ISMSよもやま: 2013

ISMSではどうするか？消える画像でプライバシーを守る「スナップチャット」の取り扱い？

ISMSではどうするか？消える画像でプライバシーを守る「スナップチャット」の取り扱い？

http://blog.snapchat.com/

スナップチャットを利用すると、画像を送った相手が画像を閲覧すると1秒から10秒の間に画像は諸居されてしまう。端末上にもサーバー上にも残らない。

安全にメッセージ用画像を送信できるので用途によってはセキュリティ維持のために有効な手段と考えるのか、返って管理できなくなるのでセキュリティを脅かすものであると考えるのか。

.*.

急成長中のサービス（ツール）だから、ISMS担当者がやることはしっかりウォッチすること。どのよう転ぼうが知らなければ評価も出来まい。既にダウンロードできるようになっているから評価のための試行もやるべきだろう。

.*.

匿名化システム「Ｔｏｒ（トーア）」

是非の判断は容易でない匿名及び匿名化システム

匿名性を担保するために情報の発信元を特定できないようにネット接続時の中継サーバー等をランダムに切り替える仕組みがあるそうだ。

匿名化システム「Ｔｏｒ（トーア）」

匿名は犯罪の正に温床。匿名であることを利用して一般市民までが攻撃的な振る舞いを始めるのは、例の２ちゃんねるの情報漏洩事件のその後の追及を見ればよく理解できる。

ネット犯罪、サイバーテロなどを防御する役割ませは足す始末だ。

.*.

一方で、官憲・監督官庁の監視の中では自由に発言しにくい事情もある。匿名投票が出来ない世界って怖いですね。

.*.

匿名の仮面を守るか、匿名の仮面を脱がすのか。本来は十分な国民的な議論が必要なテーマだろうが、超監視社会に向けて暴走する中、匿名の仮面は一方的に次々脱がされていくようだ。

例の「特定秘密保護法」？はどういう役割を果たすか？

この法律が問題なのは後出しじゃんけんになっていること。情報のやり取りをしているときに、これが特定秘密かどうかは分からない。後で知らされて手が後ろに回る。10年の強制労働と単身赴任。

⇒

誰だって、自分の身を守るためには、とりあえず名前を伏せておきたい。監視の目から、あるいは後だしじゃんけん逮捕から身を守るには、個人特定情報は不明にしておきたい。

.*.

「２ちゃんねる」情報漏洩事件の余韻冷めず！

「２ちゃんねる」情報漏洩事件の余韻冷めず！

会員情報3万件が流出した情報の実態は分からないが、朝日新聞デジタルの記事を見る限り、その一部がネット上を駆け巡っているようで、匿名の書き込みの主が次々と明らかにされているようだ。

特に問題のケースは、意図的な誹謗中傷を繰り返し、商売敵などを貶める行為だ。これは一種のネット犯罪。ネットを使った営業妨害？。其れにもまして、人間としての信頼を失い社会的に制裁を受けている。身に覚えのあるものは、いつ自分がさらし者になるか戦々恐々の日々らしい。

.*.

さて記事（多摩大学・田代光輝客員研究員が監修）には次のような警告文が。

　■ネット利用、心がけ５カ条

情報は漏れると心得よ：第三者の流出事故まで防げない
匿名なんて、あり得ない：ＩＰアドレスや履歴……足跡だらけ
いつか、あなたも狙われる：過去の情報が特定の材料に
失敗は闇夜とともに：夜中は気持ちが大きくなる
飲んだら書くな　書くなら飲むな：お酒は判断を鈍らせる

.*.

セキュリティ犯罪の攻防で戦場化したＳＮＳ

セキュリティ犯罪の攻防で戦場化したＳＮＳ

日本のＳＮＳ最大手だったＭＩＸＩ（ミキシー）はユニークで魅力的なサービスを満載しているが、この数年の間に存在感を急速に失っている。海外のTwitterやFacebookが急速に広まった影響が大きい。Google+はまだプレゼンスは小さいが無視できない。また新興のLINEも既に3億アカウントを達成した模様で、依然流動性は高い状況が続いている。

SNSは若者文化の象徴的な存在の一つであったが、今は普通の勤め人、主婦、シニア世代まで取り込んで社会インフラの一環をなすものにまで成長している。そのことで一般企業までもがＳＮＳにアカウントをおく時代になった。

企業の側から見れば従来は社員がＳＮＳに加入することは個人的な活動範囲のもので会社とは関係ない話だったが、今はそうは行かない。社員のＳＮＳを経由して情報が漏れる、社員がアタックを受けて会社信用まで失う。

.*.

今、ＳＮＳで問題が大きくなってきたのは”成り済まし”。今までも他人が勝手にＳＮＳにアカウントを作ることはあったが、最近目立ってきたのはパスワードを盗み取って行なう”乗っ取り”だ。

どのＳＮＳもパスワードを忘れてしまった時の対応方法を用意している。

原理的にはソーシャルネットワークだけでなくカンパニーネットワークでも同じことだ。企業規模が大きい場合や、オフィスを持たない社員への対応ではパスワード発行の仕組みも自動化している。

.*.

最近の傾向は2デバイス認証。携帯とパソコン。しかし、スマホはパソコンと同じ環境であるため2デバイス認証にも問題がないわけではない。

.*.

Facebook

※

マタハラ（マタニティハラスメント）とＩＳＭＳ

マタハラ（マタニティハラスメント）とＩＳＭＳ

マタニティハラスメント（マタハラ）

会社勤めの女は妊娠したら敵が増える。妊娠はハンディキャップ。周囲の妊婦のカバーを余儀なくされる。女子チームで妊婦を守ろうとする職場も無いわけではない。動物界では普通のことも女子会では、嫌、人間界では必ずしも普通ではない。男子社員も足手まといの妊婦を排除しようとする。あからさまに妊婦を苛めたら社会の正義から袋叩き。だから陰湿になる。

妊娠しない女は常にサポートするだけ。サポートって悪くすると只の尻拭いだ。助け合いといっても実際は勘定が合わない。常に持ち出しだ。妊娠できない苦しみは誰も理解してくれない。女であっても理解しない奴がいる。

思いやりは妊娠した女へのものと妊娠しない女へのものと両方必要。未熟であり余裕が無いのだ。

男も任瀕した女を排除するようでは全く余裕が無いのだろう。

何を言っているかというと組織の脆弱性。事業継続性の設計ができていないことの現われだ。妊娠は想定内の想定外。組織として良くある事態なのだが適応能力が低いとマタハラという現象になる。マタハラは実はもっとリスキーだ。

これは一種の理不尽だから想定外の反抗が始まる。告発ならまだ良い。情報漏洩、意図的なミス、自分を守らない組織への反撃だ。悪いのは会社だから、実際にばれても会社は何も言えない。話が大きくなれば会社はもっとダメージを受ける。だから何をやっても着地はせいぜい示談だ。

.*.

マタハラの存在は、（１）事業継続性管理に課題があること、（２）常に不満分子を抱えてリスク要因を抱えていること、を示す。恨みを持って退職を余儀なくされる人は会社にどういう迷惑を掛けても構わないという免罪符を与えられたようなものだ。

ＩＳＭＳ推進担当は、

組織設計を点検し、女性の妊娠のインパクトを評価しなければいけない。マタハラリスクの評価だ。
マタハラの存在を検知できる仕組みも構築しておかなければいけない。

マタハラの記事を眺めて他所事と思っていたらＩＳＭＳ担当失格だろう。

.*.

スケジュール消化だけで手一杯のＢ社の審査員には何のアドバイスも期待できない。業務外で片付けてお終い。

.*.

大手企業の個人情報の漏洩は深刻

大手企業の個人情報の漏洩は深刻

ビッグネームのサイトは企業ユーザーも多い。個人ユーザーでも、企業人が多いだろう。漏洩した情報を手がかりに更なる個人情報・企業情報まで掘り出されると思わぬリスクを負うことになるかもしれない。

＜企業のＩＳＭＳ担当者＞

企業のＩＳＭＳ担当者は、個人利用でも、会社利用でも、パスワードなどの更新を全社員に案内することだ。（案内の内容は更新要請）

アドビなど暗号化されているから深刻でないとしているが、技術が進み時間を掛ければ暗号は解読できるものだ。

最近の大手企業の個人情報流出事例

2013年10月　アドビシステムズ（約290万件）
2013年09月　グローバルデータ（海外モデムレンタル大手）（約11万件）
2013年08月　2チャンネル（約4万件）
2013年08月　テレコムスクエア（海外モデムレンタル大手）（約9万件）
2012年03月　ベクター（ソフト販売大手）（約26万件）
2011年04月　ソニーグループ（1億件以上）

.*.

例のヤフーの情報流出事件と同様のインパクトを推定すべきだ。これらサイトと共通のＩＤまたはパスワードを利用している場合は、企業ユーザーに限らず、個人ユーザーも変更すべき。

ＩＤパスワードの共有・追加回しは止めて、基本的に１サービス１ＩＤパスワードを心がけるものだろう。とは言え、ＩＤにメールアドレスを利用するサイトの場合は限界が有りそうだ。

.*.

