作者redDest (红油)
看板Soft_Job
标题[讨论] 人在高山跟大树下乘凉，做了个梦
时间Sun Jul 28 17:20:08 2024
帮人代PO
我不会写程式
以下正文
--
朋友最近天气热，跑到山上的树下睡觉，梦到一些事情，希望版友们帮忙解梦。
梦里那里标榜自己资安没问题的金融公司，背後的一些「有趣」现象。
这些公司常常挂着 ISO 27001 的证书，彷佛这样资安就没有问题。
然而除了防火墙管得紧，内部的权限管理却是一团乱。
很多伺服器就像拥有无敌星星一样，什麽权限都有。
最高机密的专案文件，竟然可以被轻易上传到一个非常知名的开源平台上。
结果等到该平台通知才发现，公司因此紧急封锁整个平台，工程师们一夕之间回到解放前
。
另外，在跟外部厂商签合约时，却常常出现保障不足的问题。
结果变成乙方厂商说了算，公司一点主导权都没有，厂商一拖二闹三摆烂。
朋友梦到这里就吓醒了，现实不可能有这麽夸张的事情吧？
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 36.236.153.108 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Soft_Job/M.1722158410.A.28B.html
1F：推 neo5277: 放眼望去这个业界有很意外吗？07/28 17:28
2F：推 WWIII: 感觉就台商日常07/28 17:30
3F：推 Smallsh: 什麽!07/28 17:37
4F：推 abc21086999: 台商意外ㄇ07/28 17:39
5F：→ nh60211as: 防火墙管得紧怎麽上传到知名开源平台07/28 17:52
6F：推 kimi112136: 连线到各机器的防火墙规则一大堆，但是出去的规则少07/28 18:01
7F：→ kimi112136: 的可怜07/28 18:01
8F：推 za755188: 防火墙管的紧也不会挡port 443 outbound吧07/28 18:05
9F：推 hermithsieh: 其他中小企业…07/28 18:05
10F：→ za755188: 不知道资安做的好的怎麽挡这种07/28 18:06
11F：→ fgh81113: 机器又没说不能带回去 07/28 18:12
12F：→ lazarus1121: 都要透过proxy对外吧，还要有白名单才给过07/28 18:13
13F：推 mercurycgt68: 人家好心通知 你用封锁报答QAQ07/28 18:18
14F：推 wulouise: 怎麽我一点都不觉得鬼故事，啊台商都这样啦07/28 18:20
15F：推 OyodoKai: 做金融的资安这样 我吓死了QQ07/28 18:21
16F：→ sniper2824: 这需要梦吗 不是大家都知道？07/28 18:28
17F：推 ikachann: 我只知道做金融的要资料没资料 很多东西都要通灵 要个东07/28 18:36
18F：→ ikachann: 西也要很久才会回覆，但是死线一点都不给你拖07/28 18:36
19F：→ abc0922001: 正常阿，金融业又不是软体资安业，主管大概都不懂07/28 18:38
20F：→ superpandal: 这个简单 outbound绑ip就可以了 预设全封 会linux即07/28 19:52
21F：→ superpandal: 可07/28 19:52
22F：推 ruthertw: 玉山可是有鬼岛112伟大叫兽在规划和布局，你什麽咖敢嘴? 07/28 19:56
23F：推 ms0443001: 中小企业日常…疑07/28 20:02
24F：推 tsaigi: 银行这样算普通了 我去中小里面更恐怖07/28 20:37
25F：→ airtsubasa: 台商？不只吧 等稽核到而已07/28 20:41
26F：推 jack529: 台商等级资安 不意外07/28 20:58
27F：推 kurtsgm: 把文件commit到github喔? 但也不至於变成开源吧07/28 21:12
28F：推 pilor: 台湾甲方就是个joke07/28 21:14
29F：推 kurtsgm: 最後一段我反而很意外07/28 21:14
30F：→ kurtsgm: 银行会被乙方压着打? 我是不太信 除非这乙方很大尾07/28 21:15
31F：推 nayeonmywife: 甲方不熟程式就会被乙方主导07/28 21:23
