高木浩光＠自宅の日記

■ 三菱電機ISは結局会見で何を伝えたかったのか 岡崎図書館事件(11)

30日に三菱電機ISが記者会見を開いたとのことで、各社から報道*1が出ている。特に、朝日新聞名古屋版は以下のように報じている。

（転載許諾期間終了）

朝日新聞名古屋本社版2010年12月1日朝刊30面「逮捕の男性に業者側が謝罪 岡崎図書館問題「不便かけた」」
朝日新聞社データベース事業センターの許諾のもと転載（承認番号：2-2096） ※朝日新聞社に無断で転載することを禁止する

また、日経新聞は「図書館システムに不具合」の見出しで、次のように報じている。

（略）

岡崎市の図書館では今年３〜５月にシステム障害も発生。これを巡り、自作の検索プログラムで繰り返しアクセスした愛知県の男性が、「サイバー攻撃」と誤解され、愛知県警に業務妨害容疑で逮捕され、その後起訴猶予処分となった。同社はこの件も「システム仕様が原因だった」とした。

男性は新着図書情報を取得するためアクセスしただけだった。同社は当初、「システムに問題はない」と市側に説明していた。門脇三雄社長は「対応が早ければ（男性に）不快な思いをさせることはなかった。誠意をもって対応したい」と謝罪、一連の問題について「根本原因は弊社にあり、再発防止策を講じたい」とした。

図書館システムに不具合 個人情報が流出 三菱電機子会社、3000人分 「サイバー攻撃」問題も謝罪, 日本経済新聞2010年12月1日朝刊38面

この報道内容（特に日経新聞）からすると、前回の日記「三菱電機ISに求められているものは何か 岡崎図書館事件(10)」で書いた「求められるもの」が、満たされたということだろうか。つまり、「中川氏のアクセス方法が常識的に許されている方法だった」ことが認められて、「故意がなかった」とする被疑者主張の信憑性が客観的にも高まったのかどうかだ。

会見ではどうだったのか。会見の様子は津田大介氏のタイムシフト中継で把握できる。その津田氏から音声データを個人的に頂いた*2ので、その内容を聴いてみたところ、津田氏のtweetで質疑応答の様子はざっくり正確にまとめられているが、何か所かのやりとりはより詳細に伝える価値があると感じたので、以下、該当部分を文字おこし*3してみた。（以下は、テーマごとに発言を並べ替えているが、テーマ内での発言の順序は変えていない。）

中川氏に対する三菱電機ISのコメントは何なのか

朝日新聞神田記者：5月25日に御社のシステムを使っていた、今日の資料にもある「機械的なアクセスをしていた利用者」この人が愛知県警に業務妨害容疑で逮捕されるという事件がありまして、その後起訴猶予ということになっていますけども、あえて実名を出します、中川さんという方ですが、この中川さんに対する御社からのコメントというのは何かありますでしょうか。

門脇社長：図書館ユーザのお一人としてご不便をお掛けした点をお詫び申し上げます。また、対応が早ければ不快な思いをさせることはなかったと思います。本人が許せばご本人に説明させて頂ければと思っております。誠意を持って対応させて頂きます。以上でございます。

神田記者：中川さんに対して謝罪されるということですね？

門脇社長：はい。

（略、一旦別の話題へ）

神田記者：今回の中川さんの件に関してなんですけども、愛知県警から捜査協力を求められてこれに応じたというようなことはありますか？

門脇社長：私どもの方で確認できておりません。なかったと思っております。

神田記者：私の取材に対して愛知県警は、したと言っているんですがまあそれはじゃあ見解の違いですね。ただ、岡崎市立図書館は当然ながら御社とやり取りをしながら中川さんのアクセスに対して対応してこられたわけなんですけれども、御社がこの問題を、中川さんのアクセスの問題であると、つまり御社のシステムの問題ではないと、いうふうにおっしゃったために、結局結果的に、岡崎図書館は被害届を警察に出したということが言えるわけなんですが、これに関して御社としてはどういうふうに考えておられるんですか？

西井常務：当初3月14日に初めてのアクセスがあったときに、意図は不明であると、私どものSEはですね、基本的にソフトウェアは、図書館システムはパッケージとは言っているものの、各図書館のご要望に応じたシステムインテグレーションというんでしょうかね、個々のシステムを作り上げておりまして、対応しております。よって、SEは、自分のシステムなんで自分で解決しなければならないと、上へのエスカレーションだとか、他の拠点との情報共有を行うということじゃなくて、なんとか自分で解決しようと、で、初めて遭遇した機械的なアクセス、図書館というのはそれまでそういうのはなかったんでしょうかね、それで排除する、回避するということに走っています。我々は被害届だとかそういうようなことについては、ただ事実をお伝え、現況をお伝えしたということにとどまっています。という事実を確認しております。