右往左往のワンタイムパスワード？金融関連業界のセキュリティ対策

右往左往のワンタイムパスワード？金融関連業界のセキュリティ対策

ワンタイムパスワード

ワンタイムパスワードはセキュリティを重要視する企業では外部からの社内ネットアクセス時の本人認証手段に以前から利用されてきた。

金融機関でもオプションサービスとしているところがあったが、最近は標準サービスに移行しているところもある。

いずれもトークカードを配布してサーバーの暗号生成装置との突合せで本人を確認するもの。

ところが、カードの電池切れや、同期外れによりトラブルも多い。絶対止められないサーバーと、言うのも負担が大きい。

その運用ノウハウが上手く蓄積できない企業はトークンを諦めている。諦めるくらいならもっと調べるかその関係のキーマンを雇用するのが普通だろうに。

電子メールを使ったソフトタイプのワンタイムパスワードを利用するところも多い。認証プロセスの中で、パスワードが登録されたメールアドレスに送られるものだ。他人がメールを見る可能性を考えて、デバイスを限定するものもある。携帯電話のメールアドレス利用に限定するもの、推奨にとどめるもの、など企業の考え方に違いが出ている。

ソフトの場合は成りすましリスクが高いこと、スマホの普及でデバイス限定メールが難しいこと、携帯の機種変更時の対応にもトラブルが付きまとうこと、スマホを使った決済など複数デバイス利用が出来にくくなったことなど欠点も目立ってきた。

スマホを落したり盗まれたりしたらそれでお終いに近い状況が生まれるのは問題だ。

ということで、今度はソフト型のワンタイムパスワードからトークカード利用に戻す企業も出てきた。セキュリティポリシーが明確な企業の場合は、右往左往にならざるを得ない。

企業によってはワンタイムパスワードそのものを諦めてしまったところもある。第二暗証記号を別に設定して認証に使うものなど。これは古い手法で煩わしいが一定の成果をあげてきたものの、最近の自動ログインソフトへの対応上、第二暗証カードの内容を一括入力させるフィッシング詐欺が横行し始めて欠点が目立ってきた。

ネット経由の本人認証は２デバイスがミニマム。

多分、ソフトドライブ型のトークンカードが出てくるだろう。パスワード発声機能は持たないでデコード表示させる機能しかないトークンカードだ。メインデバイス（パソコン、スマホ）からWiFiまたはＢＴ経由で暗号化されたパスワードを貰いそれをデコードして表示させる。もしパッシブ回路で組めるならバッテリーの心配も同期はずれの心配も無い。

既に出来ていても可笑しくない。

.*.

この頃は、ゲームサイト、ネットショッピングサイトなどでもトークンを利用することがあるようだ。トークンのＩＤをサーバーに登録し、初期値設定すれば、自動的に同期される。

.*.

ライブ放送アプリ「ツイキャス」のセキュリティインパクト？

ライブ放送アプリ「ツイキャス」のセキュリティインパクト？

「ツイキャス」(TwitCasting)

ツイキャス（ツイットキャスティング）は個人が勝手にライブ放送ができるスマホ・アプリだ。ライブ放送用と視聴用の2種類のアプリが無料公開中。モイという会社のサービス。

.*.

スマホは企業にとってどういう存在か？

スマホは録画、録音など出来ないことはないくらいのスーパーパワーを身に着けている。

社員の戦力アップのツールではあるが、逆に最大のリスク要因にもなる。

今回のライブ放送アプリは従来の機能とは全く意味するところが違うことに注意すべきだ。

ディスクの情報を蓄えて持ち出すやりかたではない。場合によっては今の法律ではすり抜けてしまうかもしれない。放送されたら後の祭り。

社員の悪意または悪戯（いたずら）で放送される。
社員のミス（操作ミス、勘違い、うっかりなど）で放送される。
悪意の第三者により、勝手に作動して放送される。
スマホが手持ちとは限らない。どこかに置き忘れてその間もライブ放送が行われていることもある。
自分のスマホをリモートから作動させるケースもありうる。

普通に電話したりメールしたりのつもりが実はライブ放送中ってことがあります。本人が意識していることもあれば無意識のこともあります。

.*.

対策案

スマホの社内持込は許可制にする。
許可の条件は監視ソフトのインストール。
監視ソフトはダウンロードの監視が主体。自分自身が削除されても分かる仕掛けが必要。
個人端末のBYODではなくて会社の貸与スマホでも同じ仕掛けが必要。
セキュリティレベルハイのゾーンへの持込を禁止する。
セキュリティの高い部屋にはセンスステーションを置いて常駐監視ソフトを使って強制的にダウンさせる。機内モードレベルでも良いかもしれない。
センスステーションは人の出入りも記録する。不適切な時間・人の場合はアラートが上がる仕組みも導入する。

.*.

皮肉なことにこの頃はガラケー（ガラパゴス携帯）の人気が上がっている。バッテリー問題、操作性～レスポンス問題に加えて、スマホはPC並みに厳しい管理の対象になって返って使いにくくなっている事情もある。

.*.

リスクシーン

非公開の会議の様子が配信される。
未発表商品などの限定公開の様子がいきなり配信される。
有料セミナー、非公開セミナーの内容がそのまま配信される。
社内で盗聴・盗撮のライブ配信が流行る。
想定外のものが映り込み、チェックされないで配信されてしまう。

.*.

ブラック企業

ブラック企業

ブラック企業の確たる定義は分からないが、良い企業か悪い企業かといえば悪い方だろう。

「入社を奨めたくない企業」と定義すると結構範囲が広がる。

「コンプライアンス違反をしている企業」なら論外でブラックとかグレーのレベルでは済まされない犯罪企業だ。よくあるのは、犯罪すれすれをやっている企業かな。こうなると、結構多くの企業が収まってしまう。

ブラック企業はリクルートで出てくる用語。社員待遇としての魅力度の観点から見るものになる。ES(従業員満足度）を重要な経営指標においている企業は問題なく良い企業に入っていくだろう。

売上利益を言っている企業はまだ三流。CSを口にしてロイヤリティを追いかけ始めたら漸く二流。従業員満足度を達成して初めて一流だ。

但し、特権企業・独占企業・公共企業がESを追いかけ始めると悲劇だ。（今の日本はかなり悲劇的）

.*.

コンサルファームにもクライアントにもブラックはある。驚く無かれ審査機関にだってブラックはある。

もしかして「BSIジャパン」はかなりブラックだ。審査機関では珍しい。経営者の資質の問題だろう。明らかにビジネスを履き違えている。審査員の話では夜間移動は普通のこと。複数の審査を連続することもあるようだ。睡眠時間も取らずに体力気力で審査をやっているらしい。中にはその無茶振りを自慢にしている。規格違反だろう。商売優先の結果だ。不適合を出している暇が無い。

ＢＳＩジャパンのパワハラは昔から有名だ。普通の会社をまともに勤めることが出来なかった若手？が、シニア雇用組み（普通の会社を勤めてきた人たち）に対して勝手な振る舞い。そのことを厳しい態度と思い違いしている。

英国本社の頭痛の種になっている。多分。エクセレントカンパニーを履き違えてまた暴走。誰かの奴隷みたいな会社だが、本社の価値観に合致しない勝手なエクセレントでは異物と同じ。

売上利益でしか計れない経営者の感覚は所詮販売店の店長さんです。

外資系でも他の審査機関は普通。BSIグループでも他の国は普通。日本のBSIジャパンだけが異常なのだ。なぜか？。歴代の経営者が三流だから？。簡単だね。

.*.

さて、審査員は、あるいはコンサルタントは、ブラック企業を見つけたら、ブラックな部分を見つけたらどうするだろう？。

見なかったことにする人が居たら、まともな審査、まともなコンサルは提供されていないと思い知るべきかも。

.*.

「２ちゃんねる」情報漏洩事件

「２ちゃんねる」情報漏洩事件

掲示板サービス「２ちゃんねる」の有料会員の個人情報が流出した。メールアドレス、パスワード、クレジットカード情報も含まれるようだ。件数は3万件とも。

「２ちゃんねる」は匿名ベースの自由な誹謗中傷が売り物。勿論、本音の晒し攻撃もある。炎上を仕立てることも。

２ちゃんねるにオフィシャルに絡む企業ユーザーは居ないだろうが、誹謗中傷から守るための火消しに入ってきている人もいるだろう。やり過ぎもあるかもしれない。

企業担当はいつ矢が放たれるかもしれないことを想定し、事前に確認しておくことだ。個人の資格であっても、流出情報からストーカーをされる可能性までは否定できない。

.*.

普通のSNSより問題が大きくなりがちだ。社員へのガイドラインの徹底をやっておくべきだろう。

.*.

＜世間の大量情報流出事件への緊急対応＞

会社の取引と関係なく、会社情報、社員情報が何らかの関わりを持っていないか疑うことから始める。想定外の情報が飛び出す可能性がある。緊張度を高めること。

.*.

（平成25年）秘密保護法案の問題点

（平成25年）秘密保護法案の問題点

新聞にあった内容です。

疑問点が多い。
必要性についても議論の余地がある。
国民の権利侵害に繋がりかねない。
秘密の範囲が実質的に特定できていない。東北・東日本の震災復興予算で西日本の道路の信号を整備したり、ゆるキャラの発表会？をやったりしている国だ。相当限定的に言わない限り国家安全でないと言い切れるものは無い。
為政者の都合で秘密の範囲は拡大する。
秘密指定の妥当性についての検証プロセスが明確でない。検証がすべて後手になって後の祭りでは逆に国家的損失になりかねない。
間違った秘密指定による国家及び個人の損失に対する罰則も不明確だ。
秘密指定を解除する仕組みがない。時限装置。あるいは開示要求・説明要求にそって秘密が解除される、または秘密の妥当性が検証されるオンコール型の仕組みも必要だ。
公務員に対する罰則としてはかなり重い。しかし、個人の悪意による漏洩もあるが、不完全な組織による競合脱線？組織設計の問題から生じる秘密漏洩も多い。この場合は組織を罰する形が必要だ。定位置に突っ立って手を伸ばして届く範囲の仕事しかしない組織では秘密は盛られない。法律の隙間を埋める仕事（管理）についても罪を問えるようにすべきだ。
秘密情報を受け取った側が罰せられる条件が曖昧。どのような印があれば正しい取材、正しい情報入手か分からない。偽装されればそれまでだ。
国家機密なんて視点が変わればがらっと変わるものだ。中国の尖閣での悪事を流出させたことは公務員法に照らせばNGとしても真の意味で国家にとって適正か不適正かは判断できないだろう。
政策が変われば秘密も変わる。だからと言ってダイナミックな運用は問題を残しそうだ。
情報漏えいのキーワードに繋がる国家安全問題、公務員問題などが多いとしても、具体的にレビューして本当の法案整備に関する問題は何のか明確にしてほしいものだ。その作業すら蜜室だから分かり難い。
一般論として、悪徳の隣国から日本の情報を盗みに来ているのは分かるし、日本を踏み台あるいはトンネルにしてアメリカの情報を探ろうとしているのも分かる。これらをしっかり防ぎ、国家も民間も損失を被らないようにして欲しい。そのための法的枠組みは何が掛けているのか考えて欲しいものだ。
一部の公務員の国家を思う心を押さえ込むだけの法律は恥をかいた上級席の公務員以外には存在しないのではないか。
開かれた公務から閉ざされた公務。秘密主義の暗い日本を作ることになりかねない。もっと本当に国防を考えた情報セキュリティ管理に繋がる法律を作るべきだろう。

.*.

