Irgendwie würde ich mal gerne einen Kurs anbieten: "Jemand berichtet mir ein Security-Problem. Was mache ich jetzt?"
Ein Schwerpunkt würde ich auf die Wichtigkeit von Kommunikation legen. Es ist eine blöde Idee, den Melder (der klar macht, dass es auch seine Security betrifft) im Dunkeln zu lassen.
Wir wissen nach 48h nach einer Meldung immer noch nicht "Haben Sie es verstanden?" oder "Sehen Sie den Impact?"
Wir wissen nur, dass der Vorgang ein paar Mal weitergereicht wurde 😄.