2010年09月28日(火) << 前の日記 | 次の日記 >>
これまでの09月28日 編集

■1 シリーズ・クロールとDoSの違いと業務妨害罪と(22) - やはり他にも情報漏洩させていたMELIL/CS導入図書館[http://www.nantoka.com/~kei/diary/?20100925S1][LibraHack][電子自治体][図書館][セキュリティ] このエントリーをはてなブックマークに追加

前回の記事で、
MELIL/CSを稼働させている自治体における個人情報漏洩事件。 実装によるガードがここで見たように、事実上機能せず、運用も自治体間で丸ごとファイルコピーを行うほど杜撰なものであるとすると、これは 明日にでも 発覚してもおかしくはないと思う。
と指摘していた。
「発生しても」ではない。 「発覚しても」だ。
既に、篠栗町とえびの市において、Anonymous FTPでシステムが公開されていたという事件が報告されている。これは、 管理会社社員が「使い勝手をよくするため」パスワードを外したことによるもので、閲覧だけでなく、削除や改竄も可能な状態だった[http://twitter.com/#!/HiromitsuTakagi/status/22096009910] ということだったが、篠栗町とえびの市は、Web経由での予約を扱っておらず、であれば、ソースコード等は流出したにしても、幸いにも個人情報は流出しなかったとされていた。
しかし、その後、 各地で杜撰なコピーを繰り返していたこと[http://gutei.cocolog-nifty.com/hibikore/2010/09/mdis-af2c.html] が続々と明らかになり、プログラムだけでなく、コンテンツ類も一緒に無意味にコピーされていた訳だから、個人情報を含んだファイルまでもが同様にコピーされていても不思議では無かった。
Anonymous FTPで公開されていた栗山町図書館のファイル栗山町図書館のページまた、システムをAnonymous FTPで公開していたのは、篠栗町とえびの市だけにとどまらず、 北海道栗山町の図書館でも同様に、システム内部の情報をパスワード不要で公開 していたことを確認している。 この図書館は Web経由での予約を受け付けており、利用者の個人情報が流出する可能性があった
この件について、町や図書館は現在まで何の発表もしていない様だが、そもそも保守業者からの報告があったかどうかも疑問である。
こういった背景から、既に個人情報が漏洩した可能性は極めて高いと考えており、また、実際に漏洩した個人情報を得たという情報から「発覚しても」と書いていたのだが、ついに発表せざるを得なくなった様だ。

発表と報道:

三菱電機ISの発表が出た様だ。
一方、削除前のデータが弊社のパートナー会社が行なったシステム保守操作の誤りによりインターネットからアクセス可能な状態となり、2ヶ所の図書館のWebシステムから個人情報がダウンロードされたことを確認致しました。
関係する皆様には 多大なご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。
すごい!お詫びしてる!
岡崎市立中央図書館様のシステム調整・試験を行った際、 プログラムライブラリの修正結果を元のプログラムライブラリに反映させました。
岡崎市立中央図書館様の 個人情報データが残存していることに気付かず、製品版として、他の図書館様に納入しておりました。
おかしい。
弊社図書館システムにおける個人情報の混入及び流出について(お詫び) | MDIS「プログラムライブラリの修正結果を元のプログラムライブラリに反映」することはあるとして、 一体どうやったら「プログラムライブラリ」に「個人情報データが残存」するのか。
この文書を書いた人は、書いていておかしいと思わなかったのだろうか。
こういうことが起こるとすれば、例えば、 実行環境を丸ごとコピーして配布版のアーカイブを作った とか mdbにデータが共存する様なAccessアプリを実行環境からコピーしてきた といったケースが考えられるが、いずれにせよ、 「プログラムライブラリの修正結果を元のプログラムライブラリに反映」 とはとても言えない。
ところで、
併せてインターネットで更なる拡散が進行しないよう、専門機関と相談のうえ対応致します。
とのことだが、実は既にインターネットで拡散していたりするのだろうか。
中日新聞。 岡崎市図書館の利用者情報流出 業者ミスで159人分[http://www.chunichi.co.jp/s/article/2010092890152647.html] との見出しで報道している。
同図書館に新しいシステムを構築中だった06年1月ごろ、同館のみに保存するはずだったデータを、誤って同社のコンピューターに保存。個人情報が混入したシステムを製品として、全国37の自治体図書館に販売した。このうち宮崎県えびの市と福岡県篠栗町の図書館のデータが、別の保守管理業者のミスでネットからアクセス可能になり、岡崎の情報をそれぞれ数人が閲覧した。
やはり、えびの市と篠栗町経由の様だ。
岡崎市立中央図書館が入居する市図書館交流プラザの米津真総合館長は「守秘義務や個人情報の複写禁止に反し、明らかに契約違反。 損害賠償請求などの法的措置を含め、契約の白紙化や指名停止も検討する」としている。
岡崎市立中央図書館業務用システム機能追加業務 契約書(平成19年度) 個人情報取扱特記事項さすがにかばいきれなくなったと見たい。 もっと早く見切りをつけていれば 、今回の件についても、もう少し被害者寄りの立場に立てたと思われるが、前回の事件の後で、 システムと業者を擁護する発言[http://mainichi.jp/area/aichi/news/20100907ddlk23040246000c.html] をし、随意契約での発注を表明していた以上、 その様な業者を選択していた責任を追及されるのは当然 であろう。
岡崎市のシステムの導入やデータ移行、その後の開発に際して、岡崎市と三菱電機との間で交わされた契約書によれば、
個人情報取扱特記事項

