Report s dvadsiatimi nálezmi pôsobí na prvé prečítanie horšie, než aká je skutočnosť. Väčšina položiek nehorí a časť z nich je na zozname preto, aby o nich niekto vedel, nie preto, že by sa mali riešiť tento týždeň.
Tento text je návod, ako nálezy zoradiť a rozhodnúť, čo urobiť hneď, čo o mesiac a čo nikdy.
Závažnosť nie je to isté ako priorita
Report radí nálezy podľa závažnosti. Tá vyjadruje, čo by sa stalo, keby niekto problém zneužil.
Priorita je niečo iné. Určujú ju tri údaje:
- Vplyv. Čo sa stane, keď k tomu dôjde.
- Dostupnosť. Aké ľahké je problém zneužiť. Nález, pri ktorom stačí zmeniť číslo v adrese, je niečo iné než nález vyžadujúci špecializované nástroje a prístup do siete.
- Náročnosť opravy. Pol dňa alebo tri týždne.
Nález s veľkým vplyvom, ktorý možno ľahko zneužiť a opraviť za pol dňa, má byť prvý. Nález s veľkým vplyvom, ktorý je náročné zneužiť a ktorého oprava trvá tri týždne, môže počkať, aj keď je v reporte vyššie.
Štyri vlny
Vlna 1: Do 48 hodín
Sem patrí výhradne to, čo spĺňa obe podmienky súčasne: ktokoľvek môže problém zneužiť bez osobitných zručností a výsledkom je prístup k cudzím dátam alebo peniazom.
Typicky:
- zobrazenie cudzích záznamov zmenou hodnoty v adrese
- administrácia bez skutočného prihlásenia
- súbory dostupné cez priamy odkaz bez overenia
- prístupové kľúče alebo heslá umiestnené v kóde
Tieto veci sa neplánujú do šprintu. Riešia sa okamžite, pretože po celý čas, keď zostávajú otvorené, ich môže niekto zneužiť. Spravidla ide o hodiny až jeden deň práce na položku.
Vlna 2: Do dvoch týždňov
Sem patria veci s veľkým vplyvom, ktoré vyžadujú buď viac práce, alebo viac znalostí na strane útočníka:
- overovanie súm a platieb na strane servera
- kontrola nahrávaných súborov
- zavedenie zaznamenávania udalostí
- oddelenie rolí používateľov a správcov
- ošetrenie vstupov, ktoré aplikácia posiela do jazykového modelu
Vlna 2 sa plánuje ako bežná práca, ale nesmie sa opakovane odsúvať. Praktické opatrenie: stanovte si dátum a zapíšte ho do kalendára, nielen do zoznamu úloh.
Vlna 3: Do troch mesiacov
Sem patrí to, čo má reálny, ale nie bezprostredný vplyv:
- lehoty na mazanie dát a funkcie výmazu
- zálohy a overenie, že ich možno obnoviť
- oddelenie testovacieho a ostrého prostredia
- presun účtov pod firmu
- základná dokumentácia
Posledné dve položky sa odkladajú najčastejšie, pretože ich nevidno. Zároveň sa najviac predražia, keď sa stane niečo neočakávané.
Vlna 4: Vedome nikdy
Áno, aj to je legitímne rozhodnutie a je lepšie urobiť ho nahlas.
Nález, ktorého oprava je drahšia než škoda, ktorú by spôsobil, a ktorého vplyv firma unesie, sa nemusí opravovať. Podmienkou je, že to niekto zaznamená: čo sme neopravili, prečo a kedy to znova posúdime.
Rozdiel medzi „rozhodli sme sa to neriešiť“ a „nedostali sme sa k tomu“ je zásadný. Prvý prístup je riadenie rizika. Druhý je odkladanie, ktoré sa raz bude vysvetľovať.
Kto to opraví
Máte tri možnosti a každá má svoje miesto.
Autor aplikácie. Pri nálezoch z prvej a druhej vlny je spravidla najlacnejší a najrýchlejší, pretože pozná štruktúru aplikácie. Je tu však riziko: ak chybu urobil preto, že o danom princípe nevedel, oprava môže byť neúplná. Riešením je nechať ju prekontrolovať.
Externý vývojár. Je vhodný vtedy, keď autor nemá kapacitu alebo už vo firme nie je. Počítajte s časom na oboznámenie sa s aplikáciou.
Prepis namiesto opráv. Prichádza do úvahy, keď sa nálezy nahromadia do jedného vzorca: základ neunesie to, čo od neho chcete. Spoznáte to podľa toho, že oprava jedného miesta zakaždým pokazí iné alebo že sa odhad nákladov na opravy blíži cene nového riešenia.
Kontrola po oprave
Na posledný krok sa často zabúda. Opravený nález treba overiť, a to nie otázkou „Opravil si to?“, ale zopakovaním postupu, ktorým ste ho odhalili.
Pri nálezoch z prvej vlny to spravidla zvládnete sami, pretože ich možno overiť bez technických znalostí. Skúste znova zmeniť číslo v adrese. Skúste sa dostať do administrácie bez prihlásenia. Keď to už nejde, oprava tohto nálezu je hotová.
Jednoduchá tabuľka, ktorú si môžete vyplniť
| Nález | Vplyv (1–3) | Dostupnosť (1–3) | Náročnosť v dňoch | Vlna | Kto | Termín |
|---|
Zoraďte nálezy podľa súčinu vplyvu a dostupnosti zostupne. Nálezy s rovnakým súčinom potom zoraďte podľa náročnosti vzostupne. Tak získate poradie, v ktorom odstránite najviac rizika za najmenej práce.