#FB良品 XSS祭りのその後：技術要素ではなく発言のまとめ

杉山 隆志 @TakaFlight

@aro_take 『＝完璧に安全なサイト』は、未来永劫も考慮して完璧に安全なサイト、とまでは考えていない、が、小職の意図としては正確です。 よろしくご確認ください。

あろＴＡＫＥ！(ときどき執事＆メイド) @aro_take

@TakaFlight ご回答ありがとうございます。私は１サイトの問題ではないと考えています。世の中にはもっと脆弱なサイトもあります。丹念に対策し認識を改め公知していくことは重要です。指摘されている既知の問題を解決することは私は必須と考えます。顧客第一の対応をお願いします。

杉山 隆志 @TakaFlight

@aro_take 認識としては繰り返しになりますが、今後とも運営側としては、ネット上にあるご意見についても、目を通させていただいき、サービス提供側とも共有した上で、顧客さまにとっての十全な安全性のための対策を実施していただくよう、協力していきます。ありがとうございます。

ぴなな（特殊ひきこもり） @piospe

@TakaFlight 強盗・万引きは目で見ることができます。個人情報漏えい・アカウントハックは目で見ることができず、気づくまで時間がかかります。情報セキュリティの脅威を、問題が起きる事象まで待つと、強盗・万引きされ続ける状態が長く続くのと同様です。リスクとして許容するのですね？

ぴなな（特殊ひきこもり） @piospe

@TakaFlight @samoruno @aro_take 「実際に問題が発生してから対応する」のでは、個人情報やプライバシーに関する情報流出という点では手遅れであることは、ご存知かと思います。よって「被害の前例を作ってから対策する」というご認識で間違いありませんか？

ぴなな（特殊ひきこもり） @piospe

@TakaFlight 承知いたしました。「サービスを提供されて運営する側からすると、実際に 事実として 被害が発生するかどうかが重要だと考えております。」　https://t.co/pj7hBSXF　というのは、御社で対応できない以上、待つしかないと思いますがいかがですか？

ぴなな（特殊ひきこもり） @piospe

@TakaFlight 過去のツイートを全て拝見できておらず、こちらの認識も違っていたようで申し訳ありません。先ほどの私の指摘は、現に「問題（懸念）は事実」、実際に懸念のある状態ですので、必要な対応を行っている最中である、または行う予定がある、という解釈で宜しいでしょうか？

あろＴＡＫＥ！(ときどき執事＆メイド) @aro_take

@TakaFlight 恐らくですが「必要があれば対策します」だと不十分でしょう。「必要が無いと判断するんじゃないか？」「そもそも既知の問題だから安全と言う判断は無いはずなのに」が懸念として皆あるはずです。言い訳がましく聞こえちゃうんで「対策を講じます」ではダメなんでしょうか？

杉山 隆志 @TakaFlight

@piospe @aro_take 繰り返しになりますが、「十全な対策のために必要と考えている変更は随時していきます」が回答になります。 未来永劫安全なので、今後何も対策を実施しないと言っているわけではなく、必要な対策は講じます、ということです。

あろＴＡＫＥ！(ときどき執事＆メイド) @aro_take

@TakaFlight その「必要と考えている」を疑われていると思うんですよ。だから「ご指摘いただいた点は真摯に対応させていただきます」くらいにしてはどうかなぁと思うわけですね。未来永劫とか言い訳がましく聞こえるわけですよ。今どころか１０年前が満たせていないので未来ちゃうし。

ぴなな（特殊ひきこもり） @piospe

@TakaFlight @aro_take その点に関しましては同意です。懸念を随時対応いただけるということは、１利用者として理解しました。しかし、その点と、市長の仰る「安全です」というのは。現在「実際に懸念のある状態」なので、矛盾していると思うのですが、見解をお聞きたいです。

杉山 隆志 @TakaFlight

@aro_take なるほど。ありがとうございます。確かにそうですね。その辺は 『今後とも運営側としては、ネット上にあるご意見についても、目を通させていただいき、顧客さまにとっての十全な安全性のための対策を実施』で表現しているつもりなのですが、言葉足らずで申し訳ありません。

杉山 隆志 @TakaFlight

@piospe @aro_take 市長が仰られている安全ですは、検索機能にあったXSS に関しての解決におけるお話ですよね。サイト全体の安全性は常に確保する必要はあるので、必要な対策はとり続けることが重要と考えますし、そこを市長が否定されていることはありません。

ぴなな（特殊ひきこもり） @piospe

@TakaFlight @aro_take お知らせページに関しては仰る通りです。ですが、まだ安全でない箇所も見受けられます。また、「市長の主観で安心」と書くのはどうなのでしょうか？　市長が安全を保障するような文面になっていることを、ご認識いただければと思います。

杉山 隆志 @TakaFlight

@piospe @aro_take 繰り返しになりますが、サイト全体の安全性の対策はとり続けることについて市長が否定されていることはありえ無いということをお伝えしておきます。

ぴなな（特殊ひきこもり） @piospe

@TakaFlight @aro_take 御社、市長、共に、安全性の対策を継続するということは理解しました。私は、お知らせページで、「誰が」「何を」「保証する」のか？　聞きたいのです。現状ですと、「市長が」「安心して利用できることを」「保証している」記述なので指摘してます。

ヒルクライムねこ🚲彡 @mkohno323f

あぁ、ノーガード戦法を高らかに宣言しなくても……阿呆か。 RT @TakaFlight: @aro_take お伝えした通りです。サービスを提供されて運営する側からすると、実際に 事実として 被害が発生するかどうかが重要だと考えております。その点についての問合せの回答が

杉山 隆志 @TakaFlight

@323f_PRM ノーガードでは無いのですが(^^ゞ

ヒルクライムねこ🚲彡 @mkohno323f

@TakaFlight もし被害が出たらそれなりの対処をするのでしょう？

杉山 隆志 @TakaFlight

@323f_PRM 質問の意図がわかりかねますが、このサイトに限らず、問題が発生した場合には、当然その責務に応じた責任と対処が発生すると考えております。

ヒルクライムねこ🚲彡 @mkohno323f

@TakaFlight そうですね。そして責務や責任というものの範疇は、一方的な視点だけで決まるものではないということも当然ですよね。それだけです。

とど甚兵衛＠うわばみのなか @todo_zinbei

@TakaFlight つまり、あなた方の「安全です宣言」というのは、あなた方が「事実」として明確になっているか確認できているものだけを検討して出している、でよろしいのでしょうか？（はい、ｏｒ、いいえ、でお答え頂ければ嬉しいです）

杉山 隆志 @TakaFlight

@todo_zinbei 我々が「事実」として明確だと考えているかどうかを問題にはしていませんので、そのご質問であれば『いいえ』です。情報セキュリティの観点からのご疑念は今後とも是非ご呈示ください。我々としてはその疑念も含めて、サービス提供元と共有し、真摯に対応させて頂きます。