海外に置かれるメールサーバー、情報管理は大丈夫か？ 108
ストーリー by hylom
下手な国内サーバーのほうがよっぽど危険なわけだが 部門より
下手な国内サーバーのほうがよっぽど危険なわけだが 部門より
ninja 曰く、
読売新聞の「情報管理大丈夫？７８大学がメールに民間利用」という記事が話題になっているようだ。
件の記事は、近年多くの大学がGoogleやマイクロソフト、ヤフーなどが提供するクラウド型メールサービスを利用していることを、セキュリティの面から疑問視するというもの。確かにクラウド型のメールサービスについては尊師からも否定的な言葉が聞かれるなど、賛否両論あるのだが、ツッコミどころとなっているのは次の部分のようだ。
データを管理するサーバーが海外に置かれるケースもあるとみられ、専門家からは情報管理の安全性について疑問視する声も出ている。
はてなブックマークなどでもツッコミが多数入っているが、ここはこのコメントを出した「専門家」に降臨していただきたいところである。
一応張っておきます。 (スコア:5, 参考になる)
http://www.st.ryukoku.ac.jp/~kjm/security/memo/2011/01.html#20110118__cloud [ryukoku.ac.jp]
岡村氏の講演 (スコア:1)
読売の記事でコメントしている弁護士の岡村久道氏が、27日に開かれた
「情報セキュリティ総合的普及啓発シンポジウムプログラム」で、
「クラウドのリスクとセキュリティにおける法律面での留意点」というタイトルで
講演をしていたので聞いてきました。
http://www.isms.jipdec.jp/seminar/fukyu-sympo11.html#3 [jipdec.jp]
そのうち資料が掲載されると思いますが、超要約すると、
・クラウド利用によって「データが国外に置かれる」「データの所在が不明確」「データが国境を越えて移動する」という事象が発生しうる。
・これが「ベンダーと利用者間の契約」「データが置かれた地域の公法」「国家権力（警察、裁判所）の力の及ぶ範囲」と重なると
・データ所有者がデータをコントロールできない（または、コントロールを得るための対価が割に合わない）状況に陥る
・これが重要な情報や機密情報、個人情報だった場合に問題となる
・また、個人情報などの場合、データ所在地域の法に触れることもありうる
・データが置かれたサーバーごと押収された例もある（ユーザーに大打撃）
→だから、クラウドサービスを利用する場合には、事前に十分アセスメントをした上で、利用するなら適切な範囲とすること。
という感じでした。
大学とGmailのリスク例（過去のストーリーから） (スコア:5, 興味深い)
列挙された「関連ストーリー」は「情報流出」の観点からまとめられているので，過去のストーリーから「大学と gmail」の観点であつめてみました。
●イェール大学、Gmailへの移行を見合わせ [srad.jp]
> 問題は「『クラウドコンピューティング』(インターネットのバーチャルサーバとの情報の転送)、技術上のリスクおよびマイナス面、イデオロギー上の懸念事項」
データを保存する場所（3箇所らしい）の国が判明できず，どこの国の法律に縛られるか分からないために導入せず。
●Gmailへのメール転送で注意。ドメイン全体が拒否される可能性 [srad.jp]
Spam メール判定のコントロール権が google にあるために，必要なメールも一括して Spam 判定してしまった例。
# 大学の情報処理センターは予算不足で24時間稼働のサーバ保守契約を独自に結べなくなっていますからね。学生→教員+職員の順番で移行している例が多いようです。個人的には大学の自主性の観点から反対なんですが，いかんせんお金が…。
Re:大学とGmailのリスク例（過去のストーリーから） (スコア:1, すばらしい洞察)
Re:大学とGmailのリスク例（過去のストーリーから） (スコア:3, 興味深い)
この話はガチ。「必要になったら、メアド作ってね？」という方針でメアドの設定をすると、1-3年は使わない。友人との連絡は、ケータイで行う。4年になって就活するときに、初めて設定する・・・のが一部。大半は、GMailやHotmailを使うらしい。
大学のコンピュータセンターの人間からの証言。なので、人数分のメアドとその保存領域、さらにアンチスパムフィルタのライセンスって、結構無駄に終わる投資なんだとか。
・・・でも、だからといってGMailやHotmailに預けるってのは、嫌だな。
-- gonta --
