以下、個人的な見解であり、第三者を攻撃したり非難するものではありません。
雑談でもあるので、興味のない人は読み飛ばしてください。
Antiny経由による情報漏えい事件、日経新聞のインサイダー取引、スカイマークエアラインズ社の整備不良、日本郵政公社での１億円搾取容疑などの事件を見て、最近、日本の企業におけるモラルハザードが蔓延しているように思います。
事件を引き起こしているのは、人であり、その人を管理するのも、また人です。企業のマネージメント体質がどうなっているか、とても疑わしくなることばかりです。それだけではなく、企業に参加している人それぞれも信用できなくなってくるかもしれません。
たとえば、最近、私に知らない会社から突然電話がかかってきました。相手とは完全に面識はありません。名刺を交換したこともありません。なのに電話の相手は「ＩＴ企業社員名簿を買って、それを見て電話してきている」と言い放つ。いったい、誰、情報漏えいさせた人？
私の所属する企業では、個人情報保護にものすごく力をかけてコミットしています。すべての社員は個人情報保護について学んでいます。
でも、なぜか情報が関係のない第３者に流れている。よくわかりませんが、誰かが悪さを働いているのでしょう。
ＰＣが気軽に使えるようになって、困ったことは、デジタルデータが簡単に外部に漏えいしてしまうことです。
たとえば、社員の座席表がExcelシートで共有されている企業は少なくないでしょう。そこには内線番号や社員番号、座席番号などが記載されていると思います。
このデータに対して、何のプロテクトもかけないで放置していたら、どうなるでしょう。
社員数が数十名ならまだしも、５００人とか１０００人単位のまとまった人数になれば、それを売ればお金に化けます。
人数が多くなって、情報の内容が細かくなればなるほど、高く売れるでしょう。
この「お金」に欲を出すと、企業の不祥事が必ず起こります。欲を出すのは、「より多くもらいたい」、「より払いたくない」という２つの道があります。
悪意の第３者による意図的な情報漏えいは、「より多くもらいたい」欲から発生します。情報を事前に知りえたことで不正に利益をあげた日経新聞の社員によるインサイダーもこの欲です。また端末を操作し、自分名義の郵便貯金口座に架空の預け入れを行った元郵便局員の事件なんかを見ると、金融機関のずさんさに呆れるしかありません。
「より払いたくない」欲から発生している問題は、Winnyによる情報漏えいやスカイマークエアラインズ社の例につながります。
Winny等のP2Pソフトウェアで不正に有償ソフトウェアや著作物を入手している一方で、ウィルス対策ソフトに「金を払いたくない」から何の予防もしていないケースは、（ソフトウェアを生業としている私から見ると憤りを覚えずにいられないのですが、）一人の失敗が、企業や団体に大きな損失を与えます。また、P2Pソフトウェアだけを槍玉にあげずとも、企業内の共有リソース（個人・サーバの共有フォルダ）にセキュリティがかかっていなければ、いくらでも情報は漏えいします。
どちらの問題においても、元のデータは存在するわけで、データが価値のある情報に化けるプロセスでの企業マネージメントが欠落しているのではないかと思います。また、情報資源管理という観点でのマネージメント・セキュリティ管理がかなりずさんなのではないかと思います。
データの発生から運用、破棄にいたるまでライフサイクル全体での情報保全を考えて活動するような企業プロセスであるべきなのではと感じます。
たとえば、暗証番号が漏えいした事件においては、場所と暗証番号というデータにより一意の情報が確立するわけで、それが一体となっていたから情報漏えいとなったわけです。これが単にランダムな番号と暗証番号だけのペアになっていて、別のデータと結合しなければ情報にならないようになっていたら、被害は大事にならなかったでしょう。また、たとえ、場所と暗証番号が一つの文書になっていたとしても、文書を開く際に、強固なパスワードを必要としていれば、どうだったでしょうか。さらには、暗証番号自体をなぜに文書にまとめていたか、という業務上不可解な問題があると思います。システムでいくら防御しても限界で、モラルのない人にかかれば、いくらでもデータや情報は漏えいします。
