情けないソニーのセキュリティ対策、頑張れ日本

　ソニー・コンピュータエンタテインメントのゲーム機向けオンラインサービス「PlayStation Network（PSN；プレイステーション・ネットワーク）」および映画・音楽配信サービス「Qriocity」の情報漏洩に続き、米ソニー・オンライン・エンタテインメント（SOE）が管理・運営しているシステムの情報漏洩が問題となったが、5月7日には新たにソニーの米国子会社ソニー・エレクトロニクスのWebサイトから約2500万人分の個人情報漏洩が報じられた。これによると、5日の午後にハッカー交流サイトで指摘されていることを発見して削除したとのことであるが、実際に個人情報の入ったExcelファイルが削除されたのは6日になってからのようだ。

　ハッカー交流サイトとされる掲示板が最初にこの問題を指摘したのではなく、情報セキュリティの専門家がTwitterで5日の夕方に指摘した脆弱性が転載されたのが事の始まりのようだ。その脆弱性は、Webアプリケーションのソースコードが丸見えになっているというもの。Webアプリケーションのソースコードを見えなくするのは基本的なセキュリティ要件であり必須である。なぜなら、ソースコードが見えてしまうと、データベースへのアクセス方法や場合によってはパスワードまでもが露呈し、泥棒に金庫の場所とアクセスコードを渡すようなものだからである。

　Twitterでつぶやかれたすぐ後には、掲示板にそのWebアプリケーションへのURLが掲載され、そのURLをクリックすると誰でもソースコードを見ることができた。そのためそのソースコードが解析され、その中に問題のExcelファイルの名称があった。さらにExcelファイルへの直接のURLが掲示板に掲載され、6日未明には海外のハッカー情報サイトに掲載された。それからやっとリンク先のWebアプリケーションとExcelファイルがサーバーから削除された。

　さらに、7日夕方には、前述の掲示板で海外のソニー関連サイトのXSS（クロスサイトスクリプティング）の脆弱性が公開された。XSSへの対策は、入力値や出力値のチェックを行えば済む話であり、これは今ではWebアプリケーション開発における"いろは"の"い"である。高度なテクニックではなく、全てのWebサイト構築上の常識である。その他にも様々な脆弱性が情報セキュリティ専門家らの手によって発見され、情報処理推進機構（IPA）などに報告されているようである。

　5月1日には1週間後をめどにPSNとQriocityの一部のサービスを再開するとしていたが、7日には延期が発表された。ここ数日間の動きから、これからも脆弱性が指摘されたり情報漏洩につながる攻撃が行われたりすることが予想されたからであろう。
　プレイステーション関連では、2000年にもWebサイトから情報が漏洩し、このときも初歩的な脆弱性を突かれ、誰でも他人のデータを閲覧できるようになっていた。
早急に建て直しを図り、日本を代表する企業として、これ以上の日本ブランドの失墜を避けるという意味でも、基本的な対策はもちろん、期待されるレベル以上のセキュリティ対策を講じて頂きたいものである。

　ソニーは、悪いニュースを迅速に情報開示しなかったとして非難を浴びる最新の日本企業になった。東京電力は3月11日の東日本大震災の後で起きた原子力発電所事故の件で批判されている。昨年にはトヨタ自動車が大型リコール関連問題で酷評された。

しかし大企業はたるんでいる。情けない話である。

需要の少ない時期に節電しても“愚策”にしかならない

　電力受給に関する盲点は「まず電力需要ありき」という発想である。すなわち、需要は経済や産業動向で勝手に決まり、その予測の基に供給を組み立てるという供給者発想だ。この発想がある種の“思考停止”を作り上げてしまっている。もういいかげんこの時代遅れの発想から脱すべきで、需要と供給の双方向性をもったダイナミック・プロセスのマネジメントとして考える国の産業政策が必要だ。

　電力は「社会共通資本」と考えるべきである。今後は、需要と供給とをフィードバックし、それに応じて、ピーク時とそれ以外との価格差を大きくし、企業が電力の使い方を変えるくらいの価格政策が必要だろう。これを積極的に進める大枠の方針を国が速やかに打ち出すことが肝要だ。その上で、企業や家庭の節電などを考えるべきだ。

　電力需要が1年で最も少ない時期である4月〜5月に横並びで節電しても効果は少ない。生活習慣を見直す意味では結構なことだ。しかし、本来は、夏と冬のピーク時対応をどうするのかの議論に集中すべきだ。そのためには需要と供給に関するきめ細かい情報公開が必要である。東電は他の電力会社に率先して積極的にデータを公開すべきだ。東電のテレビ広報を聞く限りでは十分な細かい情報を持っているのに公開していないように思える。秘密にする理由などほとんどないはずだ。

　このままでは「サマータイムをやるべきだ」とか「衆議院議員会館のエレベータを1台しか動かさない」など、ほとんど意味のない議論や行動がはびこることになる。データを基に施策の効果を確かめ、意味のない案は排除しないと、愚案がはびこる結果になりかねない。それが結果として経済損失につながることを恐れるべきだ。