"May Macintosh be with you"
Re:大学とGmailのリスク例（過去のストーリーから） (スコア:4, 参考になる)
大学・学部・教授による差が大きいので一般化するのは危険かと。
こう言っては何ですが、使うように仕向ける学校側のやる気も大きいかと思います。
例えばレポート提出を「学生アカウントからしか認めない」所もあり、その学部は100%です。申請関係も基本的に学内アドレスからしか認めないところもあります。まぁ、こうなった原因は「学生のリテラシーの低さ」が原因とか…。学生からの問合せの大半が携帯から、しかも学籍番号どころか名乗りさえ無いケースが多いそうです。その点、学生アカウントなら「どの学生か」は判ります。
学生さんの方も、学内掲示板や授業関連のシステムと同等の内容が随時配信されるので休講や教室移動、レポート提出などを携帯に転送してチェックして便利に使ってる学生さんも多いようです。そういう意味では、学生アドレス使ってない学生さんは次第に知らないうちに不利益を被っているかもしれません。大学、特に教授陣の利用頻度とリテラシーはどんどん上がっています。
> 人数分のメアドとその保存領域、さらにアンチスパムフィルタのライセンス
これ、実際に無駄になってるので従来は学内で持っていたサーバも学生向けはGmailやHotmailへの移行案件が多いです。使われないものに予算は振れません。
Re:大学とGmailのリスク例（過去のストーリーから） (スコア:1, おもしろおかしい)
Re:大学とGmailのリスク例（過去のストーリーから） (スコア:1)
私の場合、研究室配属されるまでは使ってませんでしたね。
研究室配属後、研究室のメールアドレスを新たに割り当てられましたが、そっちは常用しています。
もともと割り当てられていた学生のアドレスは、結局使っていません。
その後大学院に進学しましたが、研究室のアドレスは使用していますが、大学からのアドレスは割り当てられているのかすら知りません。
1を聞いて0を知れ!
Re:大学とGmailのリスク例（過去のストーリーから） (スコア:1)
無視しているというより、面倒だから放ったらかしにしている、そうしているうちに存在を忘れているという方が近いです。
存在を知ったうちに早い段階で転送設定でもしとけばよかったのでしょうが、アカウントへのアクセス方法も忘れている状態から、今までなくても困らなかったメールアドレスの転送設定をしようとはあまり思いませんでした。
1を聞いて0を知れ!
クラウドとセキュリティの問題 (スコア:4, 興味深い)
例えば、クラウド時代の情報セキュリティ [amazon.co.jp]なんかに詳述されています。
最後のデータを分割して、格納しろという提案はPR臭プンプンですが。
リスクの例として
・データの物理的な格納場所が不明。格納された国の法律が適用される可能性がある
・サーバーに同居している他のデータが法律的に問題があって、友連れでサーバーを押収されてしまうリスク
などなど
問題は外国政府による物理的干渉よね (スコア:3, 興味深い)
だいぶ前に専門家らしき人が同様の注意喚起をしている記事をみかけましたが
探し出せませんでした。
代わりに見つかった朝日新聞の関連サイト [asahi.com]を貼っときます。
＃ 同様の懸念を抱く大学関係機関職員なので AC。
Re:問題は外国政府による物理的干渉よね (スコア:2, すばらしい洞察)
物理的干渉は危険性の本質ですよ。
結局、情報を保持している媒体に直接アクセスできる力（権力）があれば
少なくとも情報の消去や複写はできる。
それを禁止する力（権力）がなければ妨ぐ事ができない。
そういった干渉に備えて暗号化すべきというのは同意するけど、
それを打ち破る方の道具は年々強力になってるから、
遠からず「暗号化状態の有効期限」なんてのが
現実的な問題になってくるんじゃないかな。
10年20年程度で漏れちゃ困るって情報もたくさんある訳で。
そうやって考えていくと、「メールで送ってよい情報か」ってとこまで
検討されてしかるべきだけど、みんなリスクと利益を検討せずに
メールで送っちゃうんだよなぁ。
Re:問題は外国政府による物理的干渉よね (スコア:3, 興味深い)
遠からずというか、暗号化の基礎は「誰から何年ぐらい守りたいか」ですよ。
で、20年程度で漏れちゃ困るんだと、たぶん流さないほうが無難じゃないかなあ。
たとえばDESがアメリカの連邦情報処理標準に制定されたのは1976年ですが、ほぼ実用的に解読可能となったのは1998年です。
