mixiユーザー(id:1001373)
2015年11月11日05:04
961 view
【拡散希望】F-Secure社製品を公から排除するために(私達に出来ること）
行橋市 市会議員
小坪しんや議員のブログより https:/
(読みやすいように適宜【】や■を入れてありますが、それ以外は原文ママです）
※ ※ ※
【エフセキュア社製品を地方行政から排除する虎の巻〜議員向け資料】
2015年11月10日
事前に予告したため、まずもって地方議会における「エフセキュア社製品」について、排除のためフロー、具体的手段を示す。
エフセキュア製品を始めとする予算は、議員で構成される委員会で審議されます。よってこれは地方議員向けの資料として作成させて頂きました。
当自治体の場合は総務委員会になるかと思いますが、私は総務委員でありますので、「執行部に委員会で問わせて頂きます」ので、その想定問答をここに公開するものです。
このまま議員が読み上げて頂きさえすれば、どの自治体でもエフセキュアの採用は「無理」だと思います。
そういうつもりで書きました。
ネットとかBlogとか、にちゃん等、それらのルールとは一切合切関係ございません。
議案（予算）審査における「我々のルール」の紹介であります。
情報拡散についてはネットを頼りたく思いますが、最終的な対象は「地方議員」です。
議会ルールのわからない方・ネット保守層にも伝わりやすいよう書いたつもりですが、
実効性をより重視し、議会目線で書かせて頂いております。
わかりくい点はあるかと思いますが、書き下す時間的余力もございません、
ご容赦の上、「お知り合いの地方議員」もしくは「お住まいの自治体の窓口」にご送信ください。
※ ※ ※
【ご挨拶】
現在導入が進むマイナンバーを視野にいれたセキュアソフトウエアの製品選定におきまして、憂慮すべきリスク事案が発生しております。異常なレベルでの、コンプライアンスを無視した動きがあり、これは議会軽視のみならず地方公共団体をバカにした行為だと感じました。
公金を監査するものとして、予算執行が許されるレベルではなく、併せて市区町村民より預かり管理する個人情報を任せるにあたって当該法人は極めて不適当という認識をしております。
それぞれに専門分野・得意分野も持つことが地方議会の厚みにつながり、執行部にない強さを発揮すると信じております。私自身を特別に優れているとは思いませんが、「本件に関しては詳しい部類」に入る議員であると自らを信じ、先輩方に思いを託すものでございます。
僭越ながら情報共有のため本稿を上梓させて頂くものであります。
実効性を向上させるため、総務委員会における委員としての質疑集（案）として書かせて頂きました。併せて一般質問の素材として利用して頂くことも視野に入れて作成したものでございます。執行部（自治体によっては理事者）におかれましても、答弁書の作成の参考となるよう配慮した構成となっております。
通常、議会と執行部は対立するものでありますが、公益の前に対立はございません。
使用に耐えうると判断できる部分がありましたら、執行部の皆様におかれましても、是非ご利用ください。
【地方議員の先輩方、執行部の皆様へ。】
私は行橋市議会議員の小坪しんやと申します。
国立の工業大学出身、上場企業での就労経験を持ち、理系の政治家として活動させて頂いております。
自画自賛のようで恐縮ですが、月間訪問者数は約６０万人、地方議員の中では強いweb発信力を持つと考えております。
ICTに絡む事案で報告させて頂きたいため、自己紹介をさせて頂きます。
先般は、不躾にも外国人の扶養控除の件にて郵送にて意見書を送付させて頂き、慎重なご審議を頂き感謝しております。
また一昨年は、政党機関紙しんぶん赤旗の調査を求め、同じく送付させて頂きました。のち自民党党本部が本件に関する通達を出したことを記憶されている地方公共団体もおられるやも知れません。
【高額な電算コストについての認識】
マイナンバーの導入に対し個人情報に対する意識が高まっており、地方行政においてもセキュリティが重要であることはご存じの通りかと思います。しかしながら、各種の電算コストは高額であり頭を抱える公共団体も多くあるかと思います。初期は国負担であっても維持改修における費用負担等、長期スパンで多角的に考える必要がございます。
予算について述べさせて頂きましたが、そればかりでもいけません。
