システム責任者の不正行為(実例)
ついに、こういう事件が表にでてきた。
- ニュース - 【会見速報】NTTデータの元社員がカード顧客データを悪用、約3100万円を不正引き出し：ITpro
- NTTデータ、元社員が業務受託銀行からカード情報を盗み3100万円引き出す | スラッシュドット・ジャパン
以前、こんなエントリを書いたのだが、まさかこんな有名な会社の、しかも銀行系で、実害が発生するような事件が起こるとは思ってもみなかった。
システム管理者の不正行為 - 練習帳
この事件は、にわか管理者にとって、いろいろな意味で非常に怖い事件だと思う。
先日、サーバ室に監視カメラ - 練習帳のエントリで監視カメラ導入に失敗したという記事を書いた。この記事では触れなかったが、個人的な導入理由として「不正行為をしていないという証明」にしたかったということがある。
なぜなら、以下の場合、俺の立場が非常に危うくなるからだ。
- 不正行為者が入退室管理のログを改竄した上「あ、その時間○○君(俺の名前)」も来て何かしてましたよ。」とか証言しちゃう
- さらに追い討ちで「ちょっと腹痛くて、ちゃんとログアウトしないでトイレに行ってた」なんていいたれる
- 最悪なことに、その時間帯はぴったりと俺が外出していた時間帯で、アリバイがない
- ログの(改竄された)記録と、(改竄した本人の)証言があるため、俺の無実証明が非常にやりづらくなる
こうなると、その行為者と俺のどっちがより人望があるかということになってしまい、ぎりぎり冤罪は免れたとしても、ありもしない責任をかぶらされる可能性がある。
この例のように犯人が、すべての自分のログをきれいに消すことは無理でも、自分以外の人間をグレーにすることは結構簡単だ。軽微な犯罪なら、容疑者が増えれば犯人自身が重大な責任を取らないで済む場合もあるだろう。逆に「システム管理者」というだけで、あらぬ疑いと余計な責任を取らされてしまう可能性もある。
そうでなくてもトカゲの尻尾になりがちなシステム管理者としては、いざ事が起こった場合に余計な責任を取らされたりしないよう、いろいろ準備と根回しはしておいたほうがいいと思う。
なんて書いてみたけど、悲観的過ぎるかなぁ。それとも俺の心根が二重らせん構造になっている?