# 22年後に、3日で解読できる解読器が25万ドルで作れた。
盗聴してデータを保有しておくコストは年々下がってますし、取り敢えずとっておいて頻度分析で重要そうなやつから解読していくなんていう気の長い事ができる所から、20年間守るのは結構難しいんじゃないかな。
国内だって (スコア:3, すばらしい洞察)
やばいところは、やばいだろう。国内、国外関係ないよね？
ただ、クラウドだGmailだYahooだと、他人任せにする風潮がどうしてもいただけない。サバ管上がりの戯れ言かもしれないけど、なーーーんか、いやなんだよな。全部Googleとかにまかせちゃうの。
いや、Googleが悪い訳じゃなくて、外部に置くのがクラウドだ。で、それがいいんだ、という風潮。
＃確かにGoogleがどこまで情報握ってるか、わかったもんじゃないけど。Street ViewでSSID掴むは、何はするは、で・・・
-- gonta --
"May Macintosh be with you"
国内でもダメだったケース (スコア:4, 興味深い)
Re:国内でもダメだったケース (スコア:1, 興味深い)
この記事、なんだか気持ち悪いですね。
データセンターがサーバのパーツを盗んだ＝単純に窃盗事件だろ。
まさか本当に第三者の犯行が、有り得るとでも思っているんだろうか。
サーバ20台も使ってる会社が、頭悪すぎて、激安なサーバ置き場(多分データセンタじゃない)を使っちゃってだけだろ。
今時、ラック間の通路には、普通に監視カメラ付いてるよね。
しかも入館手続きが必要なら、夜間に出入りしたやつかなり絞り込めるだろうし。
カメラ無くとも、入室用のセキュリティカードで、特定出来るよね。
それに、真面目なとこなら、鍵の閉め忘れチェックとかで定期的に見回り来るし、鍵持って無いやつがこじ開けて、サーバ開けてたら普通気づくだろ。
これお仕事相手を選ぶ以外に、何に気を付ければいいのか分からないし、きっと小話的なネタだよね？？
ﾈﾀﾆﾏｼﾞﾚｽ(・∀・)ｶｺﾜﾙｲ!! ってこと？
それにまず、DCに移した後、死活監視もしてない、LED見て異常に気付かない、いきなりケーブル交換するようなバカ管理者を雇っている時点で、その会社がダメだって話でしょ。
そんな会社、CPUとかメモリなんて有ってもろくな仕事出来ないよ。
付き合いのある人の程度が知れるね。
この記事書いた人誰？有名人？
どこの国の法律が適用されるかによる (スコア:3, 興味深い)
そもそもなお話なのですが、自国の法律が適用されるのが、果たして良いのでしょうかね。
例えば、中国で反政府と扱われている人が中国での司法・行政による開示が今のところ及んでいない Gmail を使ったり、日本国内での開示を免れたい人もいることでしょう。
そして、それらの内国法ってのは、国益という名のもとにその国の主権者（国によって国民だったり政府だったり与党だったり宗主国だったり）の都合によって立法されているわけでして。 それらの内国法が自分にとって有利か、外国法が有利が、といった判断をしても良いでしょう。
ってことで、日本国内法について議論されている方が多いように拝見いたしましたが、そもそも日本国内法がよいのかどうかも検討したほうが良いでしょう。 お金の話だとタックスヘイブンがあるように、情報についてもインフォメーションヘイブンができてもおかしくないはず。
Re:どこの国の法律が適用されるかによる (スコア:1)
日本のように通信の秘密を保障 [wikipedia.org]している国じゃないと怖いですね。
あとメールの内容によっては外為法関係で引っかかりそうな気がしないでもないですがどうなんだろう。
マイクロソフトのシステムにデータを置くことの危険性 (スコア:3, 興味深い)
Microsoft Online Privacy Statement [microsoft.com]に記載されている通り、以下の3つの場合にはマイクロソフトは、次の場合に、お客様の通信内容など、お客様に関する情報にアクセスまたはこれを開示することがあるという。
安全ボケの日本人はこれを見て、安心するかもしれない。しかし、ようするに、私法(法に準拠)、すなわち、国内法以外の法律に応じて通信内容にアクセスしたり、特許が侵害されているとマイクロソフトが判断したり、みかん星人事件のような事件が発生したりした場合に、彼らの判断でメッセンジャーやhotmailを覗き見ることを認める契約が成り立っているということだ。
ちなみに、実際にそのようなアクセスが行なわれているか第三者機関が監査する手段は無い。
過去に、通信内容へのアクセスが行なわれたことがあるのか、また、その判断基準なども公開されていない。
これを業務や知的財産権を取り扱う大学で使うのは危険ではなかろうか?