センシティブ情報を取り扱う地方公共団体でありますから、限られた財源とは言え安かろう悪かろうを選択することは、議員として賛意を示すことはできません。
以下は、本資料の付録とすべき内容でありますが、
文章の構成上、本件についてご存じない方を念頭に、こちらに配置させて頂きます。
そのため中段以降を折り畳ませて頂きます。読んで頂ける方はクリックしてください。
今回、お伝えしたいのは、極めて高いリスク情報になります。
これらのマイナンバーに対応したセキュリティソフトウエアを地方公共団体向けに販売・開発する大手企業に所属している社員（依願退職済み）についての情報です。
個人情報を守るためのセキュリティ会社に勤める者が、恣意的に個人情報を収集、色付けを行った上で「意図的にネット上に暴露」したものであります。
問題視しているのは、地方公共団体向けのマイナンバー関連のセキュリティソフトのメーカーの、本問題発覚後の対応です。ネット上の風評のみを気にしたのか、事態を解明することなく依願退職を受理、告発や懲戒は行われておらず、今後の調査はすでに不可能でありましょう。
イメージとしては、消防官が放火してまわったに等しい事態です。
消防庁からは、放火の際には消防車は使われなかったという報告のみで、続報は「本人が退職したため、それ以上のことはわからない」という締め括ったような状態です。
この状態で、私たち地方公共団体に対し、市区町村民の個人情報を「有償で守る」として、商品を売りつけにこようとしています。ネットでは大問題になっており、万が一、採用した上で流出事故などが発生すれば、執行部にとっても議会にとっても致命傷であると考えます。
製品選定の際には、何卒慎重な判断を頂けますよう、お願い申し上げます。
当該法人の名は、エフセキュア株式会社であります。
ツイッターに400人以上の個人情報晒す 勤務先のセキュリティ会社が調査、謝罪（J-castニュース）http://
関連）
個人情報一覧を晒した「しばき隊」、企業でも政治活動？問題の核心に迫る（探偵ウォッチ）
http://
続報・「しばき隊」が殺害予告の恫喝を自慢！業務上の情報も不当に利用か（探偵ウォッチ）http://
【総務委員会質問資料】
総務委員会を模して、質疑応答の形態で記述します。一般質問の際は、下記内容を入れ替えてご使用ください。
執行部答弁は、複数案を想定問答として参考掲示させて頂きます。
（当方は、議会前に執行部の答弁を「想定」した上で、執行部を攻める形態をとっているため、執行部側の想定問答を常に作成してきました。）
■総務委員） 企業情報から攻める。
執行部にお伺いいたします。
まず、エフセキュア株式会社という法人について問います。
執行部）
委員よりご質問のあった日本エフセキュアでございますが、セキュリティ関連製品・サービスの販売およびサポートを事業内容としている法人でございます。
これは本社をフィンランドに置くもので、世界的なセキュリティソフトのメーカーであると認識しております。
委員よりご質問のあった法人は日本法人として発祥したもので、１９９４年にデータ・フェローズとして日本市場で営業活動を開始、のち１９９９年に社名を日本エフ・セキュアに変更、２００８年に社名をエフセキュアと社名変更を行った法人であると承知しております。
参考：エフセキュア株式会社 会社概要
https:/
■総務委員） 大枠を固める。
次に、以下の点について常識ではございますが、執行部の見解を問います。
個人情報の管理状況に不備はないか、そこに問われる市民（区町村民）への行政上の責任について、どのように考えているか問います。
執行部）
一点目のご質問に回答させて頂きます。
当○○市（区町村）の個人情報の管理でありますが、法に定められた基準のみならず、職員へのモラル・コンプライアンス教育の実施など、人的部分・ソフト面についても力を入れており、個人情報について正しく管理しております。
地方公共団体では住民基本台帳・通称住基ネットを始めとした各種の個人情報を預かっておりますが、この責任者として、市（区町村）民への当然の責任として果たされるべきものだと認識しております。
■総務委員） 目的を問うた上で、法令で答弁を縛る。
準拠法、根拠法令について問う。
同じくそれを受けて当自治体で策定された条例があれば、年度、概要、条例が作られた理由について問う。
執行部）
各自治体、異なる。
■総務委員） 準備ができたので本題に触れ始める。
