価格.com事件に関して

この事件について、以下の記事を読んだ。
カカクコムは情報をきちんと公開すべきだ | 日経 xTECH（クロステック）

会見中，穐田誉輝　代表取締役社長兼CEOが「ネット専業として，最高レベルのセキュリティを施していたつもりだが，今回このようなことになった。今後は，再度最高レベルのセキュリティを施す」と発言したことにも違和感を覚えた。同社の「セキュリティの専門家によると，今回のアタックはレベルが高いと聞かされた」という言葉も引っかかった。本当なのだろうか。
...
だが，「最高レベルのセキュリティ」なら，Webサーバーにセキュリティ・ホールが存在するわけはない。「（最高レベルのセキュリティなら）セキュリティ・ホールを突かれたということはないですよね」と同社に質問すると，これについても「捜査中」を理由にノーコメントだった。

IT Proというのは、IT系の専門誌だと思うのですが、そこの記者がこういう発言をするのはちょっと驚きです。世の中に発表されたすべてのパッチ（セキュリティアップデート）をあてた状態のWindowsサーバーでもLinuxサーバーでも、セキュリティホールは存在します。だからこそ、たびたび新たにセキュリティホールが「発見」され、新しいパッチが公開されるのですから。
さらに、パッチが公開されるまでには、セキュリティホールが悪用され、悪用されたことによってセキュリティホールの存在が発覚し、その原因を調査し、該当するコードを発見し、その修正を施して、品質管理がそれをチェックして、そして公開されるわけで、このタイムラグを利用した攻撃を「ゼロデイ」アタックということは、コンピュータセキュリティの専門家なら常識のはずです。

同会見において穐田社長は，「できる限りのセキュリティ対策を施したが，結果的に不正アクセスを許した。このため問題がなかったとは言えないが，（カカクコムに）過失はなかったと考えている」と発言した。本当なのだろうか。もしこの発言が正しいとすると，きちんと対策を施しているサイトでも，サイト上のプログラムを改ざんされる可能性があるということだ。“恐ろしい”攻撃だ。そのような攻撃に関する情報を共有しなくてもよいのだろうか。

「もし」ではなく、そうなのです。というか、それは、専門家にとっては、常識ではないですか。あなたも知らないはずはないでしょう。
その上で、サーバー管理というものがどうあるべきかというのは、きちんと考えるべきではないかと思っています。現状のサーバー管理というのは、まるでマンションの管理人やコンビニの店員が、マンションやコンビニを警備しているようなものですから、武装した強盗団に襲われたらひとたまりもないような程度だと思ってもらえればよいのではないかと思います。今回の価格.comの事件は、そのようなものだったのではないかと思っているのです。
では、武装した強盗団に対抗できるだけの装備を備えた警備会社がインターネットの世界にあるかというと、ちょっとあまり分からないのです。というか、僕の知識の範囲内では、自信を持って指摘できるところは知らないです。たとえあったとしても、その費用対効果の観点から、一般企業にとって妥当なものになるかどうかについても、あまり自信がありません。
そんな不安な現状をきちんと調査して、問題点を整理したり現実解を提案したりすることも、専門誌の重要な役割なのではないかと、IT Proの記事を読んでいて思いました。