谁对安全漏洞负责?

从道德上讲,你是。从法律上讲,你通常不是。不过,要注意你的签名。

我这样说有两个原因。第一,因为这是真的——每个人都应该这样做。第二,如果每个人都确切地知道违规的就业结果,人们会更安全地编码。

最后一点——如果有重大影响,安全永远不应该被忽视 一 人的责任。

这将完全取决于您与客户(以及任何中介机构,如雇主,如果您不是作为个人这样做的话)之间的法律管辖权和合同。

这就是为什么大多数EULA声明没有担保等。

从项目经理的角度来看,如果安全性受到损害,我会说这是程序员的错,因为项目经理的专业领域不一定在于编程或编程安全性。如果程序员决定承担这样的任务,或者至少自学,那么他应该有足够的经验来了解这些事情。

关键的想法是让如此多的人(经理、程序员、测试人员)参与到项目中,这样责任就会分散开来,没有人会真正受到指责:)

不,这将由你的质量保证部门负责。对于真正敏感的应用程序,他们应该获得第三方认证,以保证您的应用程序的完整性,或者至少对其失败的方式和原因进行彻底的报告。

…-对于那些没有这样的团队的组织来说-安全的概念需要作为一个从项目开始就强调的目标。如果它不是一个里程碑,那么程序员和经理都不会主动去实现它(它通常是优先级列表中的最后一件事——因为时间限制,最后一件要处理的事——尽管很重要)。