一方で、データを人を含めたシステムで管理していても、入力側の問題で情報が虚偽のものになるケースもあります。スカイマークエアラインズ社の整備不良の例においては、整備士とパイロットとの２者間での連絡だけでなく、第３者の監査が入れば、問題を未然に防げたかもしれません。整備不良である飛行機が尊い人命を乗せて空を飛ぶのは恐ろしいものです。大事故がなかったからよかったものの、もし大惨事になっていたら・・・。時間と修理にコストをかけてでも安全第一であるべきだと思うのですが、なぜ、コストをかけずリスクを取り、利益を追求するのだろうか。一体、企業内でどんな情報交換が行われていたのだろうか。理解に苦しみます。
＃ 別の航空会社で、離陸前に故障を検知して修理したのはいいけれど、日本語のアナウンスは「少々お待ち下さい」で英語のアナウンスは「１５分から２０分ほどお待ち下さい」と言ってのけたところがありました。結局、滑走路で２時間待ち、というのを経験したことがありますが、その会社も経営体質の問題でもめています
本題にもどり、モラルハザードがいろんなところで生じているのは否めないと思います。特にコンピュータやネットワーク上で発生しているモラルハザードは、システムだけではどうにもならないと感じています。人の倫理観について、きちんと教育を受けてきていない人が多いこと、企業において社員教育が徹底していないこと、コンピュータに関してリテラシーが正しく教育されていないこと、多くは、「無知」から生じていると思います。
「無知」といっても、学ぶ機会が与えられなかっただけであり、多くの場合はその人本人の責任ではありません。その人をマネージメントする人の責任です。社会人であれば、上司、学生であれば、親と教師。多くの家庭や企業が高速なインターネット回線に繋がっている一方で、そのネットワークを利用する側の人がネットワークのスピードに追いついていない。無論、電子レベルで見れば追いつけるわけはないのですが、言いたいことは、ネットワーク利用者のモラルがネットワークの発達に追いついていないということ。モラルが一定水準に達していないまま、高速ネットワークを使い、データ（あるいは情報）の交換ができてしまう。これは、とても危険な問題だと思います。
また、難しいのは、情報が自由に発信できる一方で、それが諸刃の剣となることです。メールのトラブル、掲示板やブログのトラブル。これらにいたっては、システムでは防ぎようがありません。書いた人の主観と受けた人の主観の食い違いは必ず生じるし、掲示板なら煽りが入るし、顔が見えないから書きたい放題・攻撃し放題。１０年以上前にパソコン通信からの流れでインターネットに入ってきている人は、過去に十分経験値を積んでいるから対処する際にも冷静になれると思いますが、そういった経験のない人たちは、ネットでの発言の影響力というものをあまり考慮せずに言いたい放題書いてしまうように感じます。それを好んでいる人もいるので完全に否定するつもりはありませんが、常識の範囲でやってはいけないという境界線が存在するはずです。
このブログは、PASSJなので、データベースについても触れたいのですが、若手の技術者の中には、ストアドプロシージャを利用する意味がわかっていない人がいます。彼らに言わせると「テーブル名や列名が見えないから可読性が悪くなる」や「SQL文と違って面倒」などという意見が大半を占めます。私がデータベースを管理する立場だったら「テーブル名なんて絶対に教えない」というでしょう。あえて、極端な例をあげているのですが、視点の違いがわかりますか。
企業でも個人でもデータベースを利用したシステムには機密情報が格納されるはずです。では、データベースを設計した人が、システムが実運用体制に入ってからもデータベースにアクセスする権限を所有していたらどうなるでしょう。機密情報はいくらでも取り出せます。また、データベースにアクセスするアプリケーションを開発したエンジニアはどうでしょうか。実運用体制になってからも直接データベースにアクセスできるならば、データベースの破壊の可能性が高くなります。データベースを設計した人のアクセス権はデータベース設計が完了した段階で剥奪すべきです。また、アプリケーション開発を担当するエンジニアには実際のテーブル構造は公開せず、必要なデータを取り出すためのストアドプロシージャを記述し、アクセス権を限定して渡すべきでしょう。
