みちのく銀、金融最大サーバ管理者日誌サーバ管理とそれ以外の日常を綴ります。メールはkei@nantoka.comまで。Tweet個人、法人含めた国内の全取引先に当たる約131万件の顧客情報が入ったCD−ROM3枚を紛失したと発表した。同行は「誤ってごみ箱に落とし、廃棄処分された可能性が高く、外部への流出はない」としている。渡した記憶があると説明しているが、その後行方が分からなくなった。20日、事務センターに業務推進部からの受領証が届いていないことが判明、発覚した。2005年4月22日[http://headlines.yahoo.co.jp/hl?a=20050422-00000179-kyodo-soci]であって、12日に配送して、「渡した記憶がある」という曖昧なトレーサビリティで、20日に判明というところだ。その期間に「ごみ箱に落とし」たのかどうかもあくまで推測になってしまうし、どう破棄されたのかも分からないわけで、ひょっとすると秘密情報としての破棄をされていない可能性が残る。誰かがごみ箱から持ち出す可能性が否定できない程度の。なく、事故が起きた時に想定される被害や経路が限定できるという効果がある。今回のケースで完全に履歴が追えたならば、恐らくごみ箱に入っている時点で発見されただろうし、恐らく収集車や集積所まで追いかければ見つけ出せる。逆にそこまでやって見つからなかったら、不正に持ち出された可能性があるわけだけれども、不正に持ち出された可能性があることが事前に分かるのは、少なくとも後の対策を有利に進められるはずだ。「バックアップ」になると、扱いがぞんざいになってしまうところはあるけれども、情報漏洩のリスクは、むしろ持ち運べるバックアップ媒体に格納されたために高まっているのだから、相当に注意をしないといけない。不要なバックアップは作らない、不要になったらすぐ確実に破棄する持ち運ぶ状態にする時は、必ず信頼できる暗号化を施す鍵と中身は一緒に運ばないトレーサビリティを確保するという対策が考えられるのだけれども、どうも金融機関は暗号化に積極的ではない様な気がする。暗号の強度を懸念してのことだろうか。お客さま情報の紛失について[http://www.michinokubank.co.jp/news_release/20050422_03/]:やはり一次情報にあたってから記事は書くべきだ。本件発生の原因については、当行内における部門間の情報関連電子媒体の授受確認が不明確で、相互牽制機能が働かなかったことによるものと考えております。2005年4月22日[http://www.michinokubank.co.jp/news_release/20050422_03/]問題は認識している様だ。パスワード等によるセキュリティ対策を講じているため、お客さま情報の漏えい懸念は極めて低いものと考えております。2005年4月22日[http://www.michinokubank.co.jp/news_release/20050422_03/]「パスワード等によるセキュリティ対策」が施されているから安心だそうだ。「パスワード等」というのが何なのか非常に気になる。「4桁の数字のパスワード」ではないと思うが、「8桁の数字パスワード」なのかも知れない。顧客ではないから「お客さま専用のお問い合わせ窓口」に電話を掛けて説明を求めるのは無理の様だけれども、具体的にどういうパスワードや暗号化方式かを聞いても、「セキュリティのために秘密です」と言われる様な気がする。いう時に、リスクを客観的に説明するためにも、「独自の暗号化」は避けた方が良い。「誰かが責任追及される」というネガティブな面を気にする人も多いけれども、逆に他の多くの人は自分の責任ではないってことがはっきりする。私は、身の潔白が証明できない運用でセキュアな情報を扱うのはドキドキする。TwitterName:前田勝之Location:長崎市Web:http://www.nantok...Bio:前田勝之(まえだかつゆき)。(情報セキュリティ)。セキュアド、テクニカルエンジニア(SV,NW)。サーバ管理とWeb日記を10年ほど。ネットとリアルの接点に関心あり。食べること・歌うこと・愛すること・作ること・飲むこと。おいしいものがぜんぶすき。reserved.サイトポリシ。