noteとインシデントハンドリングと広報の仕事

note_vuln.md noteとインシデントハンドリングと広報の仕事 前提 この文章はmalaが書いています。個人の見解であり所属している企業とは関係ありません。 noteには知り合いが何人かいるし、中の人と直接コンタクトも取っているし相談もされているが、(10月2日時点で)正規の仕事としては請け負っていない。 10月2日追記 正規の仕事として請け負う可能性もありますが、自身の主張や脆弱性情報の公開に制限が掛かるのであれば引き受けないつもりです。 脆弱性の指摘や修正方法以外にも意見を伝えることがありますが、公表されている文章については、あくまでnote社内で検討されて発信されているものであり、必ずしも自分の意見が反映されたものではありません。(事前に確認などはしてません) 重要 この記事には、9月30日付けと、10月1日付けでnoteに報告した脆弱性についての解説を後ほど追記します。誠

[Amigomr]

中のエンジニアが言っても広報に通じていないあたり、根本的にエンジニアを大事にしていない会社なんだろうなあ

[redredstar]

そもそも再発防止策がWAFとか脆弱性診断とか言ってる時点で根本原因の考え方がずれてるよね

[laiso]

第一報の訂正がないのは、自社ユーザー保護のための独自解釈をしている部分が影響していそう

[ssig33]

id:password1234 「難しい」なら真、「現実的ではい」はわりと偽より、「できません」は明確に偽では

[ssids]

現場「これ絶対やばいっすよ」ヒラ「やばいらしいですよ」主任「やばいかもしれないって」係長「懸念すべき事項が一つ」課長「一つを除き問題ありません」部長「実に順調です」社長「うむ」広報「適正かつ問題ない」

[pullphone]

重量級のマサカリだ

[kominaa]

「広報がおかしいことをやると、その企業に所属している社員が恥をかくことになるし、見ていてつらいのでちゃんとして欲しい」

[t_f_m]

"第一報を訂正していない時点で何も分かっちゃいない"

[rin51]

> おいおいおいおい本当か〜、まともにセキュリティ診断なりしていたら、普通はこんなこと書けねえんだよ、と思って軽く調べてみたら、早速脆弱性を見つけたので、深津にDMした。

[mzkzzz]

しくじった時の対応ってユーザーだけじゃなく未来の同僚になり得るひとにも見られてるので…ほんとに……ちゃんとしなきゃなぁって思った、し、残念な気持ちになった。

[estragon]

「noteが何故こんなに延焼しているのかといえば「こいつら個人情報とかプライバシーとか何も分かっちゃいないな、親切な私が教えてあげないと」という状態になっているから」

[enemyoffreedom]

「おいおいおいおい本当か〜、まともにセキュリティ診断なりしていたら、普通はこんなこと書けねえんだよ、と思って軽く調べてみたら、早速脆弱性を見つけたので、深津にDMした」

[totttte]

note「セキュリティは問題ない」→『脆弱性探したら見つかったんだけど』→note「その問題は把握済みで今修正中」 ってことかな…？

[tailtame]

https://twitter.com/bulkneets/status/1311991517850918913 （そうや同一人物疑惑がIP漏れで確定したとか見かけてわろた…/乾いた笑いのほう）IP漏れもなぁ(ﾟεﾟ)

[securecat]

本件に関してCXOが特命チームとやらに入ってないことに根源があるのではと思う。CEOとCTOがやってるからCXOは立ち入りません的に見えて残念すぎる。初手で訴訟云々いいながら踏み込んでたのがアウトだったのかもだが。

[chikayours]

広報は助言はできても経営層の思考や方針まで覆せる権力ないため、どれだけ腕のある担当でも社長などが考えを変えてくれない限り正しいことをしたくてもできない、っていう環境もこの世には存在するのよ。

[hazeblog]

おお…

[mather314]

“広報がおかしいことをやると、その企業に所属している社員が恥をかく”

[shag]

IPアドレス漏らしました。すみません。だけでいいのにな。個人情報か聞かれたら、「直ちに影響があるとは言えない」的な政治家的言い回しすればいいだけなのに。

[name-25137412]

大事にしているものが一般的なwebサービスと違うんだろうな、とは感じている

[oakbow]

エンジニアにセキュリティの知見がないのか説明や説得が下手なのか、経営陣の理解力不足なのか単に本腰入れられないだけなのか。まあ東証の例見るまでもなくこれだけ時間かけてもこれってのが全てだよなあ

[naglfar]

政治的広報って感じか。

[osugi3y]

個人情報が何かわかってないのかnoteの運営は

[Geheimagent]

良い話

[ichiken7]

全くもってその通りで、このままだと逃げ切れるのではなく、訂正するチャンスを無くして取り返せなくなる。某女性社長の求人サイト風な会社のように…。

[nilab]

「広報がおかしいことをやると、その企業に所属している社員が恥をかくことになるし、見ていてつらいのでちゃんとして欲しい」

[NOV1975]

ど正論

[ya--mada]

あぁ、最終報のブコメでようやく理解できた。被害者（候補）と認識が噛み合ってないのか。こうなってしまったら、内部修正の内容とその脆弱性についてをリストにして釈明しないと、被害者は納得しないよなぁ。

[tpircs]

「個人情報でした」と誠実に言うと一部のエンジニアからは支持される。ただし一般人は騒ぐ可能性がある。後者を重要視したんだろうなって思ってる。セキュリティの見解についても同様。

[for-my-internet-demo]

malaさん

[giboaiko]

エンジニアの意見を尊重してる会社とは思えないよね。

[onesplat]

この件結局あのおっぱいの大きなCXOが悪いってことでいいんですか？

[i178inaba]

“広報がおかしいことをやると、その企業に所属している社員が恥をかくことになるし、見ていてつらいのでちゃんとして欲しい。” これは本当にそう。自分もnoteに知り合いがいるので見ていて心苦しい。

[moriken1098]

第一報の特定云々に関しては特定されてしまった事件が始まりだったのが余計に混迷化させてしまった感

[moccos_info]

こんなに嘘つき・誤魔化しを通していくとは思わなかったし、深津氏がそっち側だとも思っていなかったのでショックでしたね

[rrringress]

優しさ感じた

[paradisemaker]

vtuber だか何かの問題に引きずられすぎてるから技術の話がおかしなことになってるのだと思う

[jaguarsan]

もともと脆弱性を埋め込んだ切欠からして技術力低いのではと言う疑念がある