« (26.7.13) BSドキュメンタリー 「植物の帝国」 植物と動物の間 ウミウシ人間の可能性 | トップページ | (26.7.15) 習近平氏の虎退治 その2 江沢民派の追い落とし!! »

(26.7.14) 顧客情報の漏洩は防ぐことができない。 ベネッセ事件

21_1036 

 この問題を解決することはひどく困難だと思った。ベネッセ顧客情報漏洩事件再発防止策である。
ベネッセのデータベースに保有している顧客情報が最大で2070万件流失したという。
私はベネッセという会社を知らなかったが、小学生向け全国学力テストの委託事業をほぼ独占し、進学ゼミや子供チャレンジと言った教育用ソフトを広く全国に展開している会社だという。

 この会社のデータベースから子供の個人情報が流出したのだが、このデータを無断で持ち出したのが外部の委託会社のSEだった。
この世界のことを知らない人は何で外部のSEかと思うかもしれないが、今やシステム開発、メンテ、そしてセキュリティー管理はほぼ外注に委託しているのが実態だ。

 私はある金融機関のシステム部門に長く在籍していたが、金融機関の職員がシステムを開発したりメンテしたりすることはほとんどない。職員は金融に関する一般知識は持っているがシステム知識を持っていることはないので高度なシステム管理を行うことができないのだ(たまにオタクのような人間はいる)。
では金融機関の職員は何をしているかというと、実際にシステム開発をしたりメンテをする外注会社の窓口であり、開発したいシステムをオーダーし(これをユーザーニーズという)、できたシステムの検収をするのが役目だ。

 だが実際はシステムの中身は全く分からないから、「君、どこまでテストをした。絶対大丈夫だね。君が大丈夫だといえば僕は安心してこのシステムの検収をしたことにしよう
何て感じになって、実際は委託先のSEシステムエンジニア)に全面的に頼ってしまう。
町奉行所の与力や同心より銭形平次の方が探索能力が高くなるのと同じだ。

 ベネッセの今回の事例では顧客情報を保有していたDB(データベース)にアクセスするには特定のパソコンから、IDとパスワードを入力しなければならないようにしていたが、こうしたDBにアクセスする権限は全面的に委託先のSEに与えられている。
もし与えられていないとシステムトラブルが発生した時に直す人がいないからで、ベネッセの職員がそうした修正能力が全くないのだから、委託先のSEに全面的に頼らざる得ない。
君、どうしても今夜中に原因を判明して直してくれないと、上司から僕がどやされる。何としても直してくれ」なんて懇願しているのが普通だ。
当然外注先のSEのDBへのアクセスはオールマイティーになるから、ベネッセの職員がいないすきに(ほとんど現場にはいない)データをダウンロードし、それをUSBメモリーで持ち出すことはいたって簡単なことなのだ。

注)こうした持ち出しを防ぐためにパソコンのUSBメモリーを挿入するスロットをふさいである場合があるが、ベネッセはそうしていなかったようだ。

 従来こうした状況下にあっても機密情報が漏れることが少なかったのは、 日本人のSEの資質が相対的に高かったからで、日本人は特別な理由がない限り機密情報の漏えいはしない。
しかし全員のSEにこうしたモラルの高さを望むことは不可能で、人によってはサラ金に追われていたり、金融商品取引で大穴をあけてしまった人もいる。

 こうした立場に置かれたSEが末端価格で1件当たり15円から30円程度で販売されている顧客情報をそっとコピーして持ち出すことは有りうることだ。
今回の顧客情報が2000万件としたら、末端では3億円から6億円の相場で売り買いされていることになるのだから、持ち出したSEにも相当な報酬が支払われたことになる。

 はたして機密情報の漏洩を防ぐ方法は本当にあるのだろうかと思ってしまう。実務が外部委託のSEにまかせっぱなしになり、ベネッセの職員(他の企業も同じ)は地位が高くなるほどシステムについて無知で、一番の当事者が外部SEだとしたら、このSEのアクセス権限を制限することなどできるわけがない。
あるのは常時DBにアクセスした記録をチェックし、怪しいアクセスがあった場合はすぐさまそのSEの権限を停止させることぐらいだが、これではどうしても漏れた後の対応になることと、今度はチェックを行うSEを外部から調達しなければならなくなる。

 どこまで行っても外部SE任せである以上、ある一定の情報漏れはリスクの範囲内とするしかない。
そこで最後の対応は個人情報の階層化を行い絶対に漏らさない情報と洩れても仕方がない情報に分けてセキュリティー管理のレベルを変えることだろう。

 実は個人情報と言っても本当は外部に漏れたら絶対に危ない情報と、洩れてもそれほど支障のない情報がある。
名前、住所、年齢、電話番号レベルは従来は電話帳や住民台帳に記載されてオープンになっていた情報で、知られるとうるさい商品勧誘がなされるがその程度のことだ。
一般的にこの情報が漏れて大騒ぎになっているが、これは第二級の情報に過ぎない。

 本当に困る第一級の情報は私の場合は銀行口座番号とそのパスワード、クレジットカードNOとこのブログのパスワードやメールのパスワードぐらいで、名前や住所、年齢、電話番号などは「だからどうなの」というレベルに過ぎない。
顧客情報の漏洩と言っても内容によりけりで、今回の場合は本当は最重要情報の漏洩とは言えないレベルなのだ。
第一級の情報管理はDBを保有する会社の最重要業務として当該会社の職員を当てるか、信頼できるSEに委託して会社の本来業務と位置付ける必要がある(実際は外注任せの第二級の仕事になっている)。

 前から個人情報保護法では保護しなくてもよい情報まで含まれて大騒ぎをしているが、本当に守るべき情報とそれ以外の情報に分けてセキュリティーを構築しないと時間と手間ばかりかけて二級の情報漏洩を防ぐという無駄に陥ってしまう。
この問題は個人情報そのものの見直しと、そのセキュリティーのあり方に一石を投じた奥深い問題なのだ。

注)ネットバンキングのIDとパスワードが盗まれている手口は前に記載した。
http://yamazakijirounew.cocolog-nifty.com/blog/2013/08/post-3abf.html

 

 

|

« (26.7.13) BSドキュメンタリー 「植物の帝国」 植物と動物の間 ウミウシ人間の可能性 | トップページ | (26.7.15) 習近平氏の虎退治 その2 江沢民派の追い落とし!! »

システム ネット社会」カテゴリの記事

コメント

コメントを書く



(ウェブ上には掲載しません)


コメントは記事投稿者が公開するまで表示されません。



« (26.7.13) BSドキュメンタリー 「植物の帝国」 植物と動物の間 ウミウシ人間の可能性 | トップページ | (26.7.15) 習近平氏の虎退治 その2 江沢民派の追い落とし!! »