Alexander Goeres 𒀯ich bin kein softwareentwickler und auch kein programmierer, insofern musste ich noch nie einen codeaudit machen. aber das klingt wirklich sehr vertraut, aus meinem gesamten it-leben:<br><br><blockquote>Dieselben Leute, die mir jahrelang erzählt haben, ich muss unbedingt für den Codeaudit in ihr Hauptquartier fliegen, weil die geheimen Wirtschaftsgeheimnisse niemals das Gebäude verlassen dürfen. Die benutzen jetzt alle Cloud-basierte Code-Smell-Detektoren und Linter und laden ihre eben noch supergeheimen Daten in irgendwelche Github- und Antiviren-Clouds hoch.<br></blockquote><br>das ganze trara um irgendwelche security vorschriften und dann landet alles bei azure oder aws. die ganze geheime firmenkommunikation, über die man nie mit niemandem niemals reden darf, alles bei ms365, bei google. weil das so bequem ist, investitionstechnisch, buchhalterisch. <br><br>wenn ich hingegen verlange, dass meine passworte nicht länger als 4 ascii-zeichen sein sollen, weil das so bequem ist und meine arbeit deutlich erleichtern würde, dann höre ich natürlich sofort drohend gemurmelte suaden über it-sicherheit.<br><br><blockquote>Bei uns ist das ja sogar Gesetz. Nennt sich "Stand der Technik". Du sollst deine IT nach Stand der Technik schützen. Das heißt: Nicht tun, was sinnvoll wäre, sondern was die anderen alle machen. Selbst wenn das erwiesenermaßen nichts bringt oder gar kontraproduktiv ist.<br></blockquote><br>und das klingt irgendwie nach bsi ...<br><br>#<a class="" href="https://hub.netzgemeinde.eu/search?tag=computer" rel="nofollow noopener" target="_blank">computer</a> #<a class="" href="https://hub.netzgemeinde.eu/search?tag=crowdstrike" rel="nofollow noopener" target="_blank">crowdstrike</a> #<a class="" href="https://hub.netzgemeinde.eu/search?tag=sicherheit" rel="nofollow noopener" target="_blank">sicherheit</a> #<a class="" href="https://hub.netzgemeinde.eu/search?tag=bsi" rel="nofollow noopener" target="_blank">bsi</a> #<a class="" href="https://hub.netzgemeinde.eu/search?tag=fefe" rel="nofollow noopener" target="_blank">fefe</a> <br><br> <a href="https://diasp.org/u/fefebot" rel="nofollow noopener" target="_blank"></a><span><a href="https://diasp.org/u/fefebot" rel="nofollow noopener" target="_blank">Fefebot</a> wrote the following <a href="https://diasp.org/posts/f71870b028bc013d075628a1592b385a" rel="nofollow noopener" target="_blank">post</a> <span class="">Sat, 20 Jul 2024 13:56:04 +0200</span></span> <a href="https://blog.fefe.de/?ts=98655956" rel="nofollow noopener" target="_blank">[l]</a> Dieser Herdentrieb unter IT-Leuten ist echt immer wieder beeindruckend. Immer rennen alle der Herde hinterher. Jetzt plötzlich fällt es allen wie Schuppen von den Augen, dass man vielleicht auch an Security-Software Qualitätssicherungsanforderungen hätte haben sollen.<br><br>Ja no shit! Wieso fällt euch das erst auf, nachdem Crowdstrike ein Update verkackt? Die ganze Software da draußen ist die ganze Zeit schon in einem miserablen Zustand!<br><br>Aber anstatt mal Druck auf die Hersteller zu machen, feiert die Fachpresse jeden nötig gewordenen Securitypatch, als ob uns hier ein altruistischer Hersteller großzügig freiwillig Verbesserungen zukommen ließe.<br><br>Die meiste Software da draußen hat die strukturelle Stabilität eines Wackelpuddings. Wenn da mal jemand gegenhustet, ist es kaputt.<br><br>Jetzt laufen gerade alle Reverse Engineers der Welt los und gucken sich den Crowdstrike-Agent an. Ja wieso denn erst jetzt?!<br><br>Lasst mich mal einen strategischen Tipp mit euch teilen: Am besten guckt man VORHER nach, BEVOR das eingesetzt wird.<br><br>Die Ironie der Geschichte war ja, dass Crowdstrike quasi damit geworben hat, dass das nicht so schlimm ist, wenn die ganze <em>andere</em> Software ein bröseliger Haufen Rost ist, solange der Crowdstrike-Agent immer schön ... tja, und da wird es interessant, denn schützen tut das Teil ja nicht. Er sammelt Telemetrie und schiebt die in jemand anderes Cloud rein. Und die Leute kaufen das!<br><br>Dieselben Leute, die mir jahrelang erzählt haben, ich muss unbedingt für den Codeaudit in ihr Hauptquartier fliegen, weil die geheimen Wirtschaftsgeheimnisse niemals das Gebäude verlassen dürfen. Die benutzen jetzt alle Cloud-basierte Code-Smell-Detektoren und Linter und laden ihre eben noch supergeheimen Daten in irgendwelche Github- und Antiviren-Clouds hoch.<br><br>Nicht aus inhaltlichen Gründen. Weil die anderen es machen. Reiner Konformitätsdruck und Herdentrieb.<br><br>Und das macht mich fertig, sage ich euch, weil es heißt, dass auch die ganzen anderen, möglicherweise sinnvollen Maßnahmen auch nicht von inhaltlichen Gedankengängen getragen sein werden, sondern von Herdentrieb.<br><br>Bei uns ist das ja sogar Gesetz. Nennt sich "Stand der Technik". Du sollst deine IT nach Stand der Technik schützen. Das heißt: Nicht tun, was sinnvoll wäre, sondern was die anderen alle machen. Selbst wenn das erwiesenermaßen nichts bringt oder gar kontraproduktiv ist.<br><br>#<a class="" href="https://hub.netzgemeinde.eu/search?tag=fefebot" rel="nofollow noopener" target="_blank">fefebot</a>