SSOあれこれ

.Net Passportにも採用されているので気づかぬうちにお世話になっている人も多かろうKerberosの開発管理が新設されたコンソーシアム組織に移管されるとのこと。

これだけ大規模なKerberos運用者であるにもかかわらず、コンソーシアム出資メンバーにMicrosoftの名は無く、逆に、Liberty Alliance推進者であるがゆえにSAML擁護者でもあるSUN Microsystemsの名が入っている（そりゃ、Solarisには昔から入っていたけど）のに少々戸惑った次第。（MS的にはさっさとInfo Cardに重点を移したい、ってことなんでしょうか？）

BSP準拠して相互運用性を担保できれば実装に何を使ったっていいんですが、このあたりの呼吸がよくわからないのは日本なんて田舎に住んでてたまにしか上京（どこよ？）しない者の悲しさであります。

もう一点、今回のコンソーシアム設立にgoogleも出資しているというのも見逃せないところです。7月のPostini買収の件と今回の件も含め、以前から跳箱的にgoogleの狙いってこーなんでないか？と指摘し続けている方向に話が進んでいるようでなんだかなぁ、の感強し。

さておき、CNETもあおり文句に困ったのかもしれませんが、

マサチューセッツ工科大学（MIT）の試みが成功すると、大企業と同じようにシングルサインオン認証と承認システムを消費者も利用できる可能性がある

ってのは少々浅慮でありましょう。

結局のところ、個々人がどのような運営主体になら、どのような（レベル、種類の）個人情報をどのような目的のためにどのような条件（再開示条件、費用含む）で開示または預けることに同意するか？が問題なんですが、さらにこの問題に付きまとう情緒的反感ないし嫌悪感ともいうべき感情をふくめて落としどころを慎重に探っていかないとシステムコスト上の問題を解決できてもコミュニケーションコストをいくら積んでも合意形成できない泥沼にはまる、なんて恐れが多分にあるので、ああ、困った困った、なんでありましょう。（なんにも解決してない文章だなぁ）時間を掛けてなんとなく、ちょっと便利になったね、を繰り返して漸進するしかないんだろうなぁ。あとクリティカルなユースケースはしばらくいぢらない、くらいの覚悟はしとかないとね。

それにOSS実装があれば消費者が手軽に利用できるSSO環境がポンとできる、っていうならSAMLにだってLASSOがあるじゃん。

まあ跳箱も困ってしまってうんうんうなってるだけなんですけどね。ちょっとやつ当たってみた。

おもしろいけどボツ。

例によってCNETから小ネタをひとつ。

ソフトバンクBBの携帯電話を使用した認証サービス「SyncLock」と日本HPのウェブシングルサインオン・ソリューション「HP IceWall SSO」を連携

うんうん、いいアイディアですが携帯の電池が切れているときどうすんの？

代替経路の安全性を同等水準に確保できないとそこがセキュリティホール（つうか壁の薄いところ）となってしまいます。これを防ごうと代替経路のセキュリティをむやみに高くすると今度は利便性が涙ちょちょぎれんばかりに低下することになる。いや、難しいね。

さて、この分野をきちんと考察したい向きに、一冊だけ紹介しときます。

情報セキュリティ―理念と歴史 名和 小太郎 みすず書房 このアイテムの詳細を見る

べらぼうに良い本です。請合います。

googleあれこれ さらにリターンズ

つい3ヶ月ほど前にPrivacy Internationalに個人情報の取り扱い慣習に問題ありと指摘されて逆切れしたgoogleが、

検索大手のGoogleは、企業が消費者データをどのように保護すべきかを定めた世界的プライバシー標準の策定において率先している一方で、個人が情報を公開されたことによって実際に損害を受けたか否かに重点を置いた救済策を提案している

なんてハテナな書き出しでAPEC Privacy Frameworkを下敷きにした世界標準を提案しているというんですが、世界的（先進国的と言ったほうが正直か）に個人情報保護法制（日本の個人情報保護法や個人情報保護指令およびEU加盟各国の関連法制など）は1980年のOECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data(プライバシー保護と個人データの国際流通についてのガイドラインに関するOECD理事会勧告に示されたいわゆるOECD8原則)を基礎としています。（ちなみに米国は民間分野を包括する保護法制が存在せず、ことプライバシーに関しては個別事後の対応が続いており跳箱的には問題があると考えています）

