住基ネット:ウイルス対策情報3カ月間更新なし

taanii曰く、" 毎日新聞の記事 によると 「8月に稼働した住民基本台帳ネットワークシステム（住基ネット）で、 各市区町村が利用するコンピューターのウイルス対策ソフトの情報が 約3カ月も更新されていないことが、10日分かった。」 とのこと。 事前に懸念されていたとおり、いいかげんな運用がされていたようです。 毎日の記事では、森井昌克・徳島大学教授の 「閉じられたネットワークといっても、…（中略）…ウイルスが 持ち込まれない保証はない」 というコメントを載せていますが、全く同感です。 住基ネットの稼動が止められないなら、最低限ウイルス対策ソフトの 情報更新ぐらいはきちんとやってもらいたい。"

そもそも…

[Fortune (6210)]

戸田夏生氏は

２週間に１度は原則。更新がなかったのは、住基ネットという閉じたネットワークに脅威を与えるものはないと判断したため

と、確実に判断できるほどの知識を持っているのか？

過去の記事 [mainichi.co.jp]を参照すると

住基ネットはインターネットとは異なり、閉じたネットワークで、毎日の更新は必要はない。影響が出そうなウイルスが出た場合は必要に応じて更新する

という発言もあり、今考えるに元から2週間で更新するつもりは無かったようにも取れる。

また、この記事 [mainichi.co.jp]では、

提供情報は、セキュリティーの根幹にかかわるものは除いている。サイトは全自治体の職員を対象にしており、不便が生じないようにした

と、セキュリティーより職員の便利さを優先して行動しているみたいで、さらに怖い。

今回の一件も、セキュリティーより職員のことを考えて、更新をしなかったとか…。(-_-;)

戸田夏生システム担当部長の言い分

[Anonymous Coward]

記事によると、戸田夏生・システム担当部長は、「住基ネットという閉じたネットワークに脅威を与えるものはないと判断したため」と言っているけど、それが本当なのなら、ウイルス対策ソフトは要らなかったことになるんじゃないの？

Re:戸田夏生システム担当部長の言い分

[suezo (2881)]

FD, CD, MO, CFなどのメディアが一切使えないのかな～。
全く入ってないってことは、一度感染したらシステム全体が壊滅しそうな気がする。

むしろ

[templa_3 (8296)]

役人脳とか親方日の丸脳とか言った方がいいかも

--
--- 天婦羅★三杯酢 [e-mail] ---

がんばれウィルス

[sakamoto (8009)]

情報さえ漏洩しなければ、逆にウィルスにやられてシステムダウン したり、全ての個人情報が全部消えてしまった方がいいのでは ないだろうか?
# 役所もきっと同じ気持ちだと思う

--
-- 哀れな日本人専用(sorry Japanese only) --

Re:がんばれウィルス

[lancerseven (11292)]

多分どっかの自治体のシステムがウイルス被害を受けて、それがニュース報道されれば状況は変わるでしょう。

というわけで、人柱になってくれる自治体募集～ってオイオイ(--

Re:がんばれウィルス

[Technical Type (3408)]

情報漏洩の恐れのあるウイルス「W32/Sircam」 [ipa.go.jp]の変種とかが各市区町村にメールで届いたりしたら悲惨ですね。

Re:がんばれウィルス

[Mr.Kato (10500)]

感染して、DBが破壊される。
しかし「該当データなし」としか出ないので感染したことに気がつかない。
こんな状況だったりして。

全国市区町村首長様へ

[yk007 (5120)]

「ウイルス対策情報の更新は基本的なセキュリティー対策。今回のことで、住基ネットが十分な個人情報保護対策を取っていなかったのが明らかになった。不参加は正しい判断だったと、改めて確信した」（山田杉並区長）

立ち上がる時が来ました。
今こそ、住民に首長としての資質を再確認させるのです。

そして、再選を重ね、国から表彰される・・・・と。
//

頭が・・・

[tabito (11971)]

http://www.asahi.com/national/update/1011/018.html [asahi.com]
頭がこんな考えなんだからしょうがないでしょう。

