パスワードを忘れた? アカウント作成
15718 story

「データ持ち帰ってません」がホントかどうかを調査 401

ストーリー by mhatta
まあそれでもWinny使う奴がいるんだからしょうがないか 部門より

Anonymous Coward 曰く、

ITmediaの記事によると、 ネットエージェントは、従業員や下請け企業等が会社から過去に持ち出したファイルを自宅PC等から回収する「Winny特別調査員2」を発表した。
「Winny特別調査員2」は会社からCD-ROMで従業員らに配布され、実行したPCに接続されているハードディスクなどから、本文やプロパティなどに企業名や指定したキーワードが含まれていないかどうかを確認する。発見された場合は強制的に会社が設置したファイル回収サーバにWebDAV経由でアップロードされ、ローカルのPCからは復元できない形で削除してしまうという。人の意思を介さずに機械的に回収してくれるので高い効果が期待できるとのことだ。大規模な情報漏洩事件が多発する前にあれば良かったのに。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by LazyBlue (33649) on 2007年06月20日 10時18分 (#1176892)
    自宅の私物PCでこんなものを実行しろと要求する会社、
    それを拒めない雰囲気にある会社に興味があるよ。
    • by teddypaipoi (22703) on 2007年06月20日 13時18分 (#1177054) 日記
      仕様がどうあろうとも使われるかどうかはマーケティングの問題なので、たぶん世の多くの人たちは、ここ/.のように多面的には考えず、時節柄元記事も
      「『データ持ち帰ってません』がホントかどうかを調査」・・・おー
      「PC内 機密情報や個人情報 自動的に回収」・・・・そりゃいい
      「情報回収ソフト」・・・ソフト配ればいいのか
      「CD-ROM形式で配布」・・・簡単じゃないか
      「HDD内のファイルを調査」・・・連中怪しいからな
      「キーワードをチェック」・・・こりゃ都合いい
      「見つかれば強制的にアップロード」・・・こう来なくっちゃ
      「復旧を試みても復元できない」・・・当然だな
      「感染した形跡」・・・首根っこを押さえられるぞ
      「証拠保全」・・・これこれ
      と読まれて、「当○でもすぐやらねば」と購入が相次ぎ「あれーぇ」になるのだと思います。(○は、[省|庁|署|社]など)

      #あわれなりー
      親コメント
  • by sunnydaysundey (32697) on 2007年06月20日 13時21分 (#1177059)
    なぜデータの持ち出しが発生するのか、を根本的に解決する気が無いので
    こんなつまらない代案が出てくるんでしょう。

    流出で多いのが派遣社員と公務員です。
    双方とも、パソコンが必要なのに支給されてない、あるいは
    必要なスペックのものが支給されないという点が共通しています。

    たとえば派遣には自社の社員ではないからろくなスペックのマシンを
    貸与しないのが普通です。
    しかし下っ端の派遣には開発からテストのわりと重い処理が任されます。
    派遣要員に貸与されるおんぼろマシンではろくに動かせないような。
    ろくに動かない事に耐えかねて派遣要員が自らマシンを用意してきます。
    派遣先現場の担当者も、貸与してるおんぼろではろくに開発もテストも
    進まないことがわかっているので持込を容認します。
    そうして派遣の個人PCの中に企業データが入ることになります。

    公務員の場合も、ドキュメントのテンプレートがMSワードなのに
    PCを支給しないから個人が持ち込んでいました。
    #流出が何回も起こって支給することになったとニュースで見ましたが

    こういう状況を変えずに(というか変えるつもりもなく)
    持ち出しだけを何とかしようったって駄目じゃないかと。

  • 禁止するなら… (スコア:4, すばらしい洞察)

    by Dumarest (25156) on 2007年06月20日 10時30分 (#1176914) 日記
    興味本位で会社のデータ持ってく人間は論外として、それ以外の人には
    「仕事持ち帰るほどさせません」
    が一番の対策の気がします。

    「そもそも帰らせない/帰ってない」ネタ禁止w
  • by akiraani (24305) on 2007年06月20日 11時14分 (#1176958) 日記
     CDのAutoRunでファイルを勝手にアップロードしたり削除したりするプログラムって、動作的にはウィルスそのものなんだが、セキュリティソフトにはじかれたりしないんだろうか?

