なかけぼ

全部リアタイで見た上で、かなり考えさせられた会見。 そもそも、セキュリティの問題って、構造的にかなり他責になりやすいんですよね。 エンジニアからすると、 ・脆弱性を見つけた ・報告した ・影響範囲やリスクも伝えた ・あとは経営判断でよろしく となるし、これ自体は間違ってないと思う。 ただ、ここには結構大きなギャップがあるんです。 結局、発生確率が数％かもしれない重大な爆弾を、いつ着火されるか分からない状態で事業を続ける、という博打的な構造になってるんですよ。 一方で、経営層からすると、 「発生するかも分からないリスクに莫大なコストをかけても、費用対効果が合わない。なら優先度は下げよう」 という判断になるのも理解できる。 経営としては、すごく合理的なんですよね。 ⸻ だからこそ、エンジニア組織の責任を担う立場としては、ここを経営判断だけに委ねてはいけないと、気を持ち直してる。 発生確率が低くても、一度起きれば事業の継続に関わるようなリスクなら、新規開発を止めてでも、止血的な対応とセキュリティの健全性を最優先すべき。 そして、それを単なる技術的な懸念として報告するのではなく、事業として何を失う可能性があるのかまで踏み込んで、経営に強く進言する必要がある。 ⸻ 「報告したから責任は果たした」では、サービスは守れない時代なんですよ。 経営と同じ危機感を持てるところまで持っていくのも、エンジニア組織の責任者の仕事だと思う。 小規模な組織ほど、常に自責駆動でいきましょう news.yahoo.co.jp/articles/84…