レベルが低いことは罪ではなく、レベルが低いことを無視していることが罪

http://d.hatena.ne.jp/Lucrezia/20060823#p3
僕らが通常意識していることは、改ざんに耐えるアプリケーション作りであり、悪意のあるものにとって意味のあるデータを(例えソースを見ないと見えないものであっても)ページに埋め込まないと言うことであります。基本中の基本ですが、今の現場でもユーザーには意味が分からないけれど内部的には意味がある番号(当然、ちょっと気の利いた人なら改ざんしてみたくなる)なんてのがページに埋まってたりしてげんなりです。まあ、悪用できないようには作っていありますけど。
さて、まあ前回アレだけけちょんけちょんにやられて反省したのはよいとして、結果としては「担当者が一生懸命調べてできる限りのことをやった」レベルの修正に留まってしまったという事実をどう受け止めればよいのでしょうか。システム屋さんでも一人一人得意分野が違うわけで、あれだけの指摘があった後であれば普通の感覚ならばセキュリティーを得意とするものをつれて来るなり、セキュリティー診断サービスを受けるなりするのが正しい姿勢です。決して、「自分が頑張って知識を身につけてなんとかする」なんて考えてはいけません。もしかしたら専門家を連れてきたのかもしれませんが、そうであればユーザーはこのベンダー(どこだか知りませんが)の技術力と誠意を疑うべきです。いずれにせよ、小手先が通じない世界だと言う認識を持って対処すべきであることです。
とここまで書いて思ったのですが、もしかして、改ざんとかXSSとかで被害が出ても犯人はいずれ捕まるだろうし、被害は限定されるから適当でいいじゃん的な発想なのかもしれません。大きなお世話だけど話題になっちゃったから直しておくか程度の認識。使ったことが無いからわかりませんが、クレジットカード情報が画面にバーンと出ない限りは所詮個人情報流出に過ぎないわけです。最近の傾向を見ても本当に流出してしまったとき、会員一人頭いくらか程度で済む話だと思っているのかもしれませんね。クレジットカード情報出ちゃったらそんな話では済みませんが。
カカクメソッドの例を以ってコストパフォーマンスのよい対応策とすることをコンサルしているところがあったらどうしようと妄想。やっぱりネットショップは規模に応じて許可制とか統制機関が必要とかそういうもんじゃないですかねぇ。