Дала
комментарий по поводу РЖД. Вот вам выдержка:
— Страшно ли залезать в системы российских госкомпаний, зная, как работает правоохранительная система в нашей стране? То есть ты нашел дыру, рассказал о ней, чтобы ее закрыли, а тебя ведут в тюрьму. Насколько реальный вариант?
— Я считаю, что желательно согласовывать подобные аудиты с руководством компании. Если такой аудит был проведен несанкционированно и опубликован в открытом доступе, то это нанесет репутационный ущерб компании, а также в теории — материальный. Вдруг кто-то решит повторить путь автора статьи по горячим следам до момента ликвидации проблемы.
Если вы нашли уязвимость случайно — то лучше сначала уведомить об этом компанию, а не широкую публику. Если компания игнорирует ваше уведомление, лучше оставить все как есть, тогда в случае реализации риска наказание понесет ответственный сотрудник, а не «доброжелатель». Если вы очень хотите помочь — то устраивайтесь туда на работу и закрывайте «дыры» сами, участвуйте в подготовке кадров, делитесь информацией, помогайте повышать грамотность населения в области информационной безопасности.
*Текст статьи редактировал редактор (для особо придирчивых).