     セキュリティソフトの警告が出てくるのでいいえのボタンを押してくださいなんて説明書に書いたりしたら、高木センセあたりが激怒しそうだけどw
  • by Napper (6812) on 2007年06月20日 11時34分 (#1176978)
    タレコミにあるリンク [netagent.co.jp]を見ましたが、ソリューションとしてあまりにもひどいとしか言いようがないですね。
    検出するための技術がどうこうとかそれ以前に、

    > 対象者の指定
    > 役員・従業員・従業員の家族・派遣社員(派遣元との調整)・退職者

    って、百歩譲って従業員からはあの手この手で「自由意思に基づく同意」を取り付けるとしても、従業員の家族や退職者にまで実行を要求することを勧めるとはどういうつもりなんでしょうか?
    この人たちから強要罪 [wikipedia.org]で告訴されたら有罪はまず間違いないでしょう。

    さらにあきれるのが

    > Q.間違えて回収してしまったファイルはどうしたらよいですか?
    > 社内の持ち出し規定に沿って返却してください。

    「間違われるようなファイルを持っていたお前が悪いんだからな!」と言わんばかりの対応を取ることを勧めています。
    まあここまでなりふり構わぬ行動に出れば、データの流出を多少食い止めることはできるかも知れませんが、社員の大量流出が発生しそうですね。
  • 会社名が入った (スコア:3, おもしろおかしい)

    by Anonymous Coward on 2007年06月20日 10時22分 (#1176898)
    辞表がアップロードされて便利?
    • by unyuchan (22065) on 2007年06月20日 10時32分 (#1176919)
      2chに内部告発、自発的なのGK行為やたまたま会社名を書いたのどれだとしても
      2chブラウザのkakikomi.txt(2chへの全ての書き込み内容が保存されているファイル)
      をアップロードされたら趣味志向から自作自演まで全て上司に知られて死にたくなる
      親コメント
  • 悪用厳禁 (スコア:3, おもしろおかしい)

    by icecream (33977) on 2007年06月20日 11時28分 (#1176973) ホームページ
    えっちなキーワード入れて社員に配ればネットワーク管理人も大満足の画像収集ができますね。
    • by tarobo (16662) on 2007年06月20日 20時16分 (#1177276)
      わざわざキーワード指定しなくても、
      家人対策でアレな画像に仕事用っぽいファイル名をつけていて
      引っかかる人が続出しそうなんですが
      #消されたときと返してもらうときとで2度ダメージを受けるような
      親コメント
  • by Anonymous Coward on 2007年06月20日 12時06分 (#1176997)
    実物を見ていないのですが、公開されている情報から判断するに、
    かなり無茶な製品ですね。

    しかも対象キーワードを、顧客(企業)が設定することにして、
    リスク回避まで行っているし。
    関係ないファイル削除する被害が起きても「キーワードの設定が
    うんぬん」とかいって責任回避する気だろうね。

    常識的な知識を持つ人なら、このプロダクトのバカバカしさが
    すぐわかると思いますが、ワンマンな会社なんかだと鶴の
    一声で導入が決まってしまい、ということになりかねないですね。
    ホント、バカどもには「Winny対策してます」って気分を味わう
    ために、ちょうどいい目くらましですよ。

    仮に実行するとしても、関係ないデータを消されても問題ないように
    全ディスクのバックアップして、マシンから切り離して実行、
    その後にバックアップを書き戻せば終わりのような気がする。
  • by Anonymous Coward on 2007年06月20日 12時10分 (#1176999)
    例えば100GBとかのデータを、コピーして社名入りでリネームしてツール実行、
    てのを繰り返したら、送信先のサーバはどうなるんでしょうか?
  • by sunnydaysundey (32697) on 2007年06月20日 12時46分 (#1177022)
    対象として下請けがあがっている通り、派遣や偽装請負要員を狙ってるんでしょうね。
    要員を受け入れる大企業側では、自社の社員にやったら問題になるかもしれないけど
    派遣は自社の社員じゃないから社員の側にも差別意識がちょっとあるし、
    派遣会社自身に命令させてやれば
    「いや、うちはそんな要請してませんけど、~社さんが"自主的に"やってらっしゃるんです」
    と言って逃げられる。

    自分はこんなの無関係だと思ってる人も多いかもしれないけど、
    同僚や上司が派遣要員の会社にこういう要望出してたりして、
    立場としては、いつの間にか強要する側の人間になってる可能性も高い。
    特に派遣などを多く抱える大企業の側の人間であれば。
    #そこで便利なのが上の逃げ口上ですよw

    しかしパート2が作られてるってことは、
    そういう需要と供給実績があると見て間違いないのかな。

    「プライバシーなんざ知ったことか、調査するぞ」って会社が結構あって
    しかもそれを受け入れてる人間が結構いるって、
    日本人(の会社員)ってやつはもう犬か家畜並みですな。
    どうせ裁判になっても日本の官僚は企業の味方だろうし。