OECD8原則は、

収集制限の原則
データ内容の原則
目的明確化の原則
利用制限の原則
安全保護の原則
公開の原則
個人参加の原則
責任の原則

を掲げて（定義は日本語訳を適宜参照されたい）おり、APEC Privacy Frameworkの、

Preventing harm 損害の予防
Integrity of Personal Information 個人情報の完全性
Notice ユーザーへの通知
Security Safeguards セキュリティの予防手段
Collection Limitations データの収集制限
Access and Correction データへのアクセスと修正
Uses of Personal Information 個人情報の利用
Accountability 説明責任
Choice 意志による選択

を比較しても表題レベル（訳はCNET版）ではさほど違いが無いように見えますが、実は詳細に見ていくとOECD8原則が掲げる個人情報の定義を本質的な部分でないがしろにしている部分が多々あり、例えば、

The APEC Privacy Framework has limited application to publicly available information. Notice and choice requirements, in particular, often are superfluous where the information is already publicly available, and the personal information controller does not collect the information directly from the individual concerned. Publicly available information may be contained in government records that are available to the public, such as registers of people who are entitled to vote, or in news items broadcast or published by the news media.

と、個人情報収集者（社）が個人から直接集めず、間接的に入手した個人情報は公に入手できる情報であるから"個人情報"とは認めないとしています。（googleみたいな事業者とある種の政府にとっては非常に便利な免責条項だな、と）

しかしOECD8原則の流れをくむ日本の個人情報保護法を例にとると、第二条に

「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。

と記載されている通り、PII=Personally identifiable information（個人識別情報）は網羅的に個人情報であると定義して抜け道を認めていません。

そもｓも実際問題としてAPEC Privacy Frameworkに準拠した新標準をgoogleが提案してもOECD加盟各国法制が要求する水準を下回る内容のものとなってはAPEC加盟国（で、且つOECD8原則準拠の個人情報保護法制を採用していない国）以外では標準として利用不能となるでしょう。

ポーズと実態の乖離が大きな会社だな、と。

P.S.
引用元記事がアップデートされて一項分文章が増えてたんですが、跳箱が指摘したかったことが大体書いてあった。二項目のプライバシー擁護派の見解に賛同の意を表しておきます。

地固め

リバティ・アライアンス、新団体を設立--個人情報の盗難対策に乗り出す
より。

つい最近もNTTComの社内でまたも個人情報漏洩（てゆうか盗難）があったりしたし、カカクコムの事件は跳箱も取り上げてみた通り、システムの安全性確保はインターネットに接続したシステムの存在を前提としたビジネスにおいて重要なテーマらしい。（って当たり前すぎてこのネタ、面白くないなぁ）

とはいえ、インターネットの存在を前提とした社会、ってやつを実現するためにはその前提として現在の社会と同程度以上の可用性や安全性の確保が必須だろうから大事な話なんだろうと思う。

ついこないだも日経ビジネスにアンケートが載ってて、携帯電話の決済を積極的に使いたいですか？という問いに対して利用したくない58.0%なんていう結果が出てた。理由は、紛失した際の安全性に問題がある84.1%なんだと。

じつは跳箱もこの間ケータイならぬカードケースを落とすという失態を演じたのさ。もちろん、落としたことに気付いた次の瞬間、カードの利用を止めてもらうために契約していたカード会社と銀行に片っ端から電話しまくったんだけど、リバティ標準に準拠したシステムだったら一発で全部止められるんだよね。（一発で全部盗まれる可能性もあるんだけど、階層管理すれば良いだけの話なわけで）

ところで落としたカードの中に一枚、スイカ付きのカードが入っていて、カード会社のおねーさんにカード利用停止の手続きしてもらいながら、あのー、スイカに入っていたお金どうなりますか？って聞いたら、それも復活してくれるとの返事。おお、ITバンザイ、とか久しぶりに思った。