問題が発生しなければ備える必要が無いということは、天災に備えるという考えが無いのと同じだと思うのですが・・・

Re:頭が・・・

[wosam (9038)]

うわあ。もう笑うしかない。

> 専用回線、閉じた回線で
この言葉に踊らされてますね。情報そのものは物理デバイスに関係ない。

> 一切ウイルスの不正侵入その他の状況もない。
それは３ヶ月前の定義ファイルでチェックしてるからでしょ。
この分ではアクセスログのチェックもどうだかしれない･･･。

> 全く問題がないのにチマチマやるのがいいのか
ちまちまメンテしてるから無事に稼動してるんですよ！

2週間に1度でも遅い

[juggernaut (4461)]

感染して、且つ被害が出るまでこのままなんでしょうね。

Re:2週間に1度でも遅い

[k3c (4386)]

それでウイルス定義ファイルの更新が義務付けられるようになって、作業が面倒くさいのでこっそりインターネットに接続して直接ベンダーからダウンロードしてこれるようにして、結果、感染被害が頻発する。

…なんてことにならないといいんですけど…考えすぎか(笑)

Re:2週間に1度でも遅い

[Un_Jour (11968)]

・ウイルス定義ファイルの利用契約を結ぶのがいやじゃ
・ウイルス定義ファイルの利用契約用の予算なんてないもーん
という状態だったりして
--
あんじゅーる、あんしえん

--
-- あんじゅーる、あんしえん

Re:2週間に1度でも遅い

[Anonymous Coward]

そして被害が出たら、民間ではどんなにありふれた経路・原因であっても
「こんなことになるとは予想することは難しかった」
とか
「こんな経路での被害は想定していなかった」
とかって、「おまえらアホか？」と突っ込みいれたくなるようなお決まりの言い訳をするんでしょう。

職務怠慢、だけですむ話？

[Anonymous Coward]

もし定義ファイルを更新しなかったことによりウイルスに感染されたとして、
個人情報が削除されるだけなら（それでもすごい被害だけど）ともかく
外部に漏れたりしたら、この戸田夏生・システム担当部長さんは
どのような罰則を受けるんでしょうね？
部長さんが直接に情報を漏らしたわけじゃないから
住民基本台帳法の罰則規定には触れないだろうし。

Re:職務怠慢、だけですむ話？

[Technobose (6861)]

　職務怠慢とは、規則に定められた義務を故意に果たさなかった状態ですので、そもそも危険を認識できなければ適用できないかと・・・。
　全国民の権利に関わる重要なシステムを動かすなら、まず運用体制の整備、特にスタッフの育成から準備しないと行けないですよね。
　話は変わりますが、経済産業省で、情報システムの安全対策について、いろいろな基準を作成したり情報処理技術者の認定を行ったりしているのに、何で活用しないのか（守らないのか）、そのあたりの理由をとことん説明して欲しいですね。

無知は罪

[kota128 (6016)]

なんですが、裁く規則はないんですね(TT)

＃危険を認識できないのは、職務怠慢だと思う・・・。
＃ちゃんと整備してないパトカーで事故を起こしたら罪になりそうなのに・・・。
＃お役所にはコンピュータ関係のこともこれぐらいの感覚で認識してもらいたい。

Re:職務怠慢、だけですむ話？

[Joga (8113)]

> とりあえず、大部分の規定・規則・法令の上位概念になるであろう刑法では意図的なサボタージュは故意犯になるんじゃなかったっけ？

「未必の故意」のこと？
それなら、法解釈上の話であって、刑法に規定されてるわけじゃないけど。
＃そもそも、刑法は他の法律の上位ではないし。

片山虎之助 総務大臣のお言葉

[Anonymous Coward]

朝日新聞 住基ネット、ウイルス対策ソフトの情報３カ月更新せず [asahi.com]より永久保存。

総務相は「専用回線、閉じた回線で、一切ウイルスの不正侵入その他の状況もない。全く問題がないのにチマチマやるのがいいのか」とも語った。

動画像希望。

Re:片山虎之助 総務大臣のお言葉

[yoz (6065)]