大学の自治、 という観点 (スコア:2)
本来、学問の自由 [wikipedia.org]の観点から、大学は他からの干渉を受けるような状態であってはいけない。情報インフラを学外に手渡すなんてもってのほか。
‥‥‥っていう「そもそも論」がほとんど無いのはなぜなんだろう。
# 来たれ！ 全共闘世代！
hotmailサーバーは日本にも設置していると (スコア:1, 興味深い)
Microsoft Liveの関係者が言ってたけど(要出典)。
※探したらこれ [soumu.go.jp]の２ページ目に「Windows Live Mail / Hotmail, MSN等のサーバーを日本国内に設置」と書いてある
メールのドメインに関係なく、地域設定を日本にしていると「すぐではないがそのうち(担当者談)」日本のサーバーにデータが来るので快適な動作になるというのが言い分でしたが、BPOSだと別？
※誰か記事にしてないかなぁ
Re:hotmailサーバーは日本にも設置していると (スコア:2, 参考になる)
現状だと BPOS はシンガポールのサーバー [nikkeibp.co.jp]になっているようですね。たしか Windows Azure 等のクラウドサービス類も東アジア地域はシンガポールに集積されていたかと思います。
それらとは別に、国内に他社がデーターセンターを持つ [cnet.com] Azure サービスの展開などがあるので、ここらが BPOS を提供する、なんて形になれば国内に設置という話も出てきそうですね。
フリーのブラックリストを使っているうちは何処に置いても使えない！ (スコア:2, 興味深い)
たびたび、えん罪で送れないという事態になってしまう。
これでは、どこにあろうが、どんなに使い勝手が良かろうが、
使えません。
関係あるのかないのかわかりませんが (スコア:1, 興味深い)
公立の図書館がGoogle Analyticsを使うことすら問題とされ、使用を停止したようです。
http://www3.city.tokyo-nakano.lg.jp/tosho/voice/HPkoe1009.html [tokyo-nakano.lg.jp]
まるで、小説の様な記事 (スコア:1)
専門家ーーー＞一人、二人以上？、匿名？実名を出すと突っ込まれる？
情報管理ーー＞学術用語？ JIS 用語？
安全性ーーー＞数値で表現できないのか？
疑問視ーーー＞どんな見方？ 何らかの経験値からズレているものがあるのか？
Re:まるで、小説の様な記事 (スコア:1)
長音記号をハイフンの代わりに使用されるのは、
すごく気持ち悪い。
声に出すわけじゃないけど、
読むときに、
「せんもんかーーー」
「じょうほうかんりーー」
って読んじゃうんだわ。
＃はっ！！これが携帯小説（違
Re:まるで、小説の様な記事 (スコア:1)
Re:まるで、小説の様な記事 (スコア:1)
私は「いつもここから [wikipedia.org]」を思い出した。
Yasuda
国内メーカー(大口の広告顧客でもある)に配慮した記事だね (スコア:1, 興味深い)
サーバーは全て国内で一括管理しているので安心です
独立系サービス業者の売り文句：
サーバは世界各国に分散配置しているので安心です
とりあえず (スコア:0)
学生・卒業生が使うメールサーバと、教職員が使うメールサーバは区別して考える必要があるな。
サーバが海外かどうかは関係ないけど、学外かどうかというのは重要な問題。
どこの管理かわからないって？ (スコア:0)
> アドレス表記は大学で独自運用していた時と同じで、
> 部外者には企業が管理するものとは分からない。
だれだそんな寝ぼけたこと書いてる奴は。
ちゃんとgoogle.comとかヘッダーに出てくるだろうが。
