「パスワードの定期的な変更」という禁忌を実施してマイナンバー全体がコケる微妙事案が発生
横浜市の個人情報管理における事案が発生しましたが、いわゆる「パスワードの定期的変更は無意味」とか「設定の不備で保存したデータを無断で閲覧し個人番号つき通知カードの画像を複製」など頭痛の絶えない内容です
山本一郎です。パスワードは全力で覚える派です。滅多に忘れないんですが、たまに忘れて大惨事を起こすのが玉に瑕です。
ところで、幾多の議論を乗り越えようやく導入されたマイナンバー制度ですが、相変わらず細かいトラブルが絶えないようです。今回は横浜市でちょっとした運用トラブルが生じマイナンバーカードの交付に支障をきたしたようです。
横浜市、誤操作で１２００人交付障害内規違反、パスワード更新も怠る（産経ニュース 16/12/21）
横浜市が内規に違反して、安全にマイナンバーカードを交付するのに不可欠なサーバーのパスワード変更を怠ったまま業務を続けていることが２０日、分かった。市関係者が明らかにした。さらにカード交付と連携するサーバーのファイルにアクセスできないように自ら誤った設定を施したため、市民約１２００人に交付できないシステム障害が発生していたことも判明。横浜市の対応が事の本質からピントの外れたような展開に読めるのは別の意味で香ばしく興味深いのですが、システムそのものが転けた具体的な経緯については以下の記事が詳しいです。
（中略）
横浜市は「改版時のチェックが足りず誤った。以前から使っているパスワードは強度があるので、問題はない」と主張している。産経ニュース
横浜市のマイナンバーシステム障害、待機系のパスワード変更漏れが原因（ITpro 16/12/21）
こちらの記事から察するに、横浜市では独立した「住民情報システム課」という部署を設けているようですが、システム運用は全て外部企業に丸投げ。そしておそらくは受注企業も実際の運用はさらなる下請けに丸投げだったというのが実情であろうと勝手に想像してしまいますが、そういったどんどん下の誰かに丸投げしていくような体制で、はたして国民の大切なマイナンバー情報は本当に大丈夫なのだろうかと疑問に思わなくもありません。まあ、システム運用については、よく分かってない市役所職員に任せるよりは安全だということなのでしょう…。まあ、困ったもんです。
で、そういういくつもの丸投げを経たシステムにおいては、責任を分散してセキュリティを維持するためにも、「パスワードをかけ、定期的に変更して情報漏洩リスクに備える措置」が必要だったという話なのでしょうか。
世界的なレベルでのセキュリティ方面のトレンドとしては、定期的なパスワード変更という手法はセキュリティ効果があまり期待できずかえって危険であるという結論が出つつありますが、日本のお役所や大手SIer界隈では独自の考え方があるようでして、そういう考え方は完全に無視されているようでなかなか清々しいものがあります。
「定期的なパスワードの変更が安全性を強化するってわけじゃないぞ」って書いてるのに。
「パスワードの定期的な変更を押しつけるのはやめよう」という話が英米の政府機関レベルで盛んに（Yahoo!ニュース 個人 山本一郎 16/7/25）
実質的な機能よりも手順を踏んた儀式が重用される日本式のセキュリティ施策が、日増しに高度化するサイバー攻撃に対してどこまで耐えられるのかを試す貴重な場がマイナンバーシステムなのかもしれないと思うと身震いするほどの高揚感を覚えます。
それにしても、マイナンバーという情報の重要さに比して、マイナンバーを管理・運用する諸々のシステムの脆弱さはなんなんでしょうか。
マイナンバー ネット経由で不正閲覧警視庁、初の逮捕（日本経済新聞 16/12/2）
企業が源泉徴収票などを作成するため、従業員は個人番号を提出する必要がある。同課によると、女性は提出のため、通知カードの画像をネット上のデータ保存サービスで保管していた。同サービスは社内ネットワークにもつながっており、業務用パソコンから操作できたという。つい最近発覚したマイナンバー絡みの情報漏洩事件ですが、結局は末端におけるデータ管理をそれぞれの事業者のリテラシーに委ねてしまう以上、杜撰なセキュリティ運用下においてどんどんマイナンバーが漏洩していく可能性は否定できません。意図せずしてマイナンバーが漏洩されてしまった個人がちゃんと保護されるような体制までが準備されていれば不安はないのですが、今のところマイナンバーシステムは「漏れない・漏らさない」という前提でしか考えられていないようでして、じゃあ実際に自分のマイナンバーが漏洩して被害者になってしまったらどうしたらいいのかはよく分かりません。政府としてはマイナンバーを活用して色々とやりたいみたいですが、不幸にして悪意のある第三者に漏れてしまってもあまり困らない程度の数字にしておいてもらったほうが良いのかもしれません。
（中略）
設定の不備をつく形で女性が保存したデータを無断で閲覧できるようにした上、個人番号が記された通知カードの画像を複製していた。日本経済新聞
それにしても、基礎自治体が個人情報を取り扱うにあたって、ここまで杜撰になるというのはどういうカラクリなんでしょう。住民情報を扱うのは確かに基礎自治体ですから、管理母体も基礎自治体が一部を担うのは仕方がないのは事実です。ただ、おのおの基礎自治体が個別にこのようなシステム組んでバラバラに対応していては、そりゃうまくいく自治体といかない自治体が出て、うまくいかない自治体から情報がダダ漏れになったりシステムが止まって住民に迷惑がかかるに決まっています。
それでいて、個人情報に関しては2000個問題など基礎自治体が絡むネタが多いこともあって、日本がせめてデータ後進国にならないようにするための施策ぐらいは考えておいて欲しいと願うところなのですが。