GitHubへのソースコード流出問題、防ぎようはあるのか 専門家に聞く

三井住友銀行（SMBC）が1月29日、同行のシステムに関するソースコードが流出したことを明らかにした。業務委託先のSE（システムエンジニア）らしき人物が、ソースコードから年収を診断できるWebサービスを利用。その際、自身がSMBCなどの委託で開発したコードを、ソースコード共有サービス「GitHub」に公開したことが原因という。 ソースコードの中には、SMBCに加えてNTTデータ ジェトロニクスに関係するとみられる記述もあった。問題の指摘があったTwitterでは、28日深夜に「GitHub」「SMBC」などがトレンド入りした。 流出したコードの中にはセキュリティに影響を与えるものはなく、SMBCとNTTデータ ジェトロニクスはそれぞれ「顧客情報の流出には影響がない」「単独では悪影響を与えるものでない」と説明している。 今回の事態に対し、ネット上では「これを機にGitHubの利用やテレワーク

[hylom]

弊社、入社時に情報流出に関する1時間ほどの講義＋コードや個人情報流出させません誓約書＋流出させたら損害賠償請求するよ通知のセットがあってここまでやるのかと思ったけど、やはりそういうのって必要なんだな

[hate1229]

(もちろん私は漏らさないが、)損害賠償やNDAや誓約書云々結ぼうが最悪下請けの会社が飛んだり技術者一人が死ぬだけで意味ないと思うぞ。世の中の労働基準すら守ってない企業をスルーして何を言ってるやら。

[sgo2]

請負や出向は散々やってるけど、「まず教育」のパターンは一度も無い。最もまともな所で定期的なオンライン講習がある程度。ルールを教えなかったら守る訳がない。

[itotto]

今回の件を仕組みで完全に防ぐのは難しいし費用対効果も悪いっていうのはそのとおりだと思う。海外はこういう問題はどうやって防いでいるんだろう？

[nakex1]

ペナルティに頼らざるをえないのでは。軽微ならば秘密保持契約に基づく損害賠償。業務妨害や営業秘密の持ち出しの意図が見られれば刑事も。

[PerolineLuv]

そもそも論として、プログラマの地位と待遇給与を最底辺に位置付けるのやめるだけでかなり違うのでは。最前線で心身をすり減らす仕事なのに薄給では、やらかしたくもなる人達は増えこそすれ減る事は無いだろう。

[fa11enprince]

9割のコードは漏れても影響ないはずだから漏れたらやばいコード部分を事前に定義してガチガチにそこだけ固めるとかできればなーとは思う

[mohno]

「今回のような事態を完全に防ぐことは難しい」←だよね。接続先をホワイトリストに限定するくらいしかないが、不便になって仕事の効率が落ちる。「リテラシー教育が不足していたのではないか」←なんだろうけどね。

[ku__ra__ge]

「鎖は一番弱い輪以上に強くなれない」＋「人が一定以上集まるとその中にどうしても馬鹿が混じる」＝「対処不可能」

[programmablekinoko]

github関係ない定期

[Itisango]

徳丸さん

[iwasiman]

GitHubが悪いわけではない...と安心の徳丸先生の談。ほんとこういう話題は無知なメディアでなく有識者に語ってほしいですねえ。

[attakei]

外注時における「引受先に対する教育」って契約上できるものなのかが気になる？

[knok]

これが金銭を扱う銀行だったら、それなりの待遇を与えることで抑止力としてるはずなんだけど

[rh-kimata]

リテラシー教育が大事と。んでそこから仮に多重請負が構造的に作業者のリテラシーやコンプアライアンス意識を担保できないならそれをやめる事になるのであろう

[kazokmr]

自分のアカウントの公開リポジトリにあげたかっただけなんだから、企業のGithubリポジトリをプライベートにしようがオンプレにしようか関係ないよね。関係無いけどコードを抜かれたリポジトリもgitじゃなかったんじゃ？

[ysync]

「原因を多重下請け構造だけに絞るべきではない」もちろんそうだけど、この会社と切れたら勿体ないと思わせるレベルの待遇があれば、会社に迷惑を掛ける行為は（全てとは言わないが）慎むのでは？

[confi]

この人のツイッター見てたけどプログラミングできるだけで障害者に近い人で自分が何してるかわからないところがあるし精神的にも疲れ切ってたから社員教育ではなんともならないと思うよ

[amd64x64]

一人ひとりと信頼関係を築くことだよ

[hatest]

以前の現場は仮想デスクトップでローカルにコードを保存できない仕組みだったけど、仮想デスクトップを起動するブートUSBがLinuxベースでroot権限なかったので、壊れたら客に送って戻ってくるまで何もできなかったけど

[mskn]

“「対策としてはBYODをやめて端末を支給する、仮想デスクトップを使ってローカルにコードを保存できない仕組みを整えるといった方法があるが、いずれもコストに効果が見合わない」”

[junglejungle]

あのMSでさえもWindowsのコードとか流出しているし、たとえ高待遇であろうと防ぐのは難しいんだろう。

[oakbow]

ブコメにある通り、信頼性が必要で漏洩されるとまずい部分は優秀な少人数を囲い込んでやってもらうとかはあるのかな、と思った。それなりの待遇つきでね。そういうマネジメントをやれるのかは分からんけど

[xlc]

綺麗事。多重下請構造の末端はリテラシーが低いのだからそれが主原因。そしてそんなリテラシーの低い人間の奴隷労働に頼るのが多重下請構造。日本のIT業界の闇。

[Ni-nja]

そういえば一時期セキュリティ教育テストが月一だったことがあったような…。ルーチン過ぎてかえって部内で回答融通とかが蔓延していつの間にかなくなった。親会社から来てたやつだったから誰がどう判断したのか不明

[lbtmplz]

労働基準を守れば良い

[ya--mada]

銀行員と同じじゃない？IT土方を脱却してハイスキル労働者にして情報漏洩を重罪にする。

[tagomoris]

まあリテラシー教育しかないですよね

[greenbow]

悪いことだと認識してなさそうだったし、第一に教育が必要なのはわかる。 / 全員に誓約書書かせることあるけどあれは法的に弱いのかしら？

[gfx]

徳丸先生だったので安心。

[mozukuyummy]

オフラインで開発できるようにするために、.NET のリファレンスを全部保存したDVDをMSが公式に販売したら一部の企業に需要がありそう。(NuGetなにそれ美味しいの状態)

[escape_artist]

専門家、徳丸先生だった

[shibainu46]

安物買いの銭失い

[ryunosinfx]

リテラシー教育で職業倫理を叩きこもうにも、本人が使う日本語の辞書の中身が教官と違ったら防げない気がするんだよな。法律みたいに日常会話の単語と同一の法曹用語の指す先が違う感じの物があるんじゃないかな。

[y_as]

流出させた人間を紹介した会社に莫大な損害賠償をさせるようにすれば、損害回避のために教育をするようになる。かと思ったけど、いざとなったらトンズラされるだけか。

[wapa]

結局良心頼みなのか。精神論で、解決案になってないような。