「那覇市の図書館のランサムウエア被害、FWとVPN装置のセキュリティ修正プログラム未適用が一因か」記事へのコメント

そこに曖昧さはあるのか？

[Anonymous Coward]

>セキュリティー機器などの契約に、更新に関する取り決めがなく、リース会社と運用会社、図書館の間で責任が曖昧になっていた

曖昧だと思いたいのは図書館だけではないだろうか。
契約にないことを会社がしないのは当たり前なんだから。

Re:

[Anonymous Coward]

脆弱性の対応するならこの見積、やらなくていいならこの見積って出して、安い方で発注したんでしょうね。
実際、どこもそんな感じ。
システムの導入予算は通るけど、日々の運用費はなかなか出さない。

Re:

[Sukoya (33993)]

そんな馬鹿な。入札要件にアップデート含めた保守も含まれているのでは。
それとも要件はPCとサーバ周りだけで、ネットワーク機器は保守対象外だったんでありましょうか。

Re:

[Anonymous Coward]

保守は故障や修理までで、アップデートは運用というのが多いですね。
かなり危ない脆弱性があったので、早急なアップデートか、該当する機能の無効化が必要だと連絡するくらいは納入会社（保守会社）がやるべきことだったかも。
ライセンスが付いているようなUTMなので、メーカー、または保守会社からアップデートのお知らせは来ていたのではないかと思います。

運用はできてないのなら、アップデート作業を発注すべきだったでしょう。

運用を委託していたのなら、運用をやっていた会社の責任が大きい。

Re:そこに曖昧さはあるのか？

[nim (10479)]

重要システムなら、検証環境に検証機が置いてあって、
検証機でアップデートとシステムテストをして、
日程調整して手順を組んで本番アップデートするから、
メーカー保守ではそんなところまでやらない。

別途運用を委託した先がやる。

Re:

[Anonymous Coward]

SIerはシステム構築から運用までまるっと請け負うのでは。
システム子会社持ってるような民間ならともかく自治体案件で運用だけ別会社はあまりないと思う。

Re:

[Anonymous Coward]

まるっと一括契約ではなくて別契約にするのがふつーでは。
そして開札したら別の会社になったり

Re:

[Anonymous Coward]

>SIerはシステム構築から運用までまるっと請け負うのでは。

いいえ～。そういうことはありません。
構築と運用を請け負うSIerなんて滅多にいないと思いますよ。

> システム子会社持ってるような民間ならともかく自治体案件で運用だけ別会社はあまりないと思う。

自治体案件で運用だけ別会社ってのはよくあると思いますよ。
ちゃんと入札していれば。

でもたいていSIerは構築するだけして、あとは他に任せて次の案件の構築に向かいます。
ずっと運用してたら儲からない。

運用はSESな部署や会社がやって、そこが誘導して自社のSIerを呼び込むことはある。

Re:

[Anonymous Coward]

うん、で、なんで同じことを返信で書くの？