神田記者：そうしますと、さきほど中川さんに対して「対応が早ければ不快な思いをさせることはなかった」と社長おっしゃいましたけども、この「不快な思いをさせることはなかった」というこれはどういう意味なんですか？ もう少し具体的に教えてください。

門脇社長：冒頭、システムインテグレータとしての責任という、製品責任、その時代その時代に合った製品を納める責任がですね、不十分であったという点で反省を申し上げたということでございます。

（略、一旦別の話題へ）

読売新聞山崎記者：さきほど朝日さんから質問がありましたけども、不快な思いという言葉の意味なんですけども、それは要は、逮捕されなかったという、つまり、「対応が早ければ」というのは、単純に閲覧が、中川さんがアクセスしづらい状況のことを「不快な思い」と指しているのか、それとも、警察に逮捕されて取り調べを受けるという20日間ですかね、そのことを指していらっしゃるのでしょうか「不快な思い」というのは。

門脇社長：逮捕につきましては、当方ではわかりかねますので、「不快な思い」という意味では、ご不便をおかけして、長い間、私どものシステムがご本人の希望通りの動きをしなかったというようなことに関して、非常にSIerとして申し訳ないというコメントでございます。

山崎記者：ごめんなさいそういう意味、そのレベルではあまり、なんていうんでしょうか、他のユーザさんもつないでいる方はたくさんいらっしゃって、はっきり言うと、その方にだけ謝る、対応するという意味はないと思うんですよね。（略、別の話題へ）

中川氏に詫びるというのは、あくまでも「図書館ユーザのお一人としてご不便をお掛けした点をお詫び」というのであって、「対応が早ければ不快な思いをさせることはなかった」というのは、「システムがご本人の希望通りの動きをしなかった」ことに対しての「不快な思い」なんだそうな。はぁ。

さすがにその理屈はおかしいのではないか。そもそも、中川氏が「希望通りの動きをしない」と「不快な思い」をしたことがどの時点であったのか。本人は希望通りにシステムは動いていると思っていたはず（だから閲覧障害が起きていると認識していなかった）であり、その点からして話がおかしい。

「本人が許せばご本人に説明させて頂ければと」「誠意を持って対応させて頂きます」というが、いったい何を本人に説明するというのだろう？

システムのそれは不具合ではないのか、中川氏のプログラムは常識的なものではないのか

朝日新聞神田記者：ちょっとわからなかったのが、今回御社のシステム、ソフトウェアには不具合、欠陥というものは認められないのかという部分はいかがですか？

門脇社長：私ども冒頭ご説明申し上げましたけども、2005年に納入して特段の問題はなく稼働しておりました。従いまして、不具合があったという認識はいたしておりません。しかし、インターネットに関する部分においては、対応が不十分な点があったという点は反省いたしております。

神田記者：対応が不十分だったというのは具体的にはどういうことなんでしょうか。

西井常務：私からお答えします。一般のユーザからの、PCからのアクセスを想定した造りだったのですけども、今回中川さんのクローラ、機械的なアクセスに対して、それに対応する能力が不十分であったと、対応できていなかったということであります。

神田記者：はい。その機械的なアクセスなんですが、御社の認識をお訊きしたいのですが、そもそもたとえばGoogleとかですね、中川さんのようなクローラと呼ばれるプログラムを使っているところというのは、前からあって、Googleに関して言うと2000年より前からやっていますね。そういうサーチエンジンに限らず、ユーザでも一気にホームページを保存するためにクローラを使ってアクセスするということは、これまでもあったわけなんですが、少なくとももう10年以上前にはあったと思う技術なんですけども、それについて対応していなかったというのは、これは不具合ということにはならないんでしょうか？

西井常務：図書館システムは元々、館内で使って頂いているサービスですね。検索だとか予約だとか。これをご自宅からインターネットを通じてもできるようにという観点からインターネットに解放したのが始まりであります。そういう中にあって、想定した造りが機械的なプログラムに対するアクセスというのを、想定した造りではなかったので、今回3月に遭遇したときに、回避又は排除するという対症療法的な対応をとってしまったということであります。

神田記者：その回避、排除するというのはrobots.txtのことですかね？

西井常務：robots.txtもありますし、直接データベースをアクセスに来られたので、そのところを普通の方でしたらトップページから来るということで、ファイルインデックスを組み替えたりとか、そういうような形、または、IPアドレスでブロックするだとか、そういう対症療法に走ってしまっています。

（略、一旦別の話題へ）

神田記者：時代にあった製品を納めるという部分の話なんですが、私の取材だと、岡崎の場合ASP版という図書館ソフトウェアを使っておられると、ただそれは新しいバージョンが、ASP.NET版というのがあって、これはもう2006年から各地の図書館に御社納入されていると。.NET版の方は、今回のようなアクセスがあっても問題は起こらないわけですね。なぜその改良を元のASP版、旧版の方にも加えなかったのか、それはまさに時代の要請に合わせて御社はプログラムを改良されてこられたわけなので、それを反映させればよかったんじゃないかと思うのですが、そこはいかがでしょうか？

