パスワードを忘れた？ アカウント作成
Close
277711 submission
バグ

岡崎市立図書館の事件で、ついにシステム開発会社がlibrahack氏に謝罪へ 126

タレコミ by gedo
gedo 曰く、
11月29日の読売朝刊の記事「サイバー攻撃えん罪も…図書館システム不具合」(概略のみ、詳細は紙面で)によると、問題のシステムを開発した三菱電機インフォメーションシステム(MDIS)が、発端となったクローラーの開発者や岡崎市などの関係者にようやく謝罪することを決めた。
記事では、システムに検索1回に10分間リソースを握りつづける不具合があったこと、2006年に不具合と認識して修正していたといった既報の外に、この件で警察が出てくるに至る経緯が解説されており、岡崎市立図書館は当初はシステムの不具合を疑ってMDIS側に問い合わせたが、図書館側に「システムに問題はない」と結果的に嘘の回答を行い、結果として図書館側はサイバー攻撃と判断して警察へ届け出たとのことで、どうやらMDISの責任が一番大きいようです。

関連記事
Web ページに対する、高頻度アクセスはどこまで OK ?
岡崎市立中央図書館ウェブサイト「サイバー攻撃」事件の詳細
図書館Webサイトへのクローラを実行して逮捕された男性、不起訴に
岡崎市立中央図書館ウェブサイト「サイバー攻撃」事件の詳細
クローラ事件で話題の岡崎市立中央図書館で今度は利用者情報の流出が発覚
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

岡崎市立図書館のシステム問題でついにMDISが謝罪へ More

  • まだ謝罪すると決めたわけではない (スコア:5, 興味深い)

    by Anonymous Coward on 2010年11月29日 20時35分 (#1866017)

    朝日新聞名古屋本社の記者でこの事件を継続して追っかけている神田氏によると、
    「まだ謝罪すると決めたわけではない」そうです。

    ＞すわと思って追いかけ取材をしましたが、MDISとしてはシンプルに
    ＞「librahack氏に謝罪すると決めた」「システムの不具合を認めた」というわけではないようです。
    ＞近く公式に社としての見解を説明する場を設けるそうなので、注目しています。
    http://twitter.com/kanda_daisuke/status/9091255686406144 [twitter.com]

  • 謝罪してないし、全然反省してない (スコア:2, 参考になる)

    by Anonymous Coward on 2010年11月30日 19時23分 (#1866673)

    リリースの要約
    「情報流出についてお詫びします。今後、流出しないようちゃんと検査します」

    http://www.mdis.co.jp/news/press/2010/1130.html [mdis.co.jp]

    弊社図書館システムに生じた問題について（お詫び）
    2010年11月30日

    弊社が納入した図書館システムのホームページが、2010年3月から5月にかけて、つながらない、又はつながりにくくなるというアクセス障害が岡崎市立図書館で発生いたしました。

    この図書館システムについては7月に障害対策を施しましたが、9月になって、この図書館利用者の個人情報が、他の図書館システムからインターネットを通じて流出していたことが判明し、その内容と対応を9月28日に公表いたしました。

    弊社は事態を重く受け止め、弊社図書館システムをご採用いただいている図書館の調査を進めたところ、流出した個人情報が他にもあり、弊社図書館システムの製品化作業の手順に不備があったとの結論に至りました。

    このほど、アクセス障害対策を必要とする図書館システムの改修が完了し、個人情報流出についても調査が終了して、対応の目処が立ちましたので、生じた問題の原因と再発防止策についてご報告いたします。

    弊社はシステムインテグレーターとしての責務を十分に果たせていなかったことを深く反省しております。生じた問題の根本原因は弊社にあると認識し、再発防止策を講じて信頼回復に努めてまいります。

    ご導入いただいた図書館および図書館利用の皆様には、長期にわたりご迷惑とご心配をおかけいたしましたことを深くお詫び申し上げます。

    弊社図書館システムのホームページアクセス障害について
    1.アクセス障害の概要
    弊社図書館システムのインターネット接続は、利用者が図書館のホームページの画面から操作することを想定した仕様となっており、岡崎市立図書館には2005年に納入しました。