(委託目的外の使用等の禁止)
第4条 乙は、甲の指示又は承諾があるときを除き、この契約による業務に係る個人情報を 当該業務の目的以外に使用し、又は第三者に提供してはならない

(複写及び複製の禁止)
第5条 乙は、甲の指示又は承諾があるときを除き、この契約による業務に係る個人情報を 複写し、又は複製してはならない
岡崎市立図書館 プログラム保守業務契約書とあり、 三菱電機はこの契約に明確に違反する行為をしていた 訳だから、これを処分しないわけにはいかないだろう。
子会社の個人情報漏洩について(お詫び)と書いて、気付いたが、確かに 当時の契約書[../LibraHack/Okazaki_H17_Setup.pdf] によれば、当事者は「三菱電機インフォメーションシステムズ株式会社」ではなく、「三菱電機株式会社中部支社」だ。
三菱電機株式会社は、 子会社の個人情報漏洩について(お詫び)[http://www.mitsubishielectric.co.jp/oshirase/20100928/] というコメントを出している。
当社の子会社である三菱電機インフォメーションシステムズ株式会社が、お客様保有の個人情報を不適切に処理し、この個人情報が漏洩していたことが判明しました。かかる事態を引き起こしたことを、ここに深くお詫び申し上げます。 当社は、本件を重く受け止め、 子会社における業務のチェックと改善に向けた指導を徹底し、再発防止に取り組んでまいります。
契約当事者としては、「指導を徹底」等と、他人事の様なコメントになっているのが気にかかる。
岡崎中央図書館で情報流出 開発時に三菱電機系ミス[http://sankei.jp.msn.com/affairs/crime/100928/crm1009281413024-n1.htm] との見出し。
同社は岡崎市に納入したシステムのプログラムを原本として保存。そのコピーを全国の37公立図書館に販売したが、一部の個人データを消去し忘れていた。さらに別の保守点検会社が、2カ所の図書館で、データをインターネット経由でダウンロードできる状態にしてしまったという。
経緯の説明は、この記事が事実に近いように思える。
「岡崎市に納入した(筈の、稼働中の)システムを原本として保存(丸ごとコピー)」ということだろう。

事件当時の契約当事者だった三菱電機:

三菱電機インフォメーションシステムズの発表[http://www.mdis.co.jp/news/press/2010/0928.html] によれば、個人情報を含むファイルの取得が行われたのは、2005(平成17)年6月であるから、「委託目的外の使用」「複写及び複製」といった、契約書の個人情報取扱特記事項に違反する行為が行われたのは、この時期だろう。
市立図書館 新業務システム セットアップ及びデータ移行業務契約書岡崎市図書館では、この頃に「市立図書館 新業務システム セットアップ及びデータ移行業務」を行っているから、時期的にも一致する。
この時交わされた、 市立図書館 新業務システム セットアップ及びデータ移行業務契約書[../LibraHack/Okazaki_H17_Setup.pdf] によれば、
(再委託の禁止)
第5条 乙は、甲の承諾を得た場合を除き、自ら個人情報の処理を行うものとし、 第三者にその処理を委託してはならない
2 乙は、業務の一部を第二者に委任し、又は請け負わせた場合、甲に対して 再委託先の行為について全責任を負うものとする。
(個人情報の保護)
第7条 乙は、この契約による個人情報の取扱いについては、別記 「個人情報取扱特記事項」を守らなければならない。
とあるから、 三菱電機株式会社は、子会社の監督責任というより、契約上の責任を直接的に負う立場ではないだろうか
にも関わらず、 子会社の個人情報漏洩について(お詫び)[http://www.mitsubishielectric.co.jp/oshirase/20100928/] という立場の文書を出し、また、図書館に対しても、 三菱電機インフォメーションシステムズ株式会社名義[http://www.city.okazaki.aichi.jp/appli/06/wp06_view_tenpu.asp?id=9621|1] でのお詫びを出しているのは、トカゲのしっぽ切りの様な印象を与える。

