「JINSオンラインショップへの不正アクセス、Struts 2の脆弱性を突かれたのが原因」記事へのコメント

「ベンダ側の責任が問われそう」？

[SchwarzeKatz (34148)]

いちおう、「当社の責任」って項目で、「ベンダ選定時の調査・分析、システムの保守サポート業務品質の管理義務が充分になされていなかったという不備が認められると指摘されております。」ってうたってるよ。

ちなみに自分は業態は全然違うけど、委託する側の小さな会社のシステム企画部門にいます。

で、自分の会社でもWebSiteについては開発・運用・脆弱性診断をそれぞれ別な会社（←ココ重要）に外部委託しています。
利用するミドルウェアの選定なんかはコンテンツ制作会社のノウハウに依存せざるをえないので、コンテンツ制作会社に任せっきりです。
しかしウェブのコンテン

Re:「ベンダ側の責任が問われそう」？

[nmaeda (5111)]

>個人情報も取り扱ってるコンテンツで、ぜ～んぶ開発から運用（脆弱性診断はやってるのか？）を
>１社に任せっきりにしておくってのは重大な過失だと思うし

どう考えても過失は言い過ぎ。単なる方針の違い。
過失というからには、それが原因で事故が発生していなければならないが、そうではない。
もちろん、ベターだとは思うが、手間暇や、責任のなすりつけ合いを避けるために、丸投げすることもひとつの判断。特に発注者に充分な知識や経験がなければ、その方がスムーズ。

過失は、脆弱性情報の収集を行っていなかったことか、判断を間違えてバージョンアップしなかったこと。それが誰の責任だったかは契約次第。

>一応この程度には気を使ってるのに、

そう、気遣いのレベル。必須なこととはいえない。