SQLインジェクション対策もれの責任を開発会社に問う判決

ポイントは下記の通りです。 X社（原告）はセキュリティ対策について特に指示はしていなかった 損害賠償について個別契約に定める契約金額の範囲内とする損害賠償責任制限があった 当初システムはカード決済を外部委託し直接カード情報を扱っていなかった X社が「カード会社毎の決済金額を知りたい」とY社に依頼をして、その結果カード情報をいったんDBに保存する仕様となった（2010年1月29日） X社からの問い合わせに対してY社は、カード情報を保持しない方式に変更することが可能で、そのほうが安全となり、費用は20万円程度である旨を伝えた（2010年9月27日）が、その後X社は改良の指示をしなかった 以下の脆弱性その他が認められた システム管理機能のIDとパスワードが admin/password であった 個人情報が記載されたお問い合わせログファイルの閲覧が可能（ディレクトリリスティングと意図しないファイ

[legnum]

客には「20万の改修放置して1000万損した例ありますよ」上司には「運用でカバーって空手形を信用して3000万損した例ありますよ」と説き伏せる為に生まれたかのような判例

[kibitaki]

技術詳しい人はSQLインジェクションに目が行くようだけど、大事なのはこれが請負じゃなくて業務委託、かつ完成物に対する最終責任は発注側の検収に集約で後は瑕疵担保1年程度という契約定型がブッ壊されたことかと。

[mikihoshi]

判例を受けてまともに対策を盛り込んで見積った企業が、適当に作るとこの見積に負け続けて立ち行かなくなって、結果世に更にアレなシステムが増える可能性はないだろうか……

[ockeghem]

日記書いた / 瑕疵担保期間の解釈について追記しました（22:37）

[Error401]

データベースに、誰でも読める形でセキュリティコード付きのクレジットカード情報を保存する設計にした人が、一番罪が重い。

[studio-m]

「訴訟に耐える体力のない企業は、センシティブな情報を扱うシステムを受託してはならない」みたいな流れにならないかな

[Nean]

“管理機能のID/パスワードが admin/password であった箇所を読んで、しばらく余韻にひたっていた”。

[deep_one]

「管理機能のID/パスワードが admin/password であった箇所を読んで、しばらく余韻にひたっていた」…重要機能は初期パスワードから乱数にしようと心に誓った。／セキュリティーコードを記録した時点でY社を擁護できない。

[Funyapu]

今後開発会社は必ず外部セキュリティチェックを受けてからじゃないと納品すると恐ろしい目にあうってことかな。SQLiに限らず、他にもリスクはあるわけで、その対策は仕様書になくてもするべきってことは…

[terazzo]

既知の主なセキュリティ対策が提案に盛り込んであってそれを拒否していたら発注側の過失100%にできるのかな。

[malmac]

“管理機能のID/パスワードが admin/password であった箇所を読んで、しばらく余韻にひたっていた”

[snobsnog]

グラフィックさんの件に関連してぶくま。

[shutaro]

「経産省およびIPAからの注意喚起」は「専門家として当然はたすべき責務の基準」

[totttte]

クレカ情報こわい…。もし請け負うなら、クレカ情報取得するとなった瞬間に見積もり倍にしてもよさそうだ

[TakayukiN627]

今後は、開発会社は自衛のため、せめて「安全なウェブサイトの作り方」に載っている脆弱性くらいは、顧客から要求がなくても、対策しておくべきでしょう。

[diveintounlimit]

はははまるで笑えない。身に覚えがありすぎる。

[kawamurayuto]

❝1月13日に、北大の町村教授による興味深いブログ記事が発表されました。 この記事によると、SQLインジェクション脆弱性が原因でクレジットカード情報が漏洩した事件につき、ショップ側が開発会社を相手取り損害賠償

[naga_sawa]

基本的なセキュリティ対策は暗黙の仕様/ってことか/その分電話料金みたいに「基本料金（セキュリティ考慮費）」とお値段も積めたらいいんだけど……

[takatoshiono]

SQLインジェクション対策もれの責任を開発会社に問う判決

[mas-higa]

"20万円ケチったために、1,000万円近く損したことに"

[tengaar]

言われていなくても機能に盛り込む必要がある、というのがいろいろきつい

[oqzl]

特定のツールでの脆弱性検査で検出可能だったらアウト、みたいな基準が欲しい…

[laterepj]

日記書いた

[tak4hir0]

SQLインジェクション対策もれの責任を開発会社に問う判決 | 徳丸浩の日記

[amino_acid9]

遠い目をしてそう「管理機能のID/パスワードが admin/password であった箇所を読んで、しばらく余韻にひたっていた」

[kuronama2404]

“経産省およびIPAからの注意喚起が「専門家として当然はたすべき責務」の基準と判断された点に注目したい”

[kamatamadai]

"開発会社側は、採用される見込みが薄くても、自衛策としてセキュリティ対策の提案はどんどんした方が良い" 外部監査も提案しよう

[hagino_3000]

クレジットカード情報を自前DBに保存する仕様変更が31万5千円て。PCI DSSとか完全無視のやっつけ作業価格に見える。

[shodai]

厳しいなぁ。同業者としての感想なのかな

[nkawai]

どっちもどっちだなぁ。

[else]

原告は、20万円の追加対策を指示しなかったことを過失と認定され、過失相殺として損害賠償金額を3割減額されました。20万円ケチったために、1,000万円近く損したことになります。 このことから、開発会社側は、採用され

[chicken22]

家建てたら、ドアは鍵がかからなくて泥棒に入られた。施主から鍵を付けるように指示がなかったから。みたいな感じ？

[tarchan]

タダ働きしろとか無茶すぎる＞セキュリティ対策についてX社からの指示はなかったが、Y社は必要なセキュリティ対策を講じる義務（債務）があり、それを怠った債務不履行がある

[dekaino]

いろいろ香ばしい。かけるべきコストをけちった例。

[ebo-c]

黙祷

[nilab]

SQLインジェクション対策もれの責任を開発会社に問う判決 | 徳丸浩の日記

[reachout]

ザルセキュリティの深淵をそっと覗き込んでしまった・・・稀なケースではなく「よくあるケース」なので本当に闇が深い

[y_maeyama]

発注者・受注者ともにぐだぐだだけど、ちと発注者側が有利すぎる判例が出来てしまったんじゃなかろうか･･･。それはともかくカード情報とか自前管理は絶対しちゃいけないと強く思うなどする。

[iR3]

厳しいな “経産省およびIPAからの注意喚起が「専門家として当然はたすべき責務」の基準と判断された点に注目したい”

[raitu]

経産省およびIPAからの情報セキュリティ対策の注意喚起が「専門家として当然はたすべき責務」の基準と判断された判例。あとソフトのみでもPL法的な製造者無制限責任に近づいた。組込屋としては「ようこそこちらへ」