前天去參加某政府單位舉辦的計畫說明會,主辦單位為了要收集計畫執行過程中的資料,建置了一個資料收集系統,並要求參與這個計畫的大專院校上網填報資料。
其中要求輸入所有參與計畫的學生資料,因為人數眾多,所以在Q&A的時候有老師建議,希望能夠設計批次上傳的功能,讓使用者彙整成一個 Excel 檔之後,再上傳由系統去 parse 資料,這樣可以節省很多人力輸入的時間。
這個問題由一名看來像是工程師的人來回答,他的答覆讓我無言又好笑,因為全是一堆鬼扯唬爛的理由。
他說關於這個部份,因為基於安全考量主機被管的很嚴,所以儘量不要去碰觸系統資料的存取(這裡我實在聽不大懂他在講什麼)。接著說前一陣子不是有發生什麼健保資料外洩,所以因為安全考量,我們不提供批次上傳。
對於他的理由,整個就是破綻百出,而且推卸責任的手法也不夠老練,別把資訊安全當作偷懶的藉口。
首先,如果是因為安全政策,而限制批次上傳功能,那這個政策對資料收集系統應該是全面性的。但事實是,收集系統的其他部份仍舊有提供檔案上傳的功能,而學生資料收集卻沒有,光這點就很難說服我,難道其他上傳功能就沒有資安風險。
其次,拿資訊安全來當擋箭牌根本是鬼扯,當系統開放網頁表單給大家輸入資料的時候,他就已經面臨資訊安全的潛在風險。重點在於功能的價值與風險之間的平衡,而不是說增加這功能會影響資訊安全所以我不加。別因噎廢食了!
會講這些,並不是因為沒做出我們要的功能,所以凸臭他。而是他第一時間並不是採納與評估意見,而是搬出資訊安全要把責任推掉。
如果是因為時程問題來不及作,應該可以表示:「因為這次時程的關係,沒有把這部份的功能安排進去,如果這個功能能帶給大家很大的幫助,我們會把需求帶回去研究,希望在下一版的系統能夠增加這個功能。」這樣才是一個讓事情持續改善的負責任態度。大家也不會說:「不管,你現在就是要做出來。」
搬出資訊安全扯一堆有的沒的,在我聽來只會是一堆的嘴炮藉口。原本簡單的事情,何必講的困難重重又危機四伏呢。
結論是:狂賀!資訊安全這理由實在太好用啦,因為懂得人不多,只要隨便唬爛一下,User 很容易就被唬得一愣一愣的啦。