Dire "no" è un'abilità molto utile sul posto di lavoro.

Gli direi semplicemente che è tua responsabilità segnalare tali problemi e che questa responsabilità non si estende ai suoi programmi di vacanza. Ovviamente puoi fare questa dichiarazione nel modo più diplomatico che desideri, ma chiarisci che prendi sul serio le tue responsabilità lavorative e non intendi sottrarle solo perché è scomodo per lui.

Se mantieni segreti i problemi e viene fuori, il tuo lavoro è a rischio. Ti sta chiedendo di correre un rischio per proteggerlo da uno. Questo è intrinsecamente sbagliato e ingiusto da parte sua metterti in una tale posizione e non dovresti mantenere il segreto. È tuo compito trovare i problemi del software e non puoi preoccuparti che segnalarli possa influire negativamente sugli sviluppatori. Tutti i problemi segnalati potrebbero influire negativamente sugli sviluppatori, in particolare quelli più gravi. Trovarli è l'intera ragione del tuo lavoro. Non compromettere la tua integrità per proteggere qualcuno che non ha alcun problema a gettarti sotto l'autobus.

La mia situazione specifica è che sto lavorando come tester per un progetto di applicazione web e dopo alcuni test di sicurezza di basso livello mi sono reso conto che l'applicazione ha molte vulnerabilità. Normalmente li segnalerei come parte del mio lavoro.

Hai già risposto alla tua domanda lì. Dal punto di vista della responsabilità lavorativa questa è una decisione chiara, dovresti prenderla ed è compito degli sviluppatori risolvere eventuali problemi identificati.

Tuttavia, uno degli sviluppatori principali mi sta "implorando" di non esplorare ulteriormente il problema perché teme che i risultati cambieranno i suoi piani per le vacanze.

Immagino che faccia parte di una conversazione casuale. Bene, è estate e un controllo di sicurezza è un processo lungo e doloroso, quindi capisco perfettamente da dove viene il tuo collega. Detto questo, è un processo necessario e probabilmente urgente, poiché hai già identificato alcuni problemi e lo sviluppatore ha fatto di tutto, ma ammette apertamente che ci sono ulteriori problemi.

Se svolgi il tuo lavoro crea attrito tra voi due, beh, allora probabilmente è ora che la direzione intervenga. Tuttavia, credo fermamente che una squadra fallisca come squadra e davvero non apprezzo il gioco della colpa. Prima di fare qualsiasi cosa devi essere assolutamente certo di non reagire in modo eccessivo a qualcosa che è stato più un commento casuale e possibilmente divertente che una richiesta effettiva di posticipare / respingere i test di sicurezza.

Oltre alle altre risposte che dicono "no, non farlo" (con cui sono d'accordo al 100%), suggerirò anche un percorso più diplomatico (potrebbe essere complicato e potrebbe non funzionare in tutte le situazioni), perché a volte (ma non sempre) ne vale la pena:

Supponendo che queste scoperte non facessero parte di un piano di test formale su una matrice di test, dare alla persona che ti sta "implorando" la possibilità di farcela da sola. Potresti dire loro che non segnalerai formalmente i problemi fino al $ someDate (che potrebbe essere dopo o immediatamente prima della loro vacanza, a seconda delle date e di quanto tempo sono lontani e quanto lontani quella data è) anche se se desidera segnalare il problema prima, allora può farlo e tu non lo solleverai. Allo stesso tempo, suggerirei anche di inviare un messaggio al tuo supervisore / responsabile del team dicendo che hai riscontrato alcuni potenziali problemi ma desideri un po 'più di tempo per i test e invierai un rapporto dettagliato quando pronto.

Questa strategia offre allo sviluppatore la possibilità di salvare un po 'di faccia e segnalarli in un momento in cui potrebbe non rovinare i loro piani (e se hanno fatto piani a lungo termine per visitare la famiglia in un lontano dalla terra, farebbe schifo rovinare quei piani, ma non è nemmeno un problema tuo - è un problema che lo sviluppatore deve risolvere con la direzione) e ti solleva anche dal problema di mantenere i segreti. Se lo sviluppatore non segnala entro $ someDate , invii il rapporto. Se lo fanno segnalano, almeno ricevi comunque il merito di averlo scoperto prima.

