先週から今週にかけて、Googleマイマップで秘密情報の掲載が相次いで発覚し、削除しても宙ぶらりんになって消せなくなるシステム障害が騒動となるなか、それとちょうどぴったり同時進行する形で、ASCII.jp「ビジネス」のサイトに「オフィスでGoogleアプリ活用」という特集が掲載されていた。
この特集記事の趣旨は、オフィスの業務でGoogleの無料で無保証のBETAサービスを使うことの推奨であるが、この中に、そのまま真に受けて真似する人が出ると危険な記述がある。
さらにGoogleマップは「マイマップ」という機能を備え、自分自身の目印やコメントを追加することができる。またマイマップ内で、他のユーザーが作成したコンテンツを追加していくことも可能だ。たとえばグーグルから提供されている「距離測定ツール」は、出発地から目的地までの間の概算距離を求めることができる。
「距離測定ツール」はマイマップではない。「距離測定ツール」はマイマップに登録しなくても使えるし、それどころか、ログインしなくても利用できるものである。
ところがこの記事は、出発地から目的地までの距離を求める用途を想定して「マイマップ」の利用を勧めているように読める。そのため、この記事を読んだ人は次のように使う話だと誤解する恐れがある。
これは「マイマップ」を使って出発地から目的地までの概算距離を求めた様子である。「総距離: 3.01 km」と表示されている。
距離を求めるためだけにこの作業をやったとしても、この時点でこのマイマップは公開されてしまっている。
「すぐに削除するんだからいいじゃないか」と釈明する人もいるかもしれないが、(削除しても3日後に復活して宙ぶらりんになるかもしれないし、ならないとしても、)作業しているその数分間に第三者に閲覧されることは十分にあり得る。実際、図3の画面は、11月11日に私が自分のマイマップを検索する目的で「test_test」で検索した際に、偶然にもその直前(1分前)に作られた他人のマイマップがヒットした瞬間である。
こういうことも起こり得るのだから、「すぐに削除すればかまわない」という問題ではないと言える。
「距離測定ツール」は、図4のように、ログインしていなくても使えるツールなのだから、ASCII.jpの記事は、人々を無用にマイマップを使わせる、誤解させる記事である。
こういった雑誌記事の影響があったのかどうかは定かでないが、学校の先生たちが誤って作成してしまった家庭訪問先のマイマップの事例には、訪問する家々の経路に線をひいて最短経路を求めようとした形跡のあるものもあった。
ASCII.jpの記事は、マイマップについて「自分自身の目印やコメントを追加することができる」と説明しているが、オフィスでの活用として、いったいどんなところに目印を付け、どんなコメントを書くというのだろう?
先週の騒動の際に見かけたところで多かったパターンは(学校の先生の家庭訪問用地図の他には)ガスや水道の検針、保険外交員のお得意先など、外回り営業用地図のケースが多いようだった。中には、お得意先との会話で得た相手の印象や聞き出した家庭環境などを詳細に記述したメモを、Googleマイマップの「コメント」に掲載していたという最悪の事例もあった。
ASCIIの編集部ではどんなコメントを書き込んでいるのだろうか。
次に、この特集記事は、GoogleカレンダーBETAについてもオフィスの業務で使うことを推奨しているのだが、ここでも、誤った設定に誘導する危険な記述がある。
また、Googleカレンダーでは「このカレンダーを共有」というメニューで、共有するユーザーやアクセス権を指定できる。そのため、複数のユーザーでグループウェア的に使う場合は、閲覧や変更などのアクセス権と合わせてユーザーを追加しておく。手順としてはメンバーのメールアドレスを入力し、権限を設定すればユーザーを追加できる。一方、閲覧や変更などの権限を与えられた側のユーザーは、他のカレンダーメニューから追加する。
ここで、「Googleカレンダーの共有設定。自分のカレンダーを必要な人に公開するという形をとる」というキャプションで示されている図に問題がある。
ここで、「このカレンダーを公開」にチェックが入っている。この記事の趣旨からすれば、カレンダーを公開するのではなく、限定された人にだけ閲覧(や変更)を許す共有設定を想定しているはずであり、その目的であれば、「このカレンダーを公開」にチェックを入れる必要はない。そして、「このカレンダーを公開」にチェックを入れてしまうと、世界中の全ての人がこのカレンダーを閲覧できる状態になってしまう。
「特定のユーザーと共有」を設定するために「このカレンダーを公開」とする必要があるかのように誤解する人が少なくないようだ。
なぜそうなるのかを考えてみるに、日本語の「公開」という言葉の乱れに原因があるのではないかと思う。公開とは本来、「公」「開」というくらいなのだから、限定なく全てに許すことを意味したはずだが、なぜか、特定少数の人に見せることも「公開」と言う人をしばしば見かける*1。実際、図5に示したASCII.jpの記事のキャプションにも、「必要な人に公開する」という奇妙な日本語が書かれている。
どうも、「公開」と「共有」の概念がぐちゃぐちゃになっていて、図5の設定画面を見ても、どうすればいいのか直感的にわからなくなっており、「特定のユーザと共有」するためにはまず「このカレンダーを公開」しないといけないような気がしてしまうのではないだろうか。
