「セキュリティとトレードオフ」について思うこと - 水深1024m「セキュリティと利便性はトレードオフだ」って半分本当で半分ウソだと思う。 少なくともセキュリティ技術を学ぶ上で教わるべき話じゃない。 エンジニアとしてセキュリティに携わるなら、はじめからこっちを立てればあっちが立たないという思考をしちゃいけなくて、 本当に必要なセキュリティレベルを考えながら限界まで利便性を向上させようとするのが正しい考え方じゃないのかな。そういった手段がないなら作るっていうことも当然選択肢には入る。トレードオフ思考が先頭に来てると、いつの間にか内部でコンセンサスをとったり、実装したり、監査したり、そういったコストばかりとのバランスを考えてしまう気がする。 「本当に必要なセキュリティレベルを考え」っていうのが実は一番難しいところだと思うけど。 たまにセキュリティに関わってる人で「僕らの仕事は足を引っ張ること」みたいなギャグみたいなこと言う人いるんだけど絶対違うよね。 適切な
