「日本の医療Q&Aサイト、公開状態のAmazon S3バケットからおよそ30GBの顧客データが流出」記事へのコメント

JPCERT/CCの知名度が低いのか？

[Anonymous Coward]

発見元と称する団体が画像を公開してるのも恐ろしい。

一方、流出元のお知らせにはまだ記載がないですね。
https://doctors-me.com/information/index [doctors-me.com]

私なら、JPCERTから連絡が来た時点でガクガク・ブルブルですね。/CCがつくと重要案件でしょう。
幹部まで共有できなかったのか、幹部が理解しなかったのか、他人ながら心配です。

委託先の医師個人と症状や画像を共有しないといけないビジネスモデルなので、それなりの保護策をとらないといけないと思うが、どうだったのだろう？

Re:

[Anonymous Coward]

具体的にどういうルートで連絡したのかがわかりませんが、一般的な企業の場合、
公開メールアドレスや公開フォームは、営業用のメーリングリストなり社内SNSなりに転送されるのが多いので、
英語である時点で迷惑メール扱いされて読まずに捨てられてるものと思われます。

前職がIT系技術者でも無い限り、IT系の業種に勤めていてもJPCERTなんて知らないでしょうし。

Re:

[Anonymous Coward]

セキュリティー警告のメールとか、フィッシングの王道パターンですからね。
CERTの名前知らなくてかつメールのセキュリティ研修受けてる人なら速攻でごみ箱行きでしょう。

Re:

[Anonymous Coward]

他がどうかは知りませんが、その手のメールが届いたらゴミ箱行きじゃなくてネットワーク管理者への報告では。
たまたまその人だけに届いたのなら良いけど、他の人にも同じ手口のメールが届いてる可能性がある。
注意喚起するためには報告が必要。

Re:

[Anonymous Coward]

雉も鳴かずば撃たれまいって、何もしなければ問題は起きないって考えるんじゃないかな。
問題があるならば誰か他の人が報告するってね。
現場猫さながらの無責任さだけど、問題を理解出来ないやつは自身の職務も理解していないもので、無責任という自覚もないでしょう。

IT系企業でも技術屋でなければJPCERT/CCを知らないという悲しい現実。

Re:

[Anonymous Coward]

こと日本企業では各個人の責任範囲が非常に曖昧なので、「声を上げたもん負け」ですからね。
「じゃその件はお前がやれ」って責任だけを押しつけられるのは明白なので、「知らないほうが得」「知ってても声を上げないほうが得」だったりします。

ましてやこの手のメールって社員すら読んでないことが多く、読むのはもっぱら下請けの企業か派遣社員だったりするので、
対応しても評価にならないどころか怒られる可能性すらあったりします。

Re:

[Anonymous Coward]

まんまアメリカの中小企業の文化じゃん

Re:JPCERT/CCの知名度が低いのか？

[Anonymous Coward]

アメリカの前にみずぽでは？