@HiromitsuTakagi
サイトメニュー

 

Hiromitsu Takagi @HiromitsuTakagi

Stats Twitter歴
5,849日（2008-12-23より）		 ツイート数
254,445（43.5件/日）

2020年09月30日(水)110 tweets

9月30日

AB1QQ@AB1QQ

気象庁ウェブサイトの広告主は政府広報に限定すればいいんじゃない。政府広報費85億円（当初予算ベース。実際はコロナ広報のための補正で倍以上に膨張）から8700万円を気象庁に渡す。

Retweeted by Hiromitsu Takagi

retweeted at 22:52:35

9月30日

Yahoo!ニュース@YahooNewsTopics

【ゲーム条例違憲 高校生ら提訴】 yahoo.jp/YiFu30 今年4月、全国で初めて施行された香川県のネット・ゲーム依存症対策条例は「憲法違反」だとして、高松市の高校生と母親が県を相手取って国家賠償請求訴訟を起こした。あわせて160万円の損害賠償を求めている。

Retweeted by Hiromitsu Takagi

retweeted at 22:46:04

9月30日

さっぴー川原@sapi_kawahara

noteの件は駄目な結末となりました。 IPアドレスやメールアドレスやSNSの情報は、そのサービスが公開情報と言って公開するのは問題無いが、noteは公開情報とは言わずに公開したことが問題で、その辺りの言及が無い。 それをWAFで対策するとか、ドコモ口座問題と同じ雰囲気にして逃げるのが駄目過ぎる。

Retweeted by Hiromitsu Takagi

retweeted at 22:44:22

9月30日

しの@SH1N0

最近のWAFって、htmlのソースに考慮漏れて埋め込まれたIPアドレスを漏洩しないように非表示にしたり、APIに意図せず埋め込まれた個人情報を応答時に削除してくれるらしい。 …って、んなわけあるかw

Retweeted by Hiromitsu Takagi

retweeted at 21:08:58

非公開

retweeted at xx:xx:xx

9月30日

Takuma SHIRAISHI@ts7i

いや、普通の会社のインシデント管理プロセスなら、原因として「システム実装時の考慮漏れ」だけを挙げてそれ以上分析せず、その問題に関係するのかよくわからないものも含めた対策を雰囲気重視で列挙したら、さすがに怒られると思うんだよな…。 note.jp/n/n2115642a4e45

Retweeted by Hiromitsu Takagi

retweeted at 20:59:49

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

9月30日

Hiromitsu Takagi@HiromitsuTakagi

セキュリティ対策はまず守るべき情報資産の特定から……みたいなフレーズが念仏のようによく唱えられるが、ハイハイそうねハナホジという感じで聞き流してしまうけれども、やはりその特定もせず漫然と安全管理することなどできないわけで、それは管理すらしていないということなのだ。

Retweeted by Hiromitsu Takagi

retweeted at 20:37:50

9月30日

Hiromitsu Takagi@HiromitsuTakagi

その意味で、noteがなすべきだったことは、個人情報データベース等中のどの項目を非公開仕様とするのかを設計することだったが、今回の発表文からすると、その設計をしていなかったように見えるし、「再発防止策」を見ても、そこからまず実施するということを言っていない。 note.jp/n/naf3775e93a58

Retweeted by Hiromitsu Takagi

retweeted at 20:37:39

9月30日

Hiromitsu Takagi@HiromitsuTakagi

IPアドレス公開が仕様だったとした場合には、安全管理措置義務違反には当たらないが、第三者提供に当たるので本人同意があったかが問題となる。本文を公開するのはそれが仕様であることが誰の目にも明らかだが、IPアドレスはサービス次第だろう。メールアドレスや連携先SNSのIDについても同様。

Retweeted by Hiromitsu Takagi

retweeted at 20:37:31

9月30日

Hiromitsu Takagi@HiromitsuTakagi

漏洩したかは本人同意の有無でもない。自ら管理しているものが管理に反する結果になったか否かである。ならば管理しなきゃいいんじゃね？（何を保護するか決めなきゃいいんじゃね？）と思うかもしれないが、その場合を安全管理措置義務違反として是正勧告がなされたのが、去年のリクナビ事案であった。

