La empresa de desarrollo de software para la que trabajo tiene entre 40 y 50 empleados, de los cuales unos 12 son desarrolladores. Trabajo como desarrollador junior y he estado trabajando durante aproximadamente un año después de completar un aprendizaje el año pasado. Esto me coloca en la parte inferior de la clasificación con respecto a la toma de decisiones sobre nuestro producto principal. Pero al decir eso, he notado un problema muy grande con la seguridad de nuestro producto. Un problema digno de vergüenza que podría costarle mucho dinero a la empresa si se explota.
Sé que está en el radar de mis gerentes ya que hay multas planteadas, pero son multas viejas que parecen haber sido olvidadas. Cuando me uní a la empresa por primera vez, mencioné el problema y estuvo de acuerdo en que era necesario solucionarlo, pero no dijo mucho más que eso. Esto me da ganas de tomar las cosas en mis propias manos para mi propia protección de evitar que sea explotado y perder un trabajo porque la empresa tiene que pagar una multa.
¿Cómo podría llamar la atención de mi gerente y potencialmente de su gerente y mostrarles el riesgo que representa no solucionar este problema de seguridad? Tenga en cuenta que no quiero que esto parezca que estoy superando a mi gerente para salirme con la mía, tengo una buena relación con mi gerente en este momento y odiaría arruinarla con algo como esto.
Pasar por encima de la cabeza de su gerente es a menudo un movimiento que limita seriamente su carrera y, para ser honesto, si va directamente al gerente de operaciones en esto, entonces esperaría que su gerente lo vea de esa manera, por lo que necesita trabajar con él en esto. .
Su mejor enfoque es plantearlo nuevamente con su gerente directamente, si tiene una solución sugerida para el problema, intente expresarla como si le estuviera haciendo un favor y sugiérale que su solución podría ser una forma de evitar que vuelva. para morder a la compañía (¡y a él!) en el trasero más tarde:
Hola [gerente], he estado pensando en el problema de seguridad del ticket 1234 y creo que tengo una idea de cómo podemos solucionarlo y sería bueno tener una discusión para ver si podemos solucionar esto. antes de que se explote, lo que sería muy costoso/vergonzoso para nosotros.
No es el uso de la palabra "nosotros": no estás insinuando que él es el que lo recibirá en el cuello, estás insinuando que eres un equipo. Es sutil pero ayuda.
Si por alguna razón su gerente sigue insistiendo en esto con usted, le sugiero que vaya con el siguiente miembro más antiguo del equipo/departamento (es decir, la persona justo debajo de su gerente) y discútalo con ellos, vea si puede haber antecedentes. usted no es consciente de Y si no lo hay, entonces pueden ser un aliado importante: en primer lugar, porque ahora habrá dos de ustedes en el problema, en segundo lugar, es probable que su palabra tenga más peso con su gerente debido a su antigüedad y, finalmente, es relativamente seguro porque no están por encima de su gerente, por lo que no está pasando por encima de su cabeza.
Además, y no puedo enfatizar esto lo suficiente, debe comunicarse con su gerente por correo electrónico; en el peor de los casos, cuando no hace nada o rechaza activamente sus intentos de resolver este problema y luego se explota su trasero es lo suficientemente cubierto.
No parece que esté tomando en consideración las tareas actuales que tienen una prioridad más alta que los problemas de seguridad. Mire lo que se le pide que haga actualmente y obtenga algunos comentarios sobre por qué son tan importantes. Incluso si no tuviera las fallas de seguridad, aún debe saber esto. Aprender a preguntar respetuosamente por qué es importante para tu desarrollo como programador. Asegúrese de que entiendan que usted no está tratando de salir del trabajo, sino que quiere ver el "panorama general". A veces tienes que usar una palabra de moda para llamar su atención.
Quién sabe, puede aprender que si no obtiene el próximo lanzamiento/parche, su cliente más importante abandonará su producto, lo que puede obligar a la empresa a cerrar. La mayoría de las decisiones implican un riesgo. Es necesario comprender los riesgos detrás de las decisiones actuales.
Trabajo en la profesión de seguridad de TI como auditor de TI y su situación actual es algo con lo que me encuentro con frecuencia y simpatizo. Lo que he encontrado ayuda es tener datos concretos sobre la vulnerabilidad que ve, su impacto para la empresa si se explota y los actores de amenazas con más probabilidades de poder explotarla.
La naturaleza de la vulnerabilidad que encontró
Describa la naturaleza de la vulnerabilidad que ha encontrado. Hechos como los siguientes son útiles para incluir en su análisis.
Cómo se puede explotar la vulnerabilidad: MITM, acceso remoto, suplantación de identidad del usuario, etc.
Condiciones que deben cumplirse para que la vulnerabilidad sea explotable, como sistemas sin parches, sistemas que utilizan un protocolo roto, etc. (p. ej.: TLS 1.0)
El impacto para la empresa si se explota una vulnerabilidad como la siguiente:
Describa qué eventos negativos pueden ocurrir si se explota la vulnerabilidad.
Describa los actores de amenazas con más probabilidades de explotar la vulnerabilidad y la probabilidad de cada amenaza. Ver ejemplos a continuación:
Después de recopilar estos datos, debería poder acudir a su gerente y utilizar esta investigación para cuantificar la gravedad de la vulnerabilidad. También es posible que desee buscar un sistema estandarizado de puntuación de vulnerabilidades como CVSS.
Leñador
alex wilson
alex wilson