第58号コラム「不正をさせない」

第58号コラム:丸山 満彦 氏(監査法人トーマツ パートナー  公認会計士)
題:「不正をさせない」

情報化社会の進展とともに、不正調査におけるデジタル・フォレンジック技術の重要性が増しています。しかし、今回は不正が起こってからの不正調査ではなく、不正をさせないための話をしたいと思います。デジタル・フォレンジックとは直接関係ないかもしれませんが、少しお付き合いください。

私が、不正を発見した時の話です。帳簿上の数字と実際の現金残高が一致していないことから問題が発見されました。一見数字は一致していたのですが、必要な修正仕訳を入れると一致しなくなり、不正が明らかになりました。一致していなかった数字は約7万円。支店で経理業務を行っていたベテラン社員が不正を働いていました。不正を行ったきっかけは、友人に立て替えてもらった息子のランドセル代を返すために銀行に行くことを忘れたことでした。その日は金曜日であったこともあり、返済が月曜日になっては悪いと思い、会社のお金を少しばかり借りて友人に立て替えたお金を返しました。月曜日にはすぐに銀行にいってお金をおろし、会社に戻しました。銀行が支店から遠いこともあって、その担当者はしばしば、会社のお金を借りては返すということを繰り返すようになってしまいました。そのうち、会社から借りているお金を返すのが遅れるようになりました。そのタイミングで監査があり、会社のお金を使い込んでいたということになってしまいました。
性善説か性悪説か。個人情報保護法の対応、内部統制報告制度の対応がきっかけとなって多くの人が語るようになった言葉です。私は、性善説、性悪説といった単純化した議論は好きではありません。実際に不正を見つけたり、その渦中に身をおいたものであれば、人間が善か悪か、単純に分けることができないことはわかってもらえると思います。

第57号コラム「続・米国フォレンジックe-Discoveryの現状」

第57号コラム:池上 成朝 氏(株式会社UBIC 取締役/UBIC North America, Inc.)
題:「続・米国フォレンジックe-Discoveryの現状」

前回はe-Discovery対応のここ数年間に渡る変化について主に記述しましたが、今回は前回トピックに挙げた技術や文書管理技術をさらにもう一段階掘り下げて考えてみます。

引き続き技術革新の中心はいかに大量の電子データの中から真に争点に関連する文脈を正確に早く捜し出すかに集中しています。前回紹介した重複除外技術も既にハッシュ値を用いた完全一致は当然のこと、より近い意味の文章、文節を重複文書として認識する技術も標準搭載的な機能となってきています。我々が想像する以上の速度で文書内容を自動判別する技術が応用されている事を示す一つの良い例だと考えます。

1)インデックスを応用した技術
最近出てきた手法で、インターネット世界と結び付けて、意味の似た単語を自動的に収集し、調査システムに文書内容を学習させる物があります。言い換えるとシステムの中に似た意味の単語辞書を持たせ、巨大化させていく手法ですが、同時に専門性も持たせる必要がある為、調べたい案件に特化したウェブサイトやブログ等を学習ソースにして似た意味の単語辞書精度を上げる手法も開発されています。
一方インデックスされた単語数を基に考案された機能に言語判別技術があります。膨大な電子データの中に外国語文章がどれだけ含まれているかを調査する技術です。特にグローバル企業のデータを調査する際には何人のバイリンガル調査人員・閲覧人員を準備し何日かけて調査を終わらせるか等の判断に必須の技術になってきています。精度に関して現在の所、英語・スペイン語の区別などはかなり高くなっていますが、日本語等のカタカナと英語のつづりが一つの文の中に多く含まれる言語に関しては依然エラー率の方が高い状態になっています。専門性の高い文書になると専門用語がすべて英語の綴りになっており文章自体は日本語文法で正しく書かれていたとしても数学的に判断すれば英語となってしまう場合がまだまだ多い状態です。

第56号コラム「デジタル・フォレンジックは、専門家以外の方の助け(役割)も必要としています」
~「デジタル・フォレンジックのキーワード」=「正確性(正当性)や信頼性」と「見える化(積極的な可視化による問題発生の抑制、早期解決能力の向上)」~

第56号コラム:小山 幸輝 氏(株式会社インフォセック セキュリティエンジニア、IDF会員)
題:「デジタル・フォレンジックは、専門家以外の方の助け(役割)も必要としています」