ていうかメアドだけでしか判断できないと思ってるのだろうか？
＃某大ユーザーなのでAC
Re:どこの管理かわからないって？ (スコア:2)
っていうか、組織のメールサーバの管理者が変化しないわけじゃないんだから
それがどこの誰かが分からない限り、大学の中だろうが外だろうか一緒じゃない？
嫌だったら自分でメールサーバ運営すればいい。
Re:どこの管理かわからないって？ (スコア:1)
いやいや。
要は各個サーバーが物理的に設置されている場所の国の法律がそれぞれ適用される事になる場合、色々とややこしくなる。
クラウドとかで複数の国をまたぐようになったら設置箇所の各国の法律全てでセーフになるように気をつけないといけない。
例えば「日本では合法でも海外法ではアウトな猥褻画像(週刊誌の写真原稿とでもしますか)をメールでやり取りする場合、法的にどうなる？」
とかそういうもっと上の層の法務辺りの話でしょう。
Re:どこの管理かわからないって？ (スコア:2)
しかし、パズルを解くようによーく考えて、真の送信元 IP アドレスを見いだせば、
IP を WHO IS 検索することで、ある程度判るということです。
一目瞭然なんて、とんでもない。
言っている君！そのうち、災いが訪れるぞ。
Re:どこの管理かわからないって？ (スコア:1)
どんどん話がずれてるような気がする。
多くの場合、メールヘッダーを見ればメールサーバが外部のものか否かを
判別できるけれど、通常はメールヘッダーまで確認しないから
> アドレス表記は大学で独自運用していた時と同じで、
> 部外者には企業が管理するものとは分からない。
という文を、「アドレス表記上は部外者に企業が管理するものとは分からない」
という意味と解釈すれば、間違いとは言えない。
ただし、「アドレス表記上は独自運用と変わらない」と「部外者には企業が管理
するものとは分からない」を別の事象として説明しているとも解釈できるので、
> アドレス表記は大学で独自運用していた時と同じで、
> 一見すると部外者には企業が管理するものとは分からない。
くらいの書き方だと突っ込まれなかったかもしれない。
メールヘッダをどれくらい信用するかは時と場合によるけれど、常にメールヘッダを
疑う必要があるのであればインフラとして成り立たないし、メールヘッダをつける意味
がない。
> 一目瞭然なんて、とんでもない。
> 言っている君！そのうち、災いが訪れるぞ。
あなたの言うとおりかもしれない。
が、私にはもっと先に対処すべきリスクがあるので、その災いとやらがきてから対処しよ
うと思う。
Re:どこの管理かわからないって？ (スコア:1)
> 確かに偽れるけど、メールを受信した自分のメールサーバがつけたReceivedは偽れないよね？
それは「自分のメールサーバに送ってきたサーバ」が分かるだけで、「送信元」が分かるわけじゃないでしょ？
今時のメールシステムって基本的にはDMZ/Privateで分けてるからその時点で転送が入るし、
外部のスパムフィルターとかウイルスチェックサービスとか使っていたらそこでも転送入るし、
ヘッダ偽るつもりならそれっぽい外部サーバに転送させるし、一目瞭然とはいかないと思いますよ。
人にもよるんじゃ？ (スコア:0)
Re:人にもよるんじゃ？ (スコア:4, すばらしい洞察)
>ふつうの一般人や、一般の中小企業のメールは、べつに世界のどこにあってもいいだろうけど、産業スパイ等の対象になりかねない企業や重要人物のメールに関しては、やはり情報がある場所も大事じゃないかな？
そもそもそんな重要な情報を平文メールでやりとりするなっつー話ですよ。
Re:人にもよるんじゃ？ (スコア:2, 興味深い)
