第3回IOT研究会パネルディスカッションに行ってきた。
最近このテーマ続いてるなぁと思いつつ、こういうのに行ってきた。
(10) パネルディスカッション
「岡崎市立図書館事件を我々はどう捉えるべきか？」
コーディネータ:
山之上 卓（鹿児島大/IOT研究会主査）
パネリスト:（五十音順）新 出（静岡県立中央図書館）,高木 浩光（産総研）,松本 直人（さくらインターネット研究所）
プログラム一瞥しただけでも他の発表は理解できる気がしなくて、パネルディスカッションのみ参加。素人の自分にとってはただならぬアウェー感漂う会場で、めげずに聞いてきたよ。いちげんさんでも参加費を払えば聞かせてもらえるこの研究会に感謝。
以下、メモ。素人xiao-2が聞きとれてメモできて理解できてかつ覚えていた範囲という4重のフィルタで情報が目減りしてる上、たぶん誤記・誤解もあり鵜呑みにしてはいけない。ということをお断りしておくよ。→以下は自分の感想。敬称は「さん」に統一。
- 司会山之内さん導入。
- 各パネリストの紹介。高木先生にはセキュリティ、新さんには図書館、松本さんにはインシデント対応の観点からそれぞれ意見をいただきたい。
- 最初に京都大学・上原先生作成の資料に基づく事件の概要説明。
→あんまりメモとらずに聞いてたのと、概要はどっかのまとめを読んだ方が詳しいので省略。
- パネリスト高木さんの意見*2。
- 事件直後からおかしいと思っていた。事件の数日後警察に電話した時には、警察の人もクローリングという使い方があることを理解しているようだった。なのでただアクセスしたためでなく、何か嫌がらせをしていたために逮捕に至ったのかと当初は思った。が、別にそういう事情はなかったらしい。
- 本件に関しては議論が錯綜してきているので、事件発生当初に言われていたことを振り返った方がいいかもしれない。
- 法律家や運用側の人が事件の話を聞くと、「どの程度からが『やってはいけないこと』なのか、線引きをしてくれ」と言われるが、そんな線は引けない。「だったらそもそも無断でやることを許すな」という人がいる。とんでもない話。
- 許されるライン／許されないラインとも、無限に考えられる。個別に想定していくしかない。許される方のラインも数値で定まっているわけではない、暗黙のライン。
- しかし今回は、明らかにそのラインより下（つまり許される）ことをやっている。シリアルアクセスで、アクセス回数は1秒1〜2回、負担のかかるキーワード検索でもない。一般的なクローラと同等の配慮をしている。こんにちのWebサイトなら対応できるだろうと思われるレベル。
- 問題を起こしたのと同じシステムの中には、Googlebotを受け付けないRobot.txtを置いていたものもあった。つまり一般的クローラに耐えられない作りであったということ。97-98年頃にこういう作り方が流行ったことがあったが、すぐに欠陥が分かって廃れた。いまだにあるとは思わなかった。
- Twitterで出た意見その1：「サービス提供側の意図しない使い方は戒めて」。新聞でも「了解を求めないアクセスが問題」という趣旨の発言が載っていた。技術的におかしいと技術者には分かるが、一般の人は基準を示さないと納得しない。
- なお3月に埼玉県の図書館で、外部からの課題アクセスによる業務システム停止があった。これは岡崎とはまったく別件。この時はISPに連絡して解決されている。ベンダー間でこの件が情報共有され、「勝手に大量のアクセスするような使い方をまかり通らせてはいかん」という意識があったのかもしれない。ただしこの件は調査中。
- Twitterで出た意見その2：あるIT弁護士から「危険の認識があったというのなら故意だ」というような意見。技術者にとっては突き放されたようなもの。IT弁護士でさえ、技術者の常識を把握していない。
- 一般人の感想。PC詳しくない法学部の学生に聞いてみたら、警察の対応は当然だと言われた。自分が警察に電話した時にも、「ネット上には詳しくない人もいるのだから、そういう人に配慮すべき」という意見があった。
- パネリスト新さんの意見。
- 自分はシステムには詳しくない。技術的知見でなく、図書館にとってどういう問題かという観点から述べたい。
- 自分の属する図書館問題研究会（図問研）では最初のlibrahack事件、その後判明した情報漏洩につきブログで声明を出した*3、*4。この二つは別件だが、前者も利用者のアクセスログを図書館が警察に提出したという点で一種の情報漏洩。
- 図書館でこういう事件が起きた理由はいくつか考えられる。企業と異なり、アクセスが増えても利益がないこと。図書館は自治体サービスの中でも利用が多く、規模の大きいデータベースであること。担当者のICT知識が乏しいこと。利用者にとっては有益だが使い勝手が良くなく、結果自分でなんとかしたいと思わせるシステムであること。
- 図書館というのは「知る自由」を保障する機関。librahack氏の行為はこの自由を行使しただけで、それを通報してしまったのは図書館の存在意義にかかわる。
