彬兄雑記帳

　これの話

　Twitter使ってないのでtogetterの読み方がさっぱりわからないので、コメントからの憶測になります。
　それ違うよって話があればコメントで突っ込みいただけると幸い。

だいたいの流れは以下のようになると理解してます

1. 稼働中のシステムについて、どうも作った連中がいい加減だったことがあとから判明
2. このため、セキュリティ的にまずいところがないか別の外注にテストを依頼し、巫女SE氏がアサインされる
3. テストの結果、クレカ情報やパスワードなどの漏洩したら会社が飛ぶレベルの情報がDBに平文格納され、しかもSQLインジェクションで簡単に攻略できる状況であることが判明
4. 巫女SE氏がクライアントに状況を報告、一刻も早く対応が必要であることを説明
5. 結局クライアントからは理解を得られず、半月後に対応の必要性について検討すると回答される
6. 巫女SE氏がtweet開始、越権行為承知でデータを退避してシステムをシャットダウン
7. システムダウンを確認したクライアント専務が警察を呼ぶ
8. たまたまtweetを見ていたクライアント社長のとりなしでとりあえず事なきを得る
9. システムの責任者に連絡をとろうとしたところ、追い討ちでSAN値削られるような事実が続々発覚←今ココ

　以下の見解は上記認識を前提としています。

　エンドユーザーへの影響を考えると、結果論としてはかなりベストに近い対応だったということになるのかな。
　本来であれば、事前に3のような状況である可能性を考えて緊急対処の手順と責任範囲を定めておくべきなんだけど、まずそれができていないことに問題がある。できていたら5のような事態にはならないはずで、この時点でクライアントサイドの認識が甘い。ただ、真っ当な認識であればそもそも1のような事態にならないわけで、事前に想定可能な範囲だったのかもしれない。いずれにせよ、ここまでの状況は巫女SE氏個人の裁量で何とかなる問題ではないので、とりあえず事実として受け止めるしかない。

　結果として巫女SE氏は6の行為に及ぶわけだけど、ここで論点になっているのが「越権行為の是非」「tweetの是非」の2点。
　まあ、越権行為の是非については他に手段があったかどうかが情報が足りないのでわからないので保留。例えば、派遣元の上司に掛け合って偉い人(この場合クライアントの社長)に連絡を取るなどの方法があったかもしれないし、本当に他に手がなかったかもしれない。
　そして、tweetの是非だけど、最終的にはtweetしていたことで事なきを得たわけだから、結果論としては正解だったといえるのではなかろうか。tweetせずにシステムを停止していれば普通に警察に逮捕されていて、最悪脆弱性放置のままシステムが再起動され、情報流出に至っていたかもしれない。ただ、本来であれば業務状況をtweetするというのはあまり褒められた行為ではないのは確か。

　それと、半月放置しても情報流出に至らなかったかもしれないという可能性、およびすでに情報が抜かれている可能性について考えれば、結果論での是非も怪しいところではある。
　とりあえず、得られた成果として「脆弱性が発覚した段階で速やかにシステムが停止された」という事実が残る。この結果を「クライアントの顧客」がどう判断するかで結果論での是非が決まるのではないだろうか。ちなみに、私個人がクライアントの顧客だったと仮定して判断すると、システム停止の判断自体は英断だったと評価するだろう。致命的な脆弱性が発覚した時点で即システムをとめるがクライアントが本来とるべき対応だと考えるし、その判断が外注の独断だったのか会社の判断だったのかはさほど大きな問題ではない。ただし、システムダウンによる損害自体は別に補償を求めると思うが。

　今回の件を教訓とするのであれば、5のような事態をいかにして防ぐかを考えるべきだろう。
　ちなみに、6の対応の是非については結果論でしか評価できない以上、今後の参考にすべきではないと思う。

追記：
パスワード平文格納とか言ってましたが、実際はもっとひどい状況だったそうな。
具体的には
ユーザーAがAAAというパスワードを設定し、ユーザーBがBBBというパスワードを設定していると、ユーザーAはAAAでもBBBでもログインできる状況だったとのこと。
コード的には入力されたユーザーIDとパスワードに対して、それぞれ1件以上ヒットしたらログインでき、ユーザーIDとパスワードの紐付けは見ていないという……。
つまり、SQLインジェクションとかハッキング技術を使う必要すらなく、素人でも他人のデータ(含むクレジットカード情報)が見れる状態だったと。
そら、止めるわ。明らかに個人情報保護法の管理義務違反で、これを放置することは犯罪の片棒担ぐのとほぼ同義語じゃないか。