呑んべえ柴やんのセキュリティABC

情報漏洩を防ぐ大人の嗜み

Web制作を依頼した人受けた人そして利用した人全員が怒った不幸話

f:id:BighelpSecurity:20150523160443j:plain

毎日投函されるたくさんのチラシにウンザリしていますが、ある住宅販売チラシにふと目がいって。2LDKで駅近だけど築うん十年のマンション、リノベーション済みで内装美麗!

なるほど確かにキレイそうだな、
でも住んでみたら建物や共用設備の老朽化とか将来的に安全性は大丈夫なのかなと思いながらリサイクルカゴにそっと置いてみた柴やんです。

さて新規やリニューアルを問わずウェブサイトを立ち上げることはごくごく一般的な事になっていますが、物販サイトの制作案件絡みで起こった悲劇のお話です。

本日の大人の嗜み

SQLインジェクション等のWebアプリケーション対応含め広く注意喚起されているセキュリティ対策を知っておかないと利用者、発注者そして受注者の全員が不幸になる

ポイント解説

・受注者はデザインやレイアウト設計の専門家としてだけではなく、サイトの安全品質にも気遣い、経産省IPA等の関係機関が注意喚起しているセキュリティ対策を把握し実装を前提とした顧客への提案姿勢が大切

・発注者はセキュリティ対策は素人だからと開き直らずに一般的に問題になっている情報漏洩対策について受注者に確認する意識を持つ事が大切。ネット上の事務所あるいは店舗に相当するウェブサイトの管理運営責任について他人に押し付けることはできないから。

さて具体的な事例として昨年1月の判例について解説している記事をご紹介します。

紹介記事で参照している判例のポイントは受発注者間で特に相談もしていなかったセキュリティ対策の不備について、地裁の判断として専門家として然るべきセキュリティ対策を怠ったという受注者の過失を認定しているところです。

SQLインジェクション対策もれの責任を開発会社に問う判決 | 徳丸浩の日記

記事から読み取れるのは発注者も受注者もセキュリティ対策について意識と理解が十分ではなく、ある程度セキュリティ対策を理解している人ならば驚愕の実態が示されています。

例えば、納入後に顧客に変更するよう申し入れていたとのことですが、管理者権限のユーザIDに「admin」、またパスワードとして「password」を設定していたとあり、これらの文字列は暫定処置だとしても決して使用すべきではありません。

「admin」や「password」を使ってはいけない理由については過去記事にて解説済みですのでご参照を。

またSQLインジェクションクロスサイトスクリプティングなどはWebアプリケーションを対象とした攻撃手法として認知されているものであり、もはや知らなかったでは済まされないレベルです。

さらに、ログファイルに顧客のクレジットカード情報が示されていたり、データベースに保存されたカード情報には、本来保存が禁止されているはずのセキュリティコード(クレジットカードの裏面に記された通常3桁の数字で所有者を確認するものでCVCやCVVとも呼ばれる)まで保存されていたという状態です。
これらの行為は特に知られたくない情報を管理する方法としては非常に不適切といえます。

もちろん、あまりセキュリティ対策に詳しくない立場にしてみれば、いわばセキュリティの常識なんてわかるはずないじゃないかというご意見、ごもっともです。

しかし、分からない事を自覚しているなら、ましてや対象が物販サイトなら、制作を依頼する前にウェブサイトの情報漏洩原因をググって発注者の立場から要点を把握するとか、運用前(納品チェック)及び運用後定期的に脆弱診断サービスを活用してウェブサイトの健康診断を行なうとか、さもなくば日頃から気軽に相談できる第三者的立場のセキュリティの専門家を確保するようにしているのでしょうか。

さて最後にWebアプリケーションのセキュリティ対策リソースの一例を示します。
Webアプリケーションのセキュリティ対策において、もはや常識といっても過言ではない情報です。

IPA独立行政法人 情報処理推進機構)が提供している「安全なウェブサイトの作り方」


・徳丸浩 「体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践」


※通称!?「徳丸本」で通じるWebアプリケーションのセキュリティ対策を解説した書籍であり著者は上記で紹介している記事を書かれた方です

まとめ

ウェブサイトの目的が美しい色使いや使い勝手の良さではなく、長きに渡り集客に貢献し訪問者が安心して滞在できる事ならばセキュリティ対策は重要で不可欠である。
当事者としてまた支援する側としてお互いがウェブサイトの安全を確保する意識と実践そして管理できる力を培おう


さて梅雨時期に備えて頼んどいたジンが届いたので、少し早いけど今夜はライム搾ってソーダ割りと決心している柴やんです!? また来週!