最終日。
内部設計書を作って、レビュー。
レビュアーが、他の研修チームのメンバー。ツッコミどころが細かく、辛かった。
自分もレビュアーとして、他チームのレビューを受ける。
同じくツッコミどころが細かい。すみません。
資料作成時間足りないのは、わかってたんだけど、、、
現場から、セキュリティの専門家が来てて、
結構有意義な指摘を戴いたので、メモっとく。
- ログイン画面でのエラー表示について、｢ID/パスワードが間違ってる｣とした方が良い
→｢パスワード間違ってます｣だと、ログインIDが合ってることがばれる。
→その流れを、後ろで誰かに見られてたら、、、
- ログイン後、ログイン後の画面でログインユーザの名称を出したほうが良い。
→社内システムとかの場合、ログイン後の画面を印刷とかして、
それが誤って情報漏えいしてしまった
→どのユーザが漏えいさせたか、画面印刷物に表示されてる
- 逆に、ログインIDのみの表示は、避けたほうが良い。
→パスワードを安易なものに設定している惧れアリ
→ログインIDばれたら、誰かがパスワードを解析してログインしてしまうかも。
- (内部システムであっても、)アドレスバーを表示させる設計のほうが良い
→画面を使ってるユーザが、どのURLで作業しているか、使いながら確認できる
→アドレスバー隠してると、自分の想定していない、類似画面をいじってるかもしれない
- セキュリティ関連は、顧客はあんまり要件を出してこない
→顧客的には、有って当たり前的な感覚。要件出しにくい。
→開発側で意識高く持ってないとダメ
また、現場からのゲストSE(といっても、知り合いの人だったが)からも
幾つかの助言をいただいた。
- 外部設計までにユーザと決めた機能が、本当に実現できてるかを気にする
- O/LとB/Tの設計者が別々の場合、O/L・B/Tで整合性取れてるか気にする
- 内部設計で用意した機能が、本当にユーザにとって必要な機能なのか
→内部設計〜詳細設計になるにつれ、視野が狭くなってしまう
→都度、設計全体とかを見直してみて、広い視野/狭い視野で見直してみる。
後半の研修は、なんだかんだ言って、設計書作ってばかりだった。
他の人のやり方を見れたのは勉強になったが、
設計書作るのに時間費やしすぎだった感は、否めないかな。。。
