Webシステム・セキュリティの責任は誰に？

http://www.atmarkit.co.jp/news/200512/09/websec.html
誰も彼もが悩んでるんだねぇ。SKUFでも出てたけど発注側が値段だけでなくて品質を見るということが必要なのかもね。とはいえ、セキュリティを含めた品質を客観的に見る指標というのも難しいよねぇ。
高品質ってバグが少ないこと?セキュリティホールがないこと?安定して動くこと?
RFPの段階で品質について定義しておいて、その品質を提供するための方法について提案してもらうというのがいいのかなぁ?
欠陥建築の例じゃないけど、全てを専門家にまかせっきりにするんじゃなくて、発注側が自衛するために必要な知識を持つ必要があるのかもね。