高木浩光＠自宅の日記

■ 「高橋メソッド」的突貫工事と、脆弱性を排除する構造設計は両立するか

こんな記事が出ていた。

• 「3年で陳腐化するWebサイトの構築には軽量言語のほうが向いている」，日本Rubyの会，高橋征義会長, 日経ソフトウェア, 2006年2月10日

高橋氏は「Webサイトは構築してから3年経つと陳腐化する」と指摘する。ただ，壊れたわけでもないWebサイトを3年でリニューアルするには，事前に顧客と話をつけておく必要がある。3年で捨てる予定のアプリケーションの予算は少ない――これが，WebにはPHPやRubyといったLLが向いている理由である。Javaのような重量級の言語だと，10年持ちそうな設計や構造のアプリケーションを作ることになり，費用もそれなりに高額になってしまう。

それは話が逆だろう。「10年持ちそうな」という言葉で比喩されるような、つまり、しっかりとした設計や構造のアプリケーションを作るときには、設計を事前に十分に吟味しておく必要があることから、「費用もそれなりに高額」となるところ、その際に使用言語として、Javaを使わない理由がない（またJavaが向いている）というのが本来の世間で言われていることの筋道だろう。「Javaだと高額になる」ではなかろう。

そのような論理が現場にあるとすると、それは裏を返せば、「PHPやRubyといったLL (Lightweight Language)」が使用されるときは、予算が小額で、事前のしっかりとした構造設計は行われない場合である――ということになる。（本当か？）

まあ、手っ取り早く作り直しするのも結構だけれども、それは、セキュリティを無視しないことが前提であるはずだ。*1

たしかに、現段階でRubyを採用するような、高い技術力を持っている個人に支えられている企業が受注する場合には、十分な設計をしなくても、根性で脆弱性のないシステムが作られるかもしれない。

だが、日曜プログラマなのになぜかハッカー気分の井の中の蛙タイプのPerlプログラマ*2や、Webページデザイナが本屋で立ち読みして勉強しただけでプログラマになった気分のPHPプログラマたちの場合は、「根性で脆弱性のないシステムが作れる」かどうか疑わしい。

Javaを使った重量級の開発では，たいてい「ユーザー企業の情報システム部門がシステムを発注し，大手システム・インテグレータ（SIer）が受注する」という形になる。一方，ツインスパークが請け負う仕事（引用時注: RubyやPHPなどのLightweight Languageでの開発）は「ユーザー企業の営業部門や広報部門がシステムを発注し，大手広告会社が受注する」という形が多いという。

この発言は、いま時分になっても日本ブログ協会に脆弱性が見つかるというような（おそらく）超初歩的な欠陥が見つかる事例が出てくる現状を、端的に示唆しているように思われる。

発注者が情報システム部門ならよい。RubyやPHPで開発するのであっても、受注者が「高い技術力を持っている個人に支えられている企業」であり、「十分な設計をしなくても、根性で脆弱性のないシステムが作られる」かどうかを吟味する能力を持っているかもしれない。

しかし、「営業部門や広報部門がシステムを発注し大手広告会社が受注する」という場合が困る。たまたま「高い技術力を持っている個人に支えられている企業」が受注すれば幸運（高橋氏のように？）だが、まったくそれに期待できないところが受注すると悲惨なことになる。

日本ブログ協会の事例のようなケースは、そういう低レベル技術力の事業者を、営業部門や広報部門や広告代理店のようなところが見分ける能力を持っていないために起きているのではなかろうか。（日本ブログ協会の事例が、どんな人が誰にどのような方法で発注したのかは私は何も知らないけども。）

そのような不幸な事態を解消するためには、やはり、何らかの安全設計基準に適合したシステムとするよう、発注者が発注仕様で要求し、受注者はそれにしたがって設計、施工したことを保証する「構造計算書」を提出するという方向性にもっていくしかないように思われる。

そうすると問題は、

壊れたわけでもないWebサイトを3年でリニューアルするには，事前に顧客と話をつけておく必要がある。3年で捨てる予定のアプリケーションの予算は少ない

という、少ない予算の案件で、そのような「構造計算書」の提出を要求できるのかどうかだ。*3

しかし、そもそも、

10年持ちそうな設計や構造のアプリケーションを作ることになり，費用もそれなりに高額になってしまう。

というのは本当だろうか。設計をしっかりしていても低予算で開発できるように思えるし、Javaによる案件の多くが高コストである理由が、事前の設計のコストにあるわけでもないようにも思える。

ところで、私もRuby on Railsには大変興味がある（PHPやPerlは死滅すればいいのにと思っている）ので、先日以下の本を買った。

• RailsによるアジャイルWebアプリケーション開発, Dave Thomas and David Heinemeier Hansson ほか著, 前田修吾 監訳

前田さんの監訳だ。本屋でパラパラと見たところ、セキュリティに関する記述がけっこうある*4ようだったので買った。まだ読んでいない。

追記

上で、「この発言は……現状を端的に示唆しているように思われる」と書いたのと同様の現状認識が、@ITの以下の記事の表にも書かれていた。

• Webシステム開発でセキュリティが軽視される理由, JNSA セキュアシステム開発ガイドライン作成ワーキンググループリーダー 株式会社ラック 丸山司郎, @IT, 2006年1月25日

Webシステム作成業者	特徴
システムベンダ（SIer）	Webシステムをプログラムとして考える。見た目よりも、使い勝手や、機能や、パフォーマンスを重視する傾向にある。セキュリティ対策については、技術的に前向きであるが、凝り過ぎの傾向がある。
ホームページ制作専業	Webシステムを、ホームページ作成ととらえ、企業の顔としてのデザインと、機能や、パフォーマンスのバランスを考慮する。セキュリティについての意識は高いが、規模的に小さい企業が多く、各社の対応のバラツキが大きい傾向にある。
広告代理店・デザイン会社	Webシステムというより、広告媒体の一種類として考える傾向にある。機能や、パフォーマンスよりもデザイン重視であり、セキュリティについての意識は低い傾向にある。

「凝り過ぎの傾向」というのはよくわからないが……。何のことだろう？