32F：推 OyodoKai: 真的 签约的时候没签好保固条款 厂商甩也不甩07/28 21:25
33F：→ OyodoKai: 台湾乃至全世界的乙方都便宜行事 那个技术债很可怕 07/28 21:26
34F：推 NDark: 钱若不花在教育 就会花在监狱 这点在甲方也成立07/28 21:28
35F：→ NDark: 甲方以为把成本外部化可以把责任都推给乙方自己不养技术人07/28 21:29
36F：→ NDark: 结果遇到问题自然会被人绑架07/28 21:29
37F：→ ssccg: 防火墙MITM 443 port很普遍好吗，只是显然没串好DLP07/28 21:48
38F：推 kimakist: 大树守卫者！07/28 22:24
39F：→ BoXeX: 我也不太相信银行甲方会被乙方主导 很久以前当乙方07/28 22:26
40F：→ BoXeX: 说多难搞就有多难搞07/28 22:26
41F：→ BoXeX: 除非说 有那种状况 恩07/28 22:26
42F：推 johnbill: 传到github... = = 连我不在民间企业都有自己gitlab07/28 22:36
43F：推 WaterLengend: 还有被乙方玩整个资料被干走不还的勒07/28 22:43
44F：推 dalbuhr: 他们面试不是不容易吗？ 07/29 01:04
45F：嘘 BlueBird5566: 看看就好，不要乱上车07/29 01:09
46F：→ BlueBird5566: 前面才一串讲高山大树在带风向07/29 01:09
47F：→ BlueBird5566: 这篇又突然要讲高山大树，好像别家银行都没这些问07/29 01:10
48F：→ BlueBird5566: 题一样，这针对性太强07/29 01:10
49F：→ BlueBird5566: 有待过乙方就知道了，那几家金控都很跩的07/29 01:11
50F：→ VL1003: 签约没签後续保固，本来就不会甩你阿，当初怎麽验收过的07/29 07:09
51F：→ VL1003: 然後乙方能够跩到不甩银行业我也不信，这行业背後哪有几07/29 07:14
52F：→ VL1003: 家乙方惹得起，而且看案子，有些原厂也会进场压好吗…07/29 07:14
53F：推 lilicoco520: 多年前遇过某家银行被乙方牵着走，出问题只能坐等厂07/29 07:32
54F：→ lilicoco520: 商午休回来，还要低声下气求帮忙。还听过拿不到code07/29 07:32
55F：→ lilicoco520: ，只能通灵的…有些事情不用太意外，进去前多问问 07/29 07:32
56F：→ lilicoco520: 内部不熟就很容易被乙方主导07/29 07:34
57F：→ wuyiulin: 台湾资安不意外。07/29 09:36
58F：→ wuyiulin: 然後我是不太信大树不懂技术啦，他们在101附近养了一批07/29 09:37
59F：→ wuyiulin: 大树守卫。07/29 09:37
60F：推 neo5277: 数数发的确很大树守卫呵呵呵07/29 09:40
61F：推 za755188: 但除非不准用 GitHub 不然outbound绑ip 也没用啊07/29 09:49
62F：→ za755188: 不知道怎麽防把不该上传的东西放上去07/29 09:50
63F：→ Xunion: 这不用梦吧 大家都知道07/29 10:12
64F：推 Suleika: 大树不是银行头了还这麽离奇 不敢想其他间...07/29 10:27
65F：推 Goldx5: 台湾资安不意外？你以为只有台湾这样吗07/29 10:27
66F：→ bill0205: 前几年不就有大树的鬼故事 虽然跟这些无关 07/29 10:34
67F：推 kcjgg: 博弈的资安做得可能都比这些银行还好07/29 11:17
68F：推 atpx: 除了上传那段细节太少外，被厂商绑架是银行常有的事。没被07/29 12:35
69F：→ atpx: 绑就是厂商不够大而已。IBM微软就跩得很07/29 12:35
70F：嘘 ccvs: 这谁不知道？07/29 13:14
71F：→ superpandal: 防火墙可以每台不一样 而且东西放github上本身就不是07/29 13:28
72F：→ superpandal: 好主意07/29 13:29
73F：嘘 h22349: 一听就是菜逼吧的工作态度07/29 14:23