こういう間違った知識や考え方に基づく発言やらなんやらが
大手を振って報道されちゃうたびに思うんですが。
きちんとした反論をプレスに流したり、会見したりできる
技術者や研究者の団体みたいなものがあるといいなあと。

「団体」とかいうとうさん臭くなるなら、オープンソースで
プレスリリース作って流しまくるコミュニティとか？

Re:片山虎之助 総務大臣のお言葉

[redbrick (4865)]

>こういう間違った知識や考え方に基づく発言やらなんやらが
>大手を振って報道されちゃうたびに思うんですが。
>きちんとした反論をプレスに流したり、会見したりできる
>技術者や研究者の団体みたいなものがあるといいなあと。

やるなら、自分たち自身で情報発信しないとダメではないかなぁ・・・。

穿ちすぎな意見だと自分でも思いますが、報道する側の理解力や知識が
足りない場合が多いので、報道関係者に任せると、誤解やデマを
さらに重ねてまき散らす可能性がありませんか？
＃報道されるたびに勝手に偏向や誤解が混入してしまう、と言うこと。
＃最終的に報道される文章や内容を作るのは、反論した本人じゃない
＃場合がほとんどでしょうからねぇ・・・。

--
---- redbrick

技術者や研究者の団体

[sakichan (369)]

毎日新聞サイトの報道から。 [mainichi.co.jp]

また、コンピューター科学者でつくる米・有力NPO「CPSR」の日本支部代表、山根信二・岩手県立大学助手も「ウイルス情報の更新が必要かどうか、どういう基準で、だれが判断したのか、作業者や国民に説明されていないことが問題だ。説明責任を果たし、外部監査も入れないと、住基ネットが国家基盤として信頼を得ることはできない」と話している。

CPSR日本支部の暫定ページ [iwate-pu.ac.jp]も、支部代表の山根さんのところにあります。 あと、CPSRは年次総会がつい最近あったんで、そのレポート(英文) [oreillynet.com]もあったりしますのでなんとなく感じがわかるかも。 なお、日本の会員はまだまだ少ないので大勢の参加をお待ちしています。

Re:片山虎之助 総務大臣のお言葉

[fukapon (4131)]

　ウィルスという「専門的かも知れない」ネタはさておいたとしても、国民のために「問題がなくても」さらなる素晴らしいサービスを目指し、「チマチマと小さな努力」を積み重ねるのは大切なことだよっ。

　なんて彼らが言うようになったら、世も末、っつーか、今の日本は存在しないんでしょうね :-)

Re:片山虎之助 総務大臣のお言葉

[UNiAzusa (9292)]

これ呆れて物も言えませんね。
インフラ構築のネットワーク屋としては、「まったく問題がない」とまで言い張るそのネットワーク図を見てみたいですね。

#ツッコミどころ満載だったりしたら嫌だなぁ

ヒューマンエラー

[M-FalconSky (8868)]

つまらない書き方になりそうだけど

>総務相は「専用回線、閉じた回線で、一切ウイルスの不正侵入その他の状況もない。全く問題がないのにチマチマやるのがいいのか」とも語った。

たとえ外部から何かされなくても、内部の人間(そしてその創造物としてのソフト)が問題を起こすということが抜けてる時点でアウト。

この考え方でいくなら、住基ネットはきっと
・定期的なバックアップ
・オペミス時のロールバック処理
とかの機能もそのうち止めてしまうのでしょう。

住基ネットそのものより、運営団体としての自治体(特に国)がとっても嫌だ...というのがほんとのところの人も多いと思う。
# 最近の各市町村レベルの離反記事がとっても納得できる

--
M-FalconSky (暑いか寒い)

Re:ヒューマンエラー

[UNiAzusa (9292)]

たとえ外部から何かされなくても

確かに。
「敵」は何も外から来るだけではありませんから :)

