ちょっくら銀行まで。どういうふうに対処するのがいいのかご相談。
までも口座変えるしかねーのかな。
口座を変えてきた。というか解約→新規開設ということなんですが。これから振り込みやら引き落としやらの先に連絡せねばなりませぬ。
めんどくせえよお。
さて。
まあなんていうか、ちょっち認識が甘い感じでしたねえ＞漏洩もと。というか、そもそもメーカーの売り方の問題というかね（笑）。そのあたり振り返ってみようかなあ。
経緯とか
この日記でも何度か「指紋認証」なんてそれだけじゃちーとも安全でねーわな、などと書きましたが、今回の件がまさにそれを地でいくというか、そんな感じでした。会社の対応が甘いのも、結局そこに原因があるというか。
先日突然封書で詫び状が届きました。
個人情報が入ったノートパソコンが盗まれたのだそうですが、詫び状をもとに直接電話して聞いてみると、そこに書かれていた住所や氏名だけでなく口座番号も漏れていたことがわかったわけです。まあ、住所等、とか書いてあったし、間違いではないのだけど、被害者にとってどちらの情報の方がインパクトがあるのかは自明ですよね。ひとりひとり違う情報が載っていたらしいので、統一的文章としてはそういう表現にしてしまいました、すみません、と謝っておられましたけどね。
まあでも口座番号が載っていたとなると、こちらも真面目に対処を考えないとなりません。
で、どんな保護をされていたのか、さらにいろいろと質問してみたわけです。
保護策
まず、そのコンピュータでは「保存フォルダ単位で暗号化」されていたとのことです。セキュリティに関する情報なので、具体的な方式とか機種などは伺えなかったのですが、例えば素のEFSのように鍵がハードディスクにあるじゃん、という状態ではなくて、鍵を削除してしまうというかなりハードな運用をしていたそうです。当然その場合復旧はできませんが、情報の機密性を保つためにそれも致し方なし、としていたのだそうで。
なかなかここまで思い切った運用はできませんけどねえ。
となると他のパスワードに関する保護策も気になりますが、そちらも具体的な方策は伺えなかったのですが、話から推測するとどうやらBIOSパスワードがかかっていて、さらにWindowsログオンのパスワードもかかっていたようです。
そしてそれで終わりではなく、さらに指紋認証しないと電源が入らないようになっていたとか。
このあたりまで聞くと、機種について聞かなくてもどこのヤツかだいたい想像できますが（笑）、ある意味ユーザーとしては利用できるセキュリティ機能は最大限に利用していたと言えるかも知れません。
保護の回避策
しかし、セキュリティな人としてはどうしてもイヤな目で見てしまうものです（苦笑）。堅牢に思えますがほんとにそうなのか？とか思っちゃうわけですね。
まず、指紋認証ですが、結局これがどれほど安全に寄与しているのか、そのあたりは疑問ですね。この日記でも書きましたが、ノートパソコンの場合指紋なんてそこらじゅうに付着してますよね。それをグミなり木工用ボンドなりに写し取ってしまえば、認証なんて欺せるでしょう。写し取るのもそれほど困難とは思えませんしね。
指紋認証がなぜヤバいのか、というと、これは結局鍵管理の問題に他ならないからです。指紋認証付きノートパソコンを落とす、盗まれるってのは、鍵と錠前を一緒に落として、盗まれてしまうようなものなので、ちょっと頭ひねればすぐ錠前をあけてしまえるわけですね。
さらに言えば、BIOSパスワードもそれほど良いわけではなさそうです。BIOSパスワードってのは、リカバリーに手間がかかることもあって、メーカーが決められたパスワードを用意している、という話もあります。実際に自分で試してみたことはありませんが（ほんとかよ（笑））、具体的な情報を見たこともあります。ってことはもしかするとこれも回避できちゃうわけですね。
そうなると最後の砦はWindowsパスワードですね。それにはまず、ハードディスクそのものが暗号化されていたのかどうかが問題になります。それによってSAMがいきなり読めるかどうか、という話になるわけですからね。しかし、もし暗号化されていて、SAMをサックリ読めなかったとしても、いったん電源をONにして、Windowsパスワードを待ち受けている状態にまで持って行けたならば、あとはカインとかアベルとかロフトとかで何とかなっちゃうような気がしますねえ。
まあいろいろ疑問点はあるのですが、それにしても各要素これだけはっきり回避策が見えてしまうと、その時点で終了、という感じですかねえ（苦笑）。
会社の対応
「盗まれたけど、その事態も想定していろいろしてました、だから基本安全だと思います」というのが前提になっているのと、「盗まれたんですが、保護策もちょっと心配です」というのが前提であるのとでは、やはり会社のスタンスが異なるのはしょうがない気もします。しかし、こうした場合にはむろん後者として対処すべきでしょう。おそらく「安全ではあると思いますが、大事な○○情報が入っていましたので、お手数ですが変更等対処お願いします」としたら良かったのでしょうねえ。今回紛失が発覚した直後から警察と連携して調査し、盗まれたらしい、ということがはっきりしてからお知らせが来たのですが、その間一週間以上かかっています。この時間を費やしたのも、無くなったとしてもまあ中身は読めないし、いたずらに不安にさせるのではなく事実関係がはっきりしてからお詫びしよう、という心理だったのではないでしょうか。しかし、「安全ではあると思いますが、大事な○○情報が入っていましたので、お手数ですが変更等対処お願いします」というスタンスであれば、紛失直後にはその旨連絡していたかも知れないですよね。
まとめ（笑）
まあでも、セキュリティが本業ではない会社の人の知識が不足していた、ということが責められるよりも、誰がコンサルをやったのか（やってないのか）はわかりませんが、セキュリティ対策を考えた人が問題だったような気がします。さらに言えば、いろいろ機能を備えさせて提供しているのだけど、結局どのような条件でどのように活用すれば安全なのか、それを示せていないコンピュータのメーカーにも問題があると思います。もっとも、メーカーがそういうことを微妙にぼかしてセールスしていたとしても、コンサルはそこをシビアにしっかり考えないとあかんでしょうけどねえ。
もっと一般的な教訓を得るならば、指紋認証が付いていれば安全だ、という幻想は捨てなければならないでしょうね。指紋認証と指紋が付いているノートパソコンって、ディスプレイにパスワードが貼ってあるのと同じなんですからね（笑）。
その手のパソコンをお使いになるならば、手袋をすることをお勧めします（爆笑）。手袋してPCに向かうって、でも逆にかっこいいかもヽ(´ー`)ノ
どうすべきだったのか？
ここからは別料金で（爆笑）。
まあでも、その業務に関して言えば、ほんとうにノートパソコンである必要があったのか、という疑問はありますね。これがデスクトップ型で指紋認証付きとかだったら、もしかして鍵が付着していなかったかもしれないし、盗む人も持ちだし面倒だしノーパソより金にならなそうだし、いろいろな面でリスクは低減できていたような気がしますねえ。
その他にもやるべきことはいろいろとあると思いますが、そのあたりの話はコンサルのときにでもお話することにします（おいマジかよ（笑））。
おまけ
ちなみに、あちきは女性用下着を買っていたわけではありません（笑）。念のため。
