ソースコードと業務マニュアル

SESエンジニアとして客先に常駐すれば、仕事をしながら、自分のスキルを高めることができます。

自分のスキルが高くなれば、より自分を高く売ることができます。

客先に常駐するのは、精神的な苦痛を伴うかもしれませんが、考え方を変えれば、SESの仕事はいいことづくめかもしれません。

いっぽう、SESエンジニアは、情報セキュリティには細心の注意を払う必要があります。

もし、客先で使用しているシステムのソースコードを誤って公開したら、重大な情報セキュリティインシデントになります。

情報セキュリティインシデントが発生したら、会社は以下にあげる多くの対応をしなければなりません。

インシデントの検出と評価：インシデントを検知し、その深刻度や影響度を評価します。
インシデント対応チームの発足：情報セキュリティの事故が起きたら、CISOを中心としたインシデント対応のためのチーム（CSIRT）を発足します。
インシデントの暫定対処：CSIRTは問題を早期に封じ込めることで、拡大を防ぐことがミッションです。そのため、インシデントの原因となったシステムやコンピュータ機器、ネットワークを分離します。
被害の評価と連絡：ログを解析することで、インシデントによる影響度を評価します。具体的な被害状況や、情報流出の件数などを関係者に連絡します。
コンプライアンス対応：情報セキュリティインシデントに関するコンプライアンス要件に従った行動をします。総務省や警察など、関係当局への公表です。
再発防止策：インシデントが発生した根本原因を分析し、再発防止策を検討します。セキュリティポリシー、セキュリティ対策を抜本的に見直します。
利害関係者とのコミュニケーション：インシデントの利害関係者（顧客、取引先など）に対して、適切なコミュニケーションの場を設けます。

インシデントの内容によって対応することは多少変わります。ただ、これを読んだだけで、インシデント対応の大変さが伝わると思います。

そのいっぽう、インシデントを発生させた、エンジニアのアタマのなかは、その深刻さを理解できてないことがあります。

さすがに「顧客情報」を流出させた場合は、深刻だと分かります。

でも、流出したのが「ソースコード」だとしたら・・・そこまで大した問題とは感じにくいのです。

もちろん、ソースコードが著作物として保護されている場合、そのコードを誤って公開したら「著作権侵害」になる知識は持ってます。

しかし、ソースコードの流出による「実害はなにか！？」と聞かれると、回答につまります。

話はすこし飛びます。

新大久保にいくと、多数のK-POPアイドルの写真が販売されてます。その多くは事務所やアイドルには無断で販売されてます。アイドル写真は専属のカメラマンや、所属事務所が撮影し、権利を所有しています。したがって、アイドルの写真を無断で販売することは、著作権侵害のはずです。

しかし、アイドルの写真を販売しているお店が摘発されるという話は耳にしません。

それは、当のアイドルや事務所への実害がないからかもしれません。無断で販売されている写真が、国境を越えた認知度のアップに寄与すると考えているかもしれません。

要はソースコードが公開されても、会社の実害がないのであれば、大して問題はないんじゃないか？と見ることもできます。

ソースコードは一見すると、英字と記号で示された無味乾燥な文字列です。