こういう組織の社会的ダイナミクスが、正しい人たちがその決定を下すための適切なポジションに上がるのを難しくしてる気がする。ほぼキャッチ-22状態だよね。良い効果的なポリシーを設定するには、たくさんの人に「ノー」と言わなきゃいけないことが多い。でも、昇進をコントロールしてる人たちの機嫌を損ねずにそれをするのは本当に難しい。

これらの企業は、CISOやEVP、SVP、たくさんのセキュリティディレクターがいるって書類上はなってるけど、実際にその経験がこういう決定につながるとは思えない。多くの状況で無能と悪意を区別するのは難しいけど、「ナイーブ」と呼ぶのは、顧客に敵対的な行動を間接的に許してるように思える。会社のサービスを安全に保つのは高くつくけど、安全じゃないことも高くつくから、理解できない。もしかしたら、顧客を失うことによる収益への影響が、正しくやるコストよりも低いから、心配しない方が安上がりなのかもしれない。それが本当なら、みんなにとって悲しい状態だよね。

以前、強力でよく管理されたセキュリティ文化を持つ金融サービス会社で働いてた。会社が買収された後、親会社の役員やグループからの様々なメールが第三者から届くようになった。買収された会社の私たちは、Slackでそのメールについて話し合った。メールは本物だと確信してたけど、対応するとセキュリティポリシーに違反するから、全員でフィッシングの試みとして報告することにした。悪意のあるコンプライアンスに関与しているのは理解してたけど、私たちの行動はベストプラクティスでもあったから、技術的には批判されることはなかった。しばらくすると、親会社の役員たちが事前に「これからこんなメールが来るから、こう対応してほしい」っていうメールを送ってくることがあった。当然、その事前のメールが本物かどうかの議論も始まった。しばらくして、私たちはこの悪意のあるコンプライアンスに興味を失い、買収した会社の緩いセキュリティ文化に染まっていった。

インドの銀行とそのウェブサイトは、世界で最悪の部類に入ると思う。多くの状況でフォームを印刷したり、SMSベースの2FAを使ったり、複数のパスワードを管理したり、時には異なる条件があったりするから…多くのインド人が支店に行く手間を選ぶのも無理はないよね。

15文字以上はダメなんて、すごいね！私の銀行は、正確に6桁の数字を求めてくるんだ。文字じゃなくて、数字ね。パスワードマネージャーにも敵対的で、コピー＆ペーストもできない。マウスで数字をクリックしなきゃいけない。「私のセキュリティ」がすごく大事だから、2段階認証を物理的なトークンから、スマホに紐づいたアプリに移行して、今はさらにSMSに進化させた！これ、近所の小さな銀行じゃなくて、フランスで一番か二番目に大きな銀行なんだよ。

数週間前、誰かがredditにインドの公営銀行のアプリがFirefoxをインストールしたユーザーに対して動作を拒否したというスクリーンショットを投稿して、大騒ぎになったことがあった。その銀行によると、それは「ユーザーデータを盗む可能性のある悪意のあるアプリ」だって。インドの銀行や多くの政府のウェブサイトは、ユーザーにとって非常に使いにくいものの一つだよね。昔は、これは主にテクノロジーに不慣れなユーザーを悪意のある行為者から守るためだと思ってたけど、銀行が安全でユーザーフレンドリーなウェブサイトを作るためのツールやフレームワークを使いたがらないことを考えると、意見が変わった。

あるインドの公的銀行のアプリは、カメラやフルファイルシステム、その他の重要な権限を与えないと全く動かないんだ。私の銀行からは、OPのようなスパムは一切来てない。でも、（少なくとも一般的な信念として）低レベルの従業員が定期的にアカウントの詳細を詐欺の電話に漏らしているようだ。

クライアント側のパスワードハッシング 俺の無知を許してほしいんだけど、これの何が問題なの？

そうそう、彼らは自分たちのルールを守ってないよ。一度、私が1ヶ月くらい前にリクエストした保険の変更について、銀行から電話がかかってきて、セキュリティトークンで本人確認を求められたんだ。で、詐欺にあった人たちが驚くって、どういうこと？