  • by Anonymous Coward on 2007年06月20日 10時14分 (#1176886)
    WebDAVにセキュリティホールが見つかり、ファイル回収サーバから情報漏洩。
    • Re:想定されるオチ (スコア:5, すばらしい洞察)

      by robios (33247) on 2007年06月20日 11時17分 (#1176962)
      FAQより。

      > Q.調査員CD使用後CDを紛失したとの報告がありました。
      > ファイルサーバのアカウントをすぐに停止してください。

      これの意味することは、調査員CDが(フォレンジックセーフとのことなので)物理的に第3者の手に渡った場合、ファイルサーバに回収されたデータが閲覧可能になる危険性がある、という事ですよね?

      と言うことは、この調査員CDを自宅に「持ち帰る」という行為そのものが既に情報漏洩にあたると思うんですが、、、。

      > Q.5万人を対象としたいのですが大丈夫ですか?
      > 納期が少々かかります。別途ご連絡ください。

      うわぁぁぁ
      親コメント
      • Re:想定されるオチ (スコア:2, すばらしい洞察)

        by none (16325) on 2007年06月20日 15時39分 (#1177128) 日記
        実行するPCが既にウイルスに感染していて調査員CDの内容が流出とかありえそうだ。
        しかもCDはハード的にはそのまま返却される。
        対象資料はアップロードにより会社に回収される。
        しかし対象資料は既に流出済み。

        こんな最悪の状況もありうる。
        --
        有無自在
        親コメント
    • Re:想定されるオチ (スコア:4, おもしろおかしい)

      by Anonymous Coward on 2007年06月20日 10時28分 (#1176906)
      その程度なら想定の範囲内だ。

      斜め下を行って「ファイル回収サーバでWinnyを走らせる馬鹿がいて情報漏洩」に3000点。
      親コメント
    • Re:想定されるオチ (スコア:2, すばらしい洞察)

      by iwakuralain (33086) on 2007年06月20日 12時48分 (#1177025)
      情報流出はある程度防げても
      これを機に社員の流出が起こる可能性について。
      親コメント
    • by Anonymous Coward on 2007年06月20日 14時55分 (#1177104)
      SSLを通してますように
      SSLを通してますように

      平文WebDAVでやりとりしてたら古典的な盗聴で事実上機密文書
      公開サーバになってしまう予感。

      少なくともDoSは簡単にできそうな仕組みだなぁ。
      (引っかかりそうなファイルを沢山用意してアップさせるとか)

      親コメント
  • 誤認識が心配 (スコア:2, すばらしい洞察)

    by akiraani (24305) on 2007年06月20日 10時39分 (#1176926) 日記
     使い方をよくわかってない経営者がプライベートでも使われるキーワードを指定してしまい社員のプライベートファイルまで巻き込んで壊したりといった事故が起きそうな気がします。
     メールなんか、メーラーによっては複数のメールをファイルひとつで管理してることもあるわけで、ファイル単位でアップロードや削除されたりすると、最悪まとめて全部おじゃんって危険性もあるんでは?

    #そのあたりのトラブルは、使用者の自己責任ですかね。
    • Re:誤認識が心配 (スコア:2, おもしろおかしい)

      by Anonymous Coward on 2007年06月20日 16時06分 (#1177148)
      ・このソフトを入れる
      ・雑誌などで「exeファイルに注意」という記事を読む
      ・「exe」なんてファイル名は見たことがない(拡張子非表示)が危ないらしい
      ・キーワードに指定
      ・(以下略)
      #その程度のフェイルセーフ機能はついてるよね?ね?
      親コメント
  • SIMPLE2000 (スコア:2, おもしろおかしい)

    by Anonymous Coward on 2007年06月20日 11時52分 (#1176988)
    価格が1クライアント2000円という時点で中身の薄さが伺える。
    高けりゃ良いってもんでも無いけど、小銭稼ぐ為だけのソフトなんだろうなぁ
  • by nobuhiro (5244) on 2007年06月20日 15時14分 (#1177110) ホームページ
    なんか否定的なコメントがやけに多いですな。そういう調査をやられたら困る人が多いのかな。 私には、情報漏洩対策として、しごく真っ当なソフトに見えるけど。

    基本的には、ウィルス/スパイウェアのスキャンソフトと似たようなもので、検索対象が組織特有のデータ、って感じのソフトでしょうか。ウィルス対策ソフトを使ってないのを非常識などと言う人が多いのに、情報漏洩対策ソフトだとなんでそうならないのでしょうね。:-P

    それと、タレコミ文の「発見された場合は強制的に会社が設置したファイル回収サーバにWebDAV経由でアップロードされ、ローカルのPCからは復元できない形で削除してしまうという。」に反応してるようだけどが、製品の説明を見ると、設定でそういう動作も可能って話だけです。証拠保全目的もあるのですから、標準動作は検知と操作による選択でしょう。この辺もデザインは真っ当なものです。なんか、釣られてない?

