「杉並区職員が住基ネット閲覧で情報漏洩。暴力団関与か」記事へのコメント

ソーシャルハッキング

[Anonymous Coward]

本来の権限を持った人間の弱みを握って使役することで臨む情報を得る
これって防ぐ方法あるんでしょうかね……？

Re:ソーシャルハッキング

[Anonymous Coward]

今回の件は業務外なので作業の承認制にするだけでかなり防げます。
暴力団が怖いなら相談窓口にどうぞ。

Re:

[Anonymous Coward]

私が暴力団なら、承認者も併せて抱き込むことも考えますね。
普通にやられちゃうんじゃないでしょうか？

Re:

[Anonymous Coward]

「暴力団」ならかえって拒否しやすいんですよ。法律や窓口に頼れるので。

抱き込むためには弱みを握るか利益を与えるかなんですけど、
関与する人が増えれば発覚もしやすくなります。
弱みを握るのも大変になりますし分け前も減ります。

あと承認制にすると当然記録が残されるようになり定期監査も行われます。
じゃないと承認制にする意味がありません。

Re:

[Anonymous Coward]

まあ、記録が残っても妥当な理由があれば許容される訳だから大変だよな。
監査するといっても申請が数千数万とあったら綿密なチェックもしようがない。

まあシステム側を固めるとモラルの向上にも寄与するのは良いことかな。

Re:

[Anonymous Coward]

アクセスすれば本人に、アクセスした人物の匿名IDと役務役職とアクセス理由、承認者を通知すればいい。
怪しいアクセスがあれば相談、第三者が相談、発覚となる可能性がててきて躊躇するようになる。

Re:

[Anonymous Coward]

悪意の犯罪者は次に怪しくないアクセスからの情報窃取を考えるな。

Re:

[Anonymous Coward]

めったにない業務ならそういうので防げますけど、たぶんそういう検索作業は日常業務だから、現実的には無理じゃないかな。
アラームリストが大量に出るなら無視するでしょ
暴力団から保護対象みたいな色分けが出来れば、ガードもアラームも出せるけど、例えばDV被害者みたいなのなら、相談が事前にあるだろうからそういうのも出来そうな気もするけど、今回の対象者がそういうものかわからないなあ。

Re:

[Anonymous Coward]

通知されるのは一般市民の方。
普通の市民の情報は年に一回もアクセスされないんじゃない?
アクセスする側は毎日誰かしらをアクセスしてても。

Re:

[Anonymous Coward]

「業務目的以外」の意味は、例えば窓口や電話の問い合わせや他部署からの問い合わせで日常的に検索作業している人が、加えて「業務目的外」の検索をしただけで、色分けは難しいと思うよ。

Re:

[Anonymous Coward]

承認制というのは誰を何のために検索するのか証跡付きで申請する必要があります。
業務目的外では基本的に証跡を用意する事ができず、用意できたとしたらそこに内部統制上の脆弱性が存在するので改善しなければなりません。