門脇社長：まず、.NET版がですね、こういった機械的なアクセスに対応できているということは、設計上、後でわかってますけども、.NET版とASP版でしたっけ、ASP版は、設計が全く別の設計の形をとっておりまして、クローラ対策という形で.NET版を出したということではなくて、最新のインターネットに対応する.NET版という形で開発したものでございます。それから、なぜ、岡崎様にそれを提案しなかったかというご質問でございますけども、私どもの図書館システムは、バージョンアップ等々するときは、通常、リース期間等々ございます、それから、図書館システムというのは、法改正とか、常にバージョンアップについていくというような形はあまりございません。したがいまして、安定して稼働してお客様に貢献しているといいますか、動いているということでですね、2008年から岡崎様には提案申し上げておりました。それで、2011年に新しいシステムに置き換えるということが内々決まっておったというのが、岡崎様の状況でございます。

（略、一旦別の話題へ）

日経新聞浅川記者：今回どういった契約を結ばれたのかわからないんですけども、1000人かまたは1100人が同時アクセスしても堪えられるという形になっていたと認識しているんですけども、たとえばcookieが切れた状態で連続アクセスすればそれよりも低い人数の同時アクセスでも容易に切れてしまうわけで、このあたりは（聴き取れず）の要件を満たしていたと言えるのか、言えないのか、教えてください。

西井常務：当初はですね、一般の図書館のユーザの方が一日で1000人の方、1000回アクセスがあるということでございます。ですから一人当たり、均しますと2、3百人くらいがご利用者なのかもしれません。その中で使って頂く分については問題なく稼働していた。そういう機械的なアクセスについては不十分な点があって、対応がしきれなかったということであります。

浅川記者：このコードが書かれたのがいつかわからないんですけども、2000年なのか2003年なのか2005年なのか。これを書かれた当時というのは、こういった実装というのは一般的、10分間セッションを維持するというっていうのは、これ一般的だったか、それともかなり、言ってみれば稚拙だったぐらいの認識を持たれているのか、教えてください。

西井常務：最終的には、インターネット初めてつないだのは1998年です。その後いろいろと手を加えて、このコードが作られたのは2003年です。この当時、クライアント・サーバ、1990年にあったんですけど、ひとつの造りというんでしょうか、データベースだとかいろいろなハードウェアがまだそんな速くなかった（聴き取れず）に、ひとつの造りであったと。図書館システムについては動いていたというのが実態であります。

（略、一旦別の話題へ）

朝日新聞神田記者：それからですね、現時点でなんですけども、中川さんのプログラム、中川さんのクローラによるアクセスというのは、正当なものであったのか、あるいは不当なものであったのか、これについて御社の評価はいかがですか？

西井常務：クローラといっても、（聴き取れず）にはいろいろあって（聴き取れず）、その中で、3月の時点では、初めて遭遇した、そういうものであったというので、我々の技術者が戸惑いを覚えて、意図が不明であったということです。今の時点で見れば、いろんな方がいろんなプログラムを作ってアクセスされますので、そういうようなものにも我々システムインテグレータとして、対応するというふうにすべきだと考えています。

神田記者：なるほど、要するにすべて何でも対応できるのが理想的だという意味ですよね。それで、じゃあ聞き方を変えますけども、中川さんのプログラム、クローラっていうのは、常識的か否かで言うと、いかがでしょうか。

西井常務：3月の時点での対応で見ますと、意図が不明で今までとまったく違う点がいくつかあります。1つは身元通知がなかったとか。一過性でなく毎日訪れていたとか。IPアドレスが3つもお持ちで、ブロックしてもまた別のところからアクセスされたとか。そういうようなところがありまして、少し、意図が分からないために、戸惑いがあった。排除、回避に走ったというのが3月の時点です。ただ、今の時点で見ますと、その意図が判明しまして、新着図書を毎日お読みになられた、その差分で今日入着した図書を集められていたと思いますので、それを今の結果論として聞けば、まあ、一つのアクセスと言いましょうか、形かなというふうに思います。

神田記者：今は要するに、常識的な範囲の一つと言っていいだろうということですね？

西井常務：意図が分かりましたのでね。

神田記者：はあ。それでその当時、意図がちゃんと正確に把握するに至らなかったのは御社として至らない部分があったというふうに考えていらっしゃるんでしょうか。

西井常務：はい。それと、やはり3か月間、きちっとですね、システムインテグレータとして、その現象だかとか、我々の弱点だとか、そのへんを分析してきちっと対応するということが、できなかったというところが、深く反省してお詫び申し上げたいと思います。

神田記者：現段階から見てでもいいんですが、中川さんのプログラムは常識的なものなわけですね。というものが来たときに、しかし実際に閲覧障害が起きたと、いうことで、とすればやっぱり、御社のシステムの側に問題があったのではないかというふうに、理屈としてはなるんですが、それはいかがでしょう？

