大企業はどのようにしてセキュリティホールを残す新人ミスを犯すのですか？[閉まっている]

ソニーは最近、SQLインジェクションでハッキングされ、ユーザーのパスワードはプレーンテキストで保存されました。これらは新人の間違いです。そのような大企業では、これはQAにどのように合格しますか？これよりもよく知るよりも良いチームがいないのはどうしてですか？

ハッキングされた会社の規模の大きさにより、これは異なります。私たち全員が、いつかこのようなことを担当するチームに自分自身を見つけるかもしれないので、私たち全員に影響を及ぼします。それで、これにつながる要因は何ですか、どのようにそれらを防ぐのですか？

最初に頭に浮かぶのは、数層の官僚組織を成長させるのに十分な大きさだからです。これは、とりわけ、採用プロセスを担当するスマートなコーダーがもはやいないことを意味します。つまり、潜在的なプログラマーや能力のないQAを排除する能力を失います。これは悪いコードが書かれ、それを本番環境にすることにつながります。

プログラマーはそれをテストするように言われなかったため、企業文化の崩壊は彼らの職業倫理の感覚を開始するのに十分な余裕を与えず、セキュリティの脆弱性をテストするためにさらに数週間を要求しました。または、最初から安全であることを主張します。

上司は、なんらかの理由でセキュリティ問題のテストに数週間余分に費やしたくなかったからです。年末の追加ボーナス。次の部門からジョンソンを表示します。自慢する権利。会社への義務。怠惰。部下の助言に対する不信感。

なぜなら、上司はボブよりも多くの利益を要求し、ジョンソンを昇進させたからです。彼の数は、より良い製品を要求するよりも良く見えたからです。品質とセキュリティはスプレッドシートに表示するのが難しい値だからです。企業はお金を稼ぐために存在するからです。

このようなことは体系的な問題です。結局のところ、「彼らは愚か者だから」です。

編集 プログラマーは、不足に気づいたときに、上司に問題を提起することで、犠牲のヤギになることを回避できます。彼は正しいことをしてそれを修正する計画を立てるか、あなたにそれを無視するように言います。彼がそれを修正しない場合、それを公式にし、電子メールでそれについて尋ねてください。この場合、「脆弱性」、「インジェクション」、「セキュリティ違反」など、問題に関連するキーワードを使用します。メール検索で取り上げられるもの。

これは大金です。今ではあなたの上司の責任です。このことが失敗したときに人々が死ぬことになるように、それが重要な場合は、彼の頭を越えて上司に問題を提起してください。あなたは単にドルを渡すために解雇されることができ、あなたがそれを渡したとしてもあなたはまだ解雇されることができますが、それは正しいことです。実際に問題を修正するほど正確ではないが、近い。

企業が大きくなればなるほど、意思決定者は現実の責任から遠ざかります。

企業の仕組みを知っているサイトデザインは、おそらく開発者あたりの最低価格に基づいて選択されたコンサルティング会社にアウトソーシングされました。その会社は、同様の基準でランダムな人々の束を順番に雇い、平均的な人が3ヶ月以内にプロジェクトに滞在してから、他の人にローテーションされます。

誰がどのように間違いを犯しますか？怠、知識の不足、専門知識の不足、便宜、プロセスの不足などを通じて、どのように間違いを防ぐのでしょうか？勤勉、経験、安全対策などを通じて。この状況は、すべてのプログラマーが犯した数千の小さな間違いとは明確に異なります。規模が異なるだけです。

これから何を学ぶことができますか？あまりない。

考えられる説明の1つは、優先順位リストの偏りです。私が協力してきた多くの企業は、彼らが生産していた製品/コードの品質よりも、製品を市場に出すことをより重要視しています。プログラマーが急いで完了するだけでなく、QA部門（もしあれば）も同じであるため、この効果は2倍になります。また、この態度は、前の製品が完成する前に次の製品に進むことと一致し、問題をさらに悪化させることに気づきました。

これらの各企業に共通する特徴の1つは、非技術的な管理です。プロジェクトマネージャー、ITマネージャー、およびプロダクトマネージャーは、基本的に開発チームが取り組んでいることについて発言権を持っている全員が、技術的ではなく、高品質で安全なコードを作成することの重要性を理解していません。これは今、企業にインタビューするときに探しているものです。亡命者、受刑者、医師の統治権は誰が持っていますか？

似たようなものが、深い官僚主義によってさらに悪化し、ソニーや他の会社のセキュリティ問題の要因となっていても、私は驚かないでしょう。

人々は大企業で働いており、人々は無知、怠laz、悪い手順、悪い文書などから間違いを犯します。会社の規模は、エラーやミスの原因が増える可能性があるという点でミスにのみ影響します。