わが国は軍事国家の隣国などと比較して国としての情報セキュリティが甘いは誰の芽にも明らか。企業レベルで取り組んでも範囲もレベルも限界がある。国の安全保障政策の一環として、もっと有効性の高い、また実効性のある情報セキュリティの枠組みが必要だ。

それを明確にし整備しないまま、IT関連の道具立てばかりを導入すると、大変なことになるだろうと誰でも心配する。

必要な法律は秘密保護法案とは違ったものになるだろう。

.*.

秘密保護法案は特定4分野で厳罰化の方向？急がれる企業団体の取り組み！

秘密保護法案は特定4分野で厳罰化の方向？急がれる企業団体の取り組み！

秘密保護法案

懲役10年だ。

特定4分野：

基本的には公務員が対象だが、情報を知りえた人も処罰の対象になるので一般民間人も正しく理解しておかなければいけない。関連業務を受託したり、再受託したりしていれば、たまたま知りえた以上の重い責任を問われるに違いないだろう。

「防衛」
「外交」
「外国の利益を図る目的の安全脅威活動の防止」
「テロ活動防止」

日本の安全保障に関わる情報で、「特定秘密？」に指定された情報が対象。
⇒
特定秘密であることを知っていたか知らなかったかは国家としては本来は問題でないはずだ。知らなかったら許されるものではない。知らないことを理由に国家を危機に陥れてはいけないのは当然だ。
⇒これは会社の機密であっても同様だ。教育周知が不十分であることを理由に会社機密が漏洩して良いわけは無いのだ。多くの組織で勘違いをしている。
⇒
特定秘密であることは誰が定め、どのように記し、知らしめるのか？。期間及び解除の管理も明確にされるのか？。
情報を取り扱うもの、知りえたもの、彼らが情報漏えいさせれば犯罪になる。公務員は当然、一般民間人も。
情報を盗んだものは誰であれ重罪。そそのかしだけでも罪になる。「この情報が公開されると世の中のためになります」とか「アメリカならこれは公開情報ですよ」とか「これを開示したほうが日中間は上手くいきますよ」とか言っても状況によってはアウトだろう。

.*.

（法案の不完全性）

情報の機密管理レベルが低い組織と業務提携する行為も秘密保護法違反になるだろうか？。これは情報漏えいのリスクを低く見た行為。中国関係筋の支配下にある組織に業務委託する行為はこの法律で裁けるか？。

原案ではその組織が機密を漏洩させたことが表に出て初めて罰することが出来る。しかし、問題は其の前、委託する段階にあることは自明だ。10年日本の刑務所で別荘暮らし。帰ったら国家の英雄。そういう連中の配下にある組織では漏洩は必至。漏洩させてからでは遅いのも自明。

怪しげな人･組織と接触する行為自体が、そそのかし等の一環として制限されなければいけない。法案の仔細は知らないが、抜け道があれば意味が無い。

プロの目で見れば別のもので担保は取れているのかもしれないが、公務・民間とも押さえ切れているかどうか懸念される。

取り扱い者の適正評価も委託先をイメージすると容易ではあるまい。ISMS認証取得の程度でOKとするなら中国系企業でも平気で入って来てしまう。表に出せなくても真の国家安全保障に繋がる適正評価が必要だ。公務員組織内の取り扱い者（鍵とかパスワードを持つ人？）の適正評価は基本的に全員になってしまう。取り扱いの適正があると判定することと権限を与えることは別だ。その識別管理が出来るか。

.*.

特定秘密は決して金庫の中には入っていない。その辺の汚れた茶封筒のなかに。電子的、特にネット経由のやり取りは行なわない。今はまだ日本のサイバー操作技術が低くてネットの中に雲隠れできるが、ネットでは必ず跡が残るから避けたい。

Aさんは特定秘密を扱っているとBさんは知っている。其のこと自体は特定秘密でないとしたら、BさんはCさんに教えることが出来る。Cさんは中国のスパイ。CさんはDさんに伝える。DさんはAさんと其の家族を策略に掛ける。不安･暴力･危険・希望・金･名誉・欲望・逃亡・病気･事故。

Aさんを守る方法論が明確なものがなければまたただの文面になってしまう。嫌、返って高いリスクを抱えることになる。それでも中国が米国でやっていることの一部に過ぎない。国を本気で守る気概が無ければ中途半端な形式で済まそうとするだろう。

.*.

昨年の防衛省での打ち合わせ時に見せてもらった資料、それが今日になって特定秘密に指定された。この情報はこの1年の間に出入りの協力会社にも伝えてしまった。

さてどうする？

本気で悩んだらISMS担当者は完全に失格かな。情報の管理者（ISMS事務局ではないよ）は情報が重要かどうかは自分で判断が付かなければ意味が無い。秘密の文字があろうが無かろうが情報の価値を知らなければ扱ってはいけない。

そもそも、情報の価値は時々刻々変わっていくが、情報は回収できない一方向性を持つのが厄介だ。書き換えによる削除ぐらいしか出来ない。若しくは情報の無価値化だろう。漏洩した情報を無価値化する方法論も合わせて管理しておきたい。

.*.

ハッカーの標的になるアンドロイドを使い続ける是非？

アンドロイドAndroidがオープンソース的な取り組みになっていること。スマホ市場での高いシェアを獲得していること、依然発展段階にありセキュリティ技術が確立していないこと、利用者層が広がりＩＴ知識を持たないユーザーが加わっていること、などを考えればこれほどハッカーにとって格好の標的は無い訳だ。マイクロソフトのウインドウズWindowsが嘗ては最大の標的であったが、アンドロイドはソースコントロールの観点でもユーザーの広がりの観点でもまた技術的な成熟度の観点でもウインドウズ以上に厄介な状況だ。
アンドロイド端末を踏み台にして基幹システムに入り込むことはサイバーテロ・サイバーウォーに関わる連中にとっても明確なゴールになっているだろう。
カスタムアプリケーションが作りやすいことのトレードオフとしてハッカーのターゲットとなる脆弱性を避けることができなくなった。

.*.

ハッカーの標的になってもウインドウズを手放すことは出来なかった。マイクロソフトの脆弱性のレポートが返って問題になることもあった。ゼロデーアタックが流行った頃だ。解決手段と一緒に定期的な改善版のリリースに変わった。
それでも、システムの入れ替え、初期化などでは危険に晒す場面があった。
全てマイクロソフトのノウハウとして蓄積されている。
モバイル端末が抱える脆弱性と対策は今後の話だ。

.*.

如何考えても、噂のBYODは時期尚早。最大の標的はＢＹＯＤだ。安全策は提案されいるが安全性の検証が終わった訳ではない。まだ攻め手も守り手も道の途上だ。今はまだ緩めることは出来ない。
残念ながら、今は端末を貸与して社員の行動を監視する時代の入り口に来ている。本来そんな権利は無いだろうが、セキュリティ誓約書あたりを使って合意させるのだろう。

.*.

行動監視アプリ

いつ何のアプリを使った、いつどこへ行ったか、電話～メールの記録、など一切合財を監視し、一切のデータを所定のクラウドに送るアプリ。
貸与スマホにインストールは当然。個人所有のアプリにもインストール。
採用内定した段階で直ぐにインストール。
契約解除・終了後も一定期間インストール状態を維持する。
変な話、貸与スマホは個人利用は可能とする。
監視を許可するものだけが社員になる時代。
アンドロイドの継続利用は会社監視が条件になるだろう。
監視下に無いアンドロイドはリスクポイントそのものだ。

.*.

当世流行物「家事代行業」の盲点とは？

当世流行物「家事代行業」の盲点とは？

家事代行業とは家政婦宅配業みたいなもの。共稼ぎの家とか高齢者世帯とか単身世帯とか、家事が思うに任せない個人の家の家事を中心に発展してきた。

特に、女性の社会進出に伴う穴埋めの役割として業界は成長中。面白いのは女性社員に対する会社の支援策の一環として、家事代行サービスを会社が斡旋するケースもあること。

また、スポットで依頼できるところ、小規模での受託も可能なことから法人施設の利用も進む。

※

国の図式としては、

（１）余剰の女性労働者の活用。
（２）高付加価値業務への女性労働者の登用従事。
（３）安い海外労働者の充当。

結果として国の生産性向上。

但し、海外の労働者は只の荷役サービス業務への就業は禁止されている。国内労働者の就業機会を奪うからだ。

このことが足かせになって女性のハイレベル業務への従事が阻害される。だから、国は法律を変える必要が出てくる。このとき、逆立ちしてもハイレベルワークへの従事が困難な労働者は反対するだろう。

※

話を戻して、「家事代行業」そのものに目を置いて問題を考える。家政婦、ベビーシッターなどと同じく、家の中の一切を他人に見られてしまうこと。プライバシーも何もあったものではない。

外国人労働者、中でも信用の低い中国人労働者が留守宅に入るなんて、おちおち仕事もしていられない。身元保証と言っても大陸に逃げ帰られたらそれまで。何せ愛国無罪のお国柄だ。盗んだものが貴重であればるほど賞賛される。個人契約でなく法人契約だから知らない間に中国人が入ってくる。

結局、日本人限定スタッフのサービスしか利用できない。このシナリオはオフィスの清掃業でもいずれ同じ状況になる。自宅も会社も、開閉センサー、開閉ロック、監視カメラで埋め尽くされるだろう。

当然自動認識機能付だ。事前に身元確認。実際に北人は登録された人かどうか。そういうことも可能な社会になるだろう。

※

福知山花火大会のガソリン引火爆発事故は他人事に非ず！

京都府福知山の花火大会で露店（屋台）の爆発事故は他人事ではありませんよ。ＩＳＭＳをやっていると事務局が追い込まれるのが運用性(Availability)の確保あるいは事業継続性の確保ですが、その一環として小規模ながら自家発電装置を設備するところがあります。この小規模が中途半端で具合が悪い。月1回の試運転を繰り返せば給油も必要になる。ガソリン携行缶を用意する。自家発を置く場所も一等地ではない。高温になっている場合もある。マーフィーの法則では実際に使うときは悪条件と思えとなる。システムは止めたくないから自家発を運転しながらの給油。緊急時に手順を知っている人が居ないと露天商と同じようなことをやりかねない。

.*.

