誰がシステムのセキュリティを“大丈夫”にするのか：Security&Trust ウォッチ（57）

» 2009年04月30日 10時00分公開

　「セキュリティは大丈夫なようにしておいてよ」

　開発を依頼するときに、こんな言葉を交わしていませんか。開発会社は開発のプロなんだから、セキュアなシステム構築のことも熟知しているし、任せておけば大丈夫……果たして、それで本当に大丈夫なのでしょうか。

開発会社はセキュリティなんかにかまっている余裕はない？

　これまで、いくつかの開発会社やその現場を見てきましたが、その中にはセキュリティのことをあまり考えていない開発会社もありました。そういった会社は、セキュアなシステム構築への取り組みを会社として何もしていなかったり、セキュリティのことは設計者やプログラマの個人的なスキルに依存していることもしばしばです。

　中には「セキュアにシステム構築なんかしている場合じゃない」と社長自らが述べている開発会社もありました。セキュリティにはコストがかかるし、特別なスキルが必要という先入観からなのか、セキュリティのことは一切考えないという思考停止の状態に陥っているようにも見えます。

　そのような会社は、“何かが起きる”確率が小さいと考えているのかもしれません。もしセキュアな開発ができたとしても、明確に競争力があり、もうかるわけではない、というのが本音なのでしょう。

　その会社には提案力などはあったので、“何かが起きる”その日までは、コストが低い開発会社としてやっていけるのでしょう。しかし、セキュリティ対策をしないリスクを、顧客が本当に納得しているとは思えません。

セキュリティの問題は無償で修理してもらえるか

　システムにセキュリティ的な問題が起きたとき、サービスを停止したり、システムの修正が必要になります。開発の要件に、明確にセキュリティ要件が含まれていなかった場合、そのコストは誰が持つことになるのでしょうか。

　瑕疵（かし）担保期間内であれば、無償で開発会社に修正してもらえるでしょう。開発会社との力関係にもよるかもしれませんが、追加コストを支払い、修正対応する場合もあるかと思います。しかし、サービスが停止している期間の補償まで受けられることは少ないでしょう。

　運用開始後にビジネスの問題とは別の理由で売上が減ったり、追加コストが必要という不確実な要素が残っているよりは、最初からリスクを把握してコストを投じ、セキュリティ対策を行う方が事業への影響が少なくて済みます。そのためにはセキュリティ要件を明確にし、システム発注側と開発側が合意しておく必要があります。