YahooBBが顧客情報を漏らしたことについて考えてみた。
最終的にまとまったらわたしのポリシーとして1つのドキュメントを作ろうかな・・・
以下はPASSJ-Securityに投稿した内容と同様
外部犯行と内部犯行はまったく性質が違うので今回は内部犯行に絞って。
まず今回のケースで全データが引き出されていたということですからおそらくDBに
直接入ってselect * from xxx としたということだと思います。（類推なので悪し
からず）
ということはまずSQLServerなどに直接入らせないことが大事なんじゃないかと言
う気になります。
となると、「誰が」「どのデータを」「いつ」見たかというものを管理するために
も、Windows統合認証という方向ではなくネットワークをわけてシステムの出入口
を管理するプログラムを介在させるようにする。
システムで個人情報などを見るためには契約者ID+契約者名を入力しないと見られ
ない（電話問い合わせ業務などで、安易に一覧表示しない）とか考えられますよね
。
1日で業務上見るであろう件数以上のデータをリードしたら管理者にアラートが飛
ぶとか。
個々の仕事の内容にあわせて提案できないようではエンジニア失格という時代が来
ているのかなと思います。