最近は特定業務アプリでも開始時に認証画面を開けて、ID/PassWordを入力させるシステムが増えてます。
(WEB/CS問わず) ところが Passwordの管理が雑。TextBoxをPassword入力指定にしているのは当然ですが、値をそのままフラットデータとしてDBに格納している。
そして、そのDB参照はノーセキュリティであったりするから、関係者(開発者)にはじゃじゃ漏れ。
どうも、Password画面さえ設置すれば、OKだと勘違いしているようです。
複雑なパスワードを強制されるシステムの裏側がこれだったら、事が起こった時の言い訳材料だと勘ぐりたくなります。
「フラットで保持するのは杜撰だよ。DB上では暗号化するかHash値を格納するんだよ。」 と説明しても、理解して貰える人が限られいるのも不思議な話。
そんなことをしたら、ユーザーからパスワードの問い合わせが合った時、返答できないので困る......って....ユーザもPMもこの認識だと、波風立てるのも嫌なので、従順にしてますが、...腑に落ちない。
汎用機の世界も杜撰事はあるようで、人事給与システムデータが、開発部門にはノーガードで丸秘情報が筒抜けで、重役の交際費や使途不明金まで閲覧できてたそうです。(過去に経験があります。)
いくら世間でセキュリティ云々と騒いでも、当事者は対岸の火事の意識しかないようです。システム開発者は皆、善人だと根拠もなく信じています。その割には、開発要員は不特定多数の人を引っ張ってきてプロジェクトを作るからヨクワカランです。
指紋認証や生体認証も進化してきてますが、人がデータ(PCやメモリー)を持ち運ぶ次元ではノーガードです。
生徒の答案の丸付けを自宅でしている教員の話はいまだに聞いたりします。
ヒューマンモラルというローテク部分の問題を解決しないと、根本的な解決にはならないと思うのです。