Non conosco la vera natura di questi problemi. Se ritieni che queste vulnerabilità siano attualmente sfruttabili da qualsiasi aggressore casuale e puoi dimostrare una prova di questo concetto (su una macchina TEST, non di produzione, senza avere problemi), allora dovresti segnalarlo immediatamente, o fare in modo che lo sviluppatore segnalalo immediatamente (con i tuoi dati di prova come prova - non lasciare che si prenda il tuo merito).

Pensa a quanti guai ti troveresti se scoprissi che conosceva il problema e non ha detto nulla.

Spiega il tuo ruolo nel ciclo di vita dei problemi

Spiega allo sviluppatore che è tuo compito trovare queste cose il prima possibile e prima che altre persone le trovino .

• Se svolgi bene il tuo lavoro, l'intero team di sviluppo ha un bell'aspetto esternamente.

• Se non fai il tuo lavoro, fai sembrare tutti incompetenti e rischi tu stesso se qualcuno scopre che sapevi qualcosa di serio e non l'hai fatto. t segnalalo in modo tempestivo.

Se stai cercando una via di mezzo, offri un compromesso.

Offri una data per lo sviluppatore per risolvere questo problema prima di segnalarlo. Se non riescono a risolverlo entro quella data, allora lo registri ufficialmente come un problema con il tuo manager e lasci cadere i chip dove possono. Ottieni questo scambio in una conversazione e-mail in modo da poter CYA in modo appropriato. Non tirarti indietro nel segnalare il problema alla scadenza concordata

Aneddoto pratico

In un ambiente SCRUM, molte volte un tester incorporato troverà qualcosa, lo dirà a uno sviluppatore e verrà risolto prima che il tester possa archiviarlo in un sistema ufficiale. E quando lo fanno, lo sviluppatore può contrassegnare come risolto e può essere ritestato immediatamente, e può essere chiuso rapidamente con poco clamore.

(personalmente vorrei solo registrare il problema, un tornare a fare il mio lavoro, questo è il tipo di politica d'ufficio che evito come la peste!)

Dovresti rendere visibili i problemi il prima possibile!

Il tuo lavoro come squadra è creare un prodotto. Hai qualcuno che stabilisce le priorità su cosa concentrarti in modo da poter offrire il miglior prodotto possibile alla data X. La cosa migliore che puoi fare per tutte le persone coinvolte è rendere noti tutti i problemi che trovi con il prodotto alla persona che stabilisce le priorità. In questo modo lui / lei può fare in modo che il team si concentri subito sulle cose più importanti / critiche per evitare di lavorare la notte prima del rilascio. Forse è possibile saltare quella "funzionalità piacevole da avere".

Non sei in grado di "ritardare la segnalazione" o qualcosa del genere. Hai fatto un buon lavoro aiutando il team trovando un difetto in modo che possa essere risolto prima che causi danni. Ora è il momento che la persona giusta (la persona più informata sul quadro più ampio) decida come gestirla.

In primo luogo, non vieni pagato per rendere felice questo ragazzo. Vieni pagato per trovare vulnerabilità, quindi non c'è assolutamente vergogna nel fare la cosa per cui sei pagato, e sarebbe disonesto scarseggiare consapevolmente a questo proposito. Fagli sapere che devi svolgere il tuo lavoro, nonostante il disagio che potrebbe causargli.

In secondo luogo, sembra implicare che la tua azienda faccia pressione sulle persone per annullare i piani di vacanza in determinate circostanze. A seconda della situazione, dovresti incoraggiare questo ragazzo a parlare con la direzione e provare comunque a prendersi le ferie, oppure rimproverarlo per aver pianificato quando la situazione ovviamente non era permissiva.

Questo ragazzo lo è forse devastato, e l'ultima cosa di cui ha bisogno è che tu sia più santo di te riguardo alla situazione. Metti in chiaro che non manterrai la questione segreta e poi mostra un po 'di compassione; prova a discuterne un po 'con lui per risolvere il suo dilemma. Se appropriato, porta il problema all'attenzione del tuo manager e / o del suo. Prendi in considerazione l'idea di fare scherzosamente un "accordo" con la direzione che rivelerai questa vulnerabilità se promettono di non interrompere i piani di vacanza che sono già in atto, ma non essere troppo serio al riguardo e certamente non non effettivamente trattenere le informazioni in nessuna circostanza. Sei in una posizione unica che potrebbe permetterti di aiutare questo ragazzo; pensa attentamente a come puoi aiutarlo al meglio senza compromettere la tua etica del lavoro.

