肝心のいいかげんなパスワードを発行した人間は、なんらかの処分を受けたのかとか、ね。両成敗ならまだしも、一方的な処分だったとしたら、ただの腹いせとしか思えんぞ。ホームページ>たとえば肝心のいいかげんなパスワードを発行した人間は、>なんらかの処分を受けたのかとか、ね。(#62804)AC(匿名さん)で投書するが。お役所の逆鱗に触れなくてもねぇ...お気の毒さま。(#62935)就業時間中に社内から不正アクセスというのはやっぱりまずいんじゃないかなあ。セキュリティアナリストとして知られる古川泰弘さんでさえそれでSRAを首になったというし。日記>就業時間中に社内から不正アクセスというのはやっぱりまずいんじゃないかなあ。会社の資源を使っている限りでは、まずいことに変わりはないでしょう。自宅からすればよいというものでもないですが。(#62953)じゃあどうすればよかったのかな?1.会社で、上司に文書で確認を取り「脆弱性のレポート」として直接NASDAに連絡をとる。2.自宅でこっそり「善意のハッカー」として侵入、記念写真を撮ってNASDAにこっそり送りつける。1も2もダメ?うーむ。方法A:(方法Bができそうにない場合)与えられたパスワードが規則的なため類推可能である疑いが濃いことを論理的に説明する文書を作成する。(実証実験は行わない。)「この状況では当社の秘密が守られていない疑いがある」として、問題提起することの正当性を文書中に示す。この文書を事業団だけに送る。このとき、実際に不正アクセスがなかったかを調べて結果を関係各社に開示するよう求める。これを上司の許可を得て、組織としての対応とする。方法B:他社の社員と、類推の可能性、およびそれがもたらす互いの会社への脅威について、議論をかわす。(実証実験は行わない。)一方の社員が、他社のパスワードを、互いに類推し、紙に書き出してみる。その中に当たっているものがあるかどうかを互いに調べ、あるかないかだけを伝えあう(どれが正解かは伝えない)。見つかったならば、問題があることが(不正アクセス行為を伴わずに)証明される。この仮想実験の内容を文書にし、事業団に提出する。これを上司の許可を得て行い、組織としての対応とする。方法C:(方法Bでシカトされた場合)他社の、当該識別符号に係る利用権者の承諾を得て、実際に類推したパスワードでログインし、ファイルの内容は表示させないで、その様子をビデオに撮影し証拠とする。このとき、当該識別符号に係る利用権者もその場に立ち会い、実験内容を了承する。その結果を事業団に再提出する。方法Cは不正アクセス禁止法以外の点で問題にされるかも...。日記ここまでのコメントも参考にして見ると、1.事業団が不正侵入されたということ。2.その原因の1つに「不正侵入されやすい甘いセキュリティ」がある。3.民間企業職員が事業団の許可なく侵入行為を働いたということ。4.不正侵入をした民間企業職員がその情報を他に漏らしたということ。5.以上「1~4」までの問題を事業団が解決するとき、民間企業のみにその責を負わせようとしているように「見える」ようなやりかたをしたこと。いうことになりますな。ここでは「5.」が問題になっているけれど、どれ1つをとっても、問題が残るやりかたでの解決が図られているのではないか、という疑念を抱かせますね。上記の問題をきちんと分類/分析し、自分たちで「この問題はこう解決しました」という「情報開示」が不完全なうちにマスコミに出してしまうから、こういうたたかれ方をするんじゃないですかね。最近の企業も官庁も、こういった「事後の処置」みたいなことがまるで冷静/慎重にできていない、としか思えないね。みんなガッコの成績のいい優秀なおぼっちゃまおじょーちゃまだったんでしょーにねぇ。状況の把握や判断、常識、という面から見ても、点数をつけるとすると100点満点で10点くらいのことしかできていないよね。「今日も昨日と同じ」ことに慣れてしまうと、人間、ここまで堕落するものかなぁ。それとも、自分所のもみられるかもって思ったら不安になった?だったら、自分のパスワードを変えるがよろし。それができないシステムって一体...。シェア親コメントより多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。Delete残りのコメントを取得50/77コメントを表示タレコむ私はプログラマです。service.閉じるスラド読み込み中...。