本を返さない人のリスト、全国に流出 愛知の図書館から[http://www.asahi.com/national/update/0928/NGY201009280007.html]:

朝日新聞の記事。「本を返さない人のリスト」という見出しが、被害者に対する配慮を欠く点に関しては大目に見たい。
同図書館のシステムを作った業者が他の図書館に同じシステムを流用した際、個人情報を削除しなかったことが原因とみられる。

個人情報のリストは2005年6月末ごろつくられた。159人分の氏名と電話番号、年齢、本の書名のほか、図書館の利用者番号、貸出日などが掲載されていた。その時点で返却期日を過ぎても本を返していなかった人のうち、その本に別の利用者からの貸し出し予約が入っている場合を抽出していた。また、同図書館で本を予約した4人分の個人情報のリストもあった。

二つのリストは、37図書館のうち、福岡県篠栗町と宮崎県えびの市の図書館ホームページを通じてインターネット上に流出。数カ所からダウンロードされたことが確認されたという。

同社のソフトを導入している別の図書館の職員が偶然見つけ、発覚。同社は「岡崎市立図書館に施した最新の不具合対策を、本社にあるプログラムに反映させる際、不必要なデータまで吸い上げてしまった」と説明している。

同社が今回の個人情報流出を機に、全国で図書館システムを洗い出したところ、別の2図書館の利用者10人分の個人情報が、別の数カ所の図書館のコンピューターから見つかったという。
事実関係は、最も明らかにされていると思う。
この記事で新たに明らかになったこととして、 全国で図書館システムを洗い出したところ、別の2図書館の利用者10人分の個人情報が、別の数カ所の図書館のコンピューターから見つかった ということだが、これは、導入済の図書館のファイルを、自治体の作業許可等は取らず、好き勝手にコピーしていたという事ではないかと言う感じはする。
図書館関係者の証言によれば、管理会社はネットワークを通じて、図書館内のサーバに自由にアクセスしてファイルや設定を操作していた と見られるが、公文書開示条例によって得た 作業報告書には、行った作業の全てが記載されている訳ではない 様だ。
岡崎市立中央図書館を核とする複合施設「同市図書館交流プラザ」の米津真・総合館長は今回の問題について「市民に迷惑をかけ、申し訳なく思っている」と謝罪した。今後、 個人情報の流出を確認した利用者に、おわびの文章を送るという。

米津氏は「個人情報の保護や複写の禁止を定めた契約に対する明白な違反。今後、 MDISの指名停止や損害賠償請求など法的な対処を検討したい」と話した。図書館システムは来年1月に更新の予定で、すでにMDISの採用を決めていたが、白紙撤回も含めて検討するという。
相場からすると、「おわびの文章」だけでは済まないかも知れないが、それはそれとして。謝罪するのは今さら感はあるにせよ正しい。過ち改むるに憚ることなかれ。
「MDISの指名停止」としているのは、当時の契約当事者は三菱電機なのだから、三菱電機グループの指名停止にすべきなのじゃないかという気はする。

■ 関連記事

今日のつぶやき

以上、1 日分です。

指定日の日記を表示

前月 2010年09月 翌月
1 2 3 4
5 6 7 8 9 10 11
12 13 14 15 16 17 18
19 20 21 22 23 24 25
26 27 28 29 30

最近の日記

2019年03月23日

DXアンテナ ワイヤレスチューナー メディアコンセント DMC10F1

2019年02月17日

#例のグラボを活用する

2019年01月03日

シリーズ5・myHomeAlexaで自分のCDをかける

2018年12月25日

シリーズ4・英語の楽曲・アルバム・アーティスト名をカタカナに直す

2018年12月23日

シリーズ3: Echo Dotがやってきた

2018年12月19日

続・Echo Dotがやってきた

2018年12月18日

続・Echo Dotがやってきた

分野別タイトル一覧


全て
CLIP
SYA!nikki
book
freebsd
hns
magic
おさけ
おしごと
お買いもの
ぐる
ごはん
アクセシビリティ
オープンソース
セキュリティ
音楽
地域情報化
電子自治体
日記

keikuma on Twitter

keikuma Name:前田勝之
Location:長崎市
Web:http://www.nantok...
Bio:前田勝之(まえだかつゆき)。長崎在住。コンサル、SE、プログラマー、 なんとか株式会社代表、非常勤講師(情報セキュリティ)。 セキュアド、テクニカルエンジニア(SV,NW)。サーバ管理とWeb日記を10年ほど。 ネットとリアルの接点に関心あり。食べること・歌うこと・愛すること・作ること・飲むこと。おいしいものがぜんぶすき。

サイト内検索

Google AdSense

Powered by hns-2.19.9, HyperNikkiSystem Project