~「デジタル・フォレンジックのキーワード」=「正確性(正当性)や信頼性」と「見える化(積極的な可視化 による問題発生の抑制、早期解決能力の向上)」~

デジタル・フォレンジックという言葉を聞くと、専門家が証拠を収集、分析するというイメージがあります。そのイメージは、デジタル・フォレンジックの専門家が、不正(犯罪)調査やインシデントレスポンス(事故や事件への対応)を行い、法的紛争(訴訟)などに貢献するという一面から来ているのかもしれません。
デジタル・フォレンジックの専門家が扱う証拠となるデータなどは、改変されることなく、正確に記録されていることが重要であり、その正確性(正当性)をより高めることが、信頼性を高めることにもつながると考えます。
なぜなら、証拠となるデータなどが、正確に記録されずに、誤って記録されている疑いがあれば、真実を証明する難易度が増して、不正(犯罪)に関係していない無罪の人の潔白を明らかにできずに、不幸になる(有らぬ疑いをかけられる)可能性が高まるだけでなく、実際に不正を犯した人の有罪の事実すら立証されず、有罪の人には逃げられるかもしれないからです。

第55号コラム「仮想化とセキュリティ」

第55号コラム:宮坂 肇 理事(株式会社NTTデータ 公共ビジネス推進部 技術戦略部 部長)
題:「仮想化とセキュリティ」

今回は“仮想化とセキュリティ”というテーマで進めたいと思います。仮想化技術や仮想化環境、その運用等のセキュリティ、そして仮想化環境におけるデジタル・フォレンジックとの関係については相当に幅広く深くまで踏み込む必要がありますが、今回はコラムということで広く浅く見ていきたいと思います。さらに、仮想化環境におけるセキュリティは、今後も様々な研究や技術としても興味深いテーマでもあるため引き続きいろいろな場で議論を進める必要があるのかと考えています。
これまで物理的なハードウェアで構築されていた webサーバやデータベースサーバなどの物理的なサーバ、ディスクアレイ装置などの物理的なストレージ、さらには物理的なネットワークなどを仮想的な装置として動作させる技術、という意味で、ここでは“仮想化 (Virtualization) 技術”として扱います。仮想化技術の進展や、動作させるハードウェアのプロセッサ性能やOS技術等の発展により、仮想化環境が物理的なサーバに置き換えることが可能となり、仮想化環境を構築するためのソフトウェアを提供するベンダ等が増え、データセンターなどでも仮想化環境を提供するようなベンダなどの増加により、企業等の実際の業務で使われる情報系システムや基幹系システムでも実際に利用が現実的となってきています。さらに、仮想化環境を導入する企業等では、複数のサーバやアプリケーションの仮想化を行い少数台の物理サーバに統合することで運用管理等のコスト削減や省スペース化、環境の構築やバックアップ、リストアなどの運用を柔軟に行えるなどのビジネスメリットが期待できると考えられます。一方、セキュリティ面で見た場合には、仮想化環境の導入によりセキュリティ面の期待と課題の両面が存在します。特に仮想化環境を利用する利用者の立場から見た両面について簡単に触れたいと思います。

第54号コラム「ところ(分野)変われば定義も変わる」

第54号コラム:須川 賢洋 理事(新潟大学 法学部 法政コミュニケーション学科 助教)
題:「ところ(分野)変われば定義も変わる」

先日「第1回 研究・教育のためのデータ連携ワークショップ」というイベントに出席しました(http://www.nii.ac.jp/index.php?action=pages_view_main&page_id=653 ※リンク切れ)。国立情報学研究所が主催したこのワークショップの目的はずばり、「専門領域を超えたデータの連携をいかに行うか?」というものです。企画段階からこのワークショップに関する相談を受けていたのですが、当初の予想以上に大きなテーマであり、異なる専門分野間で研究データを共有していくためには様々な課題があることを改めて感じさせられました。
このWSで私に与えられたテーマは「法的な視点から”データ”という概念を整理して欲しい」というものでした。今回のコラムでは、データという言葉がいかに多種多様な使われ方をしているかということをこのWSの内容を紹介しながら記すとともに、「法的にはデータとはどう定義されているのか?」ということを述べてみたいと思います。
私の話した内容、つまりデータの法的な定義は本稿の後段で記すことにして、まずは「様々な分野で”データ”をどのように捉えているのか?」ということを少し紹介してみたいと思います。
単に「データ」と言っても、デジタル化された電子情報を指す場合もあれば、紙に書かれたアンケートの集計情報を指す場合もあり、人によっては文献や図録等の通常は「コンテンツ」呼んでいるものをデータと呼ぶ場合もあります。