西井常務：それは先ほど申し上げましたように、そういうような機械的アクセスがあったときに、能力として不十分だったということでございます。

神田記者：能力として不十分だけど不具合ではないということですね？ はい。

もはや、「能力として不十分」と「不具合である」とを区別してここまでこだわる必要性がわからない。このように追求、整理されれば、それが実質的に同じことを指していることが明らかであるわけで、初めから「不具合でした」と言うだけで簡単に終わるのに、いったい何の不都合があるのか。

「能力として不十分」という言い方がされ続けると、愛知県警の逮捕を正当化してしまうという問題が残ってしまう。愛知県警は6月24日の時点で市民からの問い合わせに対して「そもそも図書館側は大量のアクセスを想定してサービスしていない。そこにこのようなプログラムを走らせて機能不全に陥らせたことが重視されるべきである」と述べていた。

要は、「大量のアクセス」というけれども、それがインターネットWeb界の常識に照らして非常識なまでに大量なのか否かが、故意性を疑わせるか否かの信憑性に係る傍証となるわけで、「欠陥（不具合）でした」と認めたなら、非常識な大量ではなかったということになるところ、それを認めず単に「能力として不十分」と言われたのでは、6月下旬時点の愛知県警の言い分が通ってしまう。

三菱電機ISは、今回の会見で中川氏のアクセスが常識的な範囲の一つだと認めたわけだから、愛知県警のようなレベルの警察に誤解されることがないよう、せめて「著しく能力として不十分」とか、ちゃんと「常識的なアクセスに対しての能力として不十分」という言い方をしてもらいたいものだ。（今後もインターネットWeb界の一員として事業を続けるのなら。）

なお、.NET版（新型）が機械的なアクセスに対応できている*4というのが「後でわかったこと」とされた点が、興味深い。つまり、現場のSE達は新型でも同様の閲覧障害が起きると思い込んでいた可能性があり、だから新型導入の図書館でも奇妙な/robots.txtが配備されていた（8月11日の日記参照）ということか。そこまで著しく技術力の乏しい会社なんだと今回の会見で自ら吐露したということなのか。

システムに問題はないと言ってたからこんな事件になったのでは

読売新聞山崎記者：（略）そもそもこれは朝日さんの方で（聴き取れず）ったいろいろな事実があって、こういう問題になっていることもありますし、積極的にお調べになったというよりは、外部からの報道があってですね、いろいろ調べたと私は見ているんですけども、対応がという面では、閲覧障害が起きたときに、抜本的に対応していたり、あるいはSEがこれがクローラであることを認識していて、悪意あるアクセスではないことを認識していれば、当然図書館も被害届を出すことはなかったでしょうし、被害届がなければ警察も動かないという、そういう方程式になるわけであって、もちろん被害届を出したのは図書館の判断ですから御社が出したわけではありませんけども、やはりそこのところの原因があってこういう事件に発展しているというのは、客観的に見れば明らかだと思うんですよね。ですから、逮捕したのは警察の判断ですし、被害届を出したのは岡崎市の判断ですから、御社の判断ではありませんけども、それをやはり、黙認というか、それを加担とまでは言いませんが、その原因を作ったところはやはり、MDISさんにあるんではないかと思うんですが、いかがでしょうか。

門脇社長：今のは仮定のお話だと思うんですけども、逮捕に関しましては、仮定の話も含めまして、この場で申し上げることはできません。経緯等々、よくわかりません。私どもは、図書館様のご指示に基づいて行動したという理解でございます。

山崎記者：図書館の指示、行動というのはよくわからないんですけども、それはたとえば、アクセスログを出してくださいだとかそういうことを指してらっしゃるんでしょうか。ちょっとしつこいようですけど、もちろん逮捕ですとか被害届という判断は御社の判断ではないというのはよく理解して申し上げますけども、ただ、意見を求められたときに、図書館からですね、このサーバがダウンしちゃってるんですけどと、保守の方がいらっしゃったわけですから中部支社の。その方がそのときに適切な対応をしていれば、こういった問題になることを防げたのではないでしょうか。それはいかがでしょうか。

門脇社長：微妙な問題ですけども、申し訳ございません、仮定のお話でございますので、ここは、わかりかねると、いう回答でございます。

山崎記者：そうすると、ちょっと齟齬を感じます。冒頭のお詫びの文章で「生じた問題の根本原因は弊社にあると認識し」という言葉があるんですけども、これは岡崎市の図書館で起きた閲覧障害のことも指してらっしゃるという理解でよろしいんでしょうか？

門脇社長：はい。その障害がですね、終息するまで、6月末から改修に入って、7月。実際1つの図書館がご都合で11月までかかってしまったという、そのへんをですね、SIerとしては申し訳ない、というふうな謝罪でございます。

（略、一旦別の話題へ）

日経新聞小西記者：さきほど情報が上がってきたところの、中部支社からの、具体的な時期でいうといつごろそのトラブルが、たぶんおそらく長い間、たぶん図書館側と中部支社の方で、問題ないという言い方でやりとりがあった故に、こういう事態になっ（聴き取れず）すか。