    2010年3月中旬から5月中旬にかけて、新着図書情報をプログラムを使って取得する機械的なアクセスがありました。

    このプログラムは、図書館が提供するホームページから蔵書データベースに直接アクセスする方式で、人がホームページの画面から操作する頻度を超えるアクセスが機械的に繰り返されました。

    この頻度の高い機械的なアクセスが行われた際、他の利用者がホームページを利用するとつながりにくい、または、つながらないというアクセス障害が発生いたしました。

    2.原因及び処置状況
    弊社図書館システムのインターネット接続方式は、1回のホームページアクセスに対して10分間、データベースとの接続を維持する仕様となっていました。

    今回の頻度の高い機械的アクセスにより、データベースの同時接続数が設定値を超えたため、アクセス障害が発生したものです。

    障害発生の連絡を受け、弊社は他の利用者へのサービスを優先し、この機械的なアクセスを回避する種々の処置を講じましたが、完全な回避はできませんでした。

    その後6月に、他の図書館でも、頻度の高い機械的なアクセスが見られたため、弊社は同じ仕様の図書館システムで同様のアクセス障害が発生する可能性があると判断し、接続方式を従来の一定時間維持する方式からアクセスの都度、接続する方式に改めることといたしました。

    新しい接続方式は、6月末より改良開発を行い、対象となる28の図書館の改修を7月から順次実施し、11月15日に完了しております。

    3.システムインテグレーターとしての責任
    弊社は図書館システムにおいて、以下の責務を果たすことができていなかったと認識しております。

    1.今回のアクセス障害が発生した際、弊社はシステム解析や性能調査による原因の究明を行わず、図書館への説明も不十分でした。また、障害情報を開発部門で分析し対策を講じることを怠りました。この結果、3月中旬の障害発生後、これを解消する6月末の提案を行うまで約3ヵ月間、障害の可能性が続いてしまいました。
    2.個々の図書館のカスタマイズや保守を、顧客に対応するシステムエンジニアに任せており、情報が拠点に分散していたため、根本的な分析と改修に時間を要しました。
    4.再発防止策
    1.障害報告とその解決の迅速化
    顧客に対応するシステムエンジニア部門は、障害の発生を迅速に図書館システム開発部門に連絡するとともに品質保証部門との情報共有を徹底します。現場での適切な初動処置と、開発部門での真の原因分析により、解決の迅速化を図ります。
    2.製品管理の強化
    各拠点に分散している障害情報や技術情報を図書館システム開発部門に集約し、製品管理を強化します。
    弊社は、以上の再発防止策を講じるとともに、図書館システムの社会的な位置付けを十分に認識して、インターネットを含めた利用環境の変化や進化するIT技術へ対応した、より信頼性の高いシステム作りに努めてまいります。

    弊社図書館システムにおける個人情報流出について
    1.個人情報流出の概要
    弊社の図書館システムを仕入れ、図書館に販売している九州地区のパートナー会社のサーバから図書館利用者の個人情報が2010年8月上旬にインターネットを通じて外部に流出しました。

    流出した個人情報は、氏名、生年月日、住所、電話番号、図書名等が組み合わさったもので、流出件数は3図書館分の約3,000名です。

    2.流出の原因と処置
    1.原因
    弊社は、図書館システムの改良開発を行う際、最新機能の試験などを導入先図書館の動作環境で行う場合があり、作業後にはプログラムを自社に持ち帰ることがありました。その際、個人情報が含まれていることに気付かず、プログラムと一緒に持ち帰り、プログラムの一部を弊社の製品マスターに登録しました。この作業は2000年から2010年7月までの間、弊社の各拠点で行われており、図書館システム出荷の時点でも製品マスターの中に個人情報があることを認識していませんでした。この結果、弊社図書館システムを採用いただいた殆どの図書館に他の図書館の個人情報が存在するという事態になりました。

