なぜセキュリティを言い訳にアジリティが犠牲になるのか - 流沙河鎮

ここ数年、アジリティとセキュリティ(あるいはガバナンス)の両立について考える機会が多い。伝統的で規模の大きい企業にありがちな傾向として、セキュリティやガバナンスを確保するためにはシステムの開発/運用が鈍重、高コスト、不自由になったとしても已む無しとする思想がしばしば見受けられる。結果として例えば簡単な仮想サーバ１つを用意するだけでも数ヶ月の納期と膨大な工数を要するとか、世の中で当たり前に活用されている技術やプロセスが許可されない/導入に非現実的な手続きを要求されるといった状況が生まれる。 確かにシステムの安全性を適切にコントロールすることは重要である一方で、論理的に考えれば「セキュリティのためのビジネス」ではなく「ビジネスのためのセキュリティ」なのだから、セキュリティを確保するためにビジネスの成功が妨げられてしまっては本末転倒に思える。しかし実際には「セキュリティのためなので仕方がない」と

[NOV1975]

言ってることは極めて正しいんだが、現実の問題としてやらかしたら一発アウトなインシデントは起きてるし、事業の継続性が維持できなくなる要因になりうる。

[rryu]

「運開分離」はおそらくバックドアを仕込まれて使われるみたいなことを防ぐためだと思われるが、本当に開発部門が本番環境に一切触れられない組織なんてあるのだろうか。

[secseek]

ごもっともなんですけど、みんなが自分の役割を飛び越えてコアコンピテンシーとか言い出したら組織が成り立たないんですよね。なので経営者が妥当な評価をしていくしかないんだと思います

[fujiriko59]

安全なものと危険なものとを適切に分類する力って、システム開発だけでなく生活全般で重要な能力だと思う

[chi-bd]

「誰も責任を取りたくないから」

[sudow]

いい記事だ。。。

[shunkeen]

"セキュリティ担当者個人の能力や人格の問題ではなく、組織的な構造的問題がいくつも根底にあり、複雑に絡み合っている。言い換えるなら、経営が責任を問われるべき問題"／セキュリティこん棒 vs 経営者目線こん棒

[ya--mada]

運開分離は初めて知った言葉だけど、金融屋さんはITシステム依存ビジネスなのに、自分で開発せずに外部SI依存しまくりなので、今のスタイルになっていると思う。FISCなんかもそういう前提での施策になってる、そんな感

[ritena]

セキュリティ棍棒を振り回す奴がマウンティングする職場のSE時代はやることなすこと賽の河原みたいでしんどかったな。そして確かに経営者達がITダメだった。

[csouls]

運開分離はセキュリティ観点でも可用性と完全性を損なうリスクを高めるので、同じコストをかけるなら継続的監査に注力すべきだと思う