西井常務：私どもに連絡が入ったのが、最初の第一報が、中川氏が逮捕されたという、そういう短いメッセージが5月の下旬に上がって参りました。その後の対応はですね、先ほども門脇社長がお伝えしましたけども、6月の20日すぎに、他の図書館での類似のアクセス障害が発生したという報告が、第二報で上がりまして、この時点で改修を指示したということになります。

小西記者：その5月下旬段階では、システムの問題というよりも、まだ、本当の攻撃的な機械的なアクセスだったというような会社としては認識だったということですか？

西井常務：短い1行の、そういう事実が上がってきたと。報道されましたというのがあって、それを聞いて少し心が痛めてたんですけども、その後システム上の障害という通知が上がってこなかったということで、6月の22日まで対応ということには及びませんでした。

（略、一旦別の話題へ）

朝日新聞神田記者：これは他のメーカーの話になるんですが、埼玉県の朝霞市というところの図書館で、やはりこういう大量のアクセスがかかって、この図書館の場合はもう実際に館内の業務が全くできなくなって貸し出しも何もできなくなっちゃったと。で、半日間図書館を閉めたというのがあったんですね。事実上営業ができなかったと。このときどういう対処をとったかというと、abuseというインターネットサービスプロバイダの窓口がだいたいどこにもあって、そこを通じて、そのアクセスをかけた人にアクセスをして、それを止めさせたと。その翌日からは普通に営業ができるようになりましたと、いうことがあったんですが、御社においてはですね、abuseとかあるいは苦情窓口みたいのを利用するっていうようなやり方っていうのは、社内でちゃんと皆さん知識として共有はされているんでしょうか。

西井常務：岡崎の時点では、そういう共有は全くなされていませんでした。ですからきちっとした、たとえばJPCERTさんだとか、プロバイダに対して、そういうようなアクセスに対しての対応を求めることができずに、我々SIerとして、システムインテグレータとして申し訳なかったと思います。申し訳ございませんでした。

「生じた問題の根本原因は弊社にある」というが、その対象に、閲覧障害の件は含まれるけども、中川さん逮捕の件は含まないのだという。では何のことを言っているのかというと、閲覧障害が発生する状態の改修が11月までかかってしまったことについて、「SIerとして申し訳ない」ということなのだという。たしかにこの日の発表文「弊社図書館システムに生じた問題について（お詫び）」を見てみると、「システムインテグレーターとしての責任」のところで「責務を果たすことができていなかった」とされているのは、「この結果、3月中旬の障害発生後、これを解消する6月末の提案を行うまで約3ヵ月間、障害の可能性が続いてしまいました」という点になっている。

このロジックだと、たとえばもし仮に、4月中旬に早々三菱電機ISが責務を果たして不具合を解消していて、その一方中川氏は逮捕されるという展開（4月中旬までの容疑事実で）になっていた場合には、三菱電機ISは「原因は弊社にない」という立場だということになる。これは、読売新聞山崎記者の質問「中部支社の保守の方が、図書館から意見を求められたときに適切な対応をしていれば、こういった問題になることを防げたのでは」に対して回答を拒否した姿勢がそれに符合している。

しかし一方で、会見で、三菱電機ISは、ISPのabuseとか苦情窓口のことを社内で全く情報共有できていなかったと認めているし、そのことを「SIerとして申し訳なかった」と謝罪している。しかし、このことに対応する記述が、発表文「弊社図書館システムに生じた問題について（お詫び）」には書かれていない*5。会見で口が滑った（認めない約束で調整していたことをうっかり認めてしまった）か、そうでないなら、発表文の記述が十分でないということになる。

たしかに、もし、事態の責任が中部支社の担当SE個人に降り掛かるとすれば、ちょっと可哀想という気もするので、会社が一人の社員を守っているという姿勢なら美談という感じもしなくもない。しかし、それは違うと予想する。私は、6月下旬ごろ、三菱電機ISの図書館部隊の人々（この会見に出ている方々ではない）が、あちこちで何を豪語していたか風の便りで耳にしているし、その後も、9月になっても様々なことを豪語していたという話が聞こえてきている。担当SE個人ではなく、図書館部隊全体の姿勢の問題ではないのか。

会見の質疑応答によると、逮捕報道の第一報の後、6月20日すぎの報告まで幹部は何ら関知していなかったという。記者の質問「5月下旬段階で、本物の攻撃的なアクセスだったという認識だったのか」に対して答えを避けているのに、逮捕の第一報では「少し心を痛めた」のだという。

逮捕報道で心を痛めたのが本当なら、何か行動してしかるべきだろう。実際のところは、5月下旬の時点でも「本物の攻撃的なアクセス」と認識していたからこそ、何もしなかったのであって、「心を痛めた」などというのは大嘘ではないのか。

