あるサイトにセキュリティホールがありました。
当然ではありますが、それを管理している会社さんにご連絡を差し上げます。とりあえず前提を「その会社さんで自分も今お仕事に関わっている」としましょう。
会社さんはこういいます。
「なるほどそれは非常に危険なセキュリティホールですね。ただ、クライアント様に今その分のお金を出してくれと言っても、うちの瑕疵になってしまうので言えないんですよ。でもうちとしても、それを自前だけでまかなってどうこうするというのも如何なものかと思っているんですよ。とりあえず…そのお話は、上の方に通しておきますので。一端、開発陣を含めて、そういったお話はご内密にしておいていただけますでしょうか？」
しばらく時間が経ちます。
「ええ上の方に話を通しまして。どこか比較的大きな改修案件が取れた時にそのセキュリティホールもふさごうと考えているんですよ。なのでそれまでしばらくお待ちいただいてよろしいですかね？」
複数社で、まったく同じラインのお話を頂戴しています。
場所によっては「家族構成を含む個人情報がDBに入っているSQL-Injection」とか。場所によっては「クレジットカード番号を含む情報が暗号化もされずにDBに入っているSQL-Injection」とか。
管理画面が「BASIC認証のみ」なんてのもザラですねぇ。
それらはすべて「会社の都合で」セキュリティリスクが「しばらくの間」持続するそうです。
12月末には起きていたと予測される、農薬の混入した餃子の話。少しさかのぼれば、例えば食品偽装であり賞味期限偽装であり古紙混入比率偽装であり耐震偽装であり。
きっとそれらは「会社の経営上やむを得ない」判断だったんでしょう。
そんなのが「経営」であるのなら。
自分には、会社を「経営」したいだなんて、1ピコグラムほども思えないのですが。
