防ぐ気あるのか情報流出

アスキー社主催の情報漏えい対策セミナーに5250円払って行ってきた。

まず電通国際情報サービスの熊谷誠治が、お寒い日本の実情（電車の中でマル秘と書かれた書類を広げて仕事をする公務員など）を告発。Winny使用を禁止すれば取りあえず流出は抑えられるし、日本企業の実情云々なんて言ってるから流出を止められない、と意表をつく分析（セミナーの惹句が“「Winny禁止」「情報管理体制強化」では何も解決しない！”なのに）。「何をやっても効果はある」（ただし、費用対効果は別の話）と。そしてまずやるべきはルールの策定、次にルールが守られるための仕組み（道路におけるハンプのようなもの）を作ること。

※発表ではバンプ（bump＝衝突）と書かれていたが、自動車を減速させるための道路の段差はハンプ（hump）。

このルールや仕組みは組織・人・技術力・業務内容によって異なる。人のスキルが高ければ投入する費用は安く済むし、ルールは柔軟にできる。組織の中で資格を認定するのも一法。

※これを組織外に広げると半ば冗談半ば真顔で語られるインターネット免許になる。真面目な話、無知不用心大胆傲慢な人はネットから隔離したいヨ。組織内資格は、たとえば昭和（ネット利用禁止）、二十世紀（制限ユーザで利用可）、平成（一般ルール適用）、二十一世紀（緩和ルール）の四段階はいかが。

次にIPAの加賀谷伸一郎が「眠くなる時刻ですので、トピックをいくつか」と登場。「人はなぜウイルスを踏むのか」という考察と懲りない面々の相談事例には会場から失笑。

※考えてみれば我が師匠「阿」の行動はこれそっくり。近々査察をかけねばなるまいな。
「反セキュリティ対策行動」は案外と根深い問題かもしれない。2005年4月にウイルスバスターの不具合でWindowsXPが動作しなくなる事件が起きた際、２ちゃんねるでは、いち早くウイルスバスターが原因と気づいたのは立派だが、「常駐を解除しろ」「アンインストールしろ」と無茶苦茶なアドバイスが。そして「それは危険」という意見には罵倒が雨霰。最新パターン（定義）ファイルを削除して一つ前の版に戻すだけで済むのに、アンインストールまで突っ走るのはなぜなのか。なぜウイルスに対して無防備になるという真っ当な警告を発した者（ちなみに私ではない）に罵声を浴びせるのか。なにか歪んだ美意識の存在を感じる。

「心構え」と「技術」の両面からの対策が必要であるとし、
心構えとしては
○漏れては困る情報の管理は厳重にする
○ファイル交換ソフト（Winnyに限らず）の利用を止める
○自分だけでなく情報をやり取りする相手にも注意
○規則を遵守する意識の醸成
技術としては
○OSおよびアプリを最新状態に保つ
○ウイルス対策ソフトの導入とアップデート
○パーソナルファイアーウォールの導入
などウイルス対策 7箇条にまとめられているもの。

※2004年のファーストキンタマでは、チャット相手が感染していて、会話内容をキャプチャで暴露された人がいた。正直なところ、これではメールも迂闊に送れない。MLで注意を促そうかな。あるMLにはklezに感染した県議さんもいたし。

三番目は日本ネットワークセキュリティ協会の山田英史が登場し、いきなり「山田ウイルスの作者ではありません」（笑）。報道された情報流出事故を分析し、2004年までは
○盗難・紛失が件数で過半数
○紙媒体・PC本体が7割
○ところが被害者数では不正な持出しが55%でトップ（数は少ないが、一件あたりの被害が大きい）
と結論付ける。権限のある人間が意図して持ち出すのだから宜なるかな。

そして2003年度情報セキュリティインシデントに関する調査報告書で示された方法により、2004年度には一件あたり約14億円、総額4667億円相当の損害と計算する。ただし、実際には被害者のうち訴訟に参加したのは0.02%（今後もこの率が保たれるかは不明）。

そうすると対策としては、「盗難・紛失」に対するもの（電車の網棚を使わない／自動車の車内に残さない／飲食店では身近におく／暗号化／持ち歩く情報の選別等）と「内部不正」に対するもの（ルールの強化／教育／秘密保持契約／監視等）の両面作戦。

