Software Security ในมุมมองของ Enterprise

วันนี้มีดราม่าเรื่อง AppServ ที่เกี่ยวกับความ outdate ของ component ใน AppServ

ความเห็นของเพื่อนผม (สาย IT) ส่วนใหญ่จะเห็นว่าเจ้า AppServ นี่มันไม่ดีตรงมันยังใช้พวก php รุ่นเก่าที่ end of life ไปชาติกว่าแล้ว ซึ่งเจ้า version นั้นอุดมไปด้วยบั๊กแถมยังเต็มไปด้วยช่องโหว่ (ที่แก้ในรุ่นใหม่แล้ว) อีกเพียบอีกต่างหาก ซึ่งผมเองก็เห็นด้วยกับเพื่อนๆ ของผมนะ

แต่จากประสบการณ์ของการทำงานบริษัทระดับ enterprise (ทั้ง บ ที่ผมทำงานและลูกค้า) มา 10 ปี ผมพบว่าสำหรับบริษัทระดับ enterprise นั้น พวกเขารู้สึกว่าความเสี่ยงในการ upgrade version ของ software นั้นสูงกว่าความเสี่ยงที่จะเจอช่องโหว่ทาง security หรือบั๊กต่างๆ

เหตุผลส่วนใหญ่ (ที่ได้ยินลูกค้าบอกมา) คือการ upgrade software เนี่ย นั่นหมายถึงเขาจะต้องรัน test ใหม่หมดซึ่งอาจจะกินเวลาเกิน 1 ปี แถมยังต้องเสี่ยงว่า upgrade จุดนึงแล้วยังจะต้อง upgrade อย่างอื่นที่มันต่อกันอยู่อีกรึเปล่า ยิ่งถ้าเป็นอะไรที่ต้อง up ฝั่ง client ด้วยยิ่งนรกใหญ่ครับ เขาไม่ทำเด็ดขาด

ทางที่พวกเขาเลือกส่วนใหญ่คือการเลือกซื้ออย่างอื่นมากันช่องโหว่นั้นไม่ว่าจะเป็น software หรือ hardware ต่างๆ ถ้ายังไม่ได้ก็ “บีบ” vendor ให้แก้ปัญหาใน version เก่าๆ นั้นไปนั่นแหละ เพราะมันเป็นสิ่งที่แสดงว่าบริษัทระดับพวกเขานั้นมีเงินและมีอำนาจที่จะแสดงถึงการแก้ไขปัญหาด้วยวิธีการที่ไม่ใช่ upgrade software

สุดท้ายแล้วจริงๆ เหตุผลนั้นอาจจะไม่ได้เรื่องเหี้ยๆ ข้างบนนี้หรอก พวก enterprise อาจจะมีความสุขกับการใช้ software version โบราณ (legacy) ก็เป็นได้ เพราะมันคือสิ่งที่ยืนยันว่าพวกเขาคือ enterprise ไม่ใช่บ้าใช้ software ver ใหม่ๆ เหมือน startup นั่นเอง