etc

このニュースには驚いてしまう。未だにUSBメモリを使っているのかと。

セキュリティリスクのある情報についてUSBメモリは使ってはならないものの一つである。
自分で撮影した映像の保存とか、漏れても自分以外に被害はないのならどうでもいいが、役所のデータとかありえない杜撰さである。

話がそれるが、先にフロッピーディスクが、というのもあった。これは既にフロッピーディスクの読み取り装置自体がとっくの昔に生産終了しており、さらにかなり遅れてメディアであるフロッピーディスクも生産終了しているにも関わらず、まだ使っているのである。
いかに硬直した”業界”であるかを示している。
セキュリティに関して一番重要なのは時代に合わせて見直し、やり方を変化し続けることである。
ところが、使っているメディアが既に生産されていないようなものを使用している（システムが見直されていない）時点でセキュリティ対策として明らかにおかしいのである。

USBメモリもフロッピーディスクと同じになりつつある。
セキュリティ面もあるが、いわゆる「物理メディア」はどんどん廃絶の方向に向かっている。
いわゆるメモリカードはPCMCIA規格のメモリカードから始まって、CFやらSDやらとアホみたいに規格が乱立したのもいまや昔話。
SONYとPanasonicの２者の規格争いに収束、しばらく続いたが、そんな規格自体が意味が無くなっている。
もはやmicroSDがスマホやタブレット等の「拡張用メモリ(ストレージ)」として存在を残しているだけにみえる。

通信（の規格）が高速化したことで、機器間のデータ移動は物理メディアを抜き差しして行うのではなくて、通信で機器同士で行うようになり、それが十分な速度を持つようになったのでむしろラクであり、破損リスクや接触不良リスクも少なくなる。

クラウドというのはそのやり取りを仲介・一時預かりしてくれるものというだけであり、そんなに大層なものでは無い。

対策はまた「周知徹底？」 

外部委託業者もそれは十分に分かっていたようだ。
業者はそこいらの弱小IT企業ではなく、あの「日本ユニシス」から最近改名したところだそうだ。
ITなんて言葉がまだなかったような時代からコンピューターシステムで商売している。
やらかしたのはそこの子請け会社の従業員のようだがとりあえずそのことは置いておく。

記者会見でも委託先の会社では「原則USBメモリは使わない」そうだ。
だったら、なぜ今回USBメモリを使ったのか、このことを徹底的に追求すべきである。

他の代替え手段として何を用意しているのか。どのような基準でUSBメモリの使用許可を出すのか。
セキュリティ便を使うべきであったなどというが、時間的、コスト的に”許される”状況だったのか。
クラウドを用意していたとしても、下請け会社社員が気軽に利用できるような体制だったのか。
できない空論をいってもダメなのはいうまでもない。

私の勤務先でも偉そうに講釈をたれて、セキュリティリスクの啓蒙や教育をしていることになっているらしいが、では具体的に会社としてどのような手段を用意しているのかというと甚だ酷い状況である。

クラウドに移行する意義

理解できないものや慣れないものを怖がって使わないのは世の常だが、理性や理屈で考えるべきなのが当然のこと。

クラウドになってもセキュリティリスクはなくならないし、新たなリスクも発生する。
それでもクラウドの方が何倍もマシだから移行すべき、というだけの話である。

USBメモリの場合のリスクを考えて見よう。

メリットとしては物理的にそのメモリに接触できる人でなければデータを盗めないことがある。
いわゆる電子的盗みではなく、一時的を含め物理的に盗むしかない。

これを殊更に言い、盗まれたときはわかりやすい、リスクが低いと錯覚している人もいる。
物理的に盗めさえば痕跡が残らないというデメリットを忘れているのだろうか。
データさえコピーしてしまい元に戻せば盗んだ当人以外は分からない。
その痕跡は全く残らないのだから（指紋を残すようなのは論外として）。

今回の事案ではUSBメモリの入った鞄が少し離れた集合住宅の敷地内で見つかったそうだが、実に微妙である。
データがコピーされた後なのか、鞄は物色されたがめぼしいものがなくてUSBメモリには見向きもされず放られただけなのか。

そもそもパスワードについても不明な点がある。
USBメモリ上のファイルにアクセスするためにパスワードが必要なのか、ファイル自体にパスワードをかけていたのか、である。
前者ならデータを抜かれている可能性は低いが、後者ならファイルを抜き取られてあとでじっくり時間をかけてパスワードを見つけられ、開けられてしまう可能性がある。
前者は事前に準備をしたノートPC等で計画的に犯行するというのなら可能かもしれないが、今回の流れからして可能性はかなり低い。
盗難対象が個人情報という性格からしてもちょっと考えにくい。
一方で後者の場合、条件は色々あるが、数十日とかかけて”解錠”を試みた後、開けられてしまう可能性もある。
興味本位でコピーだけして、あとで事件の報道を知ってじっくり開けようと試みるという可能性もある。