＜ＩＳＭＳでは？＞

>>>どうしても自家発なら？

非常時の対応を想定するときは教育訓練は直接の担当者だけにとどめてはいけない。
自家発は屋外へ。状況により別棟でも。
期間を限定する。一定期間内に他の方法に切り替える。

-

>>>自前の自家発を使わない工夫？

バッテリー利用で間に合わせる。
ミッションクリティカルなシステムサービスは外部に置く。
受電契約の見直し。ループ受電など。
新興電力サービス利用。

.*.

フェリカとクラウドを融合させたソニーの電子お薬手帳サービスへの期待と課題

フェリカとクラウドを融合させたソニーの電子お薬手帳サービスへの期待と課題

（構想～概要）

フェリカ(FeliCa)ICカードとクラウドサービスを連携させたソニーのビジネスモデルの一つ。

フェリカカードを薬局の端末にかざせば、クラウド上に保管された投薬データからその人のものが表示される。

薬暦データはクラウド上、個人情報はフェリカ上に保存される。

今秋から川崎市で試験運用。

（課題）

詳細は今後だろうが少なくとも以下の点はクリアまたは一定の検討が行なわれていなければ駄目だろう。

フェリカカードと同様にモバイル端末のフェリカアプリもサポート。
複数の薬局に対して共通のカード/アプリ。それぞれ作るのではお薬手帳の意味も無い。現在のお薬手帳やり方は薬局ごとにばらばらで問題が多い。電子化サービスでクリアしたいポイントだ。
内容確認は個人のパソコン、スマホ、タブレットなどでも出来ること。
Ａ薬局に出かけた時に、Ａ薬局の薬剤師は、Ｂ薬局の投薬状況、Ｃ薬局の投薬状況も簡単に確認できるかどうか。どのようなときに其れは認められ、どのようなときに其れは拒否されなければいけないか、のケーススタディ。承認または拒否の手順と証跡。
データのオーナーは誰か。
修正または削除の権限者、実施手順が妥当か。
実態を見れば、クスリは貰っても、飲む飲まないは別の話というのは常識。実際の服薬量を記録として管理できること。
ジェネリック品かどうかが見やすく表示されること。
余った薬を後で飲むことも現実には存在することを考慮して、消費期限管理機能も欲しい。
データの構造が公開され、薬局間で共通化あるいは容易な変換が可能にすること。
病院でも簡単に確認できること。
院内情報システムとの連携の検討。人間ドック時のカード、一般診察カードなどとの連携も。
人の一生分のＤＢ化を視野に入れること。短期間のローテーション利用では信頼を得られない。
他人の電子お薬手帳を拾っても簡単にデータが閲覧できては困る。
毎週病院へ行く人もいれば、数年に1回の人もいる。暫く使っていなくても容易にセキュアな本人確認が出来る仕組みとの連携が必要。バイオ認証？

.*.

企業の内部資料流出を促す中国サイト百度(Baidu)に注意！

企業の内部資料流出を促す中国サイト百度(Baidu)に注意！

百度の内部資料流出サイト　共産党の後押しだろ。ソニー、トヨタ、日立など大手企業の内部資料が公開状態。

内部資料をアップしたらポイントがもらえるサイトを作っている。

既に8000万件のアップロード件数？

これも中国リスクだ。

社員、特に中国採用社員からの流出は深刻だ。SNSリスクに加えて、会社情報でアルバイトをされては堪らない。

中国進出企業に限らないことにも留意すべきだ。

.*.

社員が百度にアクセスしていないかチェックすること。会社の端末は当然、BYOD認可の端末、可能なら在宅勤務端末までチェックしておきたい。頻度が確認できれば百度の問題を説明して事情を聞くべきだろう。

.*.

メディアからの新しいリスク「半沢直樹シンドローム」

メディアからの新しいリスク「半沢直樹シンドローム」

半沢直樹

ドラマ「半沢直樹」が大ヒットしている。池井戸潤原作の半沢直樹シリーズがドラマ化されている。「やられたら倍返し、嫌、１０倍返しだ。」

大人しいだけのサラリーマンも牙をむく日がやってきた。部下や同僚に無理を強いて欺いて出世街道を進んでいる連中は心に当たるものがあるはずだ。仕返しを懸念する企業幹部？社員の価値観の変化がもたらすリスクとは？

定年予備軍。50歳台は既にそうだが、40歳台だってそうだ。思惑・希望・野望・願望～を秘めて会社に入った人間も既に色分けが出来ている。「当たり」と「外れ」。「覚悟」と「諦め」と「もがき」と「余裕」。

しかし、人間やすやす諦めが付いたり覚悟できるものでもない。我慢の裏には恨みが燃え盛っている。安心の定年、家族の安全を願って、漸くその火は押しとどめられている。

半沢直樹シンドロームは価値観の変異を促すものだ。

正義に動かされる社員が出現する。従来の卑屈な不健全な方法論を根こそぎ覆すものだ。合法も違法も含めて、無理を強いて借りを返していない連中への仕返しが始まる。

これは簡単には咎めることはできない。事実だから。それ以上に告発者は被害者でもある。告発者を問題にすれば会社の品格が更に下がる。

.*.

＜半沢直樹シンドロームがもたらすリスク＞

内部告発。ＳＮＳサイトや匿名サイトへの告発。告発される個人名も出るだろう。怪文書の回覧。
不正行為、犯罪行為は当然、証拠などが上げ難いハラスメント行為（セクシュアルハラスメント、パワーハラスメント）。これらも複数のサイトで上がってくればただのでっち上げ友言い切れない。
恨みを買った個人の情報の流出。浮気、使い込み、経費の誤魔化し、出生の問題、異性問題。理不尽な仕事のやり方。無能ぶり、弱点。メールアドレスを流出させて大量のスパムを呼び寄せて迷惑を掛ける。
会社の情報そのものが流出。会社が困れば良いと考える。
弱点情報の暴露。セキュリティ上の抜け道。
公私混同行為の暴露。
物理的・肉体的な復讐。これはもう犯罪ですが、そうでもしなければ気が済まない。電車のホームからの転落事故。
ストーカー行為。恨みを買う人の公私ともが監視対象。
いたずら電話、いたずらメール。

（１）正義を貫くための行い。
（２）恨みを返す行い。
審査機関でのパワーハラスメントは有名な話で特にＢ社のＡ氏はよく話題に上がる。

.*.

AWS-API互換クラウドの問題

アマゾンウエブサービス（ＡＷＳ）

アマゾンウエブサービス（ＡＷＳ）はアマゾン社内で利用してきたネットインフラをクラウドサービスとして一般に公開したものです。少ない初期投資でネットビジネスを実現できるため、ＳＯＨＯ系ビジネス、ベンチャービジネスの間で急速に利用が増えています。

ある意味では、アマゾンが培ったネットビジネスのノウハウがＡＰＩの形で公開されたことになりますから、尚のこと重宝な存在となっています。

アマゾン社自体はＩＴベンダーではありませんから、ネットサービス・ウエブサービス・クラウドサービスを実現する巨大なサーバー環境は普通のＩＴベンダーが構築しています。何処のベンダー？

アマゾンは最高のクラウドユーザーとしてシステム要件を明確にし改善を進めてきた立場になります。

.*.

クラウドベンダーは雨後の筍。それも巨大ベンダーとオープンソース(OpenStack?)系とに集約されつつありますが、ここへきて目立った動きとして、特にオープンソース系ベンダーでは、アマゾンＡＷＳ用ＡＰＩをそっくり利用しようというものがあります。

ＩＢＭがオープンスタックを担いだことで明確な流れが出来ました。ＩＢＭ－ＰＣ互換ビジネスの推移が思い出されます。アマゾンは何れ他のベンダーの利用者に甘んじる時代が来るかもしれません。

アマゾンＡＷＳ互換クラウドと特殊ニーズのクラウドの並列。特殊ニーズの部分は一定の汎用性が確認されれば、拡張ＡＰＩとしてＡＷＳに取り込まれていくでしょう。一部はニッチ用途に残る。

互換クラウドベンダーは単にＱＣＤ（コストパフォーマンス）を競うだけになりますから、ＡＷＳ－ＡＰＩに最適化されたサーバーを作ることになります。

.*.

ISMS的考察

27001規格見直しではクラウド対応要件が検討されているが、これさえ要件の一部と心得るべきである。
技術革新への実務的な対応は事業における競争優位を実現する上では欠かせない。
データの分離管理は解決すべき課題だ。
マルチベンダー、マルチサイトも標準化が進めば容易になるだろう。
平時・災害時とも通信路の確保は従来より一層深刻な課題になるだろう。
AWS-API互換ベンダー利用時は互換性を担保する方法論の確立が必要。システム要素の更新時、切り替え時は戻しの手順なども含めることだ。
標準ＡＰＩを使っていてもベンダー固有の脆弱性を歌が必要はあるので、それを把握する方法論も求められる。マルチベンダーの場合は深刻なリスクになる可能性もある。

.*.

ＡＷＳとＡＷＳ互換の比較考察

アマゾンのクラウド（ＡＷＳ）と他社のＡＷＳ互換ＡＰＩクラウドとの違い？を理解してみよう。単純に、
両者QCDを比較して見てみよう。

Ｑ（機能性）：
ＡＰＩ互換を達成していれば基本的に違いは無い。
Ｃ（コスト面）：
開発コスト、維持コスト、サービス料金のバランスで考えると、既に投資を済ませて一定のカスタマーベースを確保しているところと、これから新たに投資して回収を図ろうとするところ、カスタマーベースも新規9開拓のところとでは優劣が明確だ。もっとも、後発は最新の技術を利用できるメリットもある。
Ｄ（サービス実現性）：
既に各国でサービス提供の実績があり、システム運用に対する高い信頼性を確保しているところと、互換機の信頼性実績はこれから作るところとでは隔たりが大きい。

アップルiOSとグーグルAndroidの比較考察、ＩＢＭ-ＰＣとデルＰＣの比較考察、などとよく似ている。先行馬が最初は独走状態になるが、やがて競争を分ける条件が変わってくる。オープンであるところから生まれる競争が求める価値観の変質を生むのだ。利用者が求める価値化に変化が生まれる。

.*.

