseguenze e mentre stai facendo questo documenta tutto . Stampa le tue e-mail rilevanti in PDF e conserva questi file a casa, o bcc il tuo indirizzo e-mail personale, o comunque lo fai. Questa è l'unica soluzione per quando accade inevitabilmente qualcosa di brutto.
Speri che la direzione ti rispetti per i tuoi consigli tecnici e te ne tenga conto, ma sfortunatamente devi rispettare chi è il decisore alla fine della giornata. Cattive decisioni commerciali vengono prese ogni giorno.
Modifica: jasonk ha menzionato "Si prega di prestare molta attenzione al BCC del proprio indirizzo di casa" e sono molto d'accordo. Si prega di non violare le politiche aziendali e rischiare di mettere la vulnerabilità della sicurezza più all'aperto di quanto non sia già.
Direi il contrario - essendo il creatore, spesso troppo vicino al codice per vedere le vulnerabilità.
Se conosci o ti vengono informate delle vulnerabilità, sono come qualsiasi altro bug: valuta, assegna le priorità e poi risolve.
Penso che la risposta dipenda dal grado di danno che si verificherebbe se il sistema venisse compromesso da un hacker malintenzionato. Ovviamente un ingegnere civile non poteva approvare la progettazione di un ponte pericoloso in buona coscienza. La costruzione di un tale ponte potrebbe provocare lesioni o morte. Sarebbe anche illegale per l'ingegnere fare consapevolmente questo, ma il fatto che gli ingegneri del software (almeno negli Stati Uniti) non siano legalmente vincolati allo stesso modo non li assolve dal dovere professionale di prendere posizione contro i sistemi difettosi. Sfortunatamente, la tua azienda potrebbe non aver bisogno della tua firma per rilasciare il software.
Non si specifica la natura esatta del sistema su cui si sta lavorando. Se è collegato a cartelle cliniche, servizi bancari, controllo del traffico aereo o altre infrastrutture davvero critiche, direi che sarebbe ben giustificato nell'insistere sul più alto livello di sicurezza possibile prima del rilascio.
Sì, DOVRESTI aggiustarlo prima che il rilascio si esaurisca. Mai sottovalutare l'ingegno di un hacker. Andresti in vacanza per una settimana con la tua porta sul retro spalancata? Sarebbe la tua scusa,
"Oh è nella parte posteriore e non si affaccia direttamente sulla strada, nessuno lo vedrebbe spalancato .."
Probabilmente no.
Tuttavia, in questi giorni, capisco con l'impeccabile PM come la data di rilascio più sacra sia più importante di un potenziale problema di responsabilità enorme con la sicurezza. Se questo è il tuo caso, ti suggerisco di richiamarlo all'attenzione, registrare il problema, assicurarti che sia ben documentato, ben noto e che i rischi siano chiaramente spiegati e lasciare che il PM decida cosa fare.
Se il PM prende una decisione sbagliata e decide di ignorare questo e andare avanti con la pubblicazione in programma, allora sei assolto dalla responsabilità da quando hai fatto il fischio.
Altrimenti, se trovi questo e tienilo da te e succede qualcosa, TU puoi essere personalmente ritenuto responsabile delle conseguenze.
La scelta è tua.