アカウント名:
パスワード:
セキュリティホールを善意から告発した（判定をどうするかは、 疑わしきは罰せず、方式でやらざるをえないだろう）場合は 罪に問わないことを明文化する必要があるんじゃないかな。 他の人も書いているけれど、口で言ったところで、それまで問題が 発生していなければ、 「小賢しい奴がなにか五月蝿いこと言っている」 程度の対応しかしてもら
1.使用者および関係者がセキュリティ監査を実施する旨を管理者に対し事前に届けた場合、それを拒否することはできない。
いや拒否できないとまずいだろ？ 相手は犯罪者の可能性もあるんだよ？ それでは状況的には裁判の被告が自分の個人情報がある検察のシステムのセキュリティ監査すら求められるじゃない。 今回の話で言えば生徒に監査をさせた場合に他人の成績表を見てしまった時の保障が取れない。 そのあたりを考えれば監査の要求は良いとしてその監査役は管理者側で決定できないと
それよりも必要なのは、監査の要求手順とかそんなものの方があると思うのだが。 元々攻撃容認と言うのは監査に応じないって事から肯定される場合があると言うだけで、何時でも肯定される訳では無いだろうし。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
普通のやつらの下を行け -- バッドノウハウ専門家
本気か?、北海道新聞よ (スコア:3, すばらしい洞察)
本気か？と思わず聞きたくなる意見ですな、これ。外部からの部外者の侵入じゃあるまいし、内部の人間が管理者に意見することもやるなってか?
Re:本気か?、北海道新聞よ (スコア:1)
セキュリティホールを善意から告発した（判定をどうするかは、
疑わしきは罰せず、方式でやらざるをえないだろう）場合は
罪に問わないことを明文化する必要があるんじゃないかな。
他の人も書いているけれど、口で言ったところで、それまで問題が
発生していなければ、
「小賢しい奴がなにか五月蝿いこと言っている」
程度の対応しかしてもら
Re:本気か?、北海道新聞よ (スコア:2, すばらしい洞察)
セキュリティーホールを善意から告発する人がいなくなっちゃう。
情報の世界だけでなく、実社会のさまざまな場面で見て見ぬふり
を奨励しているようなものじゃないか。
善意の場合は賞賛されるべきと明示が必要ですね。
Re:本気か?、北海道新聞よ (スコア:3, すばらしい洞察)
つまり、侵入するという行為自体を処罰ないしは晒し者にすることにより、萎縮効果が生じて善意の侵入者（ホワイトハッカー）によるセキュリティホールの指摘がされなくなり、クラッカー天国になる。と。
正直、その指摘はあたりつつあるし、この問題はOffice氏事件の時にもっと真剣に討論されて、「不正アクセス防止法」の条文を変えて対処するべきだったと思いますが。
Re:本気か?、北海道新聞よ (スコア:1)
まぁ漏れたときの慰謝料が５００円ではなく一人１００万当たり前とかなら、どこでも本気で考えるのでしょうが...
ざっと考えられるのは..
1.使用者および関係者がセキュリティ監査を実施する旨を管理者に対し事前に届けた場合、それを拒否することはできない。ただし、準備期間として一定の期間をテストを遅延することが可能とする
なおその遅延期間は半年を超えない
2.申請窓口は使用者および関係者に必ず告知しなければならない
3.上記体制が整ってない場合は、管理者以外への情報の漏洩およびテスト以外での該当コンピューターの不正使用が見られず、問題発見時点で管理者に届けた場合に限りこれを違法としない
とでもしてくれれば少しは安心かもしれませんねぇ
今のままだとほんと、放置->大量漏洩とかが起きても不思議でなく..
すべてのネットワークが一定水準だったら今のままでも問題ないんだろうけど..
個人情報を扱うところに対しては、公的な強制監査機関でも設けるしかないんでしょうかねぇ～
天下り先できる？(苦笑
Re:本気か?、北海道新聞よ (スコア:1)
>>まぁ漏れたときの慰謝料が５００円ではなく一人１００万当たり前とかなら、どこでも本気で考えるのでしょうが...
最近、不良債権問題が一段落して閑になった金融庁が、今度は個人情報管理に目をつけた [yomiuri.co.jp]ようです。
つまり、金融機関の場合、個人情報漏洩で最悪トップの首が飛ぶようになった、というわけで、
今後、金融機関では、本気で対策とるようになるんじゃないんでしょうかね?
Re:本気か?、北海道新聞よ (スコア:1)
日本には罰則的慰謝料を課すということはしないので、高額になることはあまり無いんですよねぇ
不要な個人情報は維持費がかかる負債であるという考えが浸透してくれれば良いのですが、そこまで維持してないからこそ未だ資産という意識なのかもしれません
Re:本気か?、北海道新聞よ (スコア:0)
いや拒否できないとまずいだろ？
相手は犯罪者の可能性もあるんだよ？
それでは状況的には裁判の被告が自分の個人情報がある検察のシステムのセキュリティ監査すら求められるじゃない。
今回の話で言えば生徒に監査をさせた場合に他人の成績表を見てしまった時の保障が取れない。
そのあたりを考えれば監査の要求は良いとしてその監査役は管理者側で決定できないと
Re:本気か?、北海道新聞よ (スコア:1)
危険を予測しての連絡とかなら判りますが、「浸入」となるとそうとも言えないでしょう。
それに、悪意有る侵入者に「セキュリティの為」と言えば大丈夫と言うお墨付きを与えるのはヤバ過ぎると思うのですが･･･。
悪意有る侵入者は自分の用件にあるコンピュータを見付けるまで、「善意有るセキュリティチェック」をしていれば責任を問われないって事ですから。
それよりも必要なのは、監査の要求手順とかそんなものの方があると思うのだが。
元々攻撃容認と言うのは監査に応じないって事から肯定される場合があると言うだけで、何時でも肯定される訳では無いだろうし。
Re:本気か?、北海道新聞よ (スコア:0)
この中学生が今回の１件で何を学んだのかを是非追跡取材して欲しいですね。
あと、その後のこの学校のシステムに対する対応と、
Re:本気か?、北海道新聞よ (スコア:0)
Re:本気か?、北海道新聞よ (スコア:0)
馬鹿発見。事後に処罰しても失ったものは戻ってこないだろうが。頭悪いこと言うなよ。
Re:本気か?、北海道新聞よ (スコア:0)
現実に善意の指摘など訴訟リスクがあってできない以上、システムの穴は放っておかれる訳だし、素人の管理者がどうこうできるわけも無い。
それなら専門家による侵入実験を含む監査
Re:本気か?、北海道新聞よ (スコア:0)
相手がホワイトハッカーである証明が取れないのであればクラッカーと判断しないとセキュリティ上はまずかろう。
そうでないと自称ホワイトハッカー実はクラッカーだらけになるぞ。
性善説でノーガードが出来ないのと同様の理由で性善説で自称ホワイトハッカーも信用しては駄目。
犯罪者は大抵やっていないって言うもんだ。
Re:本気か?、北海道新聞よ (スコア:0)
で、誰が彼の行動を善意によるものだったのか判断するの?
officeこと河合一穂被告の行動は善意によるものだったのかあなたなら判断できますか?
できるならその判断は正しいと証明できますか?