高木浩光＠自宅の日記 - 個人情報の地方自治が信用ならないワケ
たしかに私は1年ほど前、三田市役所に電話したことがある。三田市だけでなく他の自治体にも同じ内容で問い合わせをした。それは、以下の報道を受けて、実態がどうなっているのか、自宅研究のため、各自治体に取材を試みたものであった。*1 漏洩元のうち岐阜県飛騨市は、情報が流出した一人一人に事情を説明して謝罪し、記者会見で事実を公表した。 しかし、他の13団体は「不特定多数の目に触れておらず漏洩ではない」（海陽町）、「他自治体からさらに外部へは流出していない」（渋谷区）、「すぐに削除された」（愛知県尾張旭市）などとして具体的な措置はとらなかった。 すべての自治体は独自に個人情報保護条例を持ち、「正当な理由」のない個人情報の提供を禁じる。条例は（略）本人以外から個人情報を得ることを禁じている。総務省は各自治体の判断を尊重するとした上で、「省庁で同じことがあれば漏洩として対処する問題だ」とした。 個人情報の
切込隊長BLOG（ブログ） Lead‐off man's Blog
すでにご案内のとおり、ここニフティ「ココログ」で長らく運営しておりました「やまもといちろうブログ」は、知らない間にスマホ向けブログページに無断で広告が貼られていて私には広告収入の分配がなかったという理由でLINEブログに移籍することになりました。 やまもといちろうブログ（LINEブログ） http://lineblog.me/yamamotoichiro/ もっとも、いままで無料で長く続けさせていただいていたということや、ココログ立ち上げの経緯も考えますと、感情的には断腸の思いもあるわけですけれども、そこは是々非々での判断ということで…。スタッフの皆様にも長らくお世話になりましたので、改めて、ここで深く御礼申し上げたいと存じます。
高木浩光＠自宅の日記 - 「個人情報」定義の弊害、とうとう地方公共団体にまで
■ 「個人情報」定義の弊害、とうとう地方公共団体にまで 現行個人情報保護法の「個人情報」の定義に不備があることを、これまでずっと書き続けてきた。「どの個人かが（住所氏名等により）特定されてさえいなければ個人情報ではない」（のだから何をやってもよい）とする考え方がまかり通ってしまいかねないという危機についてだ。 2003年からはRFIDタグ、2008年からはケータイIDによる名寄せの問題を中心に訴えてきたが、当時、新聞記者から説明を求められるたび、最後には「被害は出ているのでしょうか」と、問われたものだった。当時は悪用事例（不適切な事例）が見つかっておらず（表沙汰になるものがなく）、これが問題であるという認識は記者の胸中にまでしか届かなかった。 それが、昨年夏から急展開。スマホアプリの端末IDを用いた不適切事案が続々と出現し、それぞれそれがなぜ一線を越えているか説明に追われる日々になった。ス
コメント欄 - 「頂いた意見に関しては、ゴミ以下のご意見のほか、真っ当なご意見も少なからずあります」 - 武雄市長物語 : 高木浩光先生、間違ってます。
今日は「個人情報」について書きます。関心の無い方は長いのでパスしてくださって結構です。 前にも書きましたが、個人情報とは、個人情報の保護に関する法律（平成１５年５月３０日法律第５７号）の第１条にその目的があり、「この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。」となっています。 その中で個人情報とはというと、その定義は、「この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の
公開討論会しましょうよ。 | 樋渡啓祐物語（2005年５月ｰ2015年２月）
新武雄図書館構想。今日、武雄中学校に昼休みの時行きましたが、この構想自体はみんな知っていましたけど、まさかこれでTwitterが大荒れしてるなんて誰も知らず。「市長、Twitterなんか気にしない方がよかばい。」と中学生に励まされる始末(^0^) で、ここ何日か、Twitterでの馬鹿騒ぎを見ていたけど、あんまりにも浮き世離れしすぎていて、道具のTwitterがかわいそうだと思いましたよ。僕の友人知人が最近、Twitterから離れて違うソーシャルネットワークに引っ越すのもよく分かりますね。 あのね、結構いろいろこの件でネット上発言されている高木浩光さん、経済産業省の産業技術総合研究所のソフトウェアセキュリティチームの主任研究員を勤められているとのことで、僕自身は寡聞に知りませんしたし、僕の周りも誰も知りませんでしたが、今回よく分かったけどね、弱い、攻めやすい立場の人たちをいじめるのは僕の最