ネットバンキング不正送金３．６億円超！蔓延する中国リスク！

ネットバンキング不正送金３．６億円超！蔓延する中国リスク！

警視庁が纏めた今年（２０１３年）１月～７月の不正送金被害額は３億６千万円に上った。気付かないもの、気付いても他人に言い難いものなど届出の無い被害もあるだろうから実態はこの数倍になるかもしれない。

送金先は６００口座、中国人名が７割。日本人の名前でも中国人のケースもあるに違いない。中国は犯罪国家だから領土問題に限らず上から下まで悪い連中がたっぷりいる。これもチャイナリスクだ。人事面、業務提携、委託、調達、販売などどのプロセスであってもそこに中国あるいは中国人が絡んだらリスクとして評価と対策が必要であることは、ビジネスマンに限らず日本の日本人の常識です。

中国人に協力する日本人は更に始末が悪い。非国民だからね。

警視庁の取り組みは常に後手を引いている。国会議員がサボるから国が疲弊していく１つの事例だろう。

.*.

＜中国リスク＞チェックシート～チェック欄

ある組織では個人情報に関するリスクに異常に反応し、資産台帳の管理欄に個人情報であればチェックを入れたりしていた。社員に意識を持たせる意味では有効な取り組みだったろう。同様のことを「中国リスク」の欄を作ることで意識を高めリスク軽減に繋がるだろう。中国リスクが顕在する業種業務の場合はチェックシートを用意して更に具体的な対応を測る必要がある。

.*.

社員がネットバンキング犯罪の被害者になったら？

社員の私的なことに会社は関与しないのは建前です。社員が苦境に陥れば会社もリスクを抱えることになります。社員の健康管理に会社が注意を払うのは今時は当然です。社員のリスク管理に会社が注意を払うのも当然の時代になっています。余計なことに巻き込まれては困る訳です。

セキュリティ教育が不十分な会社であることが世間にばれる。
社員が金に困って不正行為をするリスクが高まる。

.*.

ネットバンキングで注意すること（社員へも周知させるミニマム）

パスワードをメールで連絡する場合、ファイル送付とパスワード連絡は別メールにするのは超常識。届く先は別デバイスにすることがこれからの常識。ファイルはパソコン、パスワードは携帯。
ネットバンキングの場合、ワンタイムパスワードが送られてくるが送り先はパソコンのままだ。パソコンが乗っ取られていればパスワードの意味を成さない。
管理コストの問題はあるが従前のトークンカードの利用。某ノムラ証券はトークンサービスを提供していたが廃止してしまったのは残念。第二暗証カードなどと称するオフラインの情報を組み込むことは有効で良くやられてる。
オフラインの仕組みを間違えて取り組んだ銀行（新生銀行など）は返ってリスクを高くしている。決済と関係しないログインレベルでも第２暗証を要求し、その後はノーチェック。まるで、玄関を開けたら中は金庫まで丸見え状態だ。新生銀行は何年か前にセキュリティ担当をリクルートしていたが適切な人材は得られなかったのだろう。
基本的なことだがウイルス感染に注意。特に「SpyEye（スパイアイ）」。これについてはＩＰＡからも参考にすべき幾つかの案内が出ています。
http://www.ipa.go.jp/security/txt/2011/09outline.html

.*.

ウイルス感染の手口：

ウエブサイト表示（閲覧）だけで感染する。古いバージョンのブラウザ利用。そういうサイトへの誘導にも要注意。怪しげなサイトに近づかないこと。
メールに添付して送りつけて感染させる。古くて新しい手法。友人、組織内関係者、取引関係者などに扮するソーシャルエンジニアリング（社交的騙し技）を使う。議事録のチェック依頼、懇親会の写真、など。うっかり広げると感染。
ドライブ・バイ・ダウンロード攻撃？　変なサイトを閲覧して、何かをダウンロードして、クリックでも使用ものならウイルス感染は必至。ところが、変なサイトかどうか分からない。本物に似せて作ったサイト、一見すると真面目に見えるサイトだから。ダウンロードは目的の音楽、画像、ツール類などだから普通にやってしまう。パソコンに取り込んでからのクリックも。最初に変なサイトに誘導されたらお終いだ。⇒閲覧画面とかメールとかのリンクはクリックしないで、自分で検索して目的のサイトに行くこと。

.*.

不正送金への備え：

（最新状態のソフトウエア）
先ず、ＯＳ、ブラウザ、関連アプリを最新版にすること。更新版が出るときに古いＯＳ，ブラウザ、アプリの脆弱性が同時に報告されるので、犯罪者は敢えてその脆弱性に付け込んだウイルスを出してくる。古いバージョンであることがリスクを激増させる。
（ウイルス対策）
ウイルス対策ソフトの導入。実績のないものはとりあえず避けておく。有料・無料はお金があればサービスリッチな有料版。複数のウイルス対策ソフトを入れると相互干渉が起きてシステムが正しく作動しないことも。
（プロバイダーのウイルスチェックサービス）
特にスパムメールに関連してのサービスが普通。
（添付ファイル）
メールの添付ファイルは開かない。クリックしない。文中のＵＲＬもクリックしない。どこへ飛ばされるかもしれません。
（ＩＤパスワード）
流用しない。最近ヤフーが大量のＩＤパスワードを漏洩させて大問題になっている。あちこちのサービスサイトで急激に不正アクセスが増えて被害も深刻になっている。ヤフーの無防備は会社の置かれたポジションを忘れた犯罪的なものだ。処罰されていないのが不思議でさえある。ＩＤパスワードはサービスサイトが責任もって保護している前提を置いたら大きな間違いだ。最近はどのサービスもＩＤパスワードを要求するのでそれぞれ異なる無い様にするにはパスワード管理ツールを使うしかない。
（ワンタイムパスワード）
ソフトで生成してメールで送られてくるタイプとトークンカードで生成されるタイプとある。後者はサーバー側との同期管理が面倒、全社はＰＣを乗っ取られたら無力化するので問題。もっともこれらはサービス提供者が勝手に決めることが多い。自分では選択できない。
（口座管理）
日常的な口座管理で、残高・ログイン履歴に不確かなものがないかチェックする。ミニマム月１回。毎週末の作業項目としておくのも良いだろう。

.*.

ネットバンキングの注意事項

偽サイトへ誘導し、そこでパスワード、暗証番号などを入力する画面、ポップなどが表示される。気付かずに入力するとアウト。更にそのままにしていると最終的にもアウトになります。ネットの調子が悪いなどと放置しないで、正しくログインし、直ぐにパスワードを変更する。暗証番号は変えることが出来ないから銀行ヘルプセンターに電話して口座を止める。

.*.

＜業界の怠慢？＞

防御の仕組み、防御のツールはせっせと作るが、犯人を特定するための業界共同で取り組むような仕組みの開発には殆ど手が付いていないのではないか。何かしらのツールやルールを作って、ＯＳ、通信ソフト、サーバーアプリなどに組み込んで、不正の所在を突き止められるようにしなければいけない。業界は適当に危険であるほうが採算が良いと思っているわけではないだろう。

.*.

本気度を感じない警視庁の取り組み？

フィッシング110番

http://www.keishicho.metro.tokyo.jp/haiteku/haiteku/haiteku416.htm

フィッシングに関する情報提供は、下記の番号までお願いします。

フィッシング110番　　03－3431－8109

受付時間は、平日の午前8時30分から午後5時15分までです。

夜間及び祝日・土日は、相談業務を行っていません。

フリーダイヤルにすべき。躊躇いなく連絡できる。有料電話番号にするのは、電話するなと言っている。
受付は平日の日中だけ。はっきり馬鹿としか言えない。帰宅してからパソコンを使う勤め人が被害にあっても直ぐには連絡できない。もしくは週末しかパソコンに触らない人も居る。そこで何かあっても週があけてからだ。いずれも後の祭りになるように警視庁が仕組んでいる。
警視庁がサイバー犯罪を軽視しているからこういう形になる。警視庁は中国の半日勢力と結託しているのだろうか。

.*.

不正送金被害の急増の原因はヤフーの大量の個人情報流出です。パスワードの使いまわしは利用者の問題として取り合わないが、社会的責任は底知れない。結果被害の大きさを見ての明確な謝罪もないままだろう。

ソフトバンク～ヤフーといったセキュリティに対する能天気管理は事件事故のたびに改善に取り組むものの馬鹿までは直らないからいつまで経ってもあちこちにほころびが出る。企業として無理を続けているから安心安全は二の次だ。結果（事件事故被害）が出たら対処する。例のメディア紛失事件と根は同じ。

.*.

超監視社会へ歩み止らず？「現場ロイド」の恐怖？

超監視社会へ歩み止らず？「現場ロイド」の恐怖？

エコモット株式会社「現場ロイド」

これはまあ工事現場に置く監視ロボット。自走機能はない。案山子（かかし）のようなものだ。

工事の進捗の見える化？を達成する。

携帯電話とソーラーパネル電池を備えエネルギー自給自足と通信機能。

工事現場を24時間見張る装置。不審者の浸入も分かる。作業手順も分かる。

24時間監視カメラと1時間おきの静止画。

建設ＣＡＬＳの延長上の取り組みだったかも知れない。

.*.

風とか河川の水量とかの継続機と連動させて監視できる。

現場ロイドは既に1000ヶ所以上の導入実績？

不法投棄も監視されます。

農産物や果樹などの窃盗も監視されます。

.*.

国家的損失を招いたノバルティスファーマ社員による臨床試験データの改ざん問題！再発防止策に向けて身柄拘束を急げ！

国家的損失を招いたノバルティスファーマ社員による臨床試験データの改ざん問題！再発防止策に向けて身柄拘束を急げ！

ノバルティスファーマ

ディオバン

ノバルティスファーマ社の金をもらって、ノバルティスファーマ社の社員を臨床調査メンバーに加えて、その社員がデータ改ざんを行った。

データ改ざんは持っての他で犯罪です。

この調査に加わってデータ改ざんを行った「ノバルティス元社員（白橋伸雄 Nobuo Shirahashi）」は逃げ回っているので早く捕まえて謝罪釈明させるとともに、厳罰に処すべきです。

ノバルティス元社員「白橋伸雄」

この人の写真とかがネット上に何もないのはどういうことだろう。研究者でもなんでもない。鼻から「如何様野郎」だったわけだ。プロフィールも何もない。ネット上の逃げ足も速かった。というか最初から準備しての犯罪だった訳だ。こいつを利用して巨億を手にして謝罪も何もしていないノバルティス社にも社会的責任の追求と明確な制裁が加えられるべきだ。

ノバルティスファーマ社は不正な利益を得たわけで重加算税？を取り立てるべきだ。

改ざんを見抜けないチェック能力も問題。

調査メンバーに利害関係者を入れるのも問題だ。

そもそも製薬会社から直接金をもらうのも問題。一私企業のために国のお金を使うなど持っての他。金儲けを手伝うための研究では国家背信行為だ。

.*.