Retweeted by Hiromitsu Takagi

retweeted at 20:36:56

9月30日

Hiromitsu Takagi@HiromitsuTakagi

IPアドレスだから漏洩したと言えるかは、それが個人情報か否かではない。IPアドレスを公表する掲示板だってあるし、電子メールは送信者のIPアドレスがヘッダに記載されたりする。サービス設計にて公表するものとしていたか否かで決まる。していなかったものが漏洩したら全て個人データ漏洩に当たる。

Retweeted by Hiromitsu Takagi

retweeted at 20:36:44

9月30日

Hiromitsu Takagi@HiromitsuTakagi

この記事も用語の用法がおかしいね。noteの本文自体も保有個人データ（個人情報）なわけでね。個人情報に該当すると公表ができなくなるわけじゃない。 to.camp/lesson?v=HseW0… 「個人情報と公開情報を一つのドキュメントに混ぜないことが大切」 「公開ドキュメントに個人情報が混ざってないか？」

Retweeted by Hiromitsu Takagi

retweeted at 20:36:32

9月30日

Hiromitsu Takagi@HiromitsuTakagi

ちなみに、noteの発表文は「IPアドレスは個人情報ではない」とは言ってないのよね。「個人情報を特定することはできません」「住所など個人情報を入手することはできません」と言ってるだけ。そもそも「個人情報」を住所や連絡先情報だと勘違いしてるアウトオブ論外のレベル。 note.jp/n/n3e6451c9b147 pic.twitter.com/tPjX2huq85

Retweeted by Hiromitsu Takagi

retweeted at 20:36:22

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

9月30日

🚢がてまな🐚@gate_manager

noteからIPアドレスが云々の謝罪メール来てるけど、なぜ集めていたかっていう直接の問題には全然触れられていないよなぁ 見えてはいけないものが見える状態になってしまったのはミスでそれは直していけるけど、こっそり集めている企業の体質は安全対策ってので改善するの？

Retweeted by Hiromitsu Takagi

retweeted at 20:18:40

9月30日

kaname@kanametunes

あまり難しい話じゃない気がしていて、シンプルに ・変更管理ちゃんとする ・リリース管理ちゃんとする ・個人情報保護について社内教育する ・非常事態の広報教育する とかじゃないだろうか。 的が外れた対策で広報してしまう所にも組織としての問題を感じてしまう😔 #note twitter.com/sadaaki/status…

Retweeted by Hiromitsu Takagi

retweeted at 20:17:56

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

9月30日

novtan@NOV1975_2

一般的なセキュリティ対策の話じゃなくて、IPアドレスを出すか出さないかの業務要件の話だからこの対策じゃダメじゃね？ / “noteでソースコードからIPアドレスが確認できた事態に関する追加報告とお詫び｜note株式会社” htn.to/4q5jGwmDP4

Retweeted by Hiromitsu Takagi

retweeted at 20:14:37

9月30日

Masahiko Sakakibara@rdlabo

別に対応に時間がかかるならかかるでいいし、APIの見直しを全力でしてたならそれでいいんだけど、「1カ月半にわたり徹底した安全対策」「すべてのサービスは適正かつセキュリティ上、問題ない状況」を私はどう好意的にとらえたらいいんだろう。

Retweeted by Hiromitsu Takagi

retweeted at 19:53:33

9月30日

水無月ばけら@bakera

「何が漏れていたか?」の結論としては、公式な言及があったのは以下。 - 利用者が最後にログインした際のIPアドレス - SNSアカウントのIDと登録名 - 下書き保存記事数 - 特商法の事業者名、連絡先 ただし上記には「など」と付記されており、他にも漏洩した情報があるとみられるが詳細は不明。

Retweeted by Hiromitsu Takagi

retweeted at 19:46:04

9月30日

水無月ばけら@bakera

>下記不要情報の一括削除を実施しました。 >・SNSアカウントを連携させていた場合の、利用者のSNSアカウントのユーザーIDや登録名 ※ >・下書き保存している記事数　など これを「など」で済ませてOKにしているところを見ると、本当にIPアドレス以外は漏れてもOKと思っているようですね。