74F：嘘 h22349: 公司在动态发展过程中，出现异常，就是修正，外商跟台商07/29 14:25
75F：→ h22349: 都一样，你应该没跟很多超大外商合作过。 还在这里批评给07/29 14:25
76F：→ h22349: 你钱的公司，而不去修正问题07/29 14:25
77F：→ h22349: 看到，真的是翻白眼，公司请到这种人真的衰07/29 14:27
叫我代po的人说：
我曾在全台前十大软体公司任职
各大外商都合作过
你的回应一看就知道没待过金融业甚至科技业
公司体制不是说改就改
这座象牙塔只能等事情发生才会有动作
※ 编辑: redDest (39.14.8.104 台湾), 07/29/2024 14:51:11
78F：推 popo81823: 如果是正式机的资料，那确实蛮屌的 07/29 15:53
79F：→ Lordaeron: 不等发生了，请问效益你要怎麽报？ 07/29 15:55
80F：→ Lordaeron: 你要给股东胶袋的。 07/29 15:55
81F：推 kurtsgm: 一颗小螺丝想要修正公司是不是有点异想天开啊….更何况 07/29 15:57
82F：→ kurtsgm: 是银行 真的别闹XD 07/29 15:57
83F：→ lazarus1121: 不过你朋友说故事的方式真的不像待过10大软体公司 07/29 15:59
84F：→ sjr500: 应付应付，出包再补 07/29 16:06
85F：推 menShow: 说个笑话 iso 27001 懂得就懂有多好笑~ 07/29 16:48
86F：推 realkim: 27001搞假的？ 07/29 17:21
87F：推 ccvs: 叫你代po的人发言有够草，觉得自己很行的语气是怎样？？ 07/29 17:23
88F：嘘 ccvs: 真的快被恶吐了 07/29 17:26
89F：推 OyodoKai: ccvs是银行HR吗...? 怎麽可以气成这样 07/29 17:31
90F：嘘 h22349: 不用太较真，这种工作态度，社会自然会给他应有的待遇 07/29 17:32
叫我代po的人又说：
这社会对我挺好的
给我同年纪PR99的薪水
建议您这样天赋异禀的人
来改善台湾的金融业
91F：→ yoyoyolin: 这年头网路资讯比以前透明不少，现在年轻人往科技业跑 07/29 18:00
92F：→ yoyoyolin: ，银行剩一堆学店、老弱残兵，偶尔出包真的不意外，谁 07/29 18:00
93F：→ yoyoyolin: 叫你薪水鸟比不了科技业。 07/29 18:00
94F：→ MoonCode: 通常讲四大就是成大 讲十大是什麽呢 07/29 18:33
※ 编辑: redDest (39.14.8.104 台湾), 07/29/2024 18:47:16
95F：推 mathrew: 很意外吗？ 07/29 19:16
96F：→ mathrew: 27001就是搞假的，因为我就是公司ISMS主秘 嘻嘻 07/29 19:17
97F：→ Killercat: 防火墙管太紧，很多东西都编译不了啦... 07/29 19:51
98F：→ Killercat: java还能自己架nexus，go的话自己搞vendor我看谁先抓狂 07/29 19:54
99F：→ Killercat: 更不用说一堆冷门的如CMake Conan根本无解 07/29 19:55
100F：→ Killercat: 另外在高山跟大树声称PR99喔，不知道是真的高处不胜寒 07/29 19:56
101F：→ Killercat: 还是单纯是井口太小? =_=a??? 07/29 19:56
102F：→ Killercat: 我是比较愿意相信是高处不胜寒啦.... 07/29 20:06
103F：推 nelley: 这算日常不算鬼故事。 07/29 20:41
104F：→ cylee: PR99 这两间有 Quant 的职缺喔?!! 07/29 20:52
105F：→ Lomonosov: 所以前十大是哪几间啊 07/29 20:57
106F：→ Ekmund: 主计处统计不分产业学历的PR99吧 07/29 21:51
107F：嘘 kirin021: 不了解贴这种文有什麽价值，不爽就离职好吗 07/29 22:33
108F：→ Freckle319: 高山大树PR99 XDD 07/29 23:38
109F：→ brucetu: 高山大树在软体业是不是只有PR30左右 07/29 23:42
