V.S.A. III

セキュリティホールを見つけたらキミはどうする？

小野さんの「ITアーキテクト諸君、君は本当に姉歯建築士を笑えるか?ユーザビリティ版」を読んで，12月8日に拝聴したInternet Week 2005 - Security Day の「Webセキュリティに何が必要か？」というパネルセッションの話を思い出した．

モデレータの西本さん(JNSA理事・幹事/株式会社ラック)は冒頭で9つのポイントを指摘していた．

つぎはぎのシステム
大量のプログラム
ちゃんとしたシステムか見分けられない
瑕疵担保責任とセキュリティ問題
第三者(利用者)の脆弱性発見
事件発生時の復旧困難性
事件発生が気がつきにくい
すぐ作れ！安く作れ！
サイトオーナはITを知らない

そして，NTTデータの西尾さんは

「(脆弱性に対して)自分達が発見者となる場合もある．現場では，わかっていて製品をそのまま出してしまうケース：最近の建設業者の偽装問題のようなケース」

も隠れているのではないかと指摘する．

あながち，無いとはいいきれないと思う経験がある．私は昔，ISO9001 の取得後，見つけたバグを即座に直せないという状況に直面したことがあるのだ．ある保守項目にしたがってプログラムを修正するのだが，修正範囲ではない周辺に見つけたバグを目の前にして，一緒に直すことが出来ないということが起きた．これはつまり，修正履歴をきちんと管理するための正しい姿勢なのだが，見つけたバグを直すためには，発見した箇所の報告書を作成し，優先付けを行い，レビューを含む作業履歴を残して修正を行わなければならなかった．等号を不等号にするといったような，たった一文字の修正だったと記憶している．この手続きを進めるのが嫌で，見てみぬふりをしようかと思ったくらいだ．

プログラムの作成現場では，こんなことが起きていないだろうか．バグに限らず，セキュア・プログラミングから外れたコードを見つけても，見てみぬふりをしているかもしれない．あるいは，デバッグコードに脆弱性が含まれていることはチェックしていないかもしれない．トラブル解析のためにデバッグ・フラッグを ON にして運用したとたんに，脆弱性が現れたりするかもしれない．

建築業界では，検査する手続きが決まっているし，少なくとも使用されている技術は，国土交通省で認められたものを使用している．柱や壁の強度は材料とともに基準があるわけだ．受け取る側もそれらの基準に照らし合わせて検証すればよい．しかし，ソフトウェアにはそれがない．情報セキュリティの分野でも何かしらの基準を作ることも可能だが，逆にその基準を満たしてさえいれば，責任から逃れられるという利用方法に流れる可能性があり，政府も慎重な態度をとっているようである．

IT業界にいる我々が姉歯建築士を笑えるだろうか．「すぐ作れ！安く作れ！」というのは，IT業界でも同じだ．Webアプリケーションの構築はビジネスのスピードについていけているのか．本当に品質を確保し，情報セキュリティを考慮して構築されているのか．建築業界で起きた事件は，明日のIT業界の話なのだ．

カテゴリ：情報セキュリティ , 雑感

<< 情報セキュリティガバナンスの施策を公開しよう | Main | JISと国際規格の対応表(3) (JIS X5053 - X5063) >>

いかちょー (2005-12-12 17:00) | コメント(0)| トラックバック(51)

トラックバック(51)

トラックバックURL:

Coctail dresses. - Coctail dresses for summer. (2010年10月17日 13:04)

Coctail dresses. 続きを読む

Free animal sex videos. - Free human and animal sex videos. (2010年10月18日 07:57)

Free animal sex videos. 続きを読む

Travelers insurance. - 21st century insurance. (2010年10月18日 09:08)

Life insurance. Insurance. Small business health insurance. Auto insurance. I... 続きを読む