- アメリカ図書館協会では「図書館の権利宣言*5」を出している。日本にも「図書館の自由に関する宣言」*6というものがあるが、「資料と施設の提供」が中心となっており、なかなかWebサービスまで意識がいっていない。クローリングは「図書館利用」に当たるのか、のコンセンサスがない。図書館員の意識は来館者にゆきがち。
- 図書館には色々な困った利用者が来る。暴力行為、犯罪行為等の困ったこともよく起こる。しかし普通は極力警察沙汰にせず直接解決しようとする。引きかえて今回の事件では直接なんとかする前に、いきなり警察に相談してしまった。Web経由での利用者を「利用者」ととらえていない。
- なぜサイバー攻撃と考えてしまったか。ベンダーの説明を鵜呑みにした、ITC知識の不足、人的資源の不足、など。ちなみに岡崎市は正規職員18名、そのうち9名が司書。システム担当は司書でない別の職員。
- 警察を頼ったということに、図書館職員としては違和感を感じる。図書館の自由と警察の関係は微妙。
- マッシュアップの例として、全国5,000館の図書館の蔵書を検索できるカーリルというサービスがある。実はこれにより図書館側のサーバが落ちたところもあると聞くが、大部分の図書館は通報していない。カーリルの場合、誰が何のためにアクセスしているかはっきり見えるからかもしれないが。
- 情報漏洩に2つの面がある。1つは警察の捜査に対して図書館が利用者の個人情報を提供するということ。捜査のための照会には応えず、捜査令状を持ってこられたら従うというのが通常の原則。アクセスログは個人情報にあたるのか。
- もう1つの面は、システムを介した情報漏洩。過去には某県立図書館でノートPCが盗難され、利用者の名前など個人情報が流出したことがあった。今回はそれに加え、誰が何を借りたかという読書記録。過去にないレベルの漏洩事件。
- 取りうる方策。Webを介してアクセスする人も、利用者として意識すること。何か起こったら専門機関に照会すること。個々の職員が基礎知識を身につけること。システム監査を強化すること。…とはいえ、実際にやるのは難しいことも。
- パネリスト松本さんの意見
- インシデント・ハンドリングに携わっている。
- 10年前、メールサーバへの大量アクセスがあった。Dos攻撃ではなく、対処は単純なこと。だが当時はインシデントへの対応も一般化されておらず、そこまでの意思決定が大変だった。社内への説明に時間がかかった。最終的には自分たちで判断し、サービスを止めた。
- なおアクセスログというのは、ISPにとってはまさに個人情報。
- また別の事件。不正アクセスにつき顧客サイドからの相談。これは退社した社員がアカウントを持ち逃げしていたもの。内部監査を行い、営業の案件として処理。
- こういう事件がこれまでにいくつもあった。それから現在までのインターネット人口の増加を考えると、毎日どこかで起こっていると考えてよいだろう。
- インシデント対策の考え方。人の介在が増えるほど時間がかかり、意思決定が遅れる。可能ならば直接当事者にコンタクトをとること。警察や司法の力を借りることが必要な場合もある。
- 現在はDos攻撃はルータで簡単に止められるツールがある。同一IPアドレスから10秒に30回以上アクセスされると自動的にブロックできるもの。
- インフラ選択において、自社でハードウェアを維持するのがいいか、クラウドでやるのがいいか、利点を比較して決めるべき。クラウドでインシデント対応は専門のスタッフに任せるという選択肢もある。インシデント対応は場数を踏まないと身に付かない面もあり、対応する人はずっとやっていくことで慣れて経験を積んでいく。
- JPCERTの一般的対応としては、まずアクセス元に通知する。いきなり止めたりはしない。JPCERT*7から警察に問合せるというルートもあり。
- 大事なのは、インシデントを感知したらなるべく早く終わらせること。当事者と直接やりとりするか、もしくは第三者機関を間に介在させるか。Dos攻撃を止める技術の啓発。
- ディスカッション
-
- 司会：無料で相談できる先があればよいという意見があったが、そういう窓口はあるのか。
- 松本さん：これはJPCERTの方に答えてもらおう（と、フロアの人に振る）。
- フロアから：確かに、JPCERTに相談してくれれば解決したとは思う。利用者に通知して、穏当な結果になっただろう。ただし本件はセキュリティインシデントとはいいがたい。JPCERTもISPも、故意や過失があったかどうかという切り分けは行わない。とりあえず問題を解決する、というだけ。したがって、JPCERTが本来適切な場とは言えない。だが、どこが適切なのかというと分からない。そもそもどこが適切な窓口か分かる人は、自分で対応できるのではないかとも思う。
- 高木さん：愛知県警に電話した時、相手はJPCERTの存在を知らなかった。今後警察とのコミュニケーションを深めていくことはあるのか。