先ほど答弁を頂いておりますが、重ねて「個人情報の管理」に対するコンプライアンスの重要性について、執行部の認識を問う。
執行部）
委員、ご指摘の点でありますが、当市（区町村）といたしましては、繰り返しで恐縮ではございますが、職員へのモラル・コンプライアンス教育の実施を行っております。これは、人的部分・ソフト面にからの流出を防止することを視野に、さらに総合的な見地から個人情報の保護において、必須であると認識しているためであります。
■総務委員） 言質を取りに行く。それを積み重ねていく。
具体的に問います。
個人情報保護の観点から、コンプライアンスは必須であると私は考えております。
執行部も同様の認識で間違いないと、具体的に答弁を求めます。
■特記 ここで執行部がゴタゴタ言ってきた場合
�‥�自治体が採用するのはフルセットコンプライアンス論の採用か、�▲皀薀襪粒鞠阿脇睚颪垢襪里�、�Ｋ［畚膽蕕稜Ъ韻牢覿鳩燭任△襪�、�っ亙�公共団体のISO取得についてどう考えているか延々と問う。
答弁不能になるか、休憩に落ちるまで定義を問い続けること。何時間でも延長にかけ、答弁するまで逃がさないこと。
参考例：一般質問におけるコンプライアンスの攻め方（赤旗と市庁舎について問うた際の動画です。）
フルセットコンプライアンス論やモラルについても述べています。
執行部）
委員の仰られる通り、個人情報の管理に際し、コンプライアンスは必須であります。
■総務委員） 先ほどの答弁で縛った上で、さらに積み重ねる。
それでは、エフセキュア株式会社のコンプライアンスについて、執行部の認識を問います。
具体的には、通称「ぱよぱよちーん事件」と言われている個人情報の意図的暴露が、当該法人社員、現在は依願退職済みでありますが、発生した際の当該法人の対応について、執行部がどのように認識しているか問います。
執行部）
委員、ご指摘の点でありますが、まずもって個人情報は保護されるべきものであり、この意図的暴露などは行政の観点からは有り得ません。
よって当自治体では、同様の行為が発生しないよう気をつけて参る所存です。
■総務委員） 事例を、より詳細にクローズアップする作業
当自治体での状況を問うているのではありません。
当該法人が、すでにそのような、通称ぱよぱよちーん事件が生じた際、どのような対応をとったか。
その対応が、セキュリティを預かる企業として在るべき姿であったか、その点を問うています。
■事例について承知していないと逃げた場合の対応
総務委員） 委員会を閉じて籠城
執行部に対し、「ぱよぱよちーん」について調査し、資料請求および配布を求めます。
委員長、それまで暫時休憩をお願いします。
（執行部が答弁しない、できない場合は、休憩に落とし、ググらせて答弁させること。）
（マイナンバーや個人情報に関わる事案であり、譲れないと主張すること。）
執行部）
委員長、委員の皆様、貴重な審議時間を執行部に頂き、誠にありがとうございます。
委員からご指摘の件でありますが、通称ぱよぱよちーん事件について調査して参りました。
組織を構成する人員が、このような行為に及んだことは、法人としての信頼を大きく揺るがすものであると認識しております。
以上であります。
■総務委員） 攻め始める。
本件は、消防官が実は放火していた、というような事案であり、モラルの観点からも許されることではなく、明確なコンプラ違反であります。その点に関しましては、執行部と共通の認識が得られたものと考えております。
しかしながら、組織を構成する人員が、何がしかの犯罪に手を染めてしまうことは、残念ながらゼロにすることは難しい現実もございます。可能性を低減せしめる目的で、コンプラ教育の実施など、ソフト面にも当自治体は力を入れているとの力強い答弁を頂きました。非常に嬉しく思っており、本議案・本予算についての賛意を示したく考えております。
その上で、本当に重視されるコンプライアンスとは、見るべき点とは、事件・事故が生じた後の対応であります。
執行部の見解を問う。
執行部）
委員ご指摘の通り、事後の対応はいかなる分野でも重視され、コンプライアンスを論じる上でも重要であると考えております。
■総務委員） 論点を事後対応に絞っていく。
当該法人は、通称ぱよぱよちーん事件が報じられるや否や、企業HPにてニュースの形態で状況報告を行っており、この点は評価しております。