この記事を書いた人も(あるいは図を作成した人、あるいはこれを編集した人も)同じ誤解をしているのではないかと心配になるが、記事には、「業務で用いられるカレンダーなどは公開しないように注意しよう」と書かれていて、心得はあるようだ。
ちょっと心配になったので、12日に、Googleカレンダーで公開カレンダーを「ascii.jp」で検索してみたところ、図6のようにヒットした。
カレンダーのタイトルが氏名になっていたので、サクって調べたところ、比較的知られたIT専門のフリーライターの方のようだった。
カレンダーには取材先のIT系企業名が書き連ねられており、情報セキュリティの会社も複数掲載されていた。そしてこんな記述もあった(図7)。
こういったものを公開する主義というのも存在するかもしれないが、企業によっては取材された事実を公開されるのが嫌なところもあるのではないだろうか。
心配になったので、カレンダーのIDのメールアドレスに「Googleカレンダーを公開に設定されたのはいつからですか?」とメールを送ってみたが返事がなかったので、本人に連絡が行くよう知り合いに手配していただいた。今は非公開に設定変更されている。
この事例では、2002年からの予定がすべて掲載されているようだった。Googleカレンダーのサービスが始まったのはそんな前ではないので、これは、同期ソフトを使って、iCal か Outlook から自動コピーされたものではないかと考えられる。
ちなみに、Googleカレンダーは、公開設定にしようとするとちゃんと図8のように警告を出すようになっている。(いつからこうだったかは知らないが。)
それでも公開にしてしまうというのがどうにも解せないのだが、「共有のためにはまず公開」という思い込みがこの警告も目に入らなくしてしまうのか、そうでないとすれば、次のパターンがあり得るのではないだろうか。
怖すぎる。
私も少しGoogleカレンダーを試してみたが、自分用の各カレンダーが、公開状態なのかそうでないのかが、なかなか見分けがつかず、不安で使う気がしない。
まず第一に、カレンダーの画面を見ても、それが公開なのか否かはどこにも表示されていない(図9)。
公開・共有の設定状況は「マイカレンダー」の「設定」というリンクをクリックしたときの画面で確認できるのだが、マイカレンダーの一覧画面は図10のようになっていて、ここでも公開状態なのかが不明なのだ。
これを見て、3つのうちどれが公開状態なのかわかるだろうか?
このうち公開なのは3番目の「……のテストその2」だけなのだが、図10の表示からはそれが読み取れない。これら3つはこの時点で次の設定であった。
まず、「このカレンダーを共有」という表記が、現在の状態を表しているのか、それとも、クリックすると行われる動作を表しているのかが不明だ。見出しには「共有」とあるので、状態を示していると理解して、「このカレンダーを共有」という表示を見てギョッとした人も少なくないのではないか。その一方で、「共有: 設定を編集」の「共有:」は状態表示となっていて、ちぐはぐだ。
そして、「共有」という状態表示だが、3つ目のカレンダーは「特定のユーザとの共有」は「なし」であり、その意味ではそれを「共有」と状態表示するのは食い違っている。3つ目は「公開」はしているが「共有」はしていない。この画面での「共有」という表示は「公開」を含む意味のようだ。
上の3つのうち区別が重要となるのは普通、「1.2.」と「3.」であり、「1.」と「2.3.」ではないはずだ。
こういうのを正しく使いこなせというのは無理がある。業務でのGoogleカレンダーの使用を禁止する企業があっても不思議でないと思う。
こういった使い難さを指摘したり、利用者に注意とアドバイスをすることこそ、IT系メディアの役割ではないのか。それなのに、出てくるのは「彼氏がGoogle使ってなかった。別れたい…」的な記事ばかりで嘆かわしい。
日経パソコンの以下の記事も、誤った使い方に導いている。
マイマップは1つだけでなく、テーマを設定していくつでも作ることができるので、完全に個人の備忘録を作ることも可能だし、家族で旅の記録を作ってみることもできる。また、地域の人たちと便利な案内マップのようなものを作成することもできるだろう。
地図上にどんどん個人的なデータを乗せていくイメージである。思えばWebは個人的な情報の集積地のような趣があり、それを地図上でも実現できるわけだ。
この手のIT系ライターから取材の申し込みがあっても、自宅の場所は教えないように注意したい。
*1 Googleマイマップの「公開/非公開」の表記が「一般公開/限定公開」に変更されたのにも、この言語的混乱が関係していそうだ。公開という概念が、いちいち「一般公開」と表現しないと伝わらない現実、そして「限定公開」という意味の不確かな言葉がなんとなく通用してしまう現実がそこにある。
マイ・マップや Google カレンダーの危険性について、高木氏の最新記事でも指摘されている。 記事の方向性は、本項や前々項とほぼ同趣旨。 本項や前々項とあわせて、高木氏の記事も見るといいだろう。
Google のサービスでマップで情報を公開していて問題になっていますが、カレンダーやドキュメントなども同様に公開されているものを見ることが出来ます。 公開カレンダーを検索してみると良いです。◯◯さんと××するという予定を見ることが出来ます。 どこの誰??と分..
今回は、企業情報の漏洩を示す。日本でも有数の企業であるトヨタとソニーの企業情報の漏洩だ。 他の例として、雑誌 ASCII 編集部の情報漏洩が、高木浩光氏のサイトで示されている。