坂口洋介｜FREDMAN

今回のPHPの脆弱性対応について「PHPのバージョン上げるだけやん！」「サイトが崩れてもまずはセキュリティ優先でしょ」「今まで対応してこなかった企業の自己責任じゃん」という意見も見かけるし言ってることは分かる。自分も技術的な観点でいえば間違ってないと思っているが、ただ、ぶっちゃけ現場はそんな単純な話ではなかったりする。 というのも、現場の担当者が求められているのは「今すぐセキュリティ対策をしろ！」だけではなくて、その裏には「ただし、サイトが表示されなくなったり、業務に支障が出たりしたら責任取ってね♡」というなかなか無茶でハードな要求がセットになっていたりする。言葉にはしないが、そういう意図がひしひしと伝わってくるのである。 セキュリティ上の問題を放置するわけにもいかないし、かといってアップデートしてサイトが止まることも許されない。どちらにしても「何かあれば」責任を問われるわけで、そういうプレッシャーの中で対応している現場の人も多いと思ってる。 もちろん現場からすれば「PHPのバージョンを上げるだけで解決するならとっくにそうしてるわ！」という主張もわかる。実際に古いWordPressやプラグイン、独自に実装された機能なんかが絡んでいるとアップデートして何が起こるかマジで分からないからこそ、事前調査やバックアップ、動作確認、万が一の復旧まで考えなければいけないわけです。ほんと大変だと思います。 ここから本題であり、普段からちゃんと保守やセキュリティ対策に予算と時間をかけて、定期的にアップデートできていれば、今回のような緊急時にもある程度は対応しやすかったはずなんですよね。 でも実際には「今問題なく動いてるんだから別にいいでしょ」「そこにお金かける必要ある？」みたいな感じで、保守やアップデートがずっと後回しにされてきた企業や現場も少なくないと思います。僕が今回いろいろ担当したサイトはまさにそんな感じでした。蓋を開けたら色々とひどいけどまあとりあえず動いちゃってる系のサイト。 それなのにいざ今回のような問題が起きた時ほど「何で対応してないんだ！」「今すぐ何とかしろ！」「でもサイトは絶対止めるなよ！」となるのである。現場からすれば「いやいや、だったら普段からちゃんと対応させてくれよ！」「もっと人増やしてくれよ！」となる。 日本の中小企業の体質というか結構ありがちな話だと思いつつ、普段は予算も出してもらえないし時間も確保してもらえない。さらに現場の担当者にはそこまでの決定権すらないことも多い。上司にも理解されづらい。むしろ上司が営業担当というパターンも多く、緊急事態のときにはなかなか役に立たない。現場を取り仕切れるようなディレクターが本来いればいいのだが、もちろんその人件費を捻出するのは中小企業には難しすぎる。 そして何か問題が起きたときには現場の担当者が責任を問われる。そもそも予算を決める権限もないし、普段から時間もなかなかとってもらえずに、人もアサインしてもらえない。何かあったときの責任だけは負わされるという、なかなか理不尽な構造だったりする。 もちろん担当者側も日頃からリスクを伝えたり必要な対応を提案したりすることは大切だと思いますが、ただ最終的に予算を出すのか、どこまで対応するのかを判断するのは会社側でもあるわけで、何かあったときだけ現場に責任を押し付けられてしまうのが現状一般的になっているのかなと思う。 繰り返しになるけど、そもそも日頃からセキュリティに対する意識が高かったり、必要な予算や時間を確保している企業であれば、こうした問題も起きにくいわけです。逆にこれまで保守やアップデートを後回しにしてきた企業ほど今回のような緊急時に対応が難しくなってしまう。 だから「PHPのバージョンを上げればいいじゃん」という意見も分かるのですが、現場では技術的にできるかどうかだけではなく、誰が判断して何か起きたときに誰が責任を取るのかという問題もあるんですよね。 自分もこれまでいろんなクライアントのサイトを触ってきましたが、古いサイトほど簡単には更新できなかったりするし何かあればお客さまの事業に影響が出てしまうわけで、そんな簡単に割り切れるものでもないと思っています。 「予算がない」「今は必要ない」と後回しにしておきながら、いざ問題が起きたら「今すぐ対応しろ！でも絶対に不具合は出すな！」みたいなのはさすがに現場の人がかわいそうだなと思います。技術的な正論だけではどうにもならない事情もあるし、そういう現場の苦労やプレッシャーにももう少し理解があってもいいんじゃないかなと思った次第であります。