110F：→ viper9709: 大树守卫www 07/30 00:19
111F：推 tony316: 说个笑话，我遇到很多从山上来的跟从树洞走出来的，都笑 07/30 02:03
112F：→ tony316: 而不语 07/30 02:03
113F：推 qazwsx12: 银行不是都不重视it吗 07/30 08:07
114F：→ shadow0326: 前半段没什麽好惊奇的 最後一段不要瞎掰好吗 07/30 12:49
115F：推 ppc: XD~ 07/30 14:35
116F：推 Bujo: 我做梦梦到，他兄弟的银行跟子公司也是半斤八两 07/30 15:45
117F：推 wulouise: 全产业PR99要多少？年薪100万吗？ 07/30 20:42
118F：推 holebro: 常有的事 07/30 20:59
119F：→ superpandal: 直接mirror就好 07/30 21:59
120F：推 disk249: 台商日常 07/31 01:18
121F：推 pkro12345: 一堆标榜最高资安结果只是用了https 真的就主打那s 07/31 08:03
122F：推 Bujo: 银行业的IT主管都没有IT专业 07/31 15:00
123F：→ ssccg: 防火墙管太紧，很多东西都编译不了? 07/31 16:14
124F：→ ssccg: 金融业用离线编译是基本吧...管你用啥tool都要手动抓回来 07/31 16:15
125F：嘘 h22349: 看一次嘘一次，拿公司钱 批评公司 07/31 21:14
126F：推 w28103566: 用劳动力交换的有啥好不能批评？？又不是送钱给他 08/01 12:03
127F：嘘 starburs: 台湾前十大是哪十大？有回答补推 08/01 14:09
128F：→ bndan: 国外不敢说 但台湾公司不都这样? 2种极端 一种是锁的很死要 08/01 16:03
129F：→ bndan: 做事要先过五关斩六将才能开始 2.没有管也没能力管 都是形 08/01 16:03
130F：→ bndan: 式主义 功能就是出事了能有东西吵嘴跟归纳责任... 08/01 16:04
131F：→ bndan: 一般小公司发展可能一开始理想都很丰满 但随着一路慢慢扩大 08/01 16:04
132F：→ bndan: 现实就会变的很骨感 变成1或2.. 08/01 16:05
133F：推 lukelove: 靠北 评不得喔 这里软体版 让大家选工作的时候了就一下 08/01 16:36
134F：→ lukelove: 不行？ 银行鬼故事靠北多又不是今天才知道 08/01 16:36
135F：嘘 pttano: 该平台可以主动search 用户的资料内容？ 08/01 21:07
136F：推 cplusplus426: 日常 08/03 06:54
137F：→ adsl12367: 跟你说还不止这两个 08/04 11:42
138F：→ adsl12367: 这根本日常 待过都知道 08/04 11:42
139F：→ asdfghjklasd: 台湾的日常..邮局也一样 08/05 15:53
140F：推 ren740719: 现在公司在搞27001，确实是搞假的没错 08/06 16:47
141F：推 TAKADO: 大部份是乙方被剥削吧，多的是要求最高规格资安规范，最现 08/07 13:29
142F：→ TAKADO: 代化架构，然後只给香蕉价，一条一条需求拿出来过人日评估 08/07 13:29
143F：→ TAKADO: 完再砍一刀，8折做不做，不做我找别家，在台湾敢跟跟金融 08/07 13:29
144F：→ TAKADO: 业甲方大小声的应该一只手数得出来。 08/07 13:29
145F：推 albertwi: 99%的台湾乙方为了拿案子，就算免钱也要想办法不要变踢 08/09 09:23
146F：→ albertwi: 出大甲方吧…台湾的乙方现在多到每年都有新的乙方出现 08/09 09:23
147F：→ albertwi: 抢案子抢人，变成老乙方的人力流失也愈来愈快(但个人觉 08/09 09:23
148F：→ albertwi: 得不见得是坏事) 08/09 09:23
149F：→ albertwi: 待过乙方就知道大甲方主管比自家公司老板还大 08/09 09:24
150F：→ TqpT: 这些甲方只会压小乙方，遇到比自己大的乙方还不是摸摸鼻子 08/10 01:03