repeat-admin教育機関は、個人情報の流出をどう防ぐかかつては業務上、企業が集める個人情報を扱うことがあったマイスターです。企業が自社のWebサイト上で、プレゼント付のキャンペーンや、アンケートなどを行うことってありますよね。入力フォームがずらっとならんでいて、回答を選択し、最後に住所や電話番号などを入れて送信するアレです。あれで集まったデータを、集計する作業などを請け負うことがありました。SSLによる暗号化やセキュアサーバーの導入など、可能な限り堅牢な情報保護対策を施していました。作業用パソコンは、作業中、ネットワークから完全遮断。作業が終わった後の不要データは、データ削除ツールを用いて即、削除。当時はYahoo!BBの顧客情報流出事件が騒がれていたので、同じような事件が起こらないように、当社として最高の体制を整えたわけです。その結果、特に問題が起きることもなく、業務を遂行できることができました。技術的な障害に起因するケースというのは、そんなにないのです。詳しい統計は知りませんが、おそらくデータ流出の原因のほとんどは、人間によるなんらかの過失か、故意の持ち出しなのではないでしょうか。ここのところ、連日のように個人情報の流出が報道されています。原因のほとんどは、ファイル共有ソフト「Winny(ウイニー)」。相次ぐ流出事件に政府がとうとう、ソフト名を出して「使わないほうがいい」と呼びかける異例の事態になりました。「Winny」をご存じない方は、↓こちらをご参照ください。■「Winny」(フリー百科事典『ウィキペディア(Wikipedia)』)http://ja.wikipedia.org/wiki/Winnyこのソフトに関しては、違法性に関する議論(学術利用なども行える純粋なP2P技術として評価するか、違法なファイル交換を目的としたソフトと見なすか)など、様々な議論がこれまでにも行われてきました。それはそれで興味深い内容なのですが、本ブログで取り上げることではありませんので、上記のWikipediaのリンクなどをお読みください。ここでは、教育機関の関係者のために、大事な点だけをまとめてみます。個人情報がWinnyで流出する原因はただひとつ、「教育機関の関係者が、大事な個人情報データを保存したパソコンでWinnyを使おうとするから」です。個人情報を保存したパソコンでWinnyを使わない。以上、原因と対策、終わりです。地方自治体など官公庁でも流出事件が発覚し、公務員が、機密情報や職務上知りえた個人情報などを自宅に持ち帰り、あまつさえ私物のパソコンに入れていたずさんな管理実態があらわになるとともに、不用意にWinnyを使用しているという実態が暴露され、問題となった。嫌がらせのために個人情報を盗み出して故意にWinnyに流出させるという手口も発覚した。北海道警察の事例においては、警察官に個人情報を流出させられたとして個人情報を漏えいされた被害者が民事裁判を起こし、実際個人情報を流出させた側が一審で敗訴している。二審ではこの感染を予知出来なかったとして原告側が敗訴した。この個人情報流出事件では、警察官が私物のパソコンに警察の情報を取り込み流出した経緯があり、警察内の個人情報管理がずさんであることは明白で、判決に対し疑問を残す点がある。フリー百科事典『ウィキペディア(Wikipedia)』)Winnyの被害がなくなりそうにないのは、ひとえに、このソフトが「極めて便利」であり、使用者にとって魅力的だからなのでしょう。違法な著作権侵害行為は罰せられてしかるべきですが、「極めて便利」である以上、Winnyを支持し実際に使用する人はなくなりそうにありません。著作権管理者にとっても、頭の痛い問題です。個人情報を入れたパソコンで、不用意にWinnyのようなソフトを使用しているというのは、またさらに別の問題でありましょう。これだけ個人情報の流出被害が報道されているのにもかかわらず、公共機関を中心に被害が起き続けるというのは、あまりにお粗末であり、情報に対するモラルが低いと言われても仕方がありません。個人情報保護法が施行された今でも、個人情報の取り扱いに接する意識が変わらない方が、依然、少なからず存在するということなのでしょう。残念ながら、個人情報の集積地である学校でも、こうした被害が出ています。群馬の小学校」(Asahi.com)http://www.asahi.com/digital/internet/TKY200603080364.htmlどんなに気を配っても、学校関係者のパソコンには、ある程度生徒の個人情報が入っていると思います。事務職員の場合は、学校にあるデスクトップ端末で作業することがほとんどでしょうから、Winnyのような違法ソフトを使う方もあまりいないかと思います。教員は、自宅でレポートを評価したり、学生の採点結果をまとめたりという作業のためにノートパソコンや、CD-Rなどの記録メディアに個人情報を入れて持ち歩くことがあるようです。本来ならそうした行為そのものを止めていただきたいところですが、限られた時間の中で業務を行うためには、そうも言っていられないですよね。それなら、Winnyみたいなソフトは絶対に使っちゃダメです。上記の2事例の内、群馬の報道は、学校のハードディスクを修理する業者がWinnyを使っていたために起きた事件で、これはこれでまたひどい話です。こちらは明らかに業者の責任ですから、学校は被害者ということになりますね。一度、Winny上で共有され拡がったデータを、回収したり削除したりする手段はありません。Peer)という技術で成り立っているソフトで、これが事態をややこしくしているのです。