米ツイッターの経営が視界不良だ。13日に開いた臨時株主総会で、米起業家のイーロン・マスク氏と4月に合意した総額440億ドル（約6兆3000億円）の買収取引を承認した。同日には米議会上院が、同社のセキュリティー問題を内部告発した元幹部を証人に招き、外国勢力によるスパイ行為などのリスクを問いただした。買収撤回を表明しているマスク氏との法廷闘争に影響する可能性がある。
「非常に大きな影響力を持つ会社でありながら、業界のセキュリティー基準から10年以上遅れている」。ツイッター元幹部のピーター・ザトコ氏は13日、米上院司法委員会が首都ワシントンで開いた公聴会に出席し、同社のIT（情報技術）システムの脆弱性が経営陣によって意図的に見過ごされ、事実が隠蔽されてきたと証言した。
多くの企業はITシステムを稼働中の本番環境と、開発のためのテスト環境に分けている。ところがツイッターではザトコ氏が在籍していた2022年1月まで社内にテスト環境は存在しなかったという。攻撃者の視点でシステムを診断する「ホワイトハッカー」でもある同氏の目には「奇妙で異例」と映った。
ザトコ氏によると従業員の半数を占める4000人近いエンジニアが本番環境にアクセスすれば、電話番号や位置情報を含む多くの個人情報を閲覧できる状態だった。社内ではエンジニアの作業履歴などを追跡する仕組みも整っていなかった。
ツイッターを解雇される直前には中国の情報機関の工作員が同社に在籍していた事実を知らされたという。ザトコ氏は13日の公聴会では「ツイッターの従業員ならばこの部屋にいる議員全員のアカウントを乗っ取ることができると言っても過言ではない」と訴え、米規制当局の対応を促した。
Twitterぐらいの規模になってしまうと本番相当のテスト環境を作るのに多大なコストが掛かるだろうから、フィーチャーフラグを仕込んだ上で本番に直接適用するという方針でも別に不思議ではないが（テストとレビューは厳格にやる前提）。
Facebookもそんな感じの開発フローだと聞いたことがある。
ユーザーデータに対するパーミッションや作業内容の監査ログ機能が無いのは流石にダメだと思うけども。