機械的アクセスで閲覧障害が起きるのは以前から知っていたのでは

朝日新聞神田記者：資料の2ページ目の3、システムインテグレータとしての責任というところの丸1番でですね、「これを解消する6月末の提案を行うまで約3ヵ月間、障害の可能性が続いてしまいました」とありまして、これは要するに、アクセス障害が起きる可能性があったよと。これを読みますと一見すると中川さんのアクセスっていうのが、初めてこういう問題を引き起こしたようにも読めるんですが、実際御社のシステムに対してですね、全国76の図書館があるということですが、こういうクローラもしくは機械的なアクセスによってでですね、閲覧障害が生じた例というのは、この中川さんの前にもあったんでしょうか。あったとしたらいつが最初でどれくらいの数あったんでしょうか。

西井常務：私ども、他の図書館でそういうクローラがあったのか、たとえば検索大手のところで、過去2006年か2007年くらいに、かなり激しいアクセスがあったというふうには聞いています。ただ、それもですね、robots.txtだとか対症療法で障害が収まっていると。一過性のものであったと、いうところで、経過を観察していたと、いうふうな状態で、やはり各拠点の中で情報がとどまっていたということであります。申し訳ございません。

神田記者：ということは、各拠点で話が止まっていて、御社、東京では把握をされていないということなんですか、現時点では。

西井常務：障害というのは一過性で収まって、また動いているという状態ですので、全く動かない、終日繋がりにくい状態だったと（聴き取れず）けども、それは一過性のもので、システムがまた正常に戻っているということで（聴き取れず）にはなっていませんでした。

神田記者：少なくとも私の取材の範囲では、少なくとも大阪府の貝塚市では、岡崎の直近ですね、昨年の12月に、クローラなのか知りませんが、大量の機械的なアクセスがあって、御社が対応に入って、1月、12月から1月にかけて対応をとられて、2月に報告書を貝塚市に上げていると。で、そこでrobots.txtを入れたりとかですね、種々の対応をとられたということが明記されているんですけども、この情報は東京には上がっていたんですか？

西井常務：大阪でとどまっていました。

神田記者：じゃあ要するに、貝塚の件も含めて全部、地方の段階でとどまっていて、東京には上がっていなかったていうことなんですね。わかりました。

三菱電機ISは、他の図書館での閲覧障害は検索大手のクローラによるものだけだったと言いたいようだ。実際、風の便りで耳にしたところでは、三菱電機ISの社員が、中川氏のプログラムについて「あんなのはクローラじゃないんですよ。グーグルとかとは違う」というようなことを豪語していたという話だし、私が6月21日に岡崎署に電話で尋ねた際にも、K警部補*6曰く「会社がやっているものを逮捕することはないので大丈夫です」という話し振り*7だった。

しかし、貝塚市での対応では、単にrobots.txtを置いたのではなく、「利用者からの同時接続数を100に制限」、「セッションタイムアウトを300秒に変更」、「クローラー閲覧抑止対応の強化（新着案内に追加）」という措置もとっている*8わけで、これは検索大手のクローラではなかったことを窺わせる。

他にも、2009年の夏ごろから石川県加賀市の図書館でも、閲覧障害が発生するようになり、これについて三菱電機ISは「激しいユーザーがいるのでアクセスに制限をかける」と図書館に報告していた*9とされている。

今回の会見で三菱電機ISは、そういった情報の全部が地方でとどまって情報共有できていなかったと認めているが、9月3日の時点では、一般市民からの問い合わせに対して、三菱電機IS広報は「情報共有は（本社・支社・地方オフィス含めて）できている」、「情報共有には問題なかった」と答えており、これは虚偽の回答だったということになる。

見解が9月の時点から変更されたようだがなぜか

朝日新聞神田記者：私は御社を取材してわりと長くなるんですけども、最初に御社と直接顔を突き合わせてお話をしたのは8月だったんですが、当時はですね、こういったご認識ではなくて、不具合はなかったというのは今も同じですが、とった対応についても問題はなかったと。実際、岡崎市立図書館の方にも、そのように説明しておられたようですし、それは岡崎市立図書館から聞いたんですが、でまた私の取材に対してもですね、情報の共有に一部至らない部分があったというのは今日と同じことをおっしゃってますけども、ただ基本的に御社として不手際っていうのはなかったと。問題は中川さんのプログラムのアクセスだというような見解だったんですね。ただ今日、こういうふうに、はじめてですね、中川さんに対してもはっきり謝罪の言葉を述べられたと、あるいは、御社の責任というものはこうこうこうであるというふうにお示しになったと。これは私から見ると非常に大きな進歩であると思うんですが、一方で、なぜこの段階になって心変わりをなさったのかなっていうのが、非常に不思議なんですけども、これはなぜなんでしょうか。