    弊社図書館システムは、図書館へ直接販売する他にパートナー会社へ仕切り販売する形態があります。弊社は上記の個人情報が含まれていることを認識せず、パートナー会社へ図書館システムを販売し、かつ、パートナー会社がサーバを誰でもアクセスできる状態（アノニマス設定）に誤って設定していたことから、第三者にプログラムおよびデータをダウンロードされ、そこに含まれていた個人情報が流出しました。

    プログラムがダウンロードされたことは8月上旬に認識しておりましたが、個人情報流出について、弊社の確認が不十分であったことから流出情報の確定まで約4ヶ月を要する事態となりました。

    2.処置
    パートナー会社のサーバの流出経路は、既に、8月4日に閉鎖しており、新たな流出はありません。ダウンロードされた個人情報は、各図書館と連携し、データの削除および保全に努めております。

    各図書館システムに存在する他館の個人情報は、通常の図書館業務メニューでは閲覧や複写などの操作を行うことはできず、また、インターネットからアクセスできない領域に格納されています。

    今回、弊社の図書館システムを採用いただいている全図書館を対象に他館の個人情報の有無について調査を実施しました。その結果を各図書館へご報告し、弊社は各図書館のご了解を得て11月19日までに全て削除しております。

    また、これらの個人情報は外部へ流出していないことも確認しました。

    3.再発防止策
    1.個人情報を取り扱い、かつ、インターネットに接続されるシステムは、管理基準を高め、審査を厳格化します。
    2.出荷の際、個人情報が存在していないことを、検索ツールやクロスチェックで確認する検査を徹底します。
    3.図書館システム事業部門の製品マスターを開発部門で一元管理し、作業標準も見直します。
    4.問題が生じた場合は、個人情報を扱うシステムの品質・セキュリティーの専門家を参画させ、迅速な解決と情報共有を図ります。
    5.図書館システムをパートナー会社に販売する際、セキュリティーに関するガイドラインを提示し、万全を期します。

    • プレスリリースの中「3.システムインテグレーターとしての責任」は、製品に生じた障害を把握できなかった（原因究明が不十分だった）、システムエンジニアに任せていたので障害の情報が拠点ごとに分散していてとりまとめることが出来なかったので責任があるという説明ですが、なにか主体性がない。
      あと、「責任」という表題をつけて、中の文章を読むと「責務（を果たすことができなかった）」という、責任というよりも役割や義務の履行にウエイトを置いた言葉に言い換えており、他者（社）に突き放した説明の仕方とあわせて、責任を限定したり、責任を取ることを回避する意図があるのではないかと疑わせます。

      言葉尻をとらえていうのもどうかとおもいましたが、ちょっと、気になりました。

      シェア
      親コメント

  • ポリも詫び入れんかい。
    「我々がアイティーとか無知なもので、MDISとかいう会社の怪しい言い分を鵜呑みにすることしかできず、逮捕拘留してしまいすんません」

    ちゃんと詫び入れられる組織になったらもうちょっと信頼されるかもしれないと思う。
    # 30点が40点になるくらい。

    で、ポリが詫びる10倍くらいMDISが詫びると。

  • 詳細記事 (スコア:1, 参考になる)

    by Anonymous Coward on 2010年11月29日 16時55分 (#1865818)

    http://www.yomiuri.co.jp/book/news/20101129-OYT8T00439.htm [yomiuri.co.jp]

    • 県警・地検の面子が (スコア:2, 興味深い)

      by Anonymous Coward on 2010年11月29日 22時30分 (#1866095)
      読売の記事

      | 　愛知県警は５月、故意に大量のアクセスをしかけたとして県内の自営業の男
      | 性（３９）を偽計業務妨害容疑で逮捕し、名古屋地検岡崎支部は６月、「悪質
      | ではないが、支障を生じさせた」として起訴猶予とした。
      |
      | 　ところが、その後のＭＤＩＳの調査で、閲覧障害の原因は図書館のシステム
      | 側にあったことが判明。

      を読んだ印象だけど、もしMDISがゴメンナサイしちゃったら警察・検察の面子
      が丸潰れですね。「ベンダの言うことを鵜呑みにして判断を誤った」ってこと
      じゃないですか。

