CrowdStrike元従業員たち：「品質管理はプロセスの一部ではなかった」

 (semafor.com)
1 ポイント 投稿者 GN⁺ 2024-09-14 | 1件のコメント | WhatsAppで共有
  • CrowdStrikeのソフトウェアエンジニアたちは、1年以上にわたり、締め切りの短縮、過大な業務量、技術的問題の増加について会社の上級管理職に不満を訴えていた
    • エンジニアのJeff Gardner：「スピードが最重要で、品質管理は優先事項ではなかった」
    • 元従業員24人のうち10人は解雇され、14人は自発的に退職した
    • 元従業員のJoey Victorinoは、CrowdStrikeはあらゆることを綿密に処理していたと反論した
  • CrowdStrikeはSemaforの報道内容の大半を否定し、情報提供者たちを「不満を抱えた元従業員」と呼んだ
    • 会社は、厳格なテストと品質管理を通じて製品の安定性を確保するよう努めていると主張している
  • CrowdStrikeは2011年に設立され、2013年にFalconアンチウイルスパッケージを発売した後、サイバーセキュリティ業界のリーダーへと急成長した
    • 2019年の上場後も大規模な成長を続け、従業員数が増加し、2024会計年度末までに売上高は1,000%以上増加した
  • 7月、CrowdStrikeの誤ったソフトウェアアップデートにより、史上最大規模のIT障害が発生した
    • 850万台のコンピューターがダウンし、Fortune 500企業に最大54億ドルの損失をもたらした
    • 空港の旅行者が足止めされ、オンラインバンキング口座にアクセスできなくなり、緊急コールセンターがオフラインになった

元従業員たちが提起した問題点

  • 製品のリリースを急ぐため、ソフトウェア品質検査が不十分なことがあった
  • プロフェッショナルサービス部門で、顧客の個人情報が誤って別の顧客のフォルダーに3回もアップロードされる事故が発生した
  • Falcon LogScaleサービスに問題があった
    • 誤ったアップデートにより、悪意ある活動を知らせるリアルタイム警告が一時的に無効になったことが少なくとも2回あった
  • 2022年、クラウド脅威ハンティングサービスのFalcon OverWatch Cloud Threat Huntingの立ち上げが急がれた
    • エンジニアと脅威ハンターに対し、通常は1年かかる作業を2か月で終えるよう指示した
    • リリース時点で、脅威ハンターが顧客のクラウドシステムを完全に監視するために使う社内ツールが不足していた

CrowdStrikeの回答

  • 既存のエンジニアを使ったことは認めたが、当時は「クラウド脅威ハンター」という分野自体が存在せず、経験者を採用することは不可能だったと説明した
  • 従業員が業務を遂行できるように訓練されていなかったという主張は虚偽であり、希望者にはトレーニングを提供していたと述べた
  • OverWatch製品群は10年以上存在しており、顧客の進化する脅威と要求に合わせて継続的に改善されている

関連記事

1件のコメント

 
GN⁺ 2024-09-14
Hacker Newsの意見

  • CrowdStrike の Mac エージェント（Falcon）が、環境変数内のすべてのシークレットを平文のままクラウドホスト型 SIEM に送信している

    • GitHub、AWS などの認証情報を検索できる
    • 該当するのは Mac 版のみで、この挙動を無効化したり修正したりする方法はない
    • 顧客の多数の平文シークレットが SIEM に保存されている可能性が高い

  • Jeff Gardner は、CrowdStrike では速度だけが重視され、品質管理は考慮されていなかったと主張している

    • 解雇された元従業員の意見は信頼しにくい
    • この従業員はデザイナーであり、品質管理には関与していなかった可能性が高い

  • 24 人の元従業員のうち 10 人は解雇され、14 人は自発的に退職した

    • 一部の元従業員は別の見解を示している
    • Joey Victorino は、CrowdStrike はあらゆる作業において徹底していたと主張している

  • Jeff Gardner の意見は UX デザイナーの視点から出たもの

    • カーネルパッチの配布プロセスとは関係がない可能性が高い

  • 重要なソフトウェアインフラは、物理インフラのように規制されるべき

    • 建物や橋と同様に、ソフトウェアも規制と検査を通じて信頼性を確保すべき

  • CrowdStrike エージェントを展開したチームでログの問題が発生

    • デーモンが大量のログを記録するが、それを停止または削減する設定がない

  • CrowdStrike の文化的問題は Knight Capital に似ている

    • 小さな文化的問題が会社全体の機能不全につながる

  • ソフトウェア開発では品質管理が不足していることが多い

    • 多くのプロジェクトが十分にテストされないまま急いでリリースされる

  • リスク許容とスリル追求の境界について考え始める

    • ある時点から、それは怠慢や規律の問題ではなく、神経症や依存症になり得る

  • CrowdStrike は Semafor の報道に反論している

    • 不満を持つ元従業員が会社を悪く見せようとしている可能性がある
    • しかし CrowdStrike の信頼性は非常に低い

  • 最悪の事態が起きたにもかかわらず、CrowdStrike の株価は依然として上昇中

    • S&P 500 を上回るパフォーマンスを示している