Virksomheden var vokset fra fyrre ansatte til knap to hundrede på atten måneder. Udviklingen havde leveret hurtigt og godt, og infrastrukturen var vokset med: nye miljøer til nye produkter, en ekstra cloudkonto, som ingen rigtig huskede at have oprettet, og integrationer til partnere, som havde været presserende dengang.
Ingen havde gjort noget forkert. Billedet var simpelthen vokset fra de mennesker, der bar rundt på det i hovedet.
Hvad vi fandt
Vi kortlagde, hvad der kunne nås fra internettet, og fulgte hvert aktiv tilbage til et team og et formål. Det er den del, de fleste opgørelser springer over, og det er den del, der betyder noget: et aktiv uden ejer er ikke en risiko, man kan handle på, men et spørgsmål, man bliver ved med at stille.
- To stagingmiljøer med rigtige kundedata, indekseret og offentligt tilgængelige
- En administrationsflade på en partnerintegration helt uden adgangskontrol
- Certifikater på seks tjenester, der udløb inden for halvfems dage, uden at nogen holdt øje med dem
- Tre cloudkonti, hvoraf den ene slet ikke havde en navngiven ejer
De to stagingmiljøer havde stået åbne i over et år. Ingen af dem dukkede op i noget sikkerhedsværktøj, fordi ingen af dem stod på nogen aktivliste.
Hvad vi gjorde
Vi vurderede hvert fund efter, hvad det ville koste forretningen, frem for efter en teknisk score, og satte dem i den rækkefølge, teamet rent faktisk kunne arbejde sig igennem. Det akutte blev rettet inden for de første fjorten dage, for det meste af kundens egne udviklere med os ved siden af.
Resten kom ind i en plan med datoer og navne på, og en kort, fast gennemgang sørgede for, at den holdt sig aktuel, mens miljøet blev ved med at flytte sig.
Hvor de står nu
Sikkerhedssamtalen holdt op med at være en liste over åbne spørgsmål, der kom op på hvert bestyrelsesmøde, og blev til én køreplan med en kendt længde. Det betød mere end nogen enkelt rettelse: teamet kunne sige, hvad der udestod, hvorfor, og hvornår det ville være færdigt.