- フロアから：警察も色々で、連携してくれるところもある。Dos攻撃を受けた企業から警察に相談がいき、警察からJPCERTに相談がくるというケースもあった。被害者から直接JPCERTへ相談ではなく、警察側でとりまとめて持ってきてくれないと、全国一律に相談できるという状態にはならない。
- 高木さん：個人的なつながりでは、人が異動すると切れてしまうから駄目。組織的にやらなくては。
-
- 新さん：図書館員に対する研修では、どういう知識を身につけ、どういう講師に来ていただくのがよいか。知識はすぐに陳腐化してしまうが、「これは押さえておけ」ということはあるか。
- 高木さん：アクセスログを実際に見たことがあると、どのくらいの勢いかが分かる。とは言え、全員が知っておくというのは困難。技術者でもアクセスログをちゃんと見たことのない人もいるくらい。それよりは、分からないことができた時に分かる人に聞くという態度が重要。今回の事件で図書館に電話して「システムに欠陥があったのでは」と聞いたが、取り合ってくれなかった。人の言うことを素直に受け入れられる人材が必要。
- 新さん：図書館も有用な人材は不足している。外国だと司書は専門家だが、日本ではなかなかそうもなっていない。ただ今回の件で警察の人が「ネットの世界には、ネットに弱い人もいる」と言っていたそうだが、少なくとも図書館は「弱い人」であってはいけない。技術を業者に丸投げしてはいけないし、捜査を警察に丸投げしてはいけない。
-
- フロアから：自分は司書を育てる方の立場。「最低限これだけは知っておけ」という、技術に詳しくない人がすがれる資料、情報源等はあるか。
- 松本さん：インターネットに関する団体はいくつもある。IPA*9、テレコム*10、サイバークリーンセンター*11など。インターネットに関する団体のリストくらいは共有しておくべきかも。しかしポイントでいくつか知っておけば、相談した先が適切な窓口ではなくても、適切なところにつないでくれる。
-
- フロアから：「図書館サービスをWebで使うのは利用と思われていない」という話があったが、にも関わらずサービスとして定義していなくて、充分にチューニングされていないシステムを外に出しているというのはどうなのか。
- 高木さん：図書館のシステム担当職員でも、システム的な常識感があるわけではない。土木工事なら発注側にも技術職の職員がいる。情報システムでもそうすべき。
- 新さん：なんとなく流れで外に出している、という館も多い。インターネットでも見られるようにはしているが、サービスの意識はあくまでリアルにあって、Webは付随するものと思われている。また図書館システムは業務システムでもあり、図書館員は業務用の部分しか見ないので、外からの視点が持ちにくい。
- 高木さん：業務システムでも使いにくい。元々使いにくくて、ちょっとベンダーが修正してくれるとありがたがっている。ぼったくられているのに気づいていない。
- フロアから：自分は市のネットワーク管理をしているが、図書館側にとって図書館システムは業務システムであって、Web側はおまけという感覚があるようだ。図書館としては危険を管理しきれないのでWebには出したくないが、議会の要請で仕方なくつけているという場合もある。ベンダー側でも、メインは業務システムであるからWebに詳しくないSEが作っている場合もある。市役所のシステム担当者もしっかりしていない。
- 司会によるまとめ。
- IOT側としても広報していく必要がある。土木工事のように、受発注側での情報共有が大切。図書館との連携も深めていく必要がある。
以下、ぼやっと感想。
この事件の当初からなにか自分の中で引っかかっていた疑問があったのだけど、新さんのお話を聞いてはっきりした。たとえば、最近図書館の本の切り抜きや盗難がニュースになることが多い。その度「図書館はもっと毅然と対応すべき。警察への通報・損害賠償も検討すべき」という意見が外から出る。でもたいていの図書館はそうしない。甘いとも言えるし、お客さんを信じているとも言える。そういう性善説な対応と、今回の事件がどうもしっくりしなかったのだが、Webで使う人を「利用者」と意識していないという指摘になるほどと思った。
なお岡崎市のシステム投資が不必要に高いのかどうか、自分には判断できる知見がない。性質の違うものだから、いちがいに資料費と比べるものでもないし、先日のパネル討論会では、金額規模と内容を見る限りぼったくられているわけではないという意見もあった。でも高いのかも知れない。
分かりやすくて情報満載な会だっただけに、なんだか色々もやもやが渦巻いている。でも、もう眠いのでここまで。
おまけ。システム担当が頼れるような情報源を探してたら、こんなの見つけた。とりあえず備忘メモ。
*2:この方のお話面白かったのだけれど、技術に疎い自分はうまく要約できてない。ご本人のブログ「高木浩光＠自宅の日記」を見た方が正確。
*4:ＭＥＬＩＬ／ＣＳ導入図書館の利用者情報等の漏洩に関する緊急要請
*8:出典見つけられず。
*10:社団法人テレコムサービス協会のこと？
