2017-05-04

2ヶ月前にGMO-PGさんが受けた不正アクセスの調査報告書が出てたので、読んでみた。 …所感だけ。 専門家アドバイザーが少し偏り気味でないかい？と思ってたり。 実は結論が少々偏ってたりするなぁ（間違ってるわけではないけど、方向性が偏ってるという意味）…と思っていたのだけど、再発防止委員会の構成を見て納得。 3/10 2:15にインシデントが発覚し、公表が同日18:22に行われている。 関係各所の調整も含めて16時間で公表というのは、個人的な所感では超高速だと感じる。 3/9 18:00にヤバさを認識し、同日21:56にWAFによるブロックを開始したのはGood。 ヤバさを知覚してから対応に入るまでの速度が高速なのはいいのだけど、脆弱性が公開された時刻からGMO-PG側で脆弱性情報を確認し、ヤバさを知覚するまでの時刻に開きがありすぎというのがヤバい。 簡単に脆弱性公開からGMO-PGさん対応

[toro-chan]

セキュリティコードを保存する際に、注意深く設計すべきなことぐらい、底辺プログラマの私でさえ知ってるのに、なぜ現場のプログラマがセキュリティを知らないことになってるのだろう。。。

[mkusunok]

深刻度の認識に時間を要したところ、似たような問題は他でも起こり得る、というか実際に多いんだろうと思う。実際に回る再発防止策を立てるって本当に難しいんだよね