      それはそうと、

      | ＭＤＩＳは「保守担当者がシステムをよく理解していなかった」として、

      もう尻尾切りの準備は万端ということで。
      シェア
      親コメント

      • Re:県警・地検の面子が (スコア:5, 興味深い)

        by Anonymous Coward on 2010年11月29日 23時03分 (#1866116)
        ＞「ベンダの言うことを鵜呑みにして判断を誤った」
        警察目線だと「鵜呑みにした」ではなく「捜査に関する重要な情報を
        隠匿されたことにより捜査に支障が発生した、そのために誤った結果になった」となり
        警察も立派な被害者となり面子が保たれるのです

        警察の責任転嫁の被害者になりかけたことがあるのでＡＣ
        シェア
        親コメント
    • なかなか、手口が巧妙ですね。
      社内規定で、
      「責任者の監督不行届」
      という発言は禁止されているのだろうか？
      そもそも、責任者不在が原則かな？
      シェア
      親コメント

    • Re:詳細記事 (スコア:1)

      by bit (41221) on 2010年12月12日 23時36分 (#1872942)

      謝罪の内容
      http://takagi-hiromitsu.jp/diary/20101204.html#p01 [takagi-hiromitsu.jp]

      MDISって知障集団なんですか？

      シェア
      親コメント

  • 個人情報流出がなかったら (スコア:1, すばらしい洞察)

    by Anonymous Coward on 2010年11月29日 19時31分 (#1865974)

    librahackだけでは、個人情報流出騒動がなかったら、この謝罪には結びつかなかったんじゃないかなーというのが正直な感想。

    # NHKがどちらもひとからげにして、しかも流出の方が重大であるように報道しているのが興味深い。

  • 警察の対応は？ (スコア:1, 興味深い)

    by Anonymous Coward on 2010年11月29日 20時58分 (#1866030)

    逮捕された人に対して愛知県警はどう対応するのか気になりますね。

    DoS と判断した根拠となる、（図書館と）MDIS の回答が間違いだったと認められたので
    起訴猶予処分から嫌疑なしに訂正するのが正しいと思いますが、
    決定事項は覆らんとか言い出したら嫌だなぁ。

  • いや (スコア:0)

    by Anonymous Coward on 2010年11月29日 17時11分 (#1865827)

    > 結果として図書館側はサイバー攻撃と判断して警察へ届け出たとのことで、どうやらMDISの責任が一番大きいようです。
    図書館がMDISに責任を押し付けたんだろ。

    • Re:いや (スコア:5, 興味深い)

      by Anonymous Coward on 2010年11月30日 1時28分 (#1866210)
      >> どうやらMDISの責任が一番大きいようです。
      > 図書館がMDISに責任を押し付けたんだろ。

      事実と異なる被害届を出して無実の一般人を陥れたのは図書館です。
      それはもちろん多大な社会的責任があると思います。

      ただ、それとは別に、三菱電機には「虚偽の説明で無実の一般人を陥れるよう誘導した」責任があります。
      図書館が責任を取るべきなので三菱電機には責任が無い、とは、とてもじゃないけど言えない。

      「第三者の専門家」の意見を聞いているつもりで実際には「当事者(MDIS)」の意見のみで逮捕状を取り、
      偽計業務妨害に嵌めるために取調べで被疑者に圧力をかけた（被害届に合わせて犯罪を捏造した）
      警察にも責任の一端はあると思います。
      「被害届を鵜呑みにするのは仕方ない」とは流石に言えません。
      それではどんな訴えでも訴えた者勝ちになってしまう。

      現状、それら全員が責任を認めているわけではありませんし、
      仮に認めたとしても、「だからどうすればいい」は非常に難しい話ですが、

      ここでの「責任が一番大きい」は、冤罪に至った原因のウエイトではないでしょうか？
      図書館が「あいつ気に入らないんだけど法的にやっつけれるかな？」と三菱電機に相談したならアレですが、
      「システムがエラーで止まってるみたいなんで原因を調べて」で三菱電機が「あいつのせいです」と嘘をついた流れなら、
      三菱電機が『無実の一般人が陥れられた事』の主因でしょう。
      シェア
      親コメント