こうやって、身の回りに新たな文明の利器を落っことしたり盗まれたりした経験者が増えて、これまでだったらあきらめるしかなかったような被害が無かったことになったりするという経験を周囲に力説しまくるようになってくると段々状況は変わってくるんだろうけど。

クレジットカードだって跳箱の親世代（ってそもそも跳箱何歳？）なんかは月賦屋とか呼んで蔑んでたくらいだったし、あたらしい生活様式が社会に浸透していくのは（それが生活の根幹に近ければ近いほど）時間が掛かるんだろうねぇ。

小倉弁護士のブログ終了する。（てゆうか終了してた）

以前、PII流出しないようにね。（っていうかTorという技術がおもしろそ）その２という記事でちらりと触れた小倉弁護士がWIREDで連載（？）していたブログが気が付いたら終了していました。

一応紹介しておくと、この方、かなり特殊な意見の持ち主でインターネットから匿名性を排除すべき～とかいろいろと面白い持論を展開していらっしゃいましてIT法（なんじゃそら）の（自称）エキスパート（なにそれ）でもあられます。また他者を怒らせる才能にも恵まれていてフレーム（この方独自の造語ですとコメントスクラム）の発生（てゆうか火付け）に関してはまさに天才的な手腕を見せてくれます。

以前はインターネット法律協議会のMLで活動（というかなんというか）されていたんですが最近はWIREDを足がかりにメディア露出を積極的に行って売名（もとい宣伝）に精を出されていたと記憶していました。

かしこまって書くのはこの方、たいへん厄介な方なので失礼があってはいけないと跳箱なりに愚考したからであります。

さて、この方、

Hotwiredの特別企画として開設されてきたこのblogですが、Hotwired Japan 側のリニューアルに伴い、今月いっぱいで終了することとなりました

と書いてブログの更新終了を告知しているんですがWIREDサイトはまるでリニューアルされておらず、他の公式ブログは以前と変わらず淡々と更新されているのでリニューアル（打ち切り）されちゃったのはこの方のブログだけのようです。

コメント欄とか読んでいくとまたいろいろ書いてあるんですが、この方って粘着でうざいんで興味ある方はリンク先に直接行って読んでみてねって感じです。

ご冥福（なんのじゃ）をお祈りしておきましょう。化けて出てくると大変だし。

麻生大臣蒸し返すも不発か？ その後

以前、麻生大臣が社保庁に嫌味言ってた、って記事があったけど、どうもこういうことだったみたいです。


社保庁職員「のぞき見」　麻生総務相トップ

人気者だったのね。しかも、

麻生氏の記録をのぞいていた６３人の中には社会保険事務所長も含まれていた

だって。そりゃ腹立つわ。

麻生大臣蒸し返すも不発か？

総務省のメルマガで麻生大臣が号外を出してた。（てゆうか総務省のサイト、いつの間にかトップページのデザイン変わってた...。）

その後、年金情報を管理している社会保険庁の職員が、職務に関係ないところで政治家等の年金情報を「覗き見」していたことが明らかになりました。同庁の職員２万8277人（非常勤を含む）のうち、平成16年中に業務外で国会議員、芸能人等の年金加入記録を閲覧していた職員が1498人もいたそうです。まことにけしからん話です。

うーむ、厚生労働省が定例事務次官記者会見で認めたのが3/17でそれから20日以上経っているのに本日時点で社会保険庁　目的外閲覧でぐぐっても3440件しかヒットしなかったりとあまり注目を集めていないのがお気に召さなかったんでしょか？

去年、江角マキコさんなんかの社会保険未加入問題発覚ついでに麻生大臣も発覚、のときは大騒ぎになったのに社会保険庁職員が大量に目的外閲覧していたという不祥事があまり騒ぎになってないのは大臣にしたら納得いかないかも。