※聞けば盗人は被害者の行動パターン・心理をよく読んでいる（パチンコ屋の駐車場は狙い目とか）。無差別の金品狙いでこうなのだから、特定の人が持つ情報を狙われたら赤子の手をひねるようなものではないか。
そういえば熊谷さんも嘆いていたが、出張にPCを持参したら、ホテルに残すのはNG、肌身離さずを守ると迂闊に飲み屋にも行けないというジレンマに。

しかし、対策をとっていても完全には防げない。流出事故後の後始末も大切。インシデント発生後の対応フローを作っておく必要がある。

アリエル・ネットワークの徳力基彦は、「「Winny問題」から、ソフトウェア開発者が学ぶべきこと」のなかで、事故が報道されているにもかかわらずantinny等による情報流出が続出していること、それどころか（Winnyではなくカタカナで）「ウイニー」「ウイニー　ダウンロード　無料」といった検索が非常に増えており、つまり興味本位のド素人が警告を無視して手を出している可能性の高いことを指摘。「ウイニーを使うのを止しましょう」は対策として不十分と結論付けていた。

※世の中には呑気に「Winnyは悪いソフトだから使わせなければそれで十分」と対策に消極的な人もいるようだが、AIDS封じ込め失敗の愚を繰り返さないようにしてほしいものだ。

グローバルナレッジネットワークの片岡正枝が、Windows基本機能で情報漏えいを防ぐ方法を解説したが、肝心のActive Directoryを使っている人が会場にもほとんどいなくて残念でした。

※だいたいさぁ、まだWindows98やMeを使っている会社だって多いあるんですぜ。それにライセンスを購入する必要がある上、効果は限定的なんだから。もちろんActive Directoryを使っているところは大いに活用してもらいましょう。

そのあとベンダーによるソリューション提案があったが割愛し、お待ちかねの金子さんによる「Winny開発者にできること」。まずWinnyは「情報共有ストレージ＝電子図書館」を実現するソフトであると説明。Windowsの「フォルダ共有」のWAN版であるとたとえる。

次の昨今の情報流出事故を分析し、
1)重要な情報の組織外持出し　←この時点ですでに流出なのだ！
2)外部PCが情報漏えいウイルスに感染
3)情報がWinnyネットワークで閲覧可能に
これらすべての課程過程を経なければならないと指摘。Winny使用＝情報流出という世間の見方に異を唱えた。

続いて現在の暴露ウイルス（情報漏えいウイルス）の仕組みを解説。なんとWinnyは公開フォルダをupfolder.txtで設定しており、それを書き換えるというのが暴露ウイルスの基本動作だという。さらにWinnyは「サブフォルダは公開しない」「隠しファイルは公開しない」という制約をしていたが、「隠しフォルダは公開可能」という見落としがあり、ここを衝かれた（アップフォルダ内に隠しフォルダを作り、そこへ非公開領域のファイルをコピーして公開か）。

そこで対策の第一は、バージョンアップ等で設定ファイルの名前をupfolder.txt以外にする（ちなみにupfolder.txtをリードオンリーにしても属性を変更されて書き換えられる由）。このあまりに簡単かつ効果的（既存antinnyは無害化）には「すぐ亜種が出る」と/.辺りでは不評のようだが、伝聞や孫引きではなくオリジナルを聞いてから批評しようや。ちゃんと設定ファイルの暗号化さらには設定ファイル書き換え時の警告もセットになっている（但し、「アップフォルダが変更されますがよろしいですか？」はうっかりユーザーにはあまり効果が無いだろう。デフォルトを「いいえ」すれば大丈夫？）。

しかし、京都府警に対してバージョンアップをしない旨の念書を出していること、また裁判では頻繁なバージョンアップが幇助に問われているので、自分ではバージョンアップは難しい、と。

※免責保証があれば喜んでやる感じだったので京都府警か検察が頭を下げれば万事丸く収まるのではないだろうか。検察が××をこねるなら総務省か経済産業省が大人の対応をみせるとか。

バージョンアップ以外の方法としてはパッチがある。パッチなら開発者以外でも作れるので「誰か作りませんか」。ただし、セキュリティパッチという触れ込みでウイルスがばらまかれる可能性もあるので、公表されても適用には十分注意してほしい、と。