ISMSへの示唆

コンプライアンス
説明責任が果たせるか。
データ改ざんを防止する仕組み。
十分なトレース機能
役割責任と資格要件の明確化

.*.

2014年6月10日

白橋容疑者が漸く逮捕された。ネット上では1年前から容疑者が特定されていたのに逮捕まで1年も掛かった理由も当局は明らかにすべきだろう。

.*.

罠に掛かった？リッチモンドホテルのサイト運用部門！情報売って小遣い稼ぎ？

罠に掛かった？リッチモンドホテルのサイト運用部門！情報売って小遣い稼ぎ？

リッチモンドホテルズは昔はロイネットホテルといった。ロイネットホテル自身が２つのホテルチェーンの合弁だったが、結局、ダイワロイネットホテルズとリッチモンドホテルズに分かれてしまった。

オンライン予約などのネットサイト運用は外部に委託しているようだ。ここは２グループに分離した後も継続して利用している。委託先と各ホテルが連携する形だ。プライバシーポリシーはほぼ共通だが、分離後も適切な見直しを行っていないとも言える。ダイワロイネットとリッチモンドの両方とも漏洩しているだろう。ダイワロイネットもメンバー登録して同じようなことをやれば直ぐに結果が出るはずだ。

問題はこの委託先＜会社名？＞だ。

誰かが会員情報を外に流している。多分誰かのアルバイト、小遣い稼ぎだろう。しかし、責任は委託元のホテルチェーン側にある。適切なかつ有効な監査が行われていない。

＜トラップ＞

罠はこうだ。まったく使わない新しいメールアドレスをリッチモンドの会員情報に加えた。１月もしないうちにそのアドレスに向けて悪質なスパムメールが届き始めた。誰も知らないアドレスに。スパムといっても詐欺まがいのメールだから性質が悪い。

.*.

プライバシーポリシーに関する問い合わせ先が設定してある。泥棒と警察が一緒になっているようなものだ。サイト責任者の問題を報告する先がサイト責任者だからこれは揉み消されて終わるだろう。

プライバシーポリシー

プライバシーポリシーに関するお問い合わせはこちら

.*.

ホテル側にはセキュリティに強い人材がいない、監査する時間がないなど、委託先が野放しになっているに違いない。だからIT経験のあるセキュリティアドバイザーを利用するのが取り敢えず最良の方法だろう。

.*.

スペインの列車脱線事故(2013-07-24)のISMS教訓

スペインの列車脱線事故(2013-07-24)のISMS教訓

事故概要

7月24日、スペイン北西部のガリシア州サンティアゴ・デ・コンポステラで列車が脱線した。当局は25日未明までに、死者数が77人に達し、100人以上が負傷したと明らかにした。 73人の死亡が現場で確認されたほか、病院で4人が亡くなった。大幅なスピード超過（設定速度の倍？）でカーブに突入したのが脱線の原因。急ごしらえのディーゼル車両も組み込んでいたことが脱線を容易にしたとの情報もある。真の原因解明には調査委員会の報告を待つしかないが、1年くらいは掛かるだろう。

興味深いのは運転手は日ごろからスピード超過運転を試みていた節があること。其れは運転手のSNSへの書き込みから明らかになった。スペイン文化の特性なんだろうか、その書き込みを鉄道会社に誰も伝えていなかったか、伝えられたほうも無視していたか、結局は何も生かされなかったのだ。鉄道会社の無防備な姿勢は非難されるだろう。もっとも当事故は列車停止装置も作動せず、杜撰な管理のオンパレードになりそうだ。尼崎列車脱線事故も思い出される。

.*.

賢明な管理者なら理解すべきことがある。

航空会社や鉄道会社は一旦事故が起きると重大事故になること。そのためテロのターゲットにもなりうる。他にも重要施設の管理では同様のリスクを抱えている。奇しくもNSAの情報収集がスノードンの告発を受けて問題になったが、日常的な情報収集が重要なのは言うまでも無いことだ。

ネット上の関連情報はSMSサイトも含めて収集し、リスクの有無をチェックする必要がある。フリーのツールで誰でも出来ること。

加えて、社員のSNSは社内情報の流出、炎上被害などを考慮して、監視の対象とすべきだ。

.*.

日本での事例としては、コンビニのアイスケースに人が入って営業妨害の事件が続けて2件発生しているが、これもSNSサイトが炎上し、その後ようやく外部からの指摘で当事者（コンビニ本部）が気付く始末だ。

ネット上の、あるいはSNS上の自社企業・自社製品・自社サービスがどのように話題になっているかを継続的に監視するのは今の時代では最早避けて通れない取り組みだ。監視は24時間。外部委託でも構わないが、社員のSNS監視まで外部に委託するのは躊躇うかもしれない。

.*.

（１）リスクアセスメント

ネット上の情報を監視しないときのリスクを評価。他人ケース、社員ケース。

（２）対応

役割責任の設定。基準と手順の開発。実施とレビュー。

事業継続管理との連携を含める。

.*.

ファミリーマートの機密情報漏えい事件（「香川真司」画像のツイッター投稿）

ファミリーマートの機密情報漏えい事件（「香川真司」画像のツイッター投稿）

.*.

ファミリーマートはホームページに謝罪文を載せた。

https://www.family.co.jp/
https://www.family.co.jp/company/
https://www.family.co.jp/company/news_releases/2013/130720_1.pdf
『２０１３年７月２０日
ファミリーマート加盟店従業員に関するお詫び
平素よりファミリーマートをご愛顧賜りまして誠にありがとうございます。
このたび、ファミリーマート加盟店の従業員が同店の防犯カメラで記録した映像をインターネット上に公開していることが判明いたしました。
関係各位には、多大なるご迷惑をお掛けしましたことを心からお詫び申し上げますと共に、今後同様の事態が発生しないよう、コンプライアンス指導を再徹底してまいります。
以上』

これだけの短いものだ。

.*.

事件の概要（ネット情報の聞きかじり）

小田原市にある「ファミリーマート木村入生田店」。７月１５日の朝、帰国中のマンチェスターユナイテッド所属「香川真司」選手が来店したらしい。それを聞いた別のアルバイト店員（１９歳、大学生）が防犯カメラの録画映像を確認して、自分のスマホで撮影した。撮影した映像は７月１９日夜、ツイッターに投稿された。

アルバイト店員のツイッターはその夜のうちに炎上を始め、ファミリーマートの店舗、店員の名前、通学先などが特定されてしまった。問題の店舗には翌２０日朝に通報され、店員は解雇、ファミリーマートは謝罪を出した。広報担当はもし「香川真司」本人なら謝罪したいと答えたらしい。

.*.

（疑問）

ファミリーマートはこれで一件落着と思っているのだろうか？。
ファミリーマートが言う「コンプライアンス指導」って何だろう？。

.*.

ISMSチェック：順不同

「香川真司」本人なら謝罪すると受け答えした広報担当は駄目だろう。誰が移っていようが謝罪しなければいけない。誰であれ知り合いなどが見れば本人が特定され想定外の悪用も懸念される。ファミリーマートは有名人でなくても誰であれ謝罪すべきだ。こういう基本的なことを本社の人間が分かっていないのだからコンプライアンス指導は自分自身に向けられるべきだ。世間に恥をかいていることを分かってください。常識的には香川選手に確認の連絡をファミマ側から取るべきだろう。少なくとも店員が其の名前で映像をアップしているのだから。全く上から目線の対応だ。
アルバイト店員は容易に防犯カメラの録画映像を見ることが出来ること自体に驚く。画像情報はHDDかテープに保管されている筈だが、ファミマのバイト経験者なら誰でも見ることが出来るのか。もし、万引きの様子を確認するなどの目的で、容易に閲覧できる環境がファミマの裏側にあるのなら、権限設定（アクセス制御ポリシー）が妥当かどうか検証すべきだ。全くフリーにしておいて、教育指導で全部カバーするのは無理がある。
特に録画映像の削除の権利がどうなっているかは重大だ。同様に関し装置の電源コントロールの権限も重要になる。本部スタッフが持つ権限、店長が持つ権限、アルバイト店員が持つ権限。これらの仕分けが適切でなければ、コンプライアンス指導は口先だけに終わる。
画質も問題だ。本人かどうか分からないような画質の防犯カメラを置いて何か問題があっても使い物にならないなら防犯カメラの意味が無い。ファミリーマートの広報の言い方は現地に画像の確認に行ったかどうか分からないが「画像からは確認できませんでした」すなわち劣悪画像の防犯カメラですといっているようなもの。
バックヤードにも監視カメラが必要だね。
炎上などと大騒ぎになっていなくても、類似事例が過去になかったかどうか調査することも必要だろう。其の上で本当に有効な再発防止策を打つべきだ。コンプライアンス指導で一本釣りしている対応はファミリーマートの情報セキュリティ管理のレベルが不十分なものであることを伺い見せるものだ。
メディア（HDD/TAPE)の管理状況も気に成る。基本的には消耗品だ。何処で誰の責任で廃棄されるのか。入れ替え作業の手順は適切かなど。かぎ付きの保管庫の存在、かぎ管理なども。ファミリーマート本部からは有効なマニュアル類が提供されているか。もし何もなければファミリーマート本部の言うコンプライアンス指導の中身も怪しくなる。

.*.

このような問題・事件はファミリーマートに限らない。録画・録音を顧客との接点で行う企業はいくらでもある。下手すれば似たような状況に追い込まれる。

店舗であれ、コールセンターであれ、適切な管理手順、管理環境、法廷問題で使える十分な品質と保管期間の設定をしているかなど、再点検すべきだろう。

この事例は又、SNSの炎上がもたらすインパクトを理解するうえでも有用だ。

.*.

記事タイトルに「機密情報」と入れたが、ファミリーマートが来店者の画像情報を機密情報として認識していたかどうか大いに疑問であるため、敢えて入れたものです。

画像認識技術が高まった昨今では、とんでもない悪用も想定しなければいけないだろう。

.*.

