Fox on Security

セキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。専門はPCI DSS。

神奈川県は羹に懲りて膾を吹いた

昨年12月のブロードリンク社事件の再発防止策は、神奈川県庁の職員の方々にとっては手間がかかる作業を強いられる結果になったと言えそうです。

this.kiji.is

 

 個人情報を含む神奈川県の行政文書が記録されたハードディスク(HD)が流出した問題で、県は24日、独自の再発防止策をまとめた。リース契約したサーバーを返却する際は、県職員がデータを消去した上で、契約事業者が磁気的破壊と物理的破壊を実施するとした。

 外部の専門家を交えた検討チームの2回目の会合で詳細を詰めた。総務省は昨年12月の事務連絡で物理的破壊または磁気的破壊を行うよう自治体に求めているが、より厳しく両方実施する対策を取り入れた

 専用ソフトウエアなどでデータを消去し事業者による破壊措置は職員が立ち会って県管理下の施設で実施する。パソコンやタブレット端末のデータ消去も徹底し、事業者との契約には返却後2カ月以内の消去証明書提出を明記する

 新たな防止策は、事業者と協議した上で現在リース中の機器にも適用する。

(神奈川新聞記事より引用)

 

◆キタきつねの所感

より厳しいセキュリティを課す、神奈川県の対応方針はセキュリティを考える上では素晴らしい対応です。この作業を行う職員の方々の「手間」「リース費用UP」を考えなければですが。

 

総務省の事務連絡が出た際にも(一部で)話題となっていましたが、「これ本当にやらせるの?」という職員の手間の点と、リース物件は所有権がリース会社側にあるので、「ハードディスク(SSD)」の物理破壊させるのは、買い取り(入札費用UP)になってしまうのではないか?という、当時から指摘されていた点が、そのまま残ったまま実施を決めた神奈川県は、ある種の「漢らしさ」を感じますが、本当に考えた上での結論だったのか、他人事ながら心配になります。

www.itmedia.co.jp

 

改めて言うまでもなく、再発防止策の内容は素晴らしいです。

 ①県職員が専用ソフトウェアなどでデータを消去

 ②契約事業者が「磁気的破壊」と「物理的破壊」を実施

 ③破壊措置は県職員が立ち合い、県管理下の施設で実施

 ④対象はサーバー、パソコン、タブレット端末

 ⑤契約事業者には2か月以内の消去証明書提出を求める

 

①は、返却前に専用消去ソフト(通常は複数回上書き)を使う事を指していますが、ここはよく分かります。むしろ、今まで神奈川県庁側が実施してなかった事の方が問題です。ここを完全に業者任せの性善説運用にしていたのは、県庁側のセキュリティ部門の方々が、あまり仕事をしてこなかった事の表れと言えるかも知れません。

 

②は・・・リース会社側は、HDD/SSD等部材買い取り費用を当然計上してくると思いますし、リースUP品をメンテナンス後に再利用(販売)する手間が増える事を考えると企業努力ではカバーしきれない、対応コストUPが想定されます。つまり神奈川県のリース品に対する調達コストが上がる可能性が高いかと思います。とは言え、それを是(コストをかけても良い)としてこの対策が出てきているのだと思います。

総務省の事務連絡では

 

外部の専門家を交えた検討チームの2回目の会合で詳細を詰めた。総務省は昨年12月の事務連絡で物理的破壊または磁気的破壊を行うよう自治体に求めているが、より厳しく両方実施する対策を取り入れた。

 

と、「磁気破壊」と「物理的破壊」のいずれかの実施が推奨されていたのを、両方取り入れる・・・ここは、両方の対策を実施する意味が見出せません。順番として磁気的破壊をしてから物理的破壊を実施するしかありませんが、物理的破壊をしたHDDからデータを復旧させるのが極めて困難である事は、様々な事例からも明らかなのですが、

ドリルでHDD破壊…検察を本気にさせた小渕優子氏|日刊ゲンダイDIGITAL

 

両方実施した方が良い(運用負荷を考慮しても問題ない)と助言した「外部の専門家」の方の見解をぜひ、お聞きしたいものです。

 

物理破壊や磁気破壊がより安全な策ではありますが、海外では専用ソフトウェア消去によるデータ消去でも問題無いとされている事が多いかと思います。

参考 データ消去方式 | 株式会社ウルトラエックス


 

③の県施設での県職員立ち合いの下での作業ですが、リース関連費用のUP要因になるのではないでしょうか?この事が指すのは、HDD/SSD等の物理破壊消設備を、契約締結業者が県関連施設に持ち込みをする事、あるいは神奈川県がこうした設備を保有する事を示唆しています。

もし後者であり「専用設備」を神奈川県が常備するのであれば、最初から県職員がHDD/SSD等を破壊した方が、変な業者に依頼してHDD/SSDを不正にヤフオクで販売される可能性もなくなり、更に安全です。

もし前者であるならば、専用設備を毎回「持ち込む」事まで入札要件に入ることになります。破壊装置が小型のものが使われたとしても、台数を並べて並行処理が出来ないと作業時間が長くなると思われますので、処分すべき記録媒体が多数あり、それぞれに処分方法が違うと考えると、「処分費用」が高くつくだろうな・・・と想像されます。(神奈川県は強度なセキュリティを勘案して、コスト増を選択したと言っても過言ではないのではないでしょうか?)

www.47news.jp

 

 

④は対象機器ですが、サーバーやPCはまだ分かりますが、、タブレットをの記憶装置を破壊、、つまりリース品であれば買い取りするしかない状態になるという事を示唆しています。ここは神奈川県としてポリシー(対策費用が嵩むのは仕方がない)ではありますが、ソフトウェア(論理)消去でも良いのではないかな・・・と私は思います。

 

⑤は消去証明書(証跡)ですが、職員が立ち合いしているのですから、「破壊」が完了したら、そんなに時間を置かずに入手可能なはずです。2か月が長すぎる気がします。

 

 

参考

foxsecurity.hatenablog.com

 

 

本日もご来訪ありがとうございました。 

Thank you for your visit.

 

猫舌のイラスト

 

更新履歴

  • 2020年1月25日AM(予約投稿)