[岡崎図書館サイバー冤罪事件] 速報: 新局面突入! 個人情報漏洩は事実だった: biac のそれさえもおそらくは幸せな日々@nifty

2010年9月28日 (火)

[岡崎図書館サイバー冤罪事件] 速報: 新局面突入! 個人情報漏洩は事実だった

twitter の #librahack タグでは、 MDIS が新しい図書館サイトを立ち上げる際に、既存の図書館サイトからコピペして作っていたことが明らかになっており、その際に個人情報も含めてコピーされた可能性が高いのではないか、つまり、個人情報が漏洩しているのではないかという疑念が挙がっていた。

本日11時に開かれた MDIS と岡崎市の記者会見で、それが事実だったことが明らかになった。事件は新展開を迎えた。

毎日新聞: ＜岡崎市立中央図書館＞利用者情報１６３人流出…ネット経由
9月28日(火)12時34分配信

利用者１６３人分の個人情報がインターネットを経由して外部に流出したと発表した。０５年６月末時点で図書の予約や返却延滞をしていた一部の利用者の名前や年齢、電話番号、借りた本の題名、貸出日などが流出した。

　ソフトを開発した三菱電機インフォメーションシステムズ（東京）によると、同図書館が最初のソフト販売先だった。岡崎市の利用者の個人情報を誤って残したまま、ソフトをほかの全国３７の公立図書館に販売してしまったという。

(18:30 追記)
・中日新聞の記事によると、いよいよ岡崎市は MDIS をかばいきれなくなったみたい。 ⇒ 『岡崎市立中央図書館が入居する市図書館交流プラザの米津真総合館長は「守秘義務や個人情報の複写禁止に反し、明らかに契約違反。損害賠償請求などの法的措置を含め、契約の白紙化や指名停止も検討する」としている』
・本日公表された MDIS の「お詫び」によると、『プログラムライブラリの修正結果を元のプログラムライブラリに反映』させたら個人情報が残存していたとのこと。ふむ、 MELIL/CS のプログラムライブラリには個人情報が含まれているらしいw

(23:45 追記)
・朝日新聞にも記事が出ました。やはり一番詳しいです。米津総合館長は「個人情報の保護や複写の禁止を定めた契約に対する明白な違反。今後、 MDIS の指名停止や損害賠償請求など法的な対処を検討したい」と話したそうです。 (魚拓: p1, p2)
・朝日新聞は別記事で、 今週末に名古屋で開かれるパネル討論会の紹介もしています。
・図書館交流プラザ市立中央図書館の報道機関発表資料 ( 本文(魚拓)、添付資料1(魚拓) ) には、「図書館利用者の情報の一部が混入」と、あいかわらず MDIS の言うとおりに書いてある。「情報の一部が (プログラムと共に) 複製された」であろう。流出した情報が「督促電話連絡データ」と「予約取置本リスト」だったというのは新情報。督促データってのは、朝日の記事と突き合わせると、 (おそらくは Web から) 予約された本が返却期日を越えて貸し出し中であったときに、電話で督促するためのものと思われる。予約取置は、予約された本が館内にあるので、それを取り置きしておくためのものであろう。しかし、 そんなデータを Web サーバー上に作成したとして、どうやってそのデータを見て作業するというのだろう? (館内 LAN から直接 Web サーバーにはつながっていない。) あいかわらず、1つ明らかにすると 10倍くらいの疑問が沸いてくる図書館の説明。
・流出した個人情報は 2005年 6月のものだとのこと。翌月 2005年 7月から正式稼動してます。ということは、リリース直前の本番環境テストで作られたデータのようですね。

(2010/9/29 7:30 追記)
> papa_pahoo: MDISのPマークの有効期限は来月28日。まさか更改しませんよね＞JISAさん http://www.mdis.co.jp/company/csr/isms.html #librahack [http://twitter.com/papa_pahoo/status/25782610444]
・同じページの ISMS 認証は、 2010年2月26日で期限切れとなったまま、放置されてる。まさかほんとうに切れてるなんてことは…?