ほんとは最初にやらなきゃいけないけど後手後手にまわりがちな、 セキュリティポリシー策定。 でもやっぱり、ちゃんとつくりましょう。

ちゃんとつくって、ちゃんと「それを守るぞ」と認めさせておかないと、 backdoor をつくられたり、変なコンテンツをつくられたり、 内部者が悪いことをしても処罰できなかったりする。

top down で行う必要があるので、経営者がちゃんとわかってる必要があるのだけど、日本ではこのあたりがいちばんネックかなあ。