普通「ダウンロード」というと、どこか特定のサーバーにファイルが置いてあって、そこにアクセスした人が自由にデータを取得できるというイメージですよね。この場合サーバ上に置かれているファイルさえ削除すれば、それ以降は誰もファイルをダウンロードできなくなるわけですから、データの拡大は止まります。ところがWinnyの場合、Winnyを使っている世の中のパソコン全部が、Winnyのデータ保管庫みたいな状態なのです。世の中のWinnyユーザー全員にデータの削除を依頼するしか、データの拡大を止める方法はありません。そんなことは当然、不可能です。したがって、回収は不可能。残念ながら、データが流出してしまったら、取り返しがつかないのです。通常こうした情報流出が発覚した場合、速やかにその経緯を発表し、できる限りの対策や被害者へのフォローを行うことが原則です。Winnyによる被害の場合は、必ずしもそれがベストな対応とは言えないようです。対応に苦慮」(Asahi.com)http://www.asahi.com/national/update/0318/TKY200603170395.html上述したように一度Winny上に公開されてしまったファイルは、理屈の上では、すべてのWinnyユーザーの目にさらされることになります。関心がある人は、いつでもファイルを検索して、ダウンロードできてしまうという状態ですね。したケースで、「どこの」「誰が」「誰の」「どんな情報を」流出させたか、ということを詳細に公表してしまうと、かえってWinnyユーザーの注目を集めてしまい、みなが検索してデータを一目見ようとするので、結果としてデータの流出と拡大が進むことになるというのが、上記の記事の内容です。なると、関係者への謝罪やフォローはともかくとして、マスメディアでの報道では、なるべく「どこの」「誰が」「誰の」「どんな情報を」流してしまったか、あいまいにするしかありません。Winnyで、そう簡単に検索できないようにするためです。(もっとも、それが果たしてベストな対応なのかは、なんとも言えませんが...)流出してしまった情報を回収する方法はなくても、拡大させないようにする工夫には、何か余地がありそうです。流出させた機関や行政の広報担当者、およびメディアの報道関係者は、どうするのがいいのかを子細に検討した上で、報道に望んで下さい。以上、Winnyに関する情報でした。ここまで対策を書いてきましたが、個人情報が漏れるケースは、Winnyだけではありません。その一つが、Winnyを通して感染するのではないタイプの、ウイルス達です。Updateなどを定期的に行い、パソコンの脆弱性を極力無くしておく○ウイルス対策ソフトを入れて、つねにウイルス情報を最新の状態にしておく○不用意に個人情報を保存しておかず、必要がなくなったら削除する。(しばらく経ってまた使う場合は、CD-Rなどのメディアにバックアップをとるなどして、とにかくパソコンにはデータをため込まない)...といった、地道な対策をとるしかありません。逆に、こうした対策をしっかりとしておけば、リスクは限りなく減らせます。一つの個人情報流出経路は、パソコンそのものや、重要な書類を紛失してしまうというケースです。<ニュース:情報漏洩>http://blog.university-staff.net/archives/cat45/cat16/↑こちらに、そういった例がいくつも紹介されていますので、ご覧ください。これはもう、注意を払うほかありません。抜本的な対策は、個人情報を持ち出さないことです。個人情報流出の原因は、ほとんどヒューマンエラーなのだから、情報に対して敬意を払うところから、徹底してみるしかないのではないかな、と思うのです。それと、確かに情報が流出してしまったら回収するのは困難、というかほとんど不可能な場合が多いのですが、情報が流出してしまった生徒等、被害者のみなさま一人一人に対しては、学校ができることがたくさんあるはずです。「流出しました、ごめんなさい。学校としては、もうどうしようもないです」ではなくて、一人一人に対して、誠意ある対応を可能な限り行うことは忘れないでくださいね。...と、そんな方向性の対策もある気がします。思ったことがあります。苦労してダウンロードしても7~8割以上の確率でニセモノ(空データ)、という事態になれば、時間的にも割に合わないので、お金を払ってコンテンツを買った方がいいと考える人が増えるのではないでしょうか。この案、あまりに過激すぎる上、ネットワーク上のデータ流通量の増加や、新たなウィルスの媒介となる可能性など、リスクが大きすぎるので、うーん、やっぱりダメですね...。失敗しても、誰も責任が取れないし...。某銀行でネットワークの設計~運用を担当しているものです。最近情報流出騒ぎについて、私のいる情報システム部門もホントピリピリしています。私ではなく、上層部がです。上層部はコスト度外視でシステム対応をどんどん要求してくる(ベンダにもあおられ、漬け込まれてしまっています)ので対応におおわらわです。私は「システムやネットワーク要因で情報漏えいが起こることは絶対ありません」と常に主張はしています。ブログ中でマイスターさんが述べられているとおり、こわいのはヒューマンエラーです。今後もこのブログ、ちょくちょくおじゃまさせて頂きます。よければTBさせて頂いたので、私のブログも覗いて見てください。(私の方は「気晴らし」のブログです。:評価結果から、ステークホルダー達に何を伝えるかRECOMMENDこちらの記事も人気です。