Security Baseline と Client の受容基準が食い違うとき

依存ライブラリの既知 Risk を、Client 側が「今期は受容する」と判断した。こちらの Baseline では期限内に上げる前提になっている。

受容の判断そのものは Client の権限で構わない。残すべきなのは「誰が、いつ、何を根拠に受容したか」で、記録が無い受容は後から必ず揉める。

技術的にどこが原因かという話と、費用をどちらが持つかという話を同じ会議で混ぜないほうがいい。混ぜると、原因の特定が値段の交渉に引きずられる。

受容する場合でも、継続して警告を出し続ける仕組みは止めない。止めると、次の担当者が「問題なし」と読んでしまう。