PHP脆弱性で一番面倒なのはシステム対応ではなく人への対応である

この記事についての感想

PHPの脆弱性対応って、技術的にはパッチ当てたりコード修正したりでなんとかなることも多いけど、マジで一番しんどいのは周りへの説明なんだよね。エンジニア界隈だと「脆弱性出ました、はい修正しました、お疲れ！」で済むと思われがちだけど、実際にはPMや営業、果てはクライアントまで巻き込んでの政治調整が待ってるわけよ。特に「なんで今さら」「工数どのくらいかかるの」「これでお客様に損害出たら誰が責任取るの」みたいな、技術のわからん層からの詰めが本当にキツイ。これってある種の心理戦だよね。下手な説明をして相手をパニックにさせてもダメだし、かといって楽観視してトラブルが起きても終わる。エンジニアの仕事はコーディングだけじゃないって誰か本気で周知してほしいわ。最近はOSSの脆弱性検知ツールとかも充実してるから技術的なハードルは下がってるはずなのに、結局は「誰にどう報告して納得してもらうか」という泥臭い根回しスキルが一番試されるっていうね。結局、脆弱性対応は技術力勝負じゃなくて政治力勝負なんだなってしみじみ思うよ。あー、まじで全責任を負わせようとしてくる上層部とかマジ勘弁してほしい。昔、似たような案件で夜通し偉いさん連中に説明して回ったの思い出したわ。あの頃の胃の痛みは今でも忘れられん。技術負債を返済するよりも、人間負債を抱え込む方がダメージでかいって話、もっと共有されるべきだと思うんだよな。