先ほどの視点の違いとは、開発者の主観による立場と、企業（ならびに学校を含めた団体）における情報資源保護の立場です。
たとえば、ユーザ認証をActive DirectoryやLDAPを使わず、データベース内で独自認証用の管理テーブルを持たせたとします。パスワードに該当する部分の列へのデータはどのように書き込み・読み込みしますか。もし、パスワードになんらアプリケーションで暗号化を行わないで平文でテーブルに格納されていたら・・・。私が悪者だとしてそんなテーブルを見つけたら面白い実験を試みるでしょう。
ネットワークでシステムが動くようになって、いろんなシステムでパスワードが要求されるのが面倒だと感じている人は多いはずです。もし、パスワードを平文で格納しているテーブルを見つけたら、そのパスワードを使って、ドメインアカウントへのログオンを試みるでしょう。ログオンに成功してしまえば、もはやその人の情報はのぞき放題になります。リモートデスクトップでＰＣに侵入することやメールデータを奪うこと、あるいはそのユーザに成りすましてメールを送信するのも容易です。何人かでつるめば企業内のコンピューティングを麻痺させるのは簡単です。
ともかくデータベースの内容に簡単にアクセスできる環境を公にしているのは企業として問題なわけです。
ところが多くの企業はデータベースの管理に対してきちんと投資をしていないので、データが統合できず、常にデータの不整合と戦い続けなければならないという矛盾を抱えています。データベースにおけるドメインがきちんと定義されていて、それに基づいたデータモデル・データベースが企業の成長とともに継続的に改善されている企業体は非常に少ないと思います。Ｍ＆Ａに伴うシステム併合・データ併合というのは、今後も可能性がたくさんあるかと思います。非常に小さい企業体同士の合併なら影響度は少ないでしょうが、大企業同士の合併となると、一大プロジェクトになるでしょう。
（余談：ただし、データベースがアプリケーションから丸見えではない状態、つまりストアドプロシージャを使って開発しているアプリケーションならば、データベース側の統合が完了すればアプリケーションを変更しなくても済ませられる可能性があります。）
Ｍ＆Ａの時にも、データの漏えい、情報の漏えいの危険性が高いので、システムインテグレータの方々には事故を起こして欲しくないと願います。
また、アプリケーションからデータを簡単にエクスポートできる環境が提供されていると企業として問題なわけです。
例えば、CRMシステムで管理されている顧客台帳に相当する情報は、営業担当者から簡単にアクセスできると思うのですが、２次加工できるようになっていると、困り者です。その担当者がデータと一緒に競合会社に転職したら・・・。
いろんなケースをあげていけば、「きりがないじゃん！」というわけで、最終的には「人」をどう教育していくか、管理していくか、さらには、企業・組織全体でモラルを向上させる方法を出来る限り繰り返していく、他に打つ手はないように思います。
昨今の事件を見ていて、「（Winnyの件に関して）専門家に相談するしかないね」と発言された方がいらっしゃいますが、これらは人災なので、国はもちろんのこと、自治体・企業体・学校、その他、最終的には家庭内できちんと教育していかないといけない問題だと思います。
データベースを扱う人々には、倫理的に正しい道を進んで欲しいと思います。もし機密情報に触れるような機会に遭遇したとしても、決して誘惑に負けないで欲しいです。また機密情報を取り扱う立場になった場合は、絶対にそれを外部に持ち出さないよう最善の手を尽くし、それを取り扱っていることを絶対に公言しないで欲しいです。
ともかく「人」に始まり「人」に終わる。モラルハザードがなくなることはないのでしょうが、つまらない人災は減って欲しいものです。