致命的な問題を末端が指摘したら起きそうな事 - 技術者ワーママ　こころとからだの修理日記

今日は技術屋の端くれとして、今話題の７pay問題について、リアルな感じで説明してみようと思います。

f:id:KOMOMON:20190517223345p:plain

7pay問題って？
末端の人たちの声は届かない？
どうすればこういう事態を防げるのか

7pay問題って？

細かい記事はたくさんの人たちが詳しく説明しているのでググっていただくとして、ものすごく簡単に言うと

「セブンイレブンが国内の企業にお願いして、スマホでキャッシュレス決済できるシステムを作ってもらったら、セキュリティが甘いところがあってユーザーがクレジットカードの不正使用の被害に遭いました」

というものです。これの何が問題なのかというと、「一般的なセキュリティ対策として既に同じような〇〇ペイについているような、当たり前と言える機能がないのに運用を開始して被害に遭った」というところです。

たくさんの人が開発に関わっていたので誰かしら気づいていたはずなのに、どうして改善されなかったのでしょうか？

末端の人たちの声は届かない？

他のシステムの開発者

システムの開発は複数の会社に分けて発注されていたのだと思います。そのため、該当するシステム以外の開発を担当している人たちは、もし仮に「その仕様ヤバくない？」と思ったとしても、自分たちの仕事に直接関係ないので言いにくいですよね。

　もし仮にそのことを上司に指摘したとしても「うーん、そうかもねぇ。でもウチが受けている仕事じゃないし、他に対策があって問題ないのかもしれないからねぇ」とか返されたら多分それ以上指摘を上げることは出来ないと思われます。

問題のあるシステムの開発者

それでは問題のあるシステムを開発していた場合はどうでしょうか？

多分、末端のエンジニアはヤバいことに気が付いたと思います。もちろん「他の対策が自分と関係ないところであって問題ないのかも」と楽天的に考えた可能性もありますが、普通に考えて一般的に使われているセキュリティ対策です、コストや開発の負荷的にも見通しの効くシステムなので使えばいいじゃんと考えたのではないでしょうか。

恐らくですが、実際の末端は直接セブンペイから受注した企業ではなく、そこから仕事を受けたいわゆる孫請け（のさらに孫とか）の正社員か契約社員か派遣社員あたりと推測されます。

　もしこの人たちが「この仕様は問題があるから対策をするべきだ」と言った場合、どうなるでしょう？想定されるのは大きく二つです。

①ありがち→そんな仕事は頼まれていない、納期まで時間がないからとにかく言われた仕事を早くやって、と管理者に言われる

②まずないけど上手く行った場合→確かにそうだね、依頼主に指摘して、システム改善を提案してみようか。システム改善案の提案資料作ってくれる？（これはこれで面倒）

おそらくですが、②ですらもう奇跡的というレベルでなかなかない展開です。この場合、管理者がよほどの人格者とお見受けします。

上に指摘を上げても

ではここから先のハードルはどうでしょう？まぁ間違いなくさらに高くなります。例えばこの管理者が進捗についての打ち合わせを依頼元（多分孫請け）とするタイミングで提案資料を持って行って提案したとします。想定される展開は、

③ありがち→ふーん、まぁうちもそれについては言われてないからねぇ、予算もギリギリだし、もし次話する機会があったら聞いてみるよ。それはそうと、クライアントからここの仕様変更と納期をもっと早めてくれって話があってさぁ、申し訳ないんだけど対応してくれる？

④まずないけど上手く行った場合→なるほど、確かにこれは重要な問題だね。それではクライアントにこの提案についてこちらからも相談してみるよ。

うん、④はないですね～。多分。

一般の皆さんの認識と多分大きく違うポイントとして、技術やシステムの話って、依頼元に近ければ近いほど、偉い人ほど、専門知識ない人が担当していることが多いんです。このあたりからセキュリティがって言われてもよくわからない、みたいな人が混ざってきます。特に大手になるほど、衰退した技術分野の人をとりあえず新しいプロジェクトに投入することが良くあります。下手するとちゃんと分かってるのが臨時で雇われた派遣社員だけ、ってこともザラにあります（怖）。

もしこれが④に進んだ場合も、今度はセブンペイ本体に提案するわけですが、あの記者会見の様子だと多分提案しても通らなかったのではと思います。