情報漏洩を防げ

　YahooBB（というかソフトバンク）からの情報流出問題。かなり騒がれていて集団訴訟なんて動きもあるようだが、「なにを騒いでいる。はた迷惑だ」という感想を持つことにした。実際迷惑である。騒いでいるおかげで情報流出対策を強化しないといけないことになった人も多かろう。しかも来期の予算申請には普通、もう間に合わない。予算なしでやれといわれてもたまったもんじゃない。これもソフトバンクからの情報流出が必要以上に騒がれているせいだ。

　なんつうことを言うのだ、実際個人情報が流出した側の身にもなってみろ、という感情的反発があるかもしれない。しかし、文句は言えないはずなのだ。というのはYahooBBの会員規約に「モデム利用者の個人情報を開示することを可能にする」という項目があるからだ。確かに制限はあり、事前に打診するとか、ちゃんと情報管理ができるところにしか開示しない、とかいうことになっており、だから規約違反だと怒ることはできる。しかし個人情報を漏らされたこと自体を怒ってはいけない。
　逆にソフトバンクは大損害である。個人情報を売って儲けよう（建前上は利用者に貸し出したモデムの所有権を使用者の情報付きで販売する）としたビジネスモデルがこれで崩れてしまった。というのは、個人情報を買おうとしたお客はソフトバンクに正当な対価を払って情報を得たとしても、流出したものを買ったのだと誤解されて信用を落とす可能性があるためにモデムの所有権を買いとろうとはしないだろうと推測されるからだ。YahooBBにとっては信用問題で終わることではない。経営の根幹が揺らいでしまうのだ。
　従ってYahooBBの契約者は今回の流出を感謝してもいい。ソフトバンクは個人情報としてクレジットカード番号まで開示するつもりだったのだ。上の推測通りモデムの所有権を買い取る人間がいなくなるとすれば、クレジットカード番号を開示される心配はない。電話帳に載る程度の情報流出で済んだのだ。「儲かった」と思ってもおかしくなかろう。
　ただし、モデムを買い取った会員や既に退会している人の個人情報までが漏れているとすれば（事実漏れているそうだが）、これは確かに大問題だ。

　まあ、ソフトバンクやYahooBBの会員に文句を言っても仕方がない。どうせなら規約が改定になった６月に騒いでくれれば来期の予算に間に合うのにという気はするが、、、仕方ない、情報流出対策について何か考えよう。

　ここで自社の事例を出してしまうと守秘義務違反になってしまうので、適当な事例をでっち上げよう。他社にパソコンを持ち込んで常駐で開発している。汎用機で稼働する何の変哲もない業務システムを開発しているが、持ち込んだパソコンはドキュメント作成のために使っているとする。なお、持ち込んだパソコンは会社から貸与されたものでPHSで社内システムに接続し、電子メールの送受信、掲示板の閲覧、勤怠情報の送信などにも使っている。
　ところが営業ががんばって人事システムをパソコンで再開発するという案件をとってきてくれた。当然、システムの機密性は高まる。さらにパソコンでとなると持ち込んだパソコンでもプログラムを書きたくなる。テストの時には多少本番データも混じる可能性もある。そんなわけで「持ち込みパソコンから絶対に人事データやシステムの設計情報、プログラム本体が漏れないようにしろ！」と発注元から強く言われたとする。さあどないしょ。

　当然発注元は「フロッピーディスク、MO、USBストレージ等外部メディアの使用は一切禁止」などと言うかもしれないが、それでは仕事が回らない。納品物は紙ということでいいですね、と全てのドキュメントを印刷しても良いが、そこはそこ「電子データでくれないか」と先方も言うであろう。ならば常駐先の社内LANに繋がせてくれ、FTPその他でファイルを送信するから、というと「セキュリティ上接続を許可するわけにはいかない」などと言うんだろうなあ。そんなやらずぶったくりな事を言われても。
　で、持ち込みパソコンを持ち出すとき「人事情報を持って出ていないかどうかパソコンの中身を見せろ！」と言われたら、このときは切れよう。パソコンの中にはオリジナルのツール群や、開発上のノウハウを記した文書も入っているんだ。それを見るというのは下請けいじめだ！などとごねる。（より嫌みとしてはオリジナルのマクロウィルスもどきを作っておき、いかにも中身を確認したくなるファイル名にしておく。発注元がクリックした途端・・・。で、てめーが不用意にファイルを開くからいけないんだと騒ぎまくる。）

　ある程度は相手の言うことを聞かんといかんだろう、で気がついた。外部メディアとのファイル読み書きを監視させればいいんだ。しかしそのためには監視サーバーとLANで繋いでおく必要がある。監視プログラムの仕様はざっとこんなもの。

　ここまで監視できれば先方も納得してくれるだろう。
　なお、先方にとっての最大のリスクは、外部ストレージに書き出したファイルのうちにオリジナルのウィルスを仕込まれていて、発症するとディスクをフォーマットするものであった場合だ。「情報漏洩があった、すぐ監視サーバーに保管されたファイルを調査」となったときに、そのウィルスを動作させてしまえば、証拠隠滅となってしまうことだろう。
　こっち側の問題は、下手に社内システムと繋いでしまうと、ping爆弾で社内システムの方が落とされる可能性があるので、やはり社内システムとの接続はできないということだ。
　仕方ない、電子メールは携帯電話で、社内掲示板は毎日ＦＤで送ってもらい、勤怠管理はFAXで、ということにしよう。本社に代行入力のための工数が発生するぞ、どうすんべ。

　ここで気がついたおもしろいことは「情報漏洩を問題とした場合、監視ができるがゆえにスタンドアロンよりLAN接続の方がリスクが減少する。」ということだ。ウィルス感染や外部クラッキングのリスクと全く逆である。とすると・・・またもやネットワークコンピュータにスポットが当たるかもしれない。
　そりゃ、一番リスクが少ないのは外部ストレージ・内部ストレージとも持たないパソコンをつなげて、ファイルは全てサーバーに置き集中管理という事になろうから正にネットワークコンピュータ。OSを専用に設計していちいちロードするのは確かに大変だから、よしそこはknoppixをカスタマイズして使えばよい。ドキュメント作成もOpenOfficeが使えるからなんとかなるぞ。でもこのとき必要なパソコンのスペックから考えて・も・一台４万円はかかるなあ（参考にしたのはMCJの398BOX、15inchCRTまでついて39800円）。これとLANを張る費用を考えると、、、いくら安くなったと言っても、つらいなあ（今時15inchCRTというのも）。オラクルさん。NCへの情熱を失っていないのなら共同で実験しませんか、もちろん費用はそちら持ちで。

　ああ、発想が日一日と貧乏になってゆく。ホントーはPlan9なんか使えるといいんだけどなあ。Officeアプリケーションがないからなあ。

コンピュータネタ、目次へ
ホームへ