外の人とやり取りするメールではその通りですが、「内輪でやり取りするメールも暗号化しなければならない」となると、ユーザーの意識を大変革する必要が生じるケースが多いでしょうね。
「組織内でやり取りするメールはセキュア」という前提が明示的にあったり、或いは暗黙の認識として出来上がっていたりする組織はよくあるので。特に自前でメールサーバを運用しているような組織では。
新聞記事の方には (スコア:0)
学内にサーバの運用と管理できる人がいないとかで、外部に丸投げしてるとか。
Re:新聞記事の方には (スコア:1, 興味深い)
新聞読んだ？ネットに出てるのは冒頭だけだよ。本論は紙の新聞で読め。
タイトルに恣意的なものを感じる (スコア:0)
タイトルに恣意的なものを感じるなぁ。
だって国内であろうとセキュリティ的に駄目なサービスはあるだろうし、海外だってきちんとしてるところはある。
きちんとしたメールサーバーを選ぶか自分で運営しようね、って言うなら判るが、海外かどうかなんて些末な問題だろうに。
＃自分で運営するのも素人がやったら既存ホスティング未満のモノにしかならないのは言うまでもないけど。
Re:タイトルに恣意的なものを感じる (スコア:1, 参考になる)
いざという時に国内法が適用できるかどうかってのは大きいんじゃないでしょうかね。
Re:タイトルに恣意的なものを感じる (スコア:2, 興味深い)
上の方で、国内法が適用されない方が良い選択もあると
書いてた人も居るけど、自分が損害を被る事案が発生した時に、
専門的で難解な法律関係のやりとりを、母国語で出来るか
否かというのは、かなり大きい問題だと思うけど。
特に金が絡んだときは大変だと思うな。
後、指摘してる人も多いけど、研究開発関連の機密情報とか。
Re:タイトルに恣意的なものを感じる (スコア:1, おもしろおかしい)
なんていう伝説があるんですよ。
日本からアメリカへの国際電話の通話料金が高いのは、1回線ずつ日本語がわかるアメリカ人が張り付いて文書に落しているからだ、なんていう冗談も。
Re:中国系ソフトの方が怖い (スコア:1)
いやいや、ソフトだけじゃなくハードウェアもですよね。
ほら、iPhoneも中国製だ。いや、iPhoneとかアメリカで設計しているものは
まだマシで、中国国内で設計・製造したハードウェアは何やってるか分からないですよね。
じゃあアメリカなら安心かっていうと、別にそんなこたないしね。
ソースコード、ハードウェアの設計、実装をきちんと第三者が検証して安全であると
確認されたものがどれだけあるんでしょうね。
Re:中国系ソフトの方が怖い (スコア:1, 興味深い)
>中国国内で設計・製造したハードウェアは何やってるか分からないですよね。
このからみで日本政府各省ではイーモバイル使用禁止と聞いた覚えが
Re:中国系ソフトの方が怖い (スコア:1)
毎月のように見つかるくらい脆弱性が多いのでそんなことをするまでもないという。
Re:中国系ソフトの方が怖い (スコア:1)
外部に発覚したものが毎月のパッチの対象になっていたりして。
Re:突っ込みに新鮮さが感じられない (スコア:1, 興味深い)
> むしろ、釣りじゃないかとさえ感じますが。
ていうか、読売の記事の内容は概ねまっとうな話であって、一概に海外サーバへ
置かれること全てが危ないのではなくて「大丈夫？」と疑問符で終わってるのも
それの表れ。
さて、海外サーバにデータが置かれることを危惧する意見に対して、
ツッコミどころ満載だといっている意見のほうがツッコミどころが満載
だと思う。
なんで「こんな記事」といえるのかすら理解していないんじゃないか？
みんなが言ってるからそう思った？
なんで容易に手出しも調査もできない海外サーバに置かれることが危険でないと
鼻で笑う用に言えるんだろう？
国内のクラウドでさえ、安全とは言えないのに。