<Pマーク認証の有効性＞

Pマーク取得のロゴ"P10840217(04)"がホームページに掲載されている。従来からPマーク認証ではマネジメント品質への有効性は疑問視されていたが、今回は其れを露呈した格好になる。

ファミリーマートは今回の事件を契機にISMS認証への取り組みも検討せざるを得ないだろう。もっとも審査機関・審査員を間違えると元の木阿弥になります。

.*.

クラウドと電力供給の対比は妥当か？

クラウドと電力供給の対比は妥当か？

何処かの記事にクラウドを電力供給システムに対比させた説明がありましたが、どちらも中途半端な知識しかありませんから理解が届きません。

電気というパワーを供給する電力供給システムの発展の歴史。コンピューティングというパワーを供給するITパワー供給システムの発展の歴史。

当初、電力は個別に供給されていた。公共サービスではなかった。工場は自分で発電設備を持って必要な品質の電力を作っていた。電力は自己解決すべきものだったのだ。今の電力は公共サービスになっている。とは言え、災害対策レベルでは自己解決するしかない。今でも工場には自家発電が設備されている。次代の電力供給は電力会社から一方的に供給を受ける関係でなく、相互運用する関係になるだろう。其の中には自然エネルギー利用の電力も、非常時運用の電力も組み込まれるに違いない。

利用者は自分が使っているエネルギーがそもそも何処からもたらされているかは全く気にしない。知ることも出来ない。東電か関電か、何処かの工場の余り電気か、太陽エネルギー化など。あるのはコンセントとメーターだけだ。

ITパワーは企業内のデスクトップレベル、サーバーレベルは自己解決型。データセンターサービスはやや公共サービスに近づいた。クラウド化により相互運用性・公共サービス性を高めた。広域サービス対応のリソースもローカルなリソースも統合的に利用できるようになる。

利用者は自分が利用するコンピューティングパワーはどのリソースを使っているか全く気にしなくなる。

と言いたい所だが、色のない電力と色のある情報は区別しない訳には行かない。純粋なコンピューティングは対比させてOKだが、情報そのものはユニークな発展を遂げていかざるを得まい。

.*.

コンピューティングパワーそのものは対比できるが、情報の色が付いた部分に対する公共サービス化、ユニバーサルサービス化は更なる技術革新が求められるだろう。

.*.

結論

対比できるのは色の着いていない部分。

電気エネルギーに色が付いていない（と考える）からユニバーサルサービスは成立する。コンピューティングパワーも色の着いて部分はユニバーサルサービスが成立する。

色の付いた部分（情報、コンテンツ、コンテキスト、？）を無色にする技術が確立すれば見掛け上のユニバーサルサービスは成立する。手元には鍵だけ。

.*.

＜ISMSでは何を考えるか？＞

IT資源構造の見直し。電力を買うという当たり前のことが、ITパワーにも来る前提でインフラ整備に関する長期プランを見直す。

.*.

集中アクセス注意

集中アクセスの定義を厳密に決める必要は無い。感覚的には目立った事例をピックアップすることになるだろう。

.*.

集中アクセス注意>so-net.ne.jp

本日、特定アドレスから短時間で集中アクセスが記録されましたので、一時閉鎖いたしました。訪問者の方は注意事項・お願い事項をよく読んで違反の無いようにお願いします。

.*.

初回アクセス　2013/07/15 18:57:52
集中アクセス　2013/07/20　127アクセス/140アクセス累計
ホスト名　p76ecb8ac.tokynt01.ap.so-net.ne.jp

.*.

集中アクセス注意>vectant.ne.jp

本日、特定アドレスから短時間で集中アクセスが記録されましたので、一時閉鎖いたしました。訪問者の方は注意事項・お願い事項をよく読んで違反の無いようにお願いします。

.*.

初回アクセス　2013/04/08 15:52:45
集中アクセス　2013/07/24 58回/累計59回
ホスト名　36-2-243-212.aichi.otk.vectant.ne.jp

.*.

vectant

丸紅系のＩＳＰ。

.*.

社員のネット炎上は個人問題にとどまらず！急がれる支援体制の充実！

社員のネット炎上は個人問題にとどまらず！急がれる支援体制の充実！

前々からSNSを利用する社員の不用意な書き込みで企業情報が流出するリスクは指摘されている。SNSを閉空間と勘違いしている人間は案外多いものだ。友達が社員ばかりだからつい気を許して仕事の話をはじめてしまう。

仕事の話や会社の話でなければセーフという訳でもないのが「炎上」の話です。炎上は多分中国では日常茶飯事。ネット社会だけが民意のはけ口みたいなものだから当然でしょうね。とは言え、炎上の定義は曖昧ですね。

特定のサイト、特定の記事（エントリー）、特定の書き込み（コメント、つぶやき）に対する否定的な書き込みが集中すること。当然、アクセスも集中する。同時に、ネタもとの記事に関連して、特定の個人、団体に対する否定的な記事･書き込みがネット上のあちこちのサイトに書き込まれること。

問題となった記事やサイトは閲覧不可・運用不可となり、削除・閉鎖に追い込まれる。

発端がネットへの書き込みによることもあるが、関係者のメディア等での発言や不祥事などの報道などを発端とすることもある。

.*.

個人的なことであっても会社のサイトに炎上が及ぶ。社長の不祥事で炎上なら諦めもつくが、そういう意味では全柔連のサイトはいつ炎上しも可笑しくないのですが、一社員の個人的なことで会社のサイトが炎上したら超一大事。いつの間にか世論の攻撃対象になるのだから士気も落ちる。客も引いてしまいます。ネットビジネスの場合はネットが使えなくなるので事業継続上の問題となり更に深刻です。

.*.

対策は？

教育は月並み。当然だけど、前々不足ということだ。

車内のヘルプデスクのサポート範囲（サポートメニュー）に社員の個人的な炎上への対策を加えることだ。謝罪や応対の文面、ネット上からの削除（プロバイダーへの依頼）、検索エンジンへの対応など素早く行なうには組織的な非戦が有効だ。社員が個人でおろおろしている間に火の手は会社サイトにも押し寄せます。

.*.

任天堂（不正アクセス）はヤフーのパスワード流出事件の被害者か？

任天堂（不正アクセス）はヤフーのパスワード流出事件の被害者か？

ヤフーが流出させたユーザーのパスワードが任天堂（クラブニンテンドー）で本格的に利用された。共通のパスワード利用は頻繁にゲームを楽しむユーザーは共通にしている可能性はかなり高い。

犯人がヤフーから盗んだとされているが、ヤフーの内部の人間が犯行の主である可能性も否定できない。

任天堂はヤフーのお粗末の犠牲者だから損害賠償請求を出来るだろう。ゲーム業界、ネット世界の力関係もあるから、思案しているところかも知れない。

（２０１３年５月）ヤフーのパスワード流出事件

発生が発表されたのは2013/5/17。任天堂の発表は2013/7/5。確認された最初の不正アクセスがあったのは2013/6/9.。

任天堂は3週間の間にどういう対策を取ったかどうか。厳しく疑問が残る。
不正アクセスが始まってからも

事前にユーザーを守ろうとしなかったばかりか、基本的な監視すらやっていなかった。ネットビジネスをやる資格すら持ち合わせていない。

ヤフー/ソフトバンクは情報漏洩の常習犯で犯罪者に匹敵する最悪の企業だが、任天堂は其れに告ぐ期待はずれの企業ということになる。

.*.

任天堂はヤフーとの関係では被害者の一人だろうが、ユーザーとの関係では加害者の一人にされてしまうだろう。

任天堂は明らかな不作為の過失を犯している。ネットワークサイトの運用は得意分野では無いだろう。どこかに委託している可能性が高い。責任意識が希薄になっていたのだろう。先日の別の記事で危惧したことが現実のものとなったのは残念だ。そもそもISMSへの取り組みも無いのではないか？。となれば誰がどのように警鐘をならして任天堂の経営陣には伝わらない。

スマホ、タブレットの構成で経営基盤すら怪しくなって来ている中では情報セキュリティの議論は後回しになったことだろう。

8.3予防処置

ヤフーの流出事件の後、各ネットサービス企業がどのように動いたか興味深い。あれだけ大規模な事件事故が起きていて、何もしていなかったら、少なくともネットビジネス企業の経営者は重大な責任を問われるだろう。

パスワード流出という問題の性格から対策は緊急を要する訳だ。アクセス時の注意喚起、コンピューターによる自動ログイン被害を回避するため手動操作を手順に加える工夫、アクセス元エリアのマッチング、アイテム売買の一時凍結、登録メールアドレスへの注意案内送付などやることはいくらでもある。

.*.

任天堂の株価が戻ることはもうないだろう。来週は下がる一方だろう。それでも売ってしまったほうがいいかな。もっとも、ソフトメーカー、エンターテインメントサービスプロバイダーに生まれ変わればチャンスは来る。

.*.

不正アクセス1545万回、不正ログイン２万３千回。ここまで放置した任天堂ってどういう会社なんだろう。担当もどんな顔で記者会見したのだろう。担当者を総入れ替えしていなかったら、こんな会社は今後も信用できないね。IR情報のウォッチは欠かせない。

任天堂IR情報

.*.

「情報の確かさ」を検証する方法論

「情報の確かさ」を検証する方法論

上野動物園のパンダが妊娠したニュースが流れたと思ったら、今度は偽妊娠のニュースが飛び交う。あ～残念ね。きっとそのうちには本当に妊娠してくれるでしょう。と笑って済ますのが普通だが、普通に行かない人たちもいらっしゃる。

上野界隈でパンダの赤ちゃんを取り入れた商品開発や広告作りが既に始まっていたが、妊娠が嘘なら全て無駄になりかねない。なかなか笑って済まされない事態だ。

.*.

情報管理の観点で見るとこの事態はどうなるか？

書式で提供される、あるいは収集するビジネス情報は書式適合性チェックに加えて合理性チェックも行うし、重要であれば審査される。

ところが非定型の観測情報の場合、特に緊急事態では正規ルートを通さない情報が増えるが、このようなときの対処はどうすべきか。上野界隈の商店主と同じような状況に追い込まれることがある。

災害時の緊急対応もあれば、商機を逸しないための緊急対応もある。

.*.

