アリコの顧客情報流出。専門家を呼んできて対策本部を作り調査しているが原因は特定できないらしい。多分専門家など呼ぶ必要はない。原因を特定するに２秒あれば十分だ。問題は関係者がそれを口に出せないところにある。コンピュータネタ、目次へ
02年8月から08年5月までの期間にアリコジャパンに直接申し込み、クレジットカードで決済した顧客のうち、証券番号下一桁が２または３の場合、顧客情報が流出したんだそうだ。これだけで分かる。証券番号下一桁が２か３となると、これらのデータ群は人為的にセレクトしたものでなくてはならない。普通はこんな選択行なわれない。考えられるのは本番データを使ってテストを行った場合である。本番データ全件を使うと量が多くて大変なので、なんかの条件でセレクトして使たんだろう。この場合は証券番号下一桁で１／５に減らしたということ。僕も昔は似たようなことをよくやった。
本番データをテストに使うメリットは大きい。システム仕様、プログラミング仕様を考える時に想定していなかったが、実際には存在するデータに気が付くからだ。結構あるんだ。それになにより本番データを使うとテストデータを作る必要がない。
しかし本番データをそのままテストに使ってはいけない。どうしても管理が甘くなる。テストをしている末端までデータがいきわたるからだ。メインフレームならまだいい。パソコン、ワークステーションなら事実上データは持ち出し放題である。多分アリコは分かっているのだろう。でないと証券番号の下１桁が「２」と「３」が流出したと特定できるわけがない。だからセキュリティの専門家など呼んでくる必要はない。実際は呼んでないんじゃないか？百年に一度の不況であればそんな余裕はないはずだ。
委員会が実際にやっていることは「テストデータに本番データをそのまま使っていたことの言い訳作成」であろう。あるいは「うやむやになるのを待つ」である。
普通は、本番データを使うにしても、お客様名やましてやクレジットカード番号などの重要な部分だけでも、スクランブルをかけて読めなくする。全部伏字にしたり、(株)だけ残したり、ランダムな数字で置き換えたりする。それをやらずにテストを他社に任せたりすれば、それは流出しても責任はアリコにある。で、今回はうやむやにしてはいけないのだ。実際に悪用されている。しかも派手に。つまりデータは悪用されるべきところへ売られた可能性がものすごく高いのだ。だからアリコは業務停止および国内撤退が正しい措置だと思う。少なくとも新規募集停止１年程度の処分は必要だろう。経営陣も１〜２人首をつらないとね。（上意下達のシステム開発のとき、現場レベルでは体を壊して死んだり、自殺したりが珍しくない。そういう話を聞いていると、経営陣がピンピンしていていいのか、という気はする。金曜日まで〜正確には土曜日の朝まで〜一緒に働いていた人が、死んだという連絡を月曜日に受けてご覧なさい。僕の言っているの暴言ではないと思うよ。）
アリコがどういう言い訳を考えてくださるか分からないが、できるだけこちらに影響のないようにしてほしいもんだ。金融庁は他の金融機関に対しても「本番データをテストデータに流用していないことを調査／報告せよ」と言って来るぞ。いままで真面目にやってきた人間がいちいち調査して、報告しなければならないなんて迷惑だ。
さあ、どうしよう。アリコの経営陣および調査委員会が全員亡命、会社はいきなり閉鎖、なかったことにする（ここまで徹底してもみ消せばそれなりに評価する）。というのがベストだが、仕方ない、オフショア開発時の事故にしてしまおう。
つまり、オフショアに責任を押し付けるのだ。国内では本番データ管理をきちんとやっていたが、海外にテストを発注したところ、その拠点で隔地保管してあるデータをテストに使ってしまった、と。苦しいな。でもひとつだけ救いがあるのは、流出したデータが2008年までのものだったこと、過去データが残ってました、という言い訳がかろうじて使える。金融危機後、隔地保管のやり方を見直しました、といえるのよ。オフショアであれば、犯罪組織にデータが流れました、も余り違和感がない。しかし僕が「他国に責任をなすりつける」ことしか考え付かなかったような問題、起こすんじゃねえよ。え、オフショアって何処だって？もちろんアリコ本体所在国よ。本社はちゃんと責任を取ってね。でも心配には及びません。親会社のＡＩＧは金融危機でボロボロだから、仕方ないよね、と思ってもらえるだろうし、日本の金融庁が合衆国に調査要求は出せないだろうから。