三菱電機ISが図書館システム問題で謝罪、「SIerとして不十分な点があった」

三菱電機インフォメーションシステムズの門脇三雄社長（右）とITソリューション事業本部長の西井龍五氏（左）

会見の冒頭で関係者と利用者に謝罪

　三菱電機インフォメーションシステムズ株式会社（MDIS）は30日、同社の図書館システムで発生していたアクセス障害と個人情報流出の問題について、経緯と謝罪文を公開し、記者会見を行った。

　会見冒頭、MDISの門脇三雄取締役社長は「弊社図書館システムにおきまして、ホームページのアクセス障害および個人情報の流出という事故を発生させてしまいました。全国の図書館関係者の皆様方、またご利用者の皆様方に多大なるご心配とご迷惑をおかけしたことを深くお詫び申し上げます」とコメントし、頭を下げた。

　MDISの責任については、「システムインテグレーターとしての責務を十分に果たせていなかったことを深く反省している。生じた問題の根本原因は弊社にあると認識し、再発防止策を講じて信頼回復に努めていく」と説明。

　一方、アクセス障害の問題で、愛知県岡崎市立図書館に対してプログラムによるアクセスを行った男性が逮捕されたことについては、逮捕に至った責任についての直接的な言及は避け、「図書館ユーザーの一人としてご不便をおかけした点をお詫び申し上げる。対応が早ければ不快な思いをさせることはなかったと思う。ご本人が許せば、説明させていただければと思っている。誠意をもって対応させていただく」とコメントした。

●アクセス障害については対応の不手際を謝罪

門脇三雄社長

　アクセス障害の問題は、2010年3月中旬から5月中旬にかけて、MDISがシステムを納入していた岡崎市立図書館で発生していたもの。MDISでは、「このプログラムは、図書館が提供するホームページから蔵書データベースに直接アクセスする方式で、人がホームページの画面から操作する頻度を超えるアクセスが機械的に繰り返された」として、「この頻度の高いアクセスが行われた際、他の利用者がホームページを利用するとつながりにくい、または、つながらないというアクセス障害が発生した」と説明している。

　原因については、1回のアクセスに対して10分間データベースとの接続を維持する仕様となっていたため、頻度の高い機械的アクセスによってデータベースの同時接続数が設定値を超えたためアクセス障害が発生したと説明。障害発生の連絡を受け、機械的なアクセスを回避する処置を講じたが完全な回避はできず、6月には他の図書館でも頻度の高い機械的なアクセスが見られたため、接続方式の変更を決定。6月末より改良開発を行い、同様のシステムを納入している28の図書館の改修を7月から実施し、11月15日に完了したという。

　MDISでは、1）アクセス障害が発生した際、システム解析や性能調査による原因の究明を行わず、図書館への説明も不十分だった。障害情報を開発部門で分析し、対策を講じることを怠った。3月中旬の障害発生以降、これを解消する6月末の提案を行うまで約3カ月間、障害の可能性が続いていた。2）個々の図書館のカスタマイズや保守を、顧客に対応するシステムエンジニア（SE）に任せており、情報が拠点に分散していたため、根本的な分析と改修に時間を要した――という2点について、システムインテグレーター（SIer）としての責務を果たすことができていなかったとしている。

　また、再発防止策については、障害報告とその解決を迅速化するとともに、各拠点に分散している障害情報や技術情報を図書館システム開発部門に集約し、製品管理を強化するとしている。

●新たな個人情報流出を確認、3図書館の利用者計2971人分

個人情報流出の概要

　また、MDISでは、岡崎市立図書館利用者の個人情報163人分が他の図書館システムから流出していたことを9月28日に公表していたが、その後の調査で3つの図書館の利用者情報、合計2971人分の個人情報が流出していたことを発表した。流出した情報は、氏名、生年月日、住所、電話番号、図書名などが組み合わさったもの。内訳は、宮崎県えびの市の図書館が2761人、愛知県岡崎市立の図書館が159人、東京都中野区の図書館が51人。

　個人情報の流出は、MDISの図書館システムを販売していた九州地区のパートナー会社のサーバーに、誰でもアクセス可能なAnonymous FTPの状態で個人情報が置かれていたことにより発生した。

　また、MDISでは図書館システムの改良開発を行う際に、導入先図書館の動作環境で作業を行ってプログラムを自社に持ち帰ることがあったが、その際に個人情報が含まれていることに気付かずプログラムの一部を製品マスターに登録。こうした作業を2000年から2010年7月までMDISの各拠点で行っていた結果、MDISの図書館システムを採用している73の図書館のほとんどに、他の図書館の個人情報も存在するという事態となっていたという。

　MDISでは、第一義的にはパートナー会社が誤った設定をしたことが原因だが、製品に他の図書館の個人情報を混入させていたことや、パートナー企業への指導が不十分だった点を謝罪。個人情報をダウンロードしたことが判明している人に対して連絡を取り、情報の削除などを依頼しているが、うち1人には連絡が付いていないと説明。また、現時点では情報の悪用は確認されていないとしている。

●クローラー的な利用も「対応すべきアクセスだった」

　MDISでは、岡崎市立図書館に納入していたシステムについては、「2005年の納入以来、大きな不具合は発生せず、特段の問題は無かったと認識しているが、不十分な点があったことは反省している」と説明。「元は館内からのアクセスを想定していたシステムで、それをインターネットにも公開したが、クローラーのようなアクセスに対する対応が十分でなく、対処療法的な対応を取ってしまった」として、時代に即した適切な製品を提供できていなかった点は、SIerとして不十分な対応だったという認識を示した。

　逮捕された男性について、愛知県警からの捜査協力に応じたのかという質問に対しては、「我々の方で確認できておらず、無かったという認識だ」と説明。MDISから図書館への報告を受けて、図書館が被害届を出し、結果として逮捕につながったのではないかという質問に対しては、「仮定の話について申し上げることはできない。我々は図書館の指示に基づいて行動した」と回答するにとどまった。

　3月のアクセス障害発生時点では、「身元通知が無く、一過性でなく継続的にアクセスがあり、3つのIPアドレスからアクセスが来ていた。意図がまったく不明だったため排除する方向で対処したが、今の時点で見れば新着図書を見たいという意図であり、結果論だが1つのアクセスの形だと思う」として、対応すべきアクセスだったと説明。ISPの苦情窓口などを経由して、ユーザーに対処する方法は無かったのかという質問には、「当時はそうした情報の共有がまったくなされていなかった。SIerとして申し訳なかったと思う」と答えた。

　また、こうした対応はMDISの各拠点のSEがそれぞれ現場レベルで行っており、情報が全社的に共有されていなかったことも不適切な対応となった原因だとして、今後は情報をシステム開発部門に集約するなど、再発防止に努めると説明。今回、責任を認めて謝罪を行ったことについて、門脇社長は「この問題を捉える時に、真の原因はなんだろうというところに踏み込んで検討してきた。そこで行き着いたのが、メーカー、SIerとして、製品を単に契約ベースで収めればよいという考え方ではなく、時代に即しているかという点も踏まえて総括した見解。SIerとして不十分な点があったと反省している」とコメントした。

　個人情報の流出については、岡崎市と中野区の該当者に対しては既に社長名で謝罪文を送っており、えびの市の該当者に対しても今後図書館の求めに応じて対応していきたいと説明。個人情報の悪用があった場合には、損害賠償を求めるといった話をしている図書館もあるとして、MDISとしては真摯な対応をしていきたいと語った。