しかしながら、退職済みとの記載が二度目にございまして、懲戒という文言がありませんでしたゆえ、これは依願退職かと思います。法人として、当該個人情報流出事件の責任を問うことをせず、問題解明を困難にしました。
エフセキュア株式会社は、Facebookのセキュリティも請け負っており、Facebook内での何がしかの上位権限を有していたのではないかとの指摘が各方面からなされております。つまり、特殊な権限を用いて、個人情報を取得した可能性が、いまだ払拭されておらず、被害にあった方の安全・安心が担保されておりません。
このようなことは「ない」と当該法人は強弁しておりますが、これは技術系の人間は誰も信じることはありません。馬鹿にするにもいい加減にしろ、と感じました。サーバー等のアクセスログであれば一瞬で調査は可能でありますが、USBメモリや個人端末（携帯）、外部からの進入の有無など、例えば物理的なものまで視野にいれて調査を行うのが通常です。
当自治体で万が一、同種の事例が発生してしまった場合は、私は市民を守る観点から、執行部には一切の譲歩はせず、徹底的にやります。最低でも一か月的程度の調査期間は必要であり、場合によっては外部監査、外部からの委員会設置などを行うべきであると考えております。
僅か一日で「ない」と断言できるような調査は、調査ではない。
執行部に問う。
万が一、当自治体で同種の個人情報ばら撒き事案が生じてしまった場合、調査は１日２日で完了できるものなのか。
コンプライアンスの重要性と、今までの述べてきたこと、過去の議事録、私の目を見て、答弁を求める。
執行部）
そのようなことはあってはなりませんので、コンプラ教育を含め力を入れて参ります。
その上での仮定の答弁ではありますが、１日乃至２日で調査報告を完了させることは、不可能であると想定されます。
（できると言いだしたら、徹底的に攻めあげる。）
■総務委員） 無理を言う。
当自治体のセキュリティを、万が一にでもエフセキュア株式会社が負っている場合や、エフセキュア株式会社のソフトウエアで、当自治体の個人情報を守っている場合も当然に想定される。
エフセキュア株式会社の対応について、執行部の見解を問う。
問題行為に及んだ社員に対し依願退職を許し、１日２日で問題ないという調査結果を公表した対応は、執行部としてはどう考えているのか。
具体的には以下の事象がすでに発生し、これは修復不可能であると認識している。
依願退職を許してしまった結果、当該の、流出を発生せしめたと思われる元社員からのヒアリングはすでに不可能であり、多くのFacebookの利用者、また当該法人のセキュリティソフトを利用しているユーザーに、強烈な不信感を植え付けております。逆ブランディングのようなもので、私たちの自治体までイメージを下げるわけにはいかない。
一般に民間で広範に用いられているツールのみで、当該元社員が同種の情報を取得できたことの再現実験ができない限り、エフセキュア社の社員がFacebookの上位権限を行使し、個人情報を不当に奪った可能性は、誰も否定できません。依願退職を受理した現在、これは二度と否定できなくなったと認識しております。
当自治体では、個人情報の流出事故があった場合、このような対応をとるのか？
答弁を求める。
（※「無理を言う」とミニタイトルをつけたのは、行政という公の場は、民間の行動について基本的には判断・レビューをしないため。）
執行部）
当自治体の考え方でありますが、先ほどの答弁の繰り返しになりますけれど
１日乃至２日での調査結果の報告は不可能であるという認識であり、当自治体のコンプライアンスと当該法人の考え方は異なると述べさせて頂きます。
■総務委員） 踏み込む。
当自治体の、個人情報のセキュリティを担う可能性すらある法人の対応が、当自治体のコンプライアンスへの認識とは異なる。
そう受け取って構いませんか？
執行部に、再度、具体的に問います。
執行部）
間違いございません。
※ 答弁が得られない場合
暫時休憩に落とす覚悟で、各種の個人情報流出事故と企業対応の事例などを問い続けること。
必要に応じて３０事例ぐらいを準備。全てを躱しきる前に、執行部が体力が尽きて折れるはずなので、撃ち抜く覚悟で山のような紙の束を持っていくこと。
とことんまで行くぞ、今日はもう帰れないと覚悟させることが大事。
（例：「個人情報 流出 企業 対応」「個人情報 流出 コンプライアンス 対応」「個人情報 法律」「個人情報 流出保険 事例」）
■総務委員） 製品名を読み上げる。
明確な答弁、ありがとうございました。
