> 这周我在公司发现了一个相当严重的安全问题。其影响令人震惊。 [...] 然后当我向管理层提出这个问题时，他们的议程是将这些对话转为线下进行，没有书面记录，并且终止对话。几年前我曾处于类似的位置。在经历了几轮“先完成X以便销售Y，然后我们会优先处理这些问题”的说法后，我当时还很年轻，害怕得让事情这样发生了，而且他们还动之以情（“如果我们不完成这个销售，有些人将不得不被解雇，我们冒着风险去[已删节]和她的新孩子，我们能做到吗？”）我开始解决问题并忽略其他任务。我只是侥幸没有被惩罚，因为当时有一些事情我是个唯一掌握的人，当他们试图用承诺的一些培训课程来安抚我时，我已经参加并通过了一些考试，其余的也已经预约好了（在那次对话中，经理脸上露出“哦，天啊，他有了脱身计划，并且快要实施了”的表情，真是太棒了！）。 …
源讨论我发现了一个漏洞。他们找来了一位律师原帖 439 条评论 · 导入时统计我在IT行业工作了近30年，但仍然对安全最佳实践与公司实际运作之间的脱节感到震惊。这些安全最佳实践通常有严重的法律支持，但现实情况却往往不同。 本周我在公司发现了一个相当严重的安全问题。其影响令人震惊。根据我的教育、培训和经验，我应该采取的步骤是：识别问题、通知相关人员、并进行修复。但当我将问题反映给管理层时，他们的做法是将这些讨论转移到线下，没有书面记录，并且试图终止讨论。 每次看到有关数据泄露的文章时，我都会想，这些漏洞被发现并被忽视了多长时间？这就是商业运作的方式吗？看起来对许多公司来说确实是这样。那么，为什么在教育中如此重视安全，而现实中却很少应用呢？ 即使只是指出这个问题和潜在的后果，我已经将自己的职业生涯置于风险之中。这些是………
完整原文把你的经验，加入这段讨论。
我真希望能想起我写认证系统时合作过的渗透测试公司的名字...他们非常棒，发现了几个严重的问题。 至少相比我们内部的数字安全部门，他们无法理解，"你的测试在该应用的配置下是错误的，该路径会导向另一个应用，而且默认行为不是实际的失败...只是针对PHP漏洞的预设测试。"该应用并不是PHP写的，而是一个SPA，除非在/auth/*路径下，否则始终提供相同的默认页面。 之后我的回应变成了，给我看一个实际的漏洞和你能展示的实际数据泄露，我会更新我的代码，而不是你的测试。
完整原文我之前曾任职的一家老公司特意找了一个基本上会盖章通过一切的渗透测试人员，给他们一个通过的证明。实际上我在该过程中发现了软件中的重大问题，以至于它无法使用。主要组件严重过时，容易受到攻击。其他部分甚至没有按宣传的方式工作。我没待太久。
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。