「情報の確かさ」を検証する方法論

烏合の衆が開く会議は気分的な流れに誘導されやすい。思い込みや願望が支配しかねない。判断する立場の経営者に日頃から問題意識があれば、間違えても致命的でないが始めて臨む領域・状況の場合は要注意。

よく見かけるのは先送り。意思決定の放棄だ。同様に、無いものねだりを始める経営者。スタッフに回答を描いた紙をもってこいと言っているようなものだ。結果はやはり先送りになる。

少ない情報、不確かな情報から判断を求められる経営者は胃に幾つ穴が開いてもおかしくない。

複数の情報ソース：複数と思っていたら元は同じとならないように。
過去及び他社・他国の類似事例との比較検証。
専門家の理解と意見。
ホワットイフ（リスクインパクトのポジティブ・ネガティブ評価）

全てはできないしキリが無い。１時間なら１時間の枠で、１日なら１日の枠で、出来ることをやる。

.*.

ＢＣＰは決められた事前の想定に基づく活動だが、想定外の事態でどのように対処するかも大事だ。

.*.

「不確かさ」

.*.

復興庁「水野靖久」参事官（45）のツイッター暴言は他人事にあらず！

復興庁「水野靖久」参事官（45）のツイッター暴言は他人事にあらず！

復興庁「水野靖久」参事官（45）がツイッター上に復興支援先に対する本音を匿名で語ったが、内容は相手を侮辱する暴言の羅列。

多くの官僚・公務員がＳＮＳで溜飲を下げているのだろう。リタイヤ組みは勿論、現役組みも。

ISMSは？

匿名は意味が無い。いろいろな方法で特定することが出来る。思わぬ場面で流出することもある。問題があって当局やＦＢＩが出てくれば、当事者でなくても露出する。問題になればプロバイダーは開示してしまう。

企業組織にいてＳＮＳを利用することは攻撃相手にソーシャルエンジニアリング上の手がかりを与えることだ。

ＳＮＳ利用ガイドラインの基本は、ＳＮＳを利用しないことです。利用する場合は矛盾するが個人を特定する情報を入れないこと。業務上の情報を載せないのは当然だが、個人を晒すこと自体が問題だ。

事務局は、審査機関が組織としてＳＮＳを迂闊に利用してたり、審査員や事務職員がＳＮＳに名前を連ねるような状況の場合は注意しよう。審査機関を変更することも考慮すべきだろう。ＳＮＳのリスクを理解できない審査機関にセキュリティの審査を委ねるのは愚行でしかない。

最近の事故・事件・重大ニュースは多くがＳＮＳのリスクを示唆するものだ。知らなかった。想定外では説明責任は果たせない。

.*.

ＣＩＡ職員の機密暴露事件が示唆すること！超監視社会の現実？

ＣＩＡ職員の機密暴露事件が示唆すること！超監視社会の現実？

CIA職員がＮＳＡの個人情報収集活動を暴露する事件があった。まだ終わったわけではない。機密を暴露した本人は最初から亡命する腹なのか香港に潜伏。香港が中国とは別と考えていること自体にその若者の幼さを感じる。中国の情報戦争担当者に根掘り葉掘り米国の機密情報を吸い出されるだろう。

早速、香港でデモが始まった。自由のためとか言わせているが、実態とまるでずれた共産党の指示で行われたデモだ。超監視社会の独裁国家が自由を叫んでアメリカに抗議するデモが成立するところが、滑稽としか言いようが無い。

個人情報の保護は重要なことだが、国家安全保障の目的の前にはプライオリティは当然変わる。愚かな正義感ぶった若者は現在が情報戦争の真っ只中という認識すら出来ていない。それがＣＩＡに在籍するんだから、ＣＩＡの管理能力にも問題がある。

.*.

ＩＳＭＳでは何を理解すべきか。

超監視社会は既に現実のもの。その前提で組織の資産を誰からまもるか考えなければいけない。今まで安全と想定していたものを疑う必要がある。

今回、グーグルもアップルもマイクロソフトも全ての有力なサービスプロバイダーはＮＳＡに協力していたことも分かった。企業インフラに取り込んでいたら、リスクとして再評価すべきだろう。ＳＮＳ利用ガイドラインを定めているところは至急レビューするべきだ。一旦利用停止にするのも当然の処置だろう。

.*.

Edward Snowden

..

クローズアップ現代「国家の"サイバー戦争"～情報流出の真相～」を見て懸念するISMSの現状

クローズアップ現代「国家の"サイバー戦争"～情報流出の真相～」を見て懸念するISMSの現状

クローズアップ現代で「国家の"サイバー戦争"～情報流出の真相～」と言うのをやっていた。中国が国家的規模で仕掛けるサイバー戦争の脅威は一地方（四国）の事務方をも狙っていた。ソーシャルエンジニアリングを使ってまんまとウイルスを潜入させ、中央官庁に関連するメアドなどを窃盗していた。足がかりに中央官庁も攻撃される。

重要な基幹産業も関連会社、協力会社などを踏み台に次々と重要な国家資産が奪われていくのは、苦々しい限りだろう。

ISMSへの取り組みが更に積極的に行われなければいけない。立派な社会貢献活動だ。

ここで気になるのはやはりBSIジャパン。甘い審査、緩い審査を続けることは極めて罪深い。クライアントは審査機関のお墨付きがあるので自分のところはレベル以上の取り組みになっていると勘違いしている可能性がある。実際は問題だらけでも不適合は出ない。観察も嫌だといえば取り下げてくれる。

それを続けていると油断が生まれる。長年BSIで審査を受けて入る企業ほど危険な相手は無い。

経営者に本当の危機感が無いから、自動継続みたいな審査で満足してしまうのだろう。

中には、前の審査では、あるいは前の審査員はOKだったことがなぜ今回はNGなんですかと食って掛かるクライアントもいるようだ。手続きとか面子に頭が行って、本当に安全な形は何かを考えなくなった証拠だ。当然、脅威は変動することも考慮しなければいけない。「よく気付いていただけた」と言えれば立派な経営者だけど、無能な事務局は板ばさみを恐れて硬直した判断でとめてしまう。

会社の危機、国家の危機が置くに控えていることなど思いもつかないだろう。

.*.

件のBSIジャパンは認証のデリバリー効率を経営目標にしているようだから、ISMSのプレイヤーとしては大いに問題がある。国を守る仕組み制度の一環ともいえるISMSのなかでBSIがやっていることは制度の無意味化でしょう。

多分、統計データはあまりに少ない不適合件数とぎりぎり最小の審査工数を明るみに出すはずだが、それ自身が違反行為ではない。でも経営の意図を理解するのはたやすい。ルールに触れなければ何をやっても良いとするなら、エクセレントの文字は使うべきでない。

.*.

＜反復＞

いい加減なＩＳＭＳ審査はクライアントに油断を与え、企業の重要資産＝国家の情報資産を流出させることに繋がるもので、決して看過できない犯罪行為にも等しいということ。

不適合は出さず殆どを観察事項で済ます。しかしその観察事項のフォローも全くいい加減であれば、審査というよりメクラ点検。ＮＥＸＣＯ中日本の笹子トンネル崩落事故と全く同じ。無責任なサービスを続け、事故が起きるまで放置するに等しい。

組織の経営者は。3年間も不適合0件だったら、自分の会社がウルトラスーパーエクセレントカンパニーか、その審査機関がウルトラスーパー出鱈目審査機関と心得るべきだ。そんな迎合的な審査は受けるだけ無駄だ。芸者審査・太鼓持ち審査を受けて済ましている企業の担当は説明責任を果たせる訳も無い。

.*.

ビッグデータが牙をむく前にやること「情報社会の正義」

ビッグデータが牙をむく前にやること「情報社会の正義」

ビッグデータの簡単解説が日経プラス1に掲載されていた。

正規化されていないデータ、連携もリンクもあやふやなデータ、日々刻々湧くように溢れてくるデータ、あらゆるもののログデータ、それらから意味を見つけ出す技術。意味は意図したものか想定外のものかは分からない。新しい発見でも有れば沸き立つだろう。

ありとあらゆる情報を傍受し、底から意味を探す。軍とか警察の組織が昔からやっていることだ。

情報の海（ビッグデータ）に目的の光を当てれば、意味の有る情報が浮かび上がってくる。

不健全なものまで浮かび上がってくるようになると、海は荒れる。やがて凍りついてしまうだろう。情報社会の氷河期が来るに違いない。

.*.

情報社会の正義

社会は商売に繋がることはなんでもするが、商売に正義と非正義があるだろうか。ビッグデータは個人を多面的に監視することも出来る。過去を暴くことも出来る。意図しなかったものまで見えてきたときに何が正義かが合意されていないと歪んだ社会へと突き進むことになりかねない。

IT業界に居る人は技術を進めることで満足している。事業家は法律に触れなければひたすら利益を追う。歪んだ社会かもしれないのに。

情報社会における正義に関する議論は何処でどのように進められているのだろうか。

これも立派なセキュリティマネジメントなのに？。

.*.

ネットイヤーグループ：ネット上の情報からサポート課題を抽出するサービスをKDDIに提供。

http://www.netyear.net/

.*.

あふれるような監視カメラに自分が映っていないとでも。誰かが何を写しているカメラのはじに自分が映っていないとでも、GPS端末を持ち歩いていないとでも。誰かが録画録音している中に自分の声が入っていないとでも。通話履歴、メール履歴、閲覧履歴、購買履歴。乗車履歴、移動履歴。GPS付きの車に乗っていないとでも。誰かがどこかで自分のことをささやいていないとでも。何一つ否定できないだろう。人も物も一切の過去がキャプチャーされている。

.*.

ヤフーの情報流出

ヤフーの情報流出

審査機関はＳＧＳ。審査機関・審査員の無能無力を思い知るだろう。

ヤフージャパンとソフトバンクの関係。結局は人材ですね。例のカスタマサポートセンターのワタナベクミみたいな出鱈目なスタッフを抱えている状態では、トップが立派な能書き垂れても業績が急速に上がっても駄目ですね。

パスワード情報が漏洩した。

深刻な事態だ。

.*.

ヤフーはこれがいかに重大な問題か理解していないようだ。本人認証の仕組みそのものをやり直さなければいけないかもしれない。

どの会社のネットサービスも瀬戸際で被害を食い止めようとしているが確立した技術は無い。一旦全部停止させたいがサービス内容によっては難しいケースもある。

被害はこれからいくらでも出てくるだろう。