セキュリティ対策にフリーソフトを採用している会社は要注意
- POST
はじめに セキュリティ対策にフリーソフトを使っている会社を見かけることがあります。
一見コスト意識が高いように見えますが、実態はそうではないケースが少なくありません。
この記事では、フリーソフト依存の組織に潜むリスクと、転職時の見極め方をまとめます。
なぜフリーソフト依存になるのか 典型パターンは次の3つです。
セキュリティに投資する予算がない 社内にセキュリティ判断できる人材がいない 技術的な検証をする時間を与えられていない この状態の会社は、
「とりあえず穴を塞ぐ」対処を繰り返す文化
になりやすいです。
事例① 無償の裏側を考えない会社 ある会社で使われていたのが ブラウザ拡張の Web of Trust(WOT) です。
安全なサイトかを判定する拡張機能として広く使われていましたが、
後に次の問題が発覚しました。
ユーザーのブラウジング履歴を収集 個人特定可能な形で販売されていた つまり
「無料の代わりにデータを売るモデル」
だったのです。
少し考えれば、
なぜ無料で提供できるのか
という疑問は出るはずです。
しかしITリテラシーが低い組織では
「無料で便利そう」 「セキュリティっぽい」 という理由で導入されてしまいます。
事例② 脆弱性対応がさらに危険 別のケースをご紹介します。
圧縮ソフト Lhaplus(ラプラス) に脆弱性が見つかったとき、 ある会社では代替として
CubeICE
の導入を推奨しました。
CubeIceは中国系のバンドルソフトが一緒に付属されるソフトとして有名で、あまりSier内で採用されることはないのですが、 この会社では、中国系バンドルソフトを含み、不要なソフトが自動インストールされる可能性があるようなソフトを推奨ソフトとして社内に導入しています。
つまり、脆弱性対策の結果、別のリスクを導入している ことになります。
よくある思考パターン こういう会社に共通する考え方があります。
穴は塞げばいい
しかし実際には
その塞いだツールは安全か 別の穴を作っていないか データが外部に流れないか という視点が欠けています。