      • Re:いや (スコア:2, 参考になる)

        by saitoh (10803) on 2010年11月30日 15時50分 (#1866553)
        MDISが「納入と保守」を請け負ってたのか「納入と保守と運用」を請け負ってたのか、どっちなんだ？って話はありますが。

        もし前者(MDISは運用は受注していない)なら、DOS攻撃が来たかどうか判別する責任は本来図書館側にあるはず。 WEBサーバのログをちょっとみれば1秒以上の間隔でアクセスしてたことがわかったはずで、それすら調べなかった図書館の責任も大きいかと。

        シェア
        親コメント

    • Re:いや (スコア:1, 興味深い)

      by Anonymous Coward on 2010年11月29日 19時38分 (#1865982)

      『MDISが「システムに問題はありません」と図書館側にも言ってた』か、『MDISが「ごめんなさいバグです」と言ったら図書館が「面倒だから利用者のせいに」と言っていた』かで違ってくるんじゃない？

      ＃どっちもあり得る話
      ＃後者の場合、MDISが「ここで泥を被ってくれたら来年も随意契約するよ」とか図書館に言われた可能性も

      似たような業界に居るのでAC

      シェア
      親コメント

  • 謝罪してない (スコア:0)

    by Anonymous Coward on 2010年11月29日 19時53分 (#1865991)
    謝罪の意を表明することを検討しているだけであって謝罪するとは書かれていない。

    • Re:謝罪してない (スコア:2, すばらしい洞察)

      by Anonymous Coward on 2010年11月29日 19時58分 (#1865996)

      謝罪されても起訴された人間にとってはどうしようもないのでは?
      「起訴猶予」と言う事実が消えるわけではないわけだし

      それと絶対謝罪することは無いだろうけどこれ警察もかなり悪質。
      まともに捜査していれば起訴してない案件だろ。
      警察側はアクセスログの解析したのか?と言いたいよ。

      シェア
      親コメント

      • Re:謝罪してない (スコア:1)

        by bit (41221) on 2010年11月30日 0時09分 (#1866173)

        >謝罪されても起訴された人間にとってはどうしようもないのでは?

        ところでさ、「関係者に謝罪」とかいってるけど、起訴されたお方は入っているのかな？
        関係者＝図書館のお方だとか、ありそうにも思うんだけどね。

        シェア
        親コメント

        • Re:謝罪してない (スコア:1, すばらしい洞察)

          by Anonymous Coward on 2010年11月30日 1時24分 (#1866207)

          ソース読まずにツッコミ入れるのはやめようね。

          ＭＤＩＳは「保守担当者がシステムをよく理解していなかった」として、逮捕された男性への謝罪の意を表明する方針。

          シェア
          親コメント

    • Re:謝罪してない (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2010年11月29日 20時10分 (#1866001)
      謝罪の意を表明するとは言ったがその時、場所までは(以下略)
      シェア
      親コメント

    • と言うか、MDISを欺証罪とかに問えないんでしょうかね？
      起訴猶予の場合は冤罪の補償とかも無いのかな…

      シェア
      親コメント

      • Re: (スコア:0)

        by Anonymous Coward

        注意義務なんちゃらとか、業務上過失なんちゃらだったら、問えるのかも?
        ただ、「バグの原因特定を誤ったら犯罪」クラスには格上げしたくない。
        さすがにそれは自分の首を絞めすぎる。
        法律に詳しいわけじゃないけど。

      • Re: (スコア:0)

        by Anonymous Coward
        バグが分かっていて嘘をついていたのか、それともバグを見つける能力が無かったのかを
        裁判所が判断するのは難しいのでは？ 前者であれば偽証だが、もし後者であれば無能を理由に
        罰する法律は無いし。
typodupeerror

未知のハックに一心不乱に取り組んだ結果、私は自然の法則を変えてしまった -- あるハッカー