He encontrado un importante agujero de seguridad en uno de los sitios públicos de mi empresa. Este es nuestro primer sitio público que se convirtió desde un sitio de intranet. Le comenté este problema a mi jefe y esencialmente lo ignoraron, diciendo que tomaría mucho trabajo rediseñar el sitio para que sea seguro.
Esto realmente me ha molestado y he pensado en explotar el agujero para mostrar los efectos que esto podría suceder si un hacker real llegara a él. Probablemente esta no sea la mejor idea, ya que los efectos podrían costarme mi trabajo si no algo peor.
¿Qué cosas puedo hacer para mostrar la magnitud de la situación a la gerencia?
Respuestas:
La responsabilidad de un gerente es administrar el riesgo.
Cuando se descubrió un agujero de seguridad de secuencias de comandos cruzadas en Gmail, esto presentó un riesgo muy crítico que el equipo trabajó rápidamente para resolver. Debido a que hay millones de usuarios de Gmail, si escribiera una aplicación web que explotara esta falla, habría una buena posibilidad de que los usuarios de mi aplicación web puedan estar usando Gmail y tenerla abierta en otra pestaña. Por lo tanto, como phisher, puede valer la pena construir una aplicación de este tipo para obtener acceso a los datos del usuario.
La pregunta que su gerente puede hacerse es esta: ¿Qué tan riesgoso es este agujero de seguridad? ¿Cuál es la probabilidad de que exista una aplicación web que esté dirigida a este agujero de seguridad en particular en este sitio en particular? ¿Cuál es el riesgo de que los empleados que visitan nuestro sitio web también usen este sitio web de terceros?
En mi experiencia, si su sitio no recibe una gran cantidad de tráfico, entonces no hay mucho riesgo.
Su jefe puede estar pensando que el costo de oportunidad de no solucionar este agujero de seguridad en particular que puede o no ser un problema, es que él o ella puede enfocar los recursos en actividades que ayudarán a hacer crecer el negocio y generar ingresos.
Dicho esto, hubo un problema muy similar a este en el que Github fue pirateado, y hay una pregunta sobre Project Management SE que cubre este tema desde una perspectiva de gestión de proyectos. El usuario que pirateó Github estaba en una situación similar a la suya, y sus privilegios de Github fueron suspendidos por un período de tiempo.
Mi pregunta para usted es esta: ¿Qué le sucede a su negocio si el sitio se cae? ¿Cuál es la probabilidad de que incluso veas explotar este agujero de seguridad?
Si elige perseguir esto, necesitará obtener objetivamente evidencia de que esta es una amenaza muy real e inminente para la viabilidad del negocio.
Aquí hay algunas sugerencias para obtener evidencia de que este es un problema real:
Realice búsquedas en Google buscando artículos de noticias, blogs u otras experiencias de empresas que han experimentado problemas importantes como resultado de un agujero de seguridad similar y relacionado. Demuestre que este es un riesgo que vale la pena abordar en lugar de otras oportunidades comerciales.
Discuta con otro personal técnico del equipo y obtenga su conocimiento. Si el problema es realmente grave, debería poder encontrar a otros que también puedan respaldarlo. De lo contrario, sus preocupaciones no están justificadas o tiene problemas importantes de seguridad en la cultura de su empresa.
Discuta otras opciones con su departamento de TI para reparar el agujero que involucra soluciones de solución más rápida que, aunque no son ideales, pueden mitigar el riesgo y brindarle tranquilidad sin romper la hucha corporativa. A veces, una pequeña cantidad de trabajo puede ayudar a eliminar parte del riesgo, si no todo.
Si los puntos anteriores no funcionan, entonces considero dejarlo pasar y sé que estos problemas van a ser una parte normal de la gestión de riesgos del negocio.
fuente
Si tiene equidad, presione para programar una reunión semanal o mensual para revisar las preocupaciones de seguridad y esto puede ser solo un tema en esa agenda. Mover el foco del tema particular al área general es a menudo una técnica efectiva.
Si no tienes capital, sigue adelante.
Has planteado el problema a la gerencia y han pasado. Puede intentarlo nuevamente si es importante para usted. Y de nuevo si es realmente importante. Si es realmente muy importante, consiga otro trabajo y diga a los posibles empleadores por qué. Los que valoran más la ética probablemente la apreciarán.
También tenga en cuenta que si ha planteado el problema y obtuvo un no, ahora se enfrenta a cambiar la opinión de las personas, lo cual es muy difícil. Yo iría por el camino de lograr que estuvieran de acuerdo contigo y te dieran un sí. por ejemplo, "ambos queremos que la empresa tenga éxito". Si. "Sé que a los dos nos importa la seguridad". Si. "Sabemos que tenemos un presupuesto muy limitado para abordar estos artículos". Si. Obtenga algunos de estos y luego comience a orientarse hacia un cronograma para hacer las correcciones de seguridad.
Otro enfoque 'más suave' es aceptar que no tiene el tiempo / recursos para hacer esto ahora. Pero, ¿puede presionar por un acuerdo en una fecha en que se abordará? Puede ser en una semana, o un mes, o 6 meses. Por lo general, el tiempo vuela y luego estás allí.
fuente