セキュリティ専門家のほうが問題な時もある - CNET Japan
まぁ、この記事が出て大分時間が経っているので、あちこちのセキュリティ系Blogでも色々な意見が出ておりますが……。
これを書いた人の立場(米Oracle社のCSO)という要素を考慮すると「あんたが言う台詞じゃないでしょ」というツッコミに終始してしまうので、あえてそういったフィルタは外した上で、この記事を読んだ上での自分の考えを軽くまとめてみますと……。
---
- 脆弱性の指摘ってのは、ある意味喧嘩と同じ。先に焦れて手を出した方の負けでしょ？特に脆弱性の指摘を行う側は、えらい「根気良さ」が必要ですヨ。どうしても先に手を出し(発見した脆弱性をリークする)たきゃ、「一撃必殺」、確実に相手を打ちのめしてしまう位のインパクトが必要では？
- 脆弱性を発見しようとする人の全員が善(White Hat)でも悪(Black Hat)でも無い(勿論殆どの人が善意で見つけているとは思いたいけれどサ)が、結局その人の行為が「正義だ」「悪だ」と評価するのは当事者外の第三者ではないのかい？
- 「～だから～の筈だ」という「決めつけ」をしている時点で技術者としての資格は無いと思う（つーか、これは自分の信念だし自戒の意味も込めて）。この世に絶対という事は絶対に無いし、やはり「仮説」「考察」「検証」「推論」という「ロジカル・シンキング」こそ技術者唯一の、そして最大の武器だと思います。無論脆弱性を指摘された側も、この考えに甘える事なく、誠意ある、そして素早い対応が求められているって事を忘れてはいけないんだけれどね。
---
結局のところ、一言でまとめると
「セキュリティ技術者は『大人』たれ」という言葉に集約されるような(苦笑)。
国内の場合はIPA/ISECの
窓口を利用するのがベターでしょうね。IPAがワンクッション入る事で、脆弱性を指摘する側とされる側（特に個人対企業のケースでは)のパワーバランスが大分均一化されますしね。
それでも脆弱性が直されない場合？、自分なら「知ーらないっ」と逃げちゃうでしょうね。で、後でそれが公になってしまった場合「あー、あれ程言ったのに」と陰でほくそ笑んでいるかも（笑）。
（これだから「お前は毒っ気タップリなんだ」と会社の上司にまで言われるんでしょうね、ある意味■いですか？(爆))
