- ... Даниэль, это просто обычное тестирование разграничения доступа. Ты же эксперт, делай как ты делал в предыдущих проектах , и все!
- Да я в предыдущих как только ни делал. Под этим вот "разграничение доступа и IT-безопасность" может скрываться что угодно, слишком широк термин.
- Ничего там широкого нет: каждому пользователю - свои данные, чужие видеть нельзя. Это и надо проверить.
- Уф. Хорошо. Вот смотрите, передо мной четыре двери. Я беру ключ и проверяю, могу ли я открыть только ту дверь, чей номер совпадает с номером на брелке. Верно?
- Верно
- .... или я беру топор, пытаюсь прорубить дверь и проверяю, смогу ли я вломиться без ключа?
- Ээээ .. и это верно.
- Так ключом или топором?
- Хм. Да, наверное у нас недостаточно информации для решения. У кого-то еще есть мнение по этому вопросу?
Мнений не было.
Вот так полчаса я объяснял, что не понимаю, как проверять защищенность даных, если требования к уровню защищенности не описаны. И надеялся эти требования как-то прояснить.
Но в итоге вместо одного непонимающего (меня) у нас теперь их четыре: я и трое моих собеседников.
Решили следующее совещание , посвященное этому вопросу, провести в расширенном кругу. Пусть все полтора десятка сотрудников на проекте почувствуют себя идиотами - не всё нам же четверым за всех краснеть.