既知のウイルスであった場合、定義ファイルで対応されている場合は検知できますが、対応していないor新種のウイルスであった場合には必ずしも検知できるとは限りませんね。
まさにいたちごっこなわけですが、「チマチマ」対応をしていく過程で安全性を高めていけるんじゃないかなぁ、と。

#ウイルスに関心が集まっている中、OSやソフトウェアに対するセキュリティーはどうなの？　みたいな
#Bugやパッチの対応とかどうなのかなぁ

エラーヒューマン

[Stahl (7211)]

の起こす騒動をヒューマンエラーと呼ぶ(汗
ていうかバグヒューマンですか？(笑

Re:エラーヒューマン

[UNiAzusa (9292)]

そして最後に一言

　　仕様です

だったりしたら、いやだなぁ（笑

Re:片山虎之助 総務大臣のお言葉

[Anonymous Coward]

以前そっち関係で仕事してたので設計の一部を読んだことがありますが、どこから突っ込んでいいのかわからないくらいツッコミどころ満載でした。話によると設計者の能力不足というよりは現場の都合が採用されてるようですけども。

あまり詳しく書くと規程違反だが勇気を持って書くAC

Re:片山虎之助 総務大臣のお言葉

[ryouga (2286)]

専用回線、閉じた回線で、一切ウイルスの不正侵入その他の状況もない

なら、そもそもウィルス対策ソフトなんて必要ないのでは？

Re:片山虎之助 総務大臣のお言葉

[ryouga (2286)]

ごめんなさい、既出でした。

って、それだけじゃ、意味ないので。

住基ネット、ウイルス情報更新は2週間ごと [mainichi.co.jp] をみると、「1日1回のウイルス情報更新が標準だ」とある。
そんなに必要かなと思うけど、2週間に1回は少ないと思う。 どのくらいがいいのかと言われると困るけど。

少し前に/.Jでも話題になったように、 ウィルス対策ソフトくらいでセキュリティが大丈夫といって欲しくないけど、
最低でも努力している姿勢は見せて欲しいな。

Re:片山虎之助 総務大臣のお言葉

[argon (3541)]

＞2週間に1回は少ないと思う。どのくらいがいいのかと言われると困るけど。

なにも手間をかけずとも、更新確認間隔を短くするか、
更新サーバ側から broadcast できるようにするものではないかと。

勤務先は社内の拠点から更新データを自動取得するようになってます。
感染の速いものが出回ったときは、暫定パッチが何回もでてパターン
ファイル番号が頻繁に変っていくこともあります。

個人的には Norton AntiVirus を使ってますが、起動時および
毎日という設定にしています。

Re:片山虎之助 総務大臣のお言葉

[USH (8040)]

そんなに必要かなと思うけど、2週間に1回は少ないと思う。 どのくらいがいいのかと言われると困るけど。

うちの会社はほぼリアルタイム（フィルタソフトのデータベースが更新されるとほぼすぐ）の更新のはずなんですが、それでもウィルスに入られたことがあります。
で、その除去にはかなり手間かかってました。

プル型／プッシュ型？

[nobuhiro (5244)]

どういう間隔で更新が必要か、というより、必要なタイミングでなるべく早く行うのがよいと思います。

つまり、対策ソフトの DB が更新されるごとに行えばよいわけです。今時のセキュリティ対応って大抵そうなってると思ったけど違うのかな。(警報メール駆動てことで :-)

実際影響ないものはパスするので実際に行動するのは数ヵ月に一度くらいの頻度かな。正確には、ウイルス以前のセキュリティ勧告レベルでの対応の話なんですけどね。

--
の

Re:片山虎之助 総務大臣のお言葉

[Mr.Kato (10500)]

使ってなかったので、気がついてないとか・・・

最大の穴は

[nyaonyao (7735)]

昔、社内からインターネットにアクセスなんてできなかったころ、ＦＤからの感染で泣きを見た同僚がいました。
ウィルスに感染していた顧客先のＰＣで使ったＦＤを、知らずに自分のＰＣに差し込んだんです。
今は、インターネットやメール経由のウィルスが多いけど、昔は記憶媒体経由が多かったんだよね。