※この「誰か作りませんか」がまた幇助に問われたりして、と半ば冗談でレジュメに書き込んでいたら、次の壇弁護士が「パッチを作って逮捕されたら、京都の人なら面倒は見ます」と警戒感を表明していた。あれ、センセ大阪では？
講演後はあきらかに他の演者に対してより盛大な拍手。参加者の多くは企業のシステム管理者であると聞いたが、皆さんWinnyが情報流出を起こしているのではないとわかっており、またWinnyは著作権侵害のための悪いソフトとも思っていないことが感じられた。たしかに電子図書館ソフトだ。だけど、そうだとすると初期設定がダウンロードオンリーって妙じゃない？

最後の壇俊光は金子勇の弁護人（弁護団事務局長）。ご本人のブログには皆さんのお目当ては金子さんだったりするので、私はとても気が楽と書いてあるが、どうしてどうして、世間の誤解、司法記者クラブの怠慢（無能？）、キンタマ（本人は伏せ字を使っていたが）被害者の壊れっぷり、検察の...をしっかり弾劾。

※このセミナーに来ていた人には常識だろうが、「Winnyで情報流出」が正しいなら「Windowsで情報流出」とも言えるんだよね。すでに「山田オルタネイティブ」などWinnyネットワークを介さない情報流出もあるのだから、マスコミも頭使えや。まぁiPodもmp3プレイヤー扱いだから無理か。

「情報漏えいの要件」としてあげられた項目はそのまま「antinny被害者の謎」
○Winnyをインストールして複雑な設定をする
　弁護団で実際にやってみたところ、ほとんどの弁護士がポートの開け方がわからなかったという。感染者はTCP/IPの知識はあるのにセキュリティの基礎が守れない。どうして？
○暴露ウイルスをダウンロードして実行する
　暴露ウイルスの簡単な偽装すら見破れない。どうして？　「人はなぜカチカチとするのか」と軽率なダブルクリックをお嘆き。
○暴露ウイルス感染PCに公開されてはマズい情報が第三者に閲覧可能な状態で入っている
　そもそも機密情報の取扱がなっていない。どうして？　情報の秘密度・重要度のアセスメントを行い、適切に処理（ex.暗号化）をしてあれば、仮に流出が起きても被害は少ないのに。

後半は情報流出事故に伴う責任問題の解説。北海道警（県警じゃないでしょ！）アンティニー事件国賠訴訟では、過失の要件である予見可能性が高裁で否定された（原告上告中？）が、現在これだけ報道された後ではもう無理。従業員が暴露ウイルスによる流出事故を起こせば会社は使用者責任を問われると警告。

情報のアセスメントをしておくことが重要。万一流出事故に至っても、「この情報ならQuoカードで済む」かどうかの判断ができる。

＊＊＊

いやぁ、5時間の長丁場でした。おまけに本屋によって月田承一郎さんの遺稿本を買ったりしていて昼食を摂り損ねて。

まとめると
○本質は機密情報の不適切な取扱い。Winny利用の有無は二次的な話（Winny非依存の暴露ウイルスの存在、PCの盗難・紛失の方が数は多い）。
○精神論で解決できる問題ではない。
○人が最大のセキュリティホール。ルールを守らせる仕組みが必要。

というところか。どの演者か忘れたが、「Winnyを強制削除するようなツールを導入しても、ユーザはツールを停めてWinnyを動かしますよ」と言っていたのが印象的。

それにしても政府は本当に情報流出を防ぐ気があるのだろうか？　ひょっとして「Winnyを使うのが悪い」という思考停止に陥っていないか。政府主導で対抗コンテンツ放流は冗談としても、もう少し実効性のある対策はとれないものか。防衛庁が私物PCの持ち込み一掃に取り組んだのは英断だが、盗難・紛失という鬼門もあるし、「Winnyじゃなければ良いんでしょ。役所の方が高速回線だから」というダウソ厨がいれば元の木阿弥。

もっと恐いのは、Winnyユーザ成敗論だ。キンタマウイルスはWinnyユーザを「懲らしめる」ために放流されたような気がする。JASRACやACCSはそんな過激なことはしないだろうが...　サイバーマフィアが親切ごかしにP2Pソフトユーザに攻撃を仕掛けるかもしれない。ファイル共有ソフト悪玉論に安住し、現実に苛ついていると、悪魔のささやきに乗ってしまわないだろうか。そしていつの間にか自力救済の世界に。それはまた弱肉強食の世界だ。おお、なんと素晴らしき新世界！

（でも、「基本的セキュリティ知識があれば避けられる、しかし感染すれば致命的なウイルス」を放流することで、アホユーザを人為淘汰するという考えを振り切ることができない。誰か私を納得させて！）