GitHubは禁止するべき？ ソースコード流出事件から考える情報資産の守り方

TL;DR GitHubのアクセス自体を禁止してもセキュリティリスクは高いまま 仮にやるならGitHubのPushだけを禁止するようなツールを使わないと意味がない GitHubでコード管理したいならアカウント管理や情報分類などの運用を組み立てよう はじめに 先日、大手銀行などのソースコードがGitHubを経由して漏れる、というキーワードが話題になりました。 そもそもGitHubってなによ？ って方はこちらの四コマが分かりやすいです。 これだけ聞くと相当問題のようにも聞こえますが、別にGitHubの脆弱性を突かれたたとかではなく派遣業者の社給PCないしはそこを経由した私物のPCからGitHubにPushされたという良くある情報流出ですね。なお、幸いにも重要なコードは含まれていなかったようです。 幸か不幸かこのエンジニアがGitHubに不慣れだったので非公開ではなく公開設定にしていたため、SN

[el-condor]

万が一にも漏洩したら困るようなコードは、GitHubじゃなくて閉鎖環境にGHEを立てて管理するのが妥当では。そこのセキュリティに金かけなくてどうする感はある。あとGitHubをreadアクセスまで禁止されると割と辛いよね。

[circled]

偉い人「GitHubって危険だから禁止した方が良いのかな？」自分『交通事故が起こるので車乗らないってんなら、その考え方で良いんじゃないですかね？』

[TriQ]

何を言ってるんだ？会社がPCを支給する。業務で使用するソース含めた情報はそのPCでしか扱わない。会社から支給されたPCでは個人の(私的な)アカウントでのWEBサービスへのログインを禁止。とするだけでよいのでは。

[cj3029412]

ヒューマン禁止不可避

[gabill]

EnterpriseプランにあるIP制限や組織が指定したSSH鍵入りマシンだけにアクセスを制限できる機能。Enterpriseプランが馬鹿高いから「なくても大丈夫」と思うけど、あれは本来必須の機能なのではないかと思ったりする。

[tbsmcd]

USB メモリ等にコピーして持ち帰ってました/ 私用マシンにコピーしてましたみたいな話だと思ってる。

[lufiabb]

あまり同意できなかった。会社アカウント分けて使えと書いてあるけど、GitHubの規約では「1 人の個人または 1 つの法人が複数の無料「アカウント」を保持することはできません 」とある。

[prjpn]

たまたまGitHubだっただけで、問題を根本的に解決するにはインターネットを禁止するかない

[poad1010]

本当にこれ。 結局は、包丁で人を殺めることが出来るからって所持を規制するのか？自動車も同じく。 そういった次元の話だから、GitHubの使い方だとか、情報漏洩対策としての方法論の問題。 大手銀行なら、GitHub Enterpri

[mezamashi0540]

やる人はやる。絶対やる。GItHubがGitLabだろうが、シンクラにしようが明確な意思があれば、やる。前提条件を覆して悪いけど、うわべだけの対策や生産性を下げる分の金を、給料と教育に回したほうがマシだろうな。

[kane-please]

セキュリティ

[queeuq]

退職した時に齟齬とのソースコードを持ち続けた上に-そのソースコードをpublicリポジトリ気軽にpushした。なので、教育の問題だと思うよ。

[htnmiki]

シンクラ端末配ればいいだけじゃないのか

[tk_musik]

謎のキツネ(本当はタヌキ)「そうそうだからGitLabが安全だよ」

[evans7]

全ての過ちは人類から生じる、よって人類は滅ぼすべき。

[Makeneko]

オンプレGithub Enterprise Serverは慣れると管理がかなり楽な部類かも。CIなどクラウドサービスとの連携とか別の辛さはあるけど、、、

[motch1cm]

たとえGHEでIP制限をしても悪意のある人間はローカルリポジトリからデータを引っこ抜いたりする訳で…。セキュリティ意識を教育するしかないように思える。

[takeshi0206]

業務委託なら委託元の監督責任あるとして、委託先では社員が外部にソースコードをうっかり晒さないような対策と、やっちゃったら本人を特定したり検知できる対策、責任や賠償問題になったらまで考える。指名停止とか

[Rishatang]

「どうやって仕組みで守るか」って話なのが理解できていない人が結構いる。

[knok]

テクニカルには抜け道たくさんあるから最終的には契約と相応の待遇を当てるしかない気がする。銀行員だってそうでしょ

[arx0balest]

本質は src 持ち出しをどう防ぐかであって。GitHub禁止は艦これ禁止と言ってるのと同じくらいおかしい。

[networkspiral]

Github禁止にするのはなかなか。とは思う。

[napsucks]

シンクラにしておけばいいかもね。原理的に持ち出せない。

[sasagin]

自社でソース管理サーバ立てればいい話では。

[pateri]

「○○○にソースコードアップすれば年収査定します！」の○○○がたまたまGitHubだっただけであって、○○○に入り得るものは全部ブラックリストに入れなきゃいけなくなるよね

[shiori_lov]

そもそも今回の件は仕事の資料を個人が持ち出せてたこと自体が問題だから何を禁止しても意味ないんだよなぁ

[kisiritooru]

そもそもGitHubをまるで理解していない。(書いた人じゃなくてオレが)

[hib3]

そもそもgithubが通常パブリックであることが問題だと思うけどね

[hirokinko]

"少なくともアカウントは社員の個人アカウントではなく会社アカウントを使うのがおすすめ" これGithubの規約違反のはず

[totoko55]

これ、そもそも「発掘しない」というのはないの？すぐに個人情報とか調べるやついるけど「そこまではやり過ぎだからやらない」というのは違うの？

[takeim]

いろいろ面倒くさいし、「仕事中の艦これ禁止」でいいんでは？ﾎｼﾞﾎｼﾞ

[Shinwiki]

gitlab

[mohno]

GitHubどころか、ホワイトリストでファイル共有やWebメールが禁止されてるところはあって調べ物が大変。でも、あれは“うっかり”ではなく意図的に(年収診断のために)持ち出しているので教育くらいしか防ぎようがない。

[umai_bow]

この記事に書いてある通りデータの分類とリスク分析が大事で、そもそもがビジネス起点でものを考えないと意味ない

[nekochiyo]

1人のバカのせいで社会全体が悪い方向に向かいつつある

[itotto]

かけるべきところにお金をかけないと防ぐのは無理かなと思うし、契約とか厳しい罰則で縛るだけじゃぜんぜん足りないってのがはっきりしたことはよかったと思う。

[ya--mada]

これはシステムで云々ではなくて重罪だよってことだは？契約出来てなかったならそら間抜けの所為だ。だからこそ、重要システムはゼネコン体制で作られる。どうでもよければオープン化すれば済む。

[diveintounlimit]

20年前の記事かと思ってしまうような目眩がする内容だな。。