Die Verantwortung eines Managers liegt im Risikomanagement.
Als in Google Mail eine Cross-Scripting-Sicherheitslücke entdeckt wurde, stellte dies ein sehr kritisches Risiko dar, an dessen Lösung das Team schnell arbeitete. Da es Millionen von Google Mail-Nutzern gibt, die eine Webanwendung geschrieben haben, die diesen Fehler ausnutzt, besteht eine gute Chance, dass Benutzer meiner Webanwendung Google Mail verwenden und es in einem anderen Tab öffnen. Daher kann es sich für mich als Phisher lohnen, eine solche Anwendung zu erstellen, um auf Benutzerdaten zugreifen zu können.
Die Frage, die sich Ihr Manager möglicherweise stellt, lautet: Wie riskant ist diese Sicherheitslücke? Wie hoch ist die Wahrscheinlichkeit, dass es eine Webanwendung gibt, die auf diese bestimmte Sicherheitslücke auf dieser bestimmten Site abzielt? Welches Risiko besteht, dass Mitarbeiter, die unsere Website besuchen, auch diese Website eines Drittanbieters nutzen?
Meiner Erfahrung nach besteht für Ihre Website kein hohes Risiko, wenn auf der Website kein hohes Verkehrsaufkommen zu verzeichnen ist.
Ihr Chef ist möglicherweise der Ansicht, dass die Opportunitätskosten für die Behebung dieser Sicherheitslücke, die möglicherweise ein Problem darstellt, darin bestehen, dass er oder sie die Ressourcen auf Aktivitäten konzentrieren kann, die zum Wachstum des Unternehmens und zur Erzielung von Einnahmen beitragen.
Vor diesem Hintergrund gab es ein ähnliches Problem, bei dem Github gehackt wurde, und es gibt eine Frage zur Project Management SE , die dieses Thema aus Sicht des Projektmanagements behandelt. Der Benutzer, der Github gehackt hat, war in einer ähnlichen Situation wie Sie und seine Github-Berechtigungen wurden für einen bestimmten Zeitraum gesperrt.
Meine Frage an Sie lautet: Was passiert mit Ihrem Unternehmen, wenn die Website ausfällt? Wie hoch ist die Wahrscheinlichkeit, dass diese Sicherheitslücke überhaupt ausgenutzt wird?
Wenn Sie sich dazu entschließen, müssen Sie objektiv nachweisen, dass dies eine sehr reale, unmittelbar bevorstehende Bedrohung für die Rentabilität des Unternehmens darstellt.
Hier sind einige Vorschläge, um Beweise dafür zu erhalten, dass dies ein echtes Problem ist:
Durchführen von Google-Suchen nach Nachrichtenartikeln, Blogs oder anderen Erfahrungen von Unternehmen, bei denen aufgrund einer ähnlichen Sicherheitslücke erhebliche Probleme aufgetreten sind. Zeigen Sie, dass dies in der Tat ein Risiko ist, das es wert ist, anstelle anderer Geschäftsmöglichkeiten angesprochen zu werden.
Diskutieren Sie mit anderen Technikern im Team und erhalten Sie Einblicke. Wenn das Problem wirklich schwerwiegend ist, sollten Sie in der Lage sein, andere zu finden, die Sie ebenfalls unterstützen können. Wenn nicht, sind entweder Ihre Bedenken nicht berechtigt oder Sie haben wichtige Sicherheitsbedenken in Ihrer Unternehmenskultur.
Besprechen Sie mit Ihrer IT-Abteilung weitere Möglichkeiten, um die Lücke zu schließen, die schnellere Lösungen umfasst, die zwar nicht ideal sind, aber das Risiko mindern und Ihnen ein gewisses Maß an Sicherheit geben, ohne das Sparschwein des Unternehmens zu beschädigen. Manchmal kann ein geringer Arbeitsaufwand dazu beitragen, ein gewisses, wenn nicht sogar das gesamte Risiko auszuschließen.
Wenn die oben genannten Punkte nicht funktionieren, dann denke ich darüber nach, dies loszulassen und zu wissen, dass diese Probleme nur ein normaler Teil des Geschäftsrisikomanagements sein werden.