しかも社会保険庁の調査っていっても自己申告だっていうし...。それにしても自己申告で職員28277人中1498人（5%！）がやっちゃいました、って報告したってことなんで、きっちり調査したらもうわんさか出てきそうでげんなり感たっぷりなことは確か。（なんか部署ごとに人柱立ててたりしたらやだなぁ、XXくん、すまんが頼むよ、みたいな。）

全体的な盛り上がり不足は、こいつが悪者～って、祭り上げるべき役者の不在が原因かなぁ。

まあ、大臣の本意は、

総務省では、個人情報保護法制の一環を成す「行政機関個人情報保護法」と「独立行政法人等個人情報保護法」を所管しており、これらの法律も４月１日から施行されました。実は、国の行政機関については、コンピュータ処理を行う個人情報について、すでに昭和63年に制定された法律によって保護措置が講じられていたのですが、今回、その法律が全面的に改正され、紙の書類に記録された個人情報が対象に加わるなど、その内容が充実・強化されました。国民の安心・安全を確保すべき政府が、個人情報の漏えい等という事件を起こしていたのでは話になりません。これらの法律によって、個人情報の保護に万全を期していきたいと思っています。

ってことなので官公庁も独立行政法人も締め上げるぞ～、という決意表明なのかもしれないけど。

それはそれでたしかに大事なことな気がするのでがんばれ～、とは思うけど、足元の住基ネットが問題起こさないようにしないとね。台無しだし。

個人情報保持のリスクについて考えてみる

http://www.japan.cnet.com/column/mori/story/0,2000050579,20082508,00.htm
と
http://blog.goo.ne.jp/tbinterface.php/045ff0fe738f25a3160d664f443dead5
より。

先日、CNETで連載されている森祐治氏のコラムにげんなりした後で個人情報保持のリスクモデルってどう考えるべきなのか考えてみた。

前回、このブログ（てゆうか前身の徒然草で）個人情報保護のコストとリスクモデルについては保険や広告効果と比較するほうがいいんじゃないかと脊髄反射で書いたけどこの点、もうちっと掘り下げてみる。

個人情報漏洩のリスクって、

個人情報漏洩"事故"
個人情報漏洩"事件"

の二つの側面を持ってて、

損害賠償、個人情報管理体制（多くの場合はデータベースの管理体制）の見直し費用の発生、ブランド価値の毀損（に伴う広報宣伝費用等の新規顧客獲得コストの上昇と既存顧客の流出率の上昇、残留（？）顧客の客単価低下等）、といった予定外の金銭支出の恐れに集約されるリスクファクター（従業員のモラルダウンによる労働生産性の低下とかいったファクターは因果関係が逆の可能性もあるので別に考えてみたほうがよさげ）

に対して、

確率論的な安全評価手法を用いてよそ様と比較可能な状況を作ったうえで、

相対的に競争優位が作れそうなら、

期待効用理論的に考えて費用対効果の観点から受け入れ可能なリスクに収まるか考えて、

Yesなら個人情報を自前で管理すればいいし、

Noooooo!そんなん無理、って思うならよそ様に管理してもらうなりすればよろし。

Noな場合は、そもそも個人情報に一切触れない形で自分の仕事できるようにして継続してもいいし、それも無理なら商売替えればよろしい、ってことになるのでは？

あー、こう考えて行くと

ペイオフに対するポートフォリオ運用などの理論解

って説と個人情報保護のリスク評価って大して違わない気もしてきたなぁ。

となると問題は、PマークもTRUSTeも取得したらどんくらいのリスクに対してどの程度の効用が期待できるかのベンチマーク出してない（出してるのか？）って点かも。それなら、取得に二の足踏んでもしかたないね。

資格取得という根拠なき圧力

って部分にはなんとはなしに同意できる気もするけど、やっぱり、

根拠なき圧力、じゃなく、PマークやTRUSTeが持つブランドバリュー、なんじゃないの？

行政書士に頼んだら安く済む業務でも高い金払って弁護士に頼みたがる人がいる、とかいう話と同じようなことなんじゃないのかな。

森氏がPマークやTRUSTeは無駄だ、意味ないんだ、ってキャンペーン展開して、市場から支持されたら森氏が感じている恐怖感ってなくなるんじゃない？