さて、当該法人はセキュリティ関連製品・サービスの販売およびサポートを事業内容としておりますが、当該法人の提供するソフトウエアは、当自治体に納入されておりますでしょうか。
Endpoint製品
エフセキュア クライアント セキュリティ
エフセキュア クライアント セキュリティ プレミアム ＜※ソフトウェア脆弱性対策機能付＞
エフセキュア アンチウイルス ワークステーション
Serverpoint製品
エフセキュア Windowsサーバ セキュリティ
エフセキュア Windowsサーバ セキュリティ プレミアム
エフセキュア Linuxセキュリティ フル エディション
エフセキュア Linuxセキュリティ コマンドライン エディション
参考：エフセキュア製品 価格表(単数年契約版）2015.08.17版
メール＆フィルタリング製品
エフセキュア Microsoft Exchange & XenAppセキュリティ
エフセキュア Microsoft Exchange & XenAppセキュリティ プレミアム
エフセキュア アンチウイルス Linuxゲートウェイ
仮想スキャンサーバ 製品
エフセキュア 仮想スキャンサーバ
エフセキュア プロテクション サービス ビジネス ワークステーション
参考：エフセキュア製品 価格表（複数年契約）2015.08.17版
製品名の全てを議事録に残すと、すべてアウトにできるため。
執行部）
A）ございません。
B）ございます。
総務委員） Bの場合のみ。
Bの場合、納入業者の業者名を問う。
併せて落札価格、及び随意契約などの入札方法、また複数年契約か否かを問う。
執行部）
（採用している場合は、頑張って答弁してください。）
■総務委員） 入札排除の要望
現在、採用していないとのことでしたが（Bの場合：採用しているとのこでありますが）、今後については当該製品の採用を見送って頂けるよう、執行部に求める。
万が一にも当該製品に不備があった場合、セキュリティソフトとは言え、世の中の製品に完璧などない。
私自身も難易度の高いプラグラムが書けるわけでもない、飛行機も設計したことがないので安心とは思うがやはり怖い。医者も怖い。
事故は起きる際には、起きる。
完全なものなど、ない。
その、起きた際にどう振る舞えるかという視点であるが、これが重要だと考える。当該自治体の、私が守るべき市民たちに対し、これは執行部も同様であると考えているが、万が一が発生してしまった場合、「うちの製品のせいではない」と１日２日でメールをよこすだけのような企業は信頼できない。
調査したかしないかもわからぬ企業に対し、市民より預かった大事な公金を支出することは、委員として認めることはできない。
当該法人との契約を強硬した場合は、委員長報告に盛り込んでもらうよう委員会で審議すると共に、本会議場での採決時にも反対討論を述べさせて頂き、かつ本件を論拠とし予算案・議案に対し、否決で動かせて頂く。
さらに市民に対してもweb媒体、紙媒体、口頭を問わず「なぜ執行部は強硬したのか」言いふらす、もとい、市民報告を徹底的に行う。
（私はやりかねない。）
現在、マイナンバーをはじめ、年金情報の流出など、国民は個人情報に対し不安も感じている。
私はマイナンバーについては推進の立場だが、これらの批判を行ってきた政党もおられる。
国民が不安に思っている点については、無理に煽った者が誰かという思いもあるが、指摘通りの事象もあるとは思う。
執行部、当該製品の今後の契約については、委員から強い指摘があったことを鑑み、慎重な判断をお願いしたい。
執行部）
委員から強い指摘があったことは深く受け止めまして、今後の入札や業者の選定において参考にさせて頂きます。
■総務委員） 万が一の事態と、行政の責任について。
最後になります。
エフセキュア製品を採用した状態で、万が一が発生した場合、執行部は責任をとれるのか？
委員としては、議会においても追及を検討しているのは、起きかねないという想定のためだ。
事故発生後の対応は、ひと
万が一が生じた場合、議事録をもって、議会は執行部の責任を問う。
私は、急先鋒となるだろう。
責任がとれるかとれないかで言えば、とれないになるのだろうが
現時点をもって、公式な記録として議会から指摘がなされており、万が一があった場合はすべて「執行部責任」となることを、しっかり認識してソフト選定にあたって頂きたい。
以上。
7
4
ログインしてコメントを確認・投稿する