これを知る方法は全くないのがUSBメモリを利用した場合のデメリットである。

一方、クラウドの方はといえば、誰にでもアクセス可能なネット経由でデータをやり取りするからと怖がる人が多い。
しかしそれはイメージでしかない。

まず、適切に（普通に）そのサイトが管理されていれば、誰にでもアクセスできるという一方で、アクセスの記録は残っている。
刑事事件ともなればそのアクセスした人の身元を突き止めることもできる。
また、このような「盗難事案」が発生（この場合はIDやパスワード漏洩が判明）した時点でそのサイトを一時的に停止、まあ、普通はそのIDでのアクセスを無効にすれば良いだけだ。
間に合わなかったとしても、誰がアクセスして何を盗んでいったのかは記録として残っている。
盗んでいれば刑事事件であるから、盗難事件捜査として情報開示を求め、個人を特定することも可能である。
よく「ネットは匿名社会で～」とかいうが、それは一般人が通常見える範囲では個人情報保護、通信の秘匿という観点で非開示情報のため結果として匿名となっているだけで、事件レベルであれば警察や個人でも裁判判決の元に開示請求を行い、電子記録から特定できる。

新たな問題としてはIDやパスワード漏洩ではなくて、IDやパスワードを特定されてデータを盗まれるというリスクだろう。
ネット上にあるということでこれを殊更怖がる人もいるようだが、これはサイトを適切に運営してないから起きる。

これはパスワード運用に尽きる。いい加減な運営をしているところが多いからだ。

いい加減な酷い例として目につくのは「半年に一回パスワード変更を強要する」というものだ。消費者相手にこれをやっているような会社はとっくに潰れているだろうが、社員相手だとまだ多いようだ。全くアホとしか言いようが無い。
パスワードで重要なのは「ランダム性」「桁数」である。つまりなるべく意味の無い文字列を多く並べると突破されにくい。

しかし多く数の意味の無い文字列を覚えるのは誰だって難しい。
何十回何百回か入れているうちには覚える（手が覚える）が、やっと覚えたか、その前に変更を強要されるのである。
すると当然の心理として許容される範囲で「簡単で短いパスワードを使おう」と思ってしまう。また許容される範囲で使い回しを行おうとする。もしくは紙に書いてしまう。（手帳やポストイットに書いたりもする）

政府の公式見解としても「定期的パスワード変更はするもんじゃない」と言っているのに。
まだやっているのは思考停止の典型であり、基本的なセキュリティ管理に対する姿勢を疑わざるを得ない。
運用する個々人にいくら「セキュリティ教育」をやっても限界があるし、無理である。形だけ表面上だけいくら講習会をやってもあくまで表面上で明日になったら忘れている。それは”メイン業務”ではないのだから。
しかしシステムを作ったりセキュリティ管理やポリシーを制定したりする部門はそれが”メイン業務”である。徹底的なセキュリティ教育を施した上で常日頃から安全なシステムに更新していくのが主要業務である。

だからこそ、用意するシステムで普通に使っていれば問題ないように徹底して作りこむのが最重要課題であり、再発防止である。
今回の件で言えば、クラウドで「ワンタイムパスワード」を使えば解決するだけのことだ。

データを（システムから取り出して）クラウドに保存した時点でパスワードが自動的に発行される。
つまりシステムから十分な強度としているパスワードが提示される訳である。
ワンタイムID制度を取っても良い。この場合はスマホで写真を撮っても良いし、手帳にメモしてもいい。どうせ一回使ったら無効になるのだからそれを消す必要も無い。

出先でデータを取り出すためにそれを一度使えば二度と使えないし、クラウド上のデータも自動消去すれば良い。（コピーではなくムーブのイメージだ）
そういう管理であれば誰かが盗めば一発でわかる。だって盗みで使われていたら出先で取り出せないのだから。

ただし、ここでシステムがいい加減だとダメである。
例えば、ログイン時に硬直的にパスワードを３回間違えるとロックがかかる、というのもダメである。この場合は例えばアラートメールがデータを登録した人のメール（スマホ）に飛ぶ、とかで十分である。自分がやったのなら無視すればいいし、そうでなかったら直ちに会社に通用してそのIDの使用を停止してもらえば良い。
例えば、全てデータを取り出していないのに回線の不具合で切られた場合を想定をしていないシステムを組んでいるとダメである。
パスワードやデータは消失しているから、再度いちからデータのある役所に戻ってデータのコピーからやり直し、とかなると、時間や交通費などイレギュラーなものが発生して、実情として請求できず、怖くてこのシステムを使うのをやめてしまい、USBメモリに頼ることになる。
こういうのを”現場では使いものにはならないシステム”という。
今回こういう”事態”が現場では起きていたのではないのか、そこが問題では無いのか。システム改修すべきが本質なのに、おざなりになることが実に多いのが現場ではないのか。

このような「回線の不具合での切断」を想定しているシステムがどれだけあるのだろうか、疑問である。
システムを作る側もかなり難しくて面倒で、それに対する対価を払ってくれるのか疑問だし、発注側もそこまで想定しないからである。
このようなことはこの例以外にもいくらでも見受けられ、かくして「現場では使えないシステム」が氾濫することとなる。