Sai una cosa, farò un ulteriore passo avanti. Parli alla direzione della vulnerabilità. Periodo. Questo è il tuo lavoro ed è molto importante.

Il tuo vero dilemma dovrebbe essere se dire loro che voleva che fosse coperto perché si tratta di una serie di priorità ingegneristiche seriamente confuse. Dopo tutto, come fai a sapere che non conosceva il problema in primo luogo? Se è la prima volta che manifesta un comportamento del genere, ponigli il tuo dilemma in questi termini per dargli un controllo di realtà.

"Stai rischiando non solo il mio lavoro o il tuo lavoro, ma il lavoro di tutti per i tuoi programmi di vacanza? Dimentica di mantenere segreta la vulnerabilità. Perché non dovrei dire loro che abbiamo un ingegnere le cui priorità sono così infrante da rappresentare una responsabilità aziendale in corso che minaccia tutti i nostri mezzi di sussistenza qui? "

Ma se ha già fatto cose del genere, è tempo che la direzione lo sappia prima che tutti si facciano male. Le cancellazioni di ferie possono essere compensate e i piani possono essere rifatti. Non è certo un buon motivo per mettere tutti a rischio.

Come quasi tutti gli altri hanno detto, non dovresti davvero nascondere la situazione nemmeno per minuti, soprattutto perché è tuo compito testare l'applicazione ... e soprattutto perché è un argomento così serio come le vulnerabilità. Poiché la richiesta del tuo collega è a livello personale, quello che potresti fare è aiutarlo allo stesso livello immagino. Se questa persona è così degna di essere aiutata che hai considerato di mettere i suoi interessi al di sopra di quelli del tuo datore di lavoro, forse puoi aiutarla risolvendo le vulnerabilità per loro nel tuo tempo libero, se possibile. Se non puoi o non lo vuoi, il meglio che puoi fare per la persona è dirgli il prima possibile che segnalerai le vulnerabilità, in modo che possa capire qualcosa e cambiare i suoi piani se necessario . Immagina se ti lasci sfuggire, quali sono le possibilità che il codice venga corretto una volta tornati dalla vocazione?

Questa era la parte etica (e ovvia), ora la risposta del mondo reale è decidere da solo se sei disposto a prenderti la colpa e scommettere il tuo lavoro per il ragazzo (sicuramente non ne vale la pena), considera le possibilità, nessuno qui sa esattamente come funzionano le cose sul tuo posto di lavoro.

Dalla tua domanda sembra che non ti stia solo chiedendo di ritardare le tue scoperte fino a dopo le vacanze, ma di "evitare" di trovarle del tutto. In questo modo non stai solo mettendo a rischio te stesso, ma l'intera azienda, inclusi tutti i tuoi colleghi. Il rilascio di software con vulnerabilità di sicurezza potrebbe danneggiare irreparabilmente la reputazione dell'azienda. Se questa persona ritiene che il software del suo team non sia adatto allo scopo, deve alzarsi in piedi e quindi, non metterti in una posizione difficile.

Vorrei andare dal tuo manager o direttore e dire che ti senti male. Sei davvero in una brutta situazione. Hai scoperto questa roba. Ma non vuoi mettere X nei guai. Ma non vuoi lavorare con i segreti. Non voglio davvero mettere X nei guai, cosa dovrei fare.

Quindi lascia che sia il management a occuparsene. Ecco perché ottengono un sacco di soldi. Sono spesso più propensi ad adottare un approccio diplomatico, considerando il quadro generale a cui tengono e il modo in cui questa questione si collega a questo. Allo stesso modo in cui la direzione deve spesso lasciare che i propri dipendenti facciano le loro cose senza micro-gestione, anche i lavoratori devono lasciare che la direzione faccia il proprio lavoro in questa materia.