高木浩光＠自宅の日記：武雄市長、会見で怒り露に「なんでこれが個人情報なんだ！」と吐き捨て
■ 武雄市長、会見で怒り露に「なんでこれが個人情報なんだ！」と吐き捨て 「日本ツイッター学会（自称）」会長兼「日本フェースブック学会（自称）」会長の、武雄市長（佐賀県武雄市）が、武雄市の市立図書館で、CCC（カルチャー・コンビニエンス・クラブ）と提携して、Tポイントカードを導入するとの構想を発表した。 武雄市とカルチュア・コンビニエンス・クラブ株式会社の武雄市立図書館の企画・運営に関する提携基本合意について, CCC カルチュア・コンビニエンス・クラブ株式会社, 2012年5月4日 ツタヤ運営企業に図書館委託 佐賀県武雄市, 共同通信, 2012年5月4日 図書館の運営、ツタヤに委託 佐賀県武雄市, 中国新聞, 2012年5月4日 図書館の利用カードはCCCのポイントカード「Tカード」へ切り替える。Tカードは若い世代に普及しており、図書館を使わない人が多いとみられる若年層を呼び込む狙いがあ
自分用：ひろみちゅ先生×武雄市長
Shuji Sado (佐渡 秀治) @shujisado 高木無双が起きるのは、IT専門媒体に力がないからだよね。どこも記者と外注をどんどん減らして、ニュースよりも金が取れるリードジェネレーション型へ向かっている。単価が安く、PVも稼げる翻訳記事で媒体が埋まるのはそういうことだが、広告ニーズがその流れだから業界としては止めようがない。 ゆんゆん探偵 @yunyundetective 「公の施設は民間で出来ない事をやるからこそ存在意義があるのだ」っていうね。 RT @tsuneduka: 同感 抄RT @ken500d: TSUTAYAは今、皆が借りたい物を置くのが使命だけど、図書館は未来に誰かが探しに来る物を置くのが使命なんだよ。
スラップ訴訟情報センター
SLAPPとは 「公に意見を表明したり、請願・陳情や提訴を起こしたり、政府・自治体の対応を求めて動いたりした人々を黙らせ、威圧し、 苦痛を与えることを目的として起こされる 報復的な民事訴訟のこと」 Strategic Lawsuit Against Public Participation（直訳：市民の関与を排除するための訴訟戦術）は SLAPPという略語で有名である。 SLAPPは様々な訴因、例えば名誉毀損、誹謗中傷、業務妨害、共謀などで提訴される。 もともとこの言葉は、 1984年にこうした形態の訴訟の研究を始めた。 デンバー大学のジョージ・Ｗ・プリング教授とペネロペ・キャナン教授が作り出した造語。 当初、両教授はSLAPPの条件として次の四つの規準を挙げていた。 (原典：'SLAPPs: Getting Sued for Speaking Out ' Pring and C
高木浩光＠自宅の日記
■ Claude 3による解説：「不適正利用禁止」規定は立案段階で内閣法制局にどう捻じ曲げられたか 昨日の日記「「不適正利用禁止」規定は立案段階で内閣法制局にどう捻じ曲げられたか」だが、おそらく「長すぎて読めない」という声が多そうなので、Claude 3に原稿を読ませて簡単に解説してもらった。これで興味が湧いたら原文を見てほしい。 Claude：はい、この文書の意味はよく理解できます。これは、個人情報保護法の2020年改正（令和2年改正）で新設された「不適正利用禁止」規定（第19条）がどのように立案されたかについて、情報公開請求で開示された内閣法制局審査資料を基に詳細に解説したブログ記事の原稿です。 主な内容は以下の通りです： 当初、個人情報保護委員会事務局は、プロファイリングなどの新技術に対応するため、「適正な利用」義務を新設しようとしていた。 しかし、内閣法制局との審査過程で、規範の明