    --
    • by Anonymous Coward on 2007年06月20日 16時35分 (#1177162)
      なんか否定的なコメントがやけに多いですな。そういう調査をやられたら困る人が多いのかな。私には、情報漏洩対策として、しごく真っ当なソフトに見えるけど。


      自分(会社)で買ったものでもないのに、その中を検索しても良いのか?という問題です。

      アナログに置き換えれば、

      1.会社の書類があるかもしれないからと、(会社の情報があるかもしれないから)
      2.会社とはまったく関係ない自宅の下着などが入っているタンスを(個人の情報の入っている、所有権のまったくないPCを)
      3.機械が該当しそうなものを自動的にあさり、(ソフトが怪しそうなものを検索)
      4.該当すれば会社に送りつける。(WebDAVサーバに転送し、現物を削除)
      5.違うと主張するなら他人立会いの下、確認。たとえそれが下着であろうと。(ファイルを確認)

      これでも適切なソリューションといえる?
      親コメント
    • by oyajismel (32045) on 2007年06月20日 16時27分 (#1177157) 日記
      まず、仕様が糞だから。

      業務ファイルと個人用ファイルをキーワードで判断できるわけが無いから。
      貴方以外は皆それを理解してるんですよ。

      例えば、

      個人で仲良くしたい女の子とメールしてる。
      当然自己紹介や待ち合わせに会社名が出てくる。

      これに引っかかるー>会社にプライベートな付き合いを問答無用で知られる。
      しかもそのメールは自分のPCから削除、待ち合わせすらわからなくなる。

      問題ないわけないでしょ。
      他の方が提案しているような、
      ”会社のファイルにマーキングし、それを追跡”
      とか
      ”最初から社内で外部メモリにデータをコピーできない情報漏洩対策ソリューション”

      なら、拍手喝采が起きるでしょう。

      少し考えれば、
      このソフトの実態は”情報漏洩対策ソフト”でなく
      仕組みを考えれは”ネット経由で個人情報を漏洩させるソフト”
      である事は自明だと思います。

      だから、ほぼ否定コメントしかつかないんですよ。

      #やってる事はwinnyの金玉ウィルスと一緒。(pc内のファイルを無断でかき集めるー>インターネットに送信)
      #送信先がP2Pか会社の公開サーバーかだけの違い。

      親コメント
  • 違法ソフト (スコア:2, 参考になる)

    by Anonymous Coward on 2007年06月20日 18時03分 (#1177214)
    winnyが著作権違反のファイルを扱う事が多い為、違法ソフトと言われていますが
    これが成立する場合、「Winny特別調査員2」も下記の件で違法ソフトと判断します。

    ・パワーハラスメント幇助
     「Winnyを使っていなければ、問題ないだろう。」等と言う建て前で
     社員に強制的に実施させた場合、パワーハラスメントが適用される可能性がある。
     また協力会社などの立場の弱い相手に対し、会社ぐるみで実施させた場合も同様な事が言える。

    ・プライバシーの侵害およびその幇助
     家宅捜査など、警察ですら令状が必要になる事を、一部とはいえ実施する。
     また説明の仕方によっては、認識できていない状態でプライベートの情報が外部へ流出する可能性がある。

     「Q.間違えて回収してしまったファイルはどうしたらよいですか?」が
     「A.社内の持ち出し規定に沿って返却してください。 」となっているが
     プライベートのファイルに「社内の持ち出し規定」が適用されるはずもない。
     非常に無責任で身勝手な考え方。

     また、収集されたファイルの検閲が、社内で流出や噂にならない様、
     守秘義務が必要となるはずだが提示内には無い。

    ・機能詐称
     winny捜査といいつつ、主機能はファイル走査。
     社内からのファイル持ち出しと、winnyによるファイル流出は直接の因果関係はなく
     ある意味、別件逮捕の様なもの。

    まぁ外部の個人情報を保護する為に、内部の個人情報を犠牲にしていいと考えてる時点で終ってます。
typodupeerror

ソースを見ろ -- ある4桁UID

読み込み中...