門脇社長：私どもはこの問題を取りあげるときに、真の原因はなんなんだろうというところに踏み込んで検討して参りました。そこで行き着いたのが、やはり、メーカ、SIerとしてですね、製品を単なる契約ベースでお納めすればよいというような考え方ではなくて、やはり、時代時代を見たときに、十分か不十分だったかというような点も踏まえて、今回総括させて頂いた見解でございます。SIerとしての不十分な点があったという点を反省して、今回この会見に臨ませて頂いております。

神田記者：非常に立派な真摯な態度だろうと思いますが、やっぱり私の質問なんですけどもね、なぜ8月私が指摘した時点ではそういうお考えに至らなかったのか、あるいは、9月でもいいんですが、記事が出た後の段階、私のすごく感じるところではですね、個人情報の流出の問題が詳らかになって、岡崎市がだいぶ態度を硬化させて、それが御社の態度が変わったように見受けられるんですが、そういうことではないんですか？

門脇社長：必ずしもそういうことではないというふうに思ってございます。我々の方にエスカレーションしたときにですね、やはりきちっと対応いくというふうに、会社として決めて今回の結論に至ったと。その間お時間要したのは、やはり、個人情報流出の件の調査と謝罪と図書館様に多大なるご迷惑をおかけしたその謝罪というステップを踏まさせて頂いたので、このような時間をかけて今回、発表に時間がかかってしまったという点でございます。

神田記者：なるほど、じゃあ最後に一つ聞きたいんですけども、そういった今回のようなですね、中川さんを含めてですね、謝罪が必要であろうと、こういうような判断を社内でなさって、こういう記者会見のような場を設けようというようなですね、発想が最初に始まったというのは、まあ今ね個人情報流出の件はたとえば確定しないといけないので時間がかかったということですけども、いつごろからそういうお考えが出たのかという部分、はっきりしたことがあれば教えてください。

門脇社長：いつぐらいというよりも、岡崎で会見したときもですね、インターネットに関しては不十分な点があったというふうに申し上げたと思っております。そのへんの見解をですね、まとめあげるのにしばらくかかったという理解でございます。

「岡崎で会見したときも」というのは、9月28日の会見のことであり、この日、三菱電機ISのWebサイトから岡崎市立図書館の事例紹介ページが削除されるなどの出来事があった。

Anonymous FTP設定について

日経BP中島記者：今回の流出に関してはパートナー会社のミスっていうのもあると思うんですけども、今回の件に関してパートナー会社に対する対応というのはどういうふうにされているのでしょうか。

門脇社長：FTPをAnonymousにしていたということは、私どもとしても、非常に大きなミスがあったと、セキュリティ上のミスがあったというふうに捉えておりまして、現時点では新規取引停止という形の処置をとらせて頂きました。再発防止策を講じて改善の報告があるまでは、少し、セキュリティの方をもう一度、私どものガイドラインを提示しながら再構築して頂くという形になろうかと思っております。

Anonymous FTPに設定したというのは、千代田興産によるもの以外にも、北海道の栗山町図書館でも起きていたわけで、これは、栗山町の発表文によると、三菱電機ISによるシステム導入時の設計ミスだとのこと。千代田興産を取引停止とか言う前に、自社のこの状況を述べてしかるべきだろうし、そもそもこれは、MELIL/CSのネットワーク設計を含めた構造的欠陥の結果として起きている設定ミスではないのか。

個人情報流出の図書館数はいったいいくつなのか

読売新聞山崎記者：個人情報の流出の方からいくつか。4ページの原因のところに、「ほとんどの図書館に」と、ほとんどとあるんですが、これ、たとえば全体なら70なら70だとか、60だとか、そういった数値化は可能なんでしょうか？

門脇社長：これに関しましては、本件はお客様の方に非がなくて、まったく私どもの方で混入させてしまったということでございますので、その数値については申し上げることはできません。申し訳ございません。「ほとんど」という表現でご理解いただければ……

山崎記者：たとえばですけども、全体として旧システム28という数字がありましたけども、新版と含めると今、何自治体とか何図書館に、全体がちょっとわからないので……

門脇社長：今、76ユーザがございます。

山崎記者：岡崎とかも含めてですね。ほとんどというのはやはりそうすると、全部ではないけども大半という……

門脇社長：もちろん、全部ではないんですけども。多くのという意味でございます。

山崎記者：固有名詞を尋ねているわけではありませんので、原因は御社にあるということで図書館さんはというのはわからなくもないんですが、数字は出されても問題ないと思うんですけども。いかがでしょうか。

門脇社長：私先ほども申し上げましたけども、これ図書館様にご迷惑がかかります。私どもの方がミスといいますか、私どもが原因で起こした事故といいますか事件でございますので、図書館様の数とかですね、そういうものについては控えさせて頂きたいと。すべて私どもの責任でございます。申し訳ございません。