高木浩光＠自宅の日記 - クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法
■ クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法 「クロスサイトリクエストフォージェリ」がにわかに注目を集めている。古く から存在したこの問題がなぜ今まであまり注目されてこなかったかについて考 えているところだが、引越しやら転勤やらでいまひとつ日記を書く時間がない。 しかし、 @ITの記事などのように混乱させる解説も散見されるので、一点だけ対策 方法について書いておくとする。 クロスサイトリクエストフォージェリ――Cross-Site Request Forgeries (CSRF)を防止する簡潔で自然な解決策は以下のとおりである。 前提 ログインしていないWeb閲覧者に対するCSRF攻撃（掲示板荒らしや、ユーザ登 録を他人にさせる等、サイト運営者に対する業務妨害行為）はここでは対象と しない。 ログイン機能を持つWebアプリケーションの場合、何らかの方法でセッション 追
高木浩光＠自宅の日記 - ASPとかJSPとかPHPとかERBとか、逆だったらよかったのに
■ プログラミング解説書籍の脆弱性をどうするか 印刷されて流通する書籍に脆弱性がある、つまり掲載されているサンプルコードにズバリ脆弱性があるとか、脆弱性を産みやすいコーディングスタイルを身につけさせている解説があり、それが脆弱なプログラマを生産し続ける根源になっている問題は、「なんとかしないといけないねえ」と以前から言われてきた。 ソフトウェア製品の脆弱性は、指摘があればパッチが提供されたり修正版に差し替えられたりするが、書籍の脆弱性はどうか。正誤表が差し込まれるとか、回収する措置がとられるかというと、それは望めそうにない。言論には言論で対抗すればよいということになるだろうか。 久しぶりにいくつかの書籍について調べてみた。先月園田さんの日記などで比較的評判良く紹介されていた2冊を読んだ。 山本勇, PHP実践のツボ セキュアプログラミング編, 九天社, 2004年6月 GIJOE, PHP
uu59のメモ | MongoDBでもSQLインジェクションできる
タイトルはわかりやすさ重視でつけたのでそれSQLじゃないよというのは承知の上です。 Attacking NoSQL and Node.js: Server-Side JavaScript Injection (SSJS) SSJS whitepaper(PDF) JSONをevalで作るようなのは論外として、NoSQL Injectionって項目が面白かったのでメモ。 まずMongoDBにはfind()っていうのがあるんですが、一般的にはdb.find({x: 42})のようにオブジェクトを渡してxプロパティが42のレコードを取得する、といった用途に使います。が、db.find("this.x == 42")のように文字列を渡しても同じ結果が返ってきます。これはMongoが受け取った文字列をevalしてるせいです。試しにmongoコンソールでdb.find("while(1){};retu
cajaプロジェクトJsHtmlSanitizerを使ってみた - hrendohの日記
google-cajaプロジェクトは、Ajaxを多用するようなクロスドメインなサイトのセキュリティの問題を解決するためのライブラリを開発しているプロジェクトです。 OpenSocialエンジンであるApache-Shindigにも含まれて居ます。どちらかというと派生プロジェクト？ サニタイズの処理を整理するにあたって、自分でコーディングするのはバグの元なので、cajaプロジェクトのhtml-sanitizer.jsを利用を検討してみることにします。 cajaプロジェクトはソースコードのみ配布されていますので、SVNリポジトリからチェックアウトします。 $ svn checkout http://google-caja.googlecode.com/svn/trunk/ html-sanitizer-minified.jsを生成するためにantを実行します。 $ ant MinifiedJs
