„אנחנו לא צריכים בדיקות חוסן. לא תמצאו כלום.”

Read this article in English

"אנחנו לא צריכים בדיקות חוסן. חבל על הזמן שלכם, לא תמצאו כלום."

זה היה המשפט הראשון שלקוח שלי אמר לי כשהצעתי לו לעשות בדיקת חוסן. הוא אמר שהם עשו בדיקה לפני חודש, והתרברב בזה שלא מצאו אצלם כלום. סיפר לי שהם מזמינים את זה כי הם היו חייבים לתת דוח שמראה שעשו בדיקה ללקוח כלשהו, אז עשו עם איזה ספק בדיקות אבטחה גנרי.

הוא התעקש שלא נמצא כלום.

האינסטינקט הראשוני שלי היה לחייך. אני מנוסה עם המצב הזה.

האמת, המערכות שלהם נראו מרשימות: הכול היה מתוקתק, הצוות שלהם עבד ברמה גבוהה, ובמבט ראשון באמת היה קשה לחשוב שיש משהו שהם פספסו.

אבל מניסיון, אני יודע שכל מערכת, טובה ככל שתהיה, יש בה משהו.

למה "לא נמצא כלום" הוא ממצא בפני עצמו

דוח שהוזמן כדי לענות על דרישה של לקוח ודוח שהוזמן כדי למצוא בעיות הם שני מוצרים שונים, גם כשהם נושאים את אותה כותרת. הראשון גמור ברגע שהוא קיים. השני גמור כשמישהו באמת ניסה לשבור את המערכת וכתב מה עבד.

דוח נקי מבדיקה שאף אחד לא לחץ בה חזק גרוע יותר מאין דוח, כי הוא קונה ביטחון שלא הרוויחו אותו – והביטחון הזה הוא מה שמונע את הבדיקה הבאה.

על הצד השני של זה – לקוח שהגיע אלינו אחרי שדוח של ספק קודם אמר שהכל בסדר – כתבתי ב"הבדיקה הקודמת לא מצאה כלום".

פוסט זה פורסם לראשונה בלינקדאין בתאריך 2024-11-25. — ארז מטולה