徳丸浩氏に聞く、タイムズカー事案から考えるユーザーデータ管理 保管場所と漏えいリスクの移転・回避、消去の判断体制

UNITIS セキュリティマネジメント 徳丸浩氏に聞く、タイムズカー事案から考えるユーザーデータ管理 保管場所と漏えいリスクの移転・回避、消去の判断体制 タイムズモビリティ株式会社は9月25日、同社が運営するカーシェアリングサービス「タイムズカー」のWebシステムが第三者による不正アクセスを受けたことを公表しました 1。漏えいしたアカウント数は約660万件であり、対象には現会員のほか、退会済みの会員や、入会を申し込んだものの完了していない人も含まれるとしています 2。 また9月29日には、運転免許証や公共料金の請求書などの本人確認書類の画像が漏えいしたアカウントが約160万件にのぼることも明らかにしました 3。 会員向けサービスでは、入会時にさまざまなデータをユーザーから預かることが一般的です。こうしたデータを性質に応じてどう分け、どう守り、不要になったデータをどう消去すべきなのか。データ

[ockeghem]

『極端な話をすると、ログにクレジットカード情報が含まれていて、そこから漏えいしたという事例も実際にあります』

[tanihenkanj]

技術系エンジニアより、他人を管理する文系管理者の方が給料高かったら、良いエンジニアが育つ訳がない。頑張ってもピンはねされるだけ。技術軽視の人事制度を抜本的に変えないと、日本IT産業は今後もトラブル続くよ

[delphinus35]

↓技術者でセキュリティを軽視するのは普通にレベルが低いだけだよ。実際は、もっと堅牢に作りましょう、ってのをスケジュールやら何やらで止められてばっかりだよ。

[coper]

"現場任せでは「怖いから取っておく」という判断になりがち"：セキュリティの監査や点検をしているとよく聞く話。特に委託先は不可逆な対応に慎重なので、委託元が明示的に指示しないと消去しない。

[awaytabi]

技術者は技術を重視するかもしれないけど、セキュリティをびっくりするぐらい軽視する。務めたことのある会社では、セキュリティ強化を強く推進したのは2代目オーナー社長だった。

[blackwatch]

（内容とは関係ない）白髪の人はこういう色の眼鏡が似合うのだな、ということを実感。

[eagleyama]

セキュリティのひとたちは犯人を捕まえるのに協力すべきだよ。天災みたいに言うの、おかしいよ

[kittyama]

セキュリティ強化してワイにインセンティブあるんか？って会社のほうが多かった

[stackshortlist]

保管場所、リスクの移転や回避、消去の判断を誰が持つのか。体制の話として読むと自社にも当てはめやすい

[dltlt]

「過去に起こった事件を見てみると、（透過型で）暗号化はしていたけれども、攻撃者に（クラウドストレージの）読み取り権限を奪われて、結局元の形でデータを読まれてしまったというケースも少なくありません。」

[yarumato]

“個人情報データはWebサイトから隔離すべき。業務上の保管期限を決めて、確実に廃棄が重要。現場任せでは「怖いから取っておく」判断になりがち。責任者が削除ルールを定めて、その決まりを第三者が点検”

[tuffgong]

ユーザーデータなどという都合のいい言い換え

[dollarss]

先生の記事

[kurotsuraherasagi]

すべての穴を塞ぐのは難しいが、AIエージェントがすべての穴を探すのはそんなに難しくないかもしれない…防御側がAIを使って効率化したとて、難しいものは難しい…