まず、USBメモリを紛失したのは尼崎市職員ではない。委託先企業の社員である。何故か尼崎市職員が紛失したと先入観を持って尼崎市を批判している人がネットに多かった。後、委託先の不祥事だが尼崎市の責任を問う意見も多かった。そんないい加減な仕事をしている企業に委託したのだから尼崎市の責任は0とは言わないがIT関係の委託業務において委託元が実際に出来る事はセキュリティ監査くらいだろう。その監査もあくまで委託企業との間にある信頼が前提となる（委託先が嘘をついていないという前提）
こういう個人情報を扱う仕事においては秘密保持契約書が締結されているはずだ。その契約内容に沿って業務が遂行されている事を前提としないと話にならない。契約違反していることを視野にいれて業務を進めるとなると秘密保持契約書そのものが存在意義がないことになる。
後、パスワードの桁数と文字種を言ったのは尼崎市職員である。委託先企業ではない。これは完全に100％尼崎市の責任だ。IT専門家から言えばパスワードの桁数と文字種まで絞り込めればかなりの確率でパスワード解析が可能となる。そんなセキュリティに関する事を平然と公の場で言ってしまったのは当然ながら尼崎市の失態である。
整理するとこうだ。
・UBSメモリ紛失は委託先業者責任
・パスワードの桁数・文字種情報の漏洩は尼崎市責任
ネットで委託先業者が外部に持ち出すのを許可した尼崎市が悪いと決めつけていた人たちがいたがそんな訳がない。記事などを見ると委託先業者がネット環境の関係でUSBメモリの使用許可願いを出して尼崎市が使用許可はしたが当然、外部持ち出しは許可しなかったとなっている。ここからは推測だが委託先業者は個人情報を扱うのでネットワークに接続したPCでの作業をしないでスタンドアロンのPCで作業していたと思われる。何故そういうことをするかというとそれが一番、最高レベルのセキュリティ対策だからだ。ネットワークに接続している事は常にリスクを背負う事になる。当然、IT企業なら社外と社内は堅牢なファイアウォールが構築されているがそれでも100％完全とは言えない。また、悪意の社内にいる人がクラックする可能性も0ではない。そうなるとネットワークに接続しないのが一番安全なのだ。結果、データのやり取りをUSBメモリにしたのだろう。
一番の問題はそのUSBメモリを社外に持ち出せた事である。当たり前だが尼崎市は社外への持ち出しは許可している訳がない。それが出来てしまう管理体制が委託先業者になかった（機能していなかった）のが本事件の根本的な原因である。
普通（何を以て普通というのはあるが？）のIT企業なら会社のデータを外部に持ち出す事は会社内規則で厳禁になっているはずだ。では、この委託先業者はどうなっていたのか？規則はあるがそれが機能していなかったのか？そういうところを尼崎市は検証していかなければならない。その上で先の秘密保持契約書違反として委託先業者を訴えるか委託解除にするのが妥当だろう。後は今後の委託先業者選定について尼崎市はなんらかのガイドラインを設定する事だと思う。
■USB入りのかばんは置き忘れか 大阪府警、30人態勢で捜索
(朝日新聞デジタル - 06月24日 16:51)
https://news.mixi.jp/view_news.pl?media_id=168&from=diary&id=7008708
ログインしてコメントを確認・投稿する