でも、最大の穴が人間だという点だけは、今も昔も、多分将来的にも変わらないんだろうなぁ。

某自治体のセキュリティ対策基準を読んだのですが

[deleted user (9994)]

・リムーバブルメディアを突っ込む前にウィルスチェックをする事
・リムーバブルメディアに書き込む前にウィルスチェックをする事

これは書かれているのですがワクチンソフトを常に最新にしろとは書かれていませんでした。
ファイアーウォールについては最新にしろと書かれていましたが。

リムーバブルメディアについても「磁気記録」「磁気媒体」と書かれていて、お前CD-Rやメモリカード等の磁気でないモノは未チェックでいいんかと小一時間（以下略

アナクロ

[M-FalconSky (8868)]

パンチされてる紙テープも可？

ちょっと違うけど、バーコード(面のやつ)をつかえば結構データ大きいんでは...
そこまでまじめ(-_-に変なデータ持ち込みたがるやつもいないか。

# ２年後位に、ホログラフィックメモリ [zdnet.co.jp]でデータ持ち出されるのが心配だなぁ～ってことになりそう

--
M-FalconSky (暑いか寒い)

Re:いくらなんでも

[kiyotan (3912)]

かつてROMカートリッジを「テープ」と呼ぶ一般人はかなりいました。

「カセット」と呼んでるのはよく聞いたが．．．
「かつて」ってどれくらい前の話？

--
Kiyotan

事実上の担当者不在

[Chaborin (5609)]

早い話が、対策の担当者がいなかったんでしょう。
または、いたけれどルーチン化されてなかった。
お役所は仕事を創造することができない所なので、
全て上からの指示がないとうまくいかないです。
今回も、誰もルーチンを考えなかったせいでこうなったことは確実。

意地を張るようなバカなまねをしなければ、今回のごたごたを契機にして保守契約か担当をつけてやることになるでしょう。そうすれば少しはましになるはず。

そしていつの間にか

[Y.. (7829)]

お買い物カードにもウィルス侵入…

なんてことにならないように ウィルス対策ぐらいきっちりしてください
# お買い物カードから進入もあるかな…

Re:そしていつの間にか

[Sin (243)]

感染たら一気にポイントアップ!!...とかダメですか?＞ウィルス様

--
Sin

データが消えたときの言い訳が今からわかりそうな

[Mr.Kato (10500)]

「データは消えたが、外部には漏れなかった。だから問題ない」

この人ならこう答えそうな気が今からしています。

言い訳の追加

[Mr.Kato (10500)]

｢全部部下が決めたことだ。私は知らない」

根本的なウイルス対策

[yosshy (3545)]

面倒なのが嫌なら、Windows や Mac 使わにゃいいのに。

Re:根本的なウイルス対策

[kiyotan (3912)]

そうそう、面倒なのです。
てゆ～か、面倒がってる時点で負けよね。ＯＳ関係なしに。
パターンファイルの更新間隔なんて
話し合って決めるモンじゃないよね。
面倒くさがりほどクラックされる危険性が高いだけの話。
この様子だとシステムの脆弱性についての
情報収集する係ってのも無いんだろうなぁ。

--
Kiyotan

Re:きっと

[Anonymous Coward]

そんなはずはない、確かにインターネットと切り離された環境だと
手順は煩雑になるかもしれなけど、
手順さえ決めちゃえばあとはルーチンワークだ。
そもそも、ウィルスの定義ファイルの更新をルーチンワークとして
設計していなかったって事だろう。ダメダメ。

Re:きっと

[smasuda (10282)]

とじられたネットワークといいつつも現実はバーチャル
ネットなのでもっと危いと思うのですが。

Re:きっと

[fagen2 (10623)]

「閉じられた」って言うけど、人間が（あるいはそれに類するような 存在が）接触する時点ですでに「閉じてない」んだよねー。住基ネット 端末に FD やら MO やら CD-R やら突っ込む職員もいるだろうし、 そこに何が入っているか知れたもんじゃないし。