Retweeted by Hiromitsu Takagi

retweeted at 19:45:55

9月30日

水無月ばけら@bakera

>セキュリティ強化策として万全を期すため、対記事ページのAPIレスポンスから、下記不要情報の一括削除を実施しました。 あー、IPアドレス以外の漏洩についてはそもそも「事故」という認識を持っていなくて、漏れても問題ないけど不要情報だから一応削除という認識なのか。

Retweeted by Hiromitsu Takagi

retweeted at 19:45:45

9月30日

🎹@p_ck_

セキュリティ上の問題への体制が不十分だったから強化するというのは分かるけど、その汎用的な対策と今回のインシデント直接への対策が全く同列に並べられているのが不安 note.jp/n/n2115642a4e45 の話です

Retweeted by Hiromitsu Takagi

retweeted at 19:45:27

非公開

retweeted at xx:xx:xx

9月30日

👹秋田の猫🐱@ritou

パスワード認証強化！ > - パスワード設定時の強度測定を追加 > - 自身のクレジットカードや銀行口座の情報を登録・変更する際、再度パスワード入力が必要な仕様に変更 noteでソースコードからIPアドレスが確認できた事態に関する追加報告とお詫び｜note株式会社 note.jp/n/n2115642a4e45

Retweeted by Hiromitsu Takagi

retweeted at 19:45:00

9月30日

note株式会社@note_corp

【お詫びとご報告】 noteでソースコードからIPアドレスが確認できた事態に関して、その後の対応および本件を受けた安全性確保のための施策と、再発防止策についてご報告いたします。 多大なるご迷惑とご心配をおかけしましたこと、改めて心よりお詫び申しあげます。 note.jp/n/n2115642a4e45

Retweeted by Hiromitsu Takagi

retweeted at 19:44:28

9月30日

note@note_PR

【お詫びとご報告】 noteでソースコードからIPアドレスが確認できた事態に関して、その後の対応および本件を受けた安全性確保のための施策と、再発防止策についてご報告いたします。 多大なるご迷惑とご心配をおかけしましたこと、改めて心よりお詫び申しあげます。 note.jp/n/n2115642a4e45

Retweeted by Hiromitsu Takagi

retweeted at 19:44:22

9月30日

秋山　泉@iakiyama

だいたい、口座番号は、氏名と、生年月日が、セットになって売られてるんだぞ Yjfxが流通させかかった個人情報思い出してみろ！ プライバシーフリークしたところで、ここまでの情報は闇流通してる事を前提にシステム設計してなきゃ、確実に犯罪に使われるんだよ！ cybersecurity-jp.com/security-incid…

Retweeted by Hiromitsu Takagi

retweeted at 12:49:04

非公開

retweeted at xx:xx:xx

9月30日

Hiromitsu Takagi@HiromitsuTakagi

クライアント認証的なものを毎回走らせて接続することと、一度接続したら接続しっぱなしにする（セッションIDをTLSで安全に通信するだけ）こととが技術的セキュリティ上違いがないと思うのですね。 結局、NIST SP 800-63BのAuthenticator概念に該当させるためだけにやっていることになるのかな。

posted at 12:36:14

9月30日

Hiromitsu Takagi@HiromitsuTakagi

「ログインセッション保持しっぱなし」は「dアカウント設定」アプリで起きていること（それに連携させた各サービスのセッションはそれぞれ）で、そのこと自体はFIDOでも変わらない（プロトコル上セッションが切れていてもすぐ再接続できるので同じ）と思うのですね。 twitter.com/sckdsn/status/…

posted at 12:09:25

9月30日

Hiromitsu Takagi@HiromitsuTakagi

ああ、「dアカウント設定」アプリがSMS確認コードでdアカウントにログインしっぱなしになり生体認証でロックされ、他のサービスやWebでdアカウント使う時に「dアカウント設定」経由でログインするということか。全体としてはdアカウントログインであると。しかしまだ半角カナ使うんだねえ。 pic.twitter.com/kIRqm0JDdd

posted at 00:11:14