一週間で応用情報技術者試験に受かった方法 - 遥か彼方の彼方から
雑記 タイトル通り、一週間ほどの勉強で応用情報に無事合格しました。 じっくり勉強して受験できればそれに越したことはないのですが、忙しくてぎりぎりまで時間がとれない人や、僕みたいに最後まで勉強を後回しにしてしまう人にはもしかして需要があるかもしれないので、そのときの勉強法を紹介します。まず、まとめ勉強するのは午前のみでOK過去問・予想問題を押さえる午後問はとにかく諦めるな 試験概要 ITパスポートの上の基本情報の上だけど、高度試験というほどでもない、というレベル。学生でも勉強すれば十分に合格がねらえる試験です。身の回りでは基本情報受験者が多かったので、それとの差別化も考えて応用情報という選択肢はかなりアリだと思います。 基本情報との違いは、問題がやや難しくなることと、午後の試験が筆記になることの２点です。あと、合格発表が基本情報と比べて遅いのも、わりと不安にしてくれます。この記事も、自己採点
悪いサニタイズ、良い(?)サニタイズ、そして例外処理
先日のエントリ「処理開始後の例外処理では「サニタイズ」が有効な場合もある」は、素材の消化不足、私の表現の未熟等から、一部で誤解を招いてしまったようで申し訳ありません。アプローチを変えて、サニタイズについてもう一度考えてみたいと思います。結論から言えば、悪いサニタイズはあっても、「良いサニタイズ」はないと考えます。しかしながら、状況によっては妥協の産物としてサニタイズを使うことは、あり得ると考えます。 本稿で用いる「サニタイズ」の定義 サニタイズという用語は、歴史的に都合の良いように使われてきた歴史があり、あらためてネット検索して見ると、本当に多様な使われ方をしていると感じました。その様子は、高木浩光氏のブログ記事『「サニタイズ」という言葉はもう死んでいる』からも伺えます。 ここでは、議論の都合上、以下をサニタイズの定義として用いることにします。 サニタイズとは、 主にセキュリティ上の目的で
「サニタイズ言うなキャンペーン」私の解釈
高木浩光さんの「サニタイズ言うなキャンペーン」 という言葉自体はずいぶん前から存在したのだが、 続・「サニタイズ言うなキャンペーン」とはにて高木さん自身がいくつも誤解の例を挙げているように、 そしてまた最近も 駄目な技術文書の見分け方 その1にて「まだわからんのかね」と言われているように、 「わかりにくい」概念なんだろうとは思う。 そこで、僭越ながら、「サニタイズ言うなキャンペーン」について、 私なりの解釈を書いてみようと思う。 もっともこれが正解であるという保証はないのだが、 間違っていたらどなたかツッコミいただけることを期待しています(_o_) そもそも何のせいで「エスケープ」しなければならないのか たとえば住所氏名を登録させるWebアプリケーションは珍しいものではないと思う。 そこで、私が「Taro&Jiro's castle サウスポール」 とかいう恥ずかしい名前のマンション(?)
高木浩光＠自宅の日記 - 続・「サニタイズ言うなキャンペーン」とは
■ 続・「サニタイズ言うなキャンペーン」とは 「サニタイズ」という言葉はもう死んでいる サニタイズ言うなキャンペーンがわかりにくい理由, 水無月ばけらのえび日記, 2006年1月5日 というコメントを頂いた。まず、 これは「サニタイズという言葉を使うな」という主張ではありません。「そもそもサニタイズしなくて済むようにすべきだ」という主張です。言い方を変えると、「サニタイズせよと言うな」という主張になります。 「サニタイズ言うなキャンペーンがわかりにくい理由」, 水無月ばけらのえび日記, 2006年1月5日 とある。「サニタイズせよと言うな」キャンペーンでもよいのだが、 その場合は次の展開が予想される。 「サニタイズせよと言うな」を主張する際の具体例として、XSSやSQLインジェ クションのケースを挙げた場合、正しいコーディングは、「その場の文脈でメ タ文字となる文字をエスケープすること」と
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
