私「管理サーバの管理者IDとPWって、わたくしは知らないハズですけども、●●と××ですよね？」先方「え……」

Hakushi @hakushi

@pesso 仕様なら仕方ない。

腸が弱い🦖 @pes_so

@teraco 縁を！切りたい！です！！

腸が弱い🦖 @pes_so

@ts_3156 うがーーーーってうなってます（笑）

まなめ @maname

@pesso 開発初期から関わってなければ仕様の理由まではわからないはず。長く使われてるシステムほど有識者の存在が大事になるよね。

まなめ @maname

明らかにおかしい仕様は存在するけれど、その経緯を知ると案外まともなことはある。問題は、仕様書にはその経緯が残らないことだ。有識者がいなくなると「仕様です」としか返ってこなくなる。

H2k @Htok

市販のセキュリティ監査も結構安いのがあるので、そういうのでも使っていればそんなことには……。でもセキュリティ監査の値段が安いとなぜか信用度的に不安になるよね。

H2k @Htok

@maname ベンダー側にその仕様に落ち着いた経緯(の一部)が議事録などの形で残っていることは多いと思います。後任の担当がそれを見つけ出せるかどうかは別の話ですが……

Hakushi @hakushi

仕様ならしようがないな。

腸が弱い🦖 @pes_so

@maname 一番いいセキュリティコンサルタントをたのむ‥

腸が弱い🦖 @pes_so

@hakushi そこは！仕様ならしようがない、って言わないと！！(^з^)-☆

izlz @izlz

@pesso 要件によってはそういう整理の仕方もあったりするけど多分たんなる手抜きなことが多かったり。

izlz @izlz

セキュリティ要件として当然盛り込まれているべきところなのが抜けている場合はやはり明文化するのが自衛策であるのだけどセキュリティ部分にどこまでコストかけてくれるかにもよったり、何事もコスト対効果のところもあるのだけど。

izlz @izlz

でも多分単なるスキル不足だろうねぇ@pesso

腸が弱い🦖 @pes_so

@izlz 結構な大企業（業界内順位ギリギリ100位以内くらい？）なのですが、誰もチェックするひとがいなかったのかと悲しくなります…；ω；

izlz @izlz

@pesso 要件か設計の仕様に載っていない場合は盛り込まないケースもあるかも。社内システムとかの場合。外からアクセスできる場合はNGすぐるけど。証明書まわりとか面倒だったりする場合は。多分その議論がなされずに言ったのだと思うが…

izlz @izlz

ユーザ企業さんにどんな脅威があってどういうリスクがあるか、そしてそれをどう扱うのかをちゃんと説明出来る人は少ないかも。大抵業務仕様の調整がメインになりがちなので。そしてリスク回避についてもコストを可視化するのに意外とコストがかかるというジレンマも。

izlz @izlz

そしてそんな自分のスキルセットが未だ不明、大学ではソフトウェア工学、院で人工知能、仕事で分散処理、CG、そっからIPTV、放送等など。一つにじっくり取り組みたいけど全然だめぽ。今の仕事はほとんど仕様調整、方式検討がメインだし。

腸が弱い🦖 @pes_so

@izlz おぉぅ、そういうものなのですねー…（；；）　実は発注にはほとんど口出ししていない（ウチの社内用の開発ガイドラインだけ作成してたので、それを渡したのみ）なので、もうちょっと口出ししておけば良かったとものすごく後悔中です…おまけに発注したかたは退職したので何が何なのか…；

izlz @izlz

テストについて考える。http://www.slideshare.net/Ryuzee/ss-5985714 テストのことをもっと話したい。

izlz @izlz

@pesso まあ社内なので重大な損害がすぐに出るわけではないと思うけど、脆弱な部分であると思うので対応はしてもらうようにするべきよねー。説得が大変かも知れんけどがんばってー。仕様です、と言われる場合があるかもだけど。

腸が弱い🦖 @pes_so

@izlz さすがにそれは要件の定義にはいってるかと思うので（確認してないのであやしいですが前回は無料で改修していただいた）、がんばってお金かからないように交渉してみます＞＜ｂ