山崎記者：……。

（略、一旦別の話題へ）

朝日新聞野村記者：岐阜県の飛騨市というのは、これは外には出てないという理解でいいんですよね。

西井常務：私どもが他の図書館のデータが存在してないかということで調査させていただいた結果を報告させていただいたと。その中で、飛騨市はインターネットには流出はないんですけども、飛騨市の図書館から私どもを経由して他の図書館へデータが存在したということで、広報されています。

野村記者：これ人数は？

西井常務：4名……ですね。はい。

野村記者：すると要するに、情報流出の第三者まで出てしまったかどうかという括りではなくて、情報が不適切な状態になったということで言えば、岡崎のデータが他のところに移植されていたと。で、中野区のも他のところに移植されていたと。外に出たということで言えば、えびの市のところから出たわけですが、移植されていたということで言うと、岡崎、中野、飛騨の部分が他の自治体のところに移植されていた、そういうことになりますか？

西井常務：そうです。

（略、一旦別の話題へ）

東京新聞松村記者：ちょっとわかりにくかったんですけど、2000年からマスターの中に持って帰ったりとかなんとかやり方やっていたと思うんですけども、他の図書館の情報をそのまま出しちゃったのは岡崎の2005年が一番最初なんですか？

西井常務：いえ、2000年からそういうのはあります。岡崎は2005年にやってし、やったんですけども、その5年前からそういう開発の手順というんでしょうかね、やり方をしていましたので、過去10年にわたってそういう開発を行った結果、いくつかの図書館に個人情報が存在するという事態を招いてしまいました。

松村記者：他の図書館に他の図書館の情報が漏れてるというのは、飛騨と岡崎と中野以外にもあるんですか？

西井常務：いくつかございます。

松村記者：他のたとえば岡崎の図書館に別の図書館の情報が入ってるんですか？

西井常務：岡崎ではないんですけど、ある図書館に他の図書館の個人データが存在しているということを、我々この秋、全館調査を行いまして、報告をさせて頂いております。

松村記者：すいません結局、持ち出しちゃった情報というのは、何館分ぐらいあるんですか？

西井常務：それは先ほど門脇社長が申し上げましたけど、これはすべて我々の責任であります。したがって、ここではですね、件数を差し控えたいということであります。ご了承願います。

松村記者：その図書館に入ってるっていうんじゃなくて、持ち出されたのも同じくらいあるということなんですか？

西井常務：数は少ないです。一つの図書館から20とか30の図書館へ持って行ってしまったという形で、持ち出した、流出した数は少ないです。

松村記者：流出したのはこの3つ以外にもあるということですか？ 出たのはそれ以上にあるっていうこと、取り込んじゃった図書館はそれ以上にあるということなんですか？

西井常務：そうです。

ここは重要な点であるにもかかわらず報道されていない。飛騨市の他にも、何館かあると明言されている。

この様子からすると、三菱電機ISはその自治体に公表を奨めたのではないかという感じがするが、それらの自治体が公表を拒んだのではないか。自治体の条例にもよるが、その自治体の条例で、こういう持ち出しによる個人情報データベースの他者への提供行為が条例違反（罰則あり）とされているのならば、この事実を公表しない図書館は、条例違反事実を隠蔽しているということになり、重大な問題だと思う。

前回書いたように、私は10月下旬に、三菱電機IS社を訪れて会談してきた。その際、こちらからまだ何も言い出していない段階で、先方は、現在全館調査を行っているところで、その結果は11月にも公表する予定だとおっしゃっていた。今回、記者会見があると聞いて、きっと、洗いざらい調べた結果の公表があるのだろうと思っていたが、どうだろう、個人情報流出の事案については、ほとんど新しい情報が公表されていない。結局それは、当事者となった図書館自身がそれを公表しないかぎり、三菱電機ISとしても公表するわけにいかなかったということだろうか。

ただ、それにしても、件数さえ言えないといのは不可解だ。少ない方（流出元となった現在隠蔽中の図書館）に配慮して言えないというのはまだわかるが、多い方（流出先となった図書館）は、そもそも図書館側の責任ではないし、「ほとんど」と表現されているわけで、図書館への配慮で数字を言わないというのは理屈が立たない。もしや、全館調査を行ったものの、既に削除されていたところが多々あって、その数を把握できなかったとかいうことではあるまいか。

また、会見では質問に答えているものの、発表文「弊社図書館システムに生じた問題について（お詫び）」の書きぶりでは、飛騨市の事例のような、「外部」*10に出ていないものについては、個人情報流出ではないかのような扱いで書かれている。これについては後日また改めて書きたい。

■ 神田記者のコラムを掲載

会見の翌日、朝日新聞の全国の版で、オピニオン面に神田記者のコラム「図書館とIT 向き合わねば存亡の危機に」が掲載されていた。この記事の転載の許諾が得られたので、以下に転載します。

（転載許諾期間終了）

朝日新聞2010年12月1日朝刊17面「図書館とIT 向き合わねば存亡の危機に」
朝日新聞社データベース事業センターの許諾のもと転載（承認番号：2-2096） ※朝日新聞社に無断で転載することを禁止する