今回の年金情報漏洩で発生した費用は税金で。。

Question

今回の年金情報漏洩で発生した費用は税金で。。という答弁があったようですが、すこしちゃんとした企業なら、メールサーバで、フリーメールやYahooメールなど個人が特定できないドメインからのメールはフィルタリングするようになっていると思います。巧妙なメールなどというおみこし担ぎな論調の報道も見受けられますが。入っていたイントラを構築した大手業者は何をやっていたのでしょうか。年金機構のHPは脆弱性が見つかったということで、閉鎖しています。少しチェックしたらいろいろ見つかったのでしょう。HPの脆弱性は多くが不適切なプログラミングです。端的にいえばバグです。自分のバグを自分で見つけて修正するのにまた、税金を使うのでしょうか。ねんきんネットでは最近「機能改良のお知らせ」が多く来ていましたが、本来やるべきことをやっていなかったということですね。予算獲得の良いチャンスとにんまりしているのかもしれません。痛みを感じなければ、決して改善は進みません。業者が企業の誇りにかけて持ち出しででも対策すべきです。そうでなければ、そのような企業に今後、システムを依頼するところはなくなるでしょう。年金機構も業者名を公開すべきです。みなさんのところはメールのフィルタリングやHPの脆弱性チェックはどうなっていますか？問題あればどうされていますか？旧電電配下の大手企業は技術はあるでしょうに、セキュリティ意識が低く、コスト優先な気がします。ISMSの認証状況の開示についても、部門認証にもかかわらず、全社認証かのような表記をしているところも多いようです。商売のネタとしか考えていないような気がします。再委託が多いせいでしょうか。残念な限りです。

Answer 1

年金機構の漏洩は、年金機構職員がセキュリティーシステムを実質無効化したためにおこりました。
さらに導入及び運用は、ベンダー提案を自主判断で導入できず、厚生労働省の実質指示に従わざるえず、厚生労働省基準のものにしました。
役所社会の掟のようなものに従っただけなのでしょうね。

例えるなら、玄関ドアの生体認証の自動ロックを提案したベンダー提案には聞く耳もたず、厚生労働省基準にあわせナンバーキーのドアにした。毎回、カギをしめることにしたが、職員はいちいちあけたりしめたり面倒くさいのでカギをわざと解除したままにして出かけたようなものです。

追記
一時期は、yahoo.co.jpなどのフリーのメールサービスのドメインをブロックする会社も多かったんですが、ブロックするところはかなり減りましたね。

理由は、迷惑メールフィルタの進歩と利用の増加、サービスの多様化、メールサービストラブルの経験、利便性。

Yahoo!BBの有料サービスで追加メールアドレスを取れるが、yahoo.co.jpも取れてしまう。
（利用者にはフリーに見えない）
Androidスマホは、使用開始時にGmailアドレスを持っていないと使えない。
メールにそれを使うひともいる。

プロバイダーやホスティングサービス、自社メールサーバを利用していてもトラブルにより大なり小なり停止し、メールが使えないときがある。
そういう時は、フリーメールサービスを利用。当然、相手は受信できるようになっていないといけない。
危機管理上やむおえない。
神戸震災や東日本震災でサーバ室が、地震や停電で使えなくなり自社メールが使えなくなった会社も多数ある。
そういう時もフリーのメールは有効。

自社役員が、自宅や出張先から緊急メールを送信するのにフリーのメアドからなんてこともある。
役員からyahoo.co.jpからの着信を要求されたら断れない所は多い。