GitHubに関する対応とお願い | CSAJ 一般社団法人コンピュータソフトウェア協会

2021.02.02 一般社団法人コンピュータソフトウェア協会(CSAJ) 一般社団法人コンピュータソフトウェア協会（略称「CSAJ」、東京都港区赤坂）は、各種メディアで報道されている、クラウドサービス「GitHub」について、正しい理解と対応に向けた文書を発表いたしました。 はじめに 各種報道のとおり、ソフトウェアのソースコードをホスティングするクラウドサービス「GitHub」において、大手金融機関の業務システムのソースコードの一部が公開されていた事象が発生しました。クラウドサービスにおいては、情報の公開範囲などの設定の誤りが、セキュリティインシデントにつながることがあり、利用においては十分な配慮が必要です。その上で、クラウドは危険であるので使わせないという判断にならないよう、GitHubをはじめ、外部のクラウドサービス利用の萎縮につながらないよう、各社の節度ある情報セキュリティ設計を要

[LM-7]

対策としてGitHubの設定見直しが挙げられているけれど、今回の原因は別に設定ミスではないと思うのだけど。

[miholovesq]

スペルミスは惜しいが今回の問題の一因でもある多重請負構造（GitHub使用禁止とかいいそうな会社のマネジメント層）に訴えるには頑張った提言なのでは？ だからこそ人材育成や教育の重要性にも触れてほしかった。

[sisya]

こんなことをCSAJが案内しなければならなくなるほど、今のIT業界は技術に関して疎い人たちが担っている業界なのだなと感じる。公開してしまった技術者も信じられないが、それに反応する上層部の動きも信じがたい。

[kako-jun]

こういう法人やITジャーナリストが正式表記を間違えまくるのって、GitHubのアカウントを持ってなくて急に勉強してる感じなの？

[areyoukicking]

こんなんも書かないといけないのかって言ってる人も加担側だと思う。馬鹿な奴が上にいるからだめなんだ、みたいなのだからわかり合えない。こういうロビー活動滅茶苦茶大事。

[toubanjanny]

多重下請け構造とサプライチェーンを同一視するというのが理解できないんだけど、部品と同じように人間も「注文したら下から上がってくる」と解釈している層がいるのかな。

[xlc]

今回漏れたソースは「どうでもいい社内利用のプログラム」であって、漏れても実害がないという意味で対策はされていたと思う。在宅勤務が一般的になれば今後このような件は益々増えるし、漏洩自体は防ぎきれないよ。

[kagerou_ts]

「何ぃ！　GitHub禁止だ！」って言い出しそうな人向けの文書かな…

[eos2323]

問題はそこじゃないとは思いつつも、どうせ意思決定者のお前ら勉強しないんだからこれくらいの認識でいいだろ感。そして肝心の人は読まない。

[favoriteonline]

今回の事故ったアカウントはOrganization関係ないただの個人アカウントでの出来事じゃないの？ Enterprise利用でOrganizationの方をprivateにしててもcloneしたソースを個人アカウントにpushしたら同じだと思うんだけど。

[mkusunok]

CSAJいいこと書いてるじゃん。GitHubを無闇に規制して学習機会を奪っちゃダメよと。GitHubどころかAppleやGoogleのAPIリファレンスも遮断してる役所の情シスも刮目して見るべき

[naglfar]

そもそもは GitHub 一切関係ない流出なので、この対策は意味がなかろう……。あとサプライチェーンって寝言どこから出て来たって思ったら本文に書いてあって二度見した。

[causeless]

"@kunihirotanaka 一般社団法人コンピュータソフトウェア協会(CSAJ)では、GitHubをはじめ、各種クラウドサービスのセキュリティインシデントに対し、安易に禁止対応しないようお願…" from https://twitter.com/i/web/status/1356568392161841153

[gogatsu26]

お偉いさん「何言ってんのかさっぱりわからん」

[toaruR]

逆じゃなくて良かった(＞＜)

[jhoshina]

誰向けの文書なんだ

[hideaki_kawahara]

GithubからGitHubに変わってた。

[minoton]

発生事象と対策の関連、これでいいのか？

[alice_r]

今回の漏洩とはポイントが異なる気がするけど。よく分かってないのにわーわー言ってくる偉い人向けかな

[astefalcon]

製造業のサプライチェーンは基本的に部品をベースにした分業であって多重下請とは全く違う。日本のIT業界のベースになったのは建設業の多重下請。

[ghostbass]

github/git の問題ではないのでなんとも。オンプレsvn でも起きるの。なんならVSSでも。やるべきは開発者のリテラシー教育。/ findy ってコミット頻度とかリポジトリ数とかPR数とかしか見てない気がするんだけど、どう？

[stk132]

コピーライトの理解がガバガバなやつを教育するのが先じゃないかね？

[yogasa]

なんかズレてるし大丈夫なのかこの団体

[knok]

インシデントとしてはちょっと前に合ったバイトテロ(ふざけた写真のアップロード)と大差ないよね

[tmtms]

“「GitHubを使うな」≒「開発するな」「DXを止めろ」” はちょっと GitHub を持ち上げすぎな気がするなぁ。そもそも今回の件は開発に GitHub を使ってたから発生したわけじゃないし、なんかズレてる感じ。

[kibicomdom]

素晴らしい

[digits_sa]

本事案を適切に理解するための背景として、この一般社団法人CSAJの会員リストを見れば“委託や再委託の多重下請け構造”で儲けている側なので今事案は『GitHubの設定が問題だった』という事で決着をつけたい感じ。

[metatrading]

皮肉として教育の機構がどこにもないことを表している

[ysync]

「委託や再委託を行わないとソフトウェア開発は行えない現実。」そうなの？／「『クラウド』環境は言わば『場』であり、その使い方は利用者の使い方、すなわち設定やリテラシーなどに依存する。」P2Pも場だったのに。

[als_uz]

スペルミス直ってた / ちゃんと言わないとわからないからね

[securecat]

GitHubがどうかって話じゃないでしょ、そもそも。それと、多重下請構造をサプライチェーンに見立てるのは違和感、、、費用はむしろ高くなるからな。そして、この文脈で出てくるDXの意味がわからない。

[sds-page]

ギスウブなんていう怪しいサービスは使っちゃいけません

[diveintounlimit]

これはいいうごき

[circled]

「皆さんの家には鍵かけれるんですけど、鍵つけない人もいるんですね。そういう人は外部の人に家の中を勝手に見られて、あれこれ苦情やら改善点も出して貰えたりするんですけど、嫌なら鍵かけろってことですわ。」

[mrmt]

細かいツッコミはしたければいくらでもできるだろうが、ばかな人達にもわかるよう噛み砕いたものが然るべきところにあるということが大事。そこが分からない人は、ばかな人達に対応できない。

[programmablekinoko]

やさしい

[and_hyphen]

今回の件てたまたまGitHubだっただけなんだよな...

[Palantir]

“本事案を適切に理解するための背景” 同意できましたか…？

[t-murachi]

なんかズレてる…(´・ω・`) そもそもの存在意義はopen sourceのための場の提供。エンタープライズ環境の提供が収益源にはなってるけど、そこはぶっちゃけオンプレGitLabでもええんやで? リテラシー教育啓蒙しようなら文字数

[mhkohei]

今回たまたまGitHub経由なだけで、それ以外の流出に関してはどうするの？Privateレポジトリに機密コード持ち出すのありかどうかも怪しい