三菱電機インフォメーションシステムズ（MDIS、本社：東京都港区）が納入した図書館システムで、アクセス障害や個人情報の流出が発生していた問題で、同社は30日、これまでの経緯説明と謝罪を行った。同社は、「システムインテグレーターとしての責務を果たせていなかった。生じた問題の根本原因は弊社にあり、再発防止策を講じて信頼回復に努める」としている。

◆発端：新着図書データを取得していた男性が業務妨害容疑で逮捕

　ことの発端は、自作のプログラムを使って岡崎市立中央図書館のWebサイトから新着図書データを取得していた男性が、今年5月に業務妨害容疑で愛知県警に逮捕されたことに始まる。毎秒1回、2週間で3万3千回のアクセスで逮捕されたという話題は、報道直後からネット上で大きな反響を呼び、疑問の声が次々に上がった。その程度で高負荷になってしまうのは、サーバー側の問題と考えられるからだ。
　20日間勾留され不起訴（起訴猶予処分）となった男性は、6月に事の顛末と疑問をブログにつづり、ネット上では図書館システム側の問題を追及する動きが活発になる。
　一般の方の興味の対象になりにくい、この種の事件は、逮捕時と一部の有罪判決が報じられる程度で、不起訴が報じられたり、その後の検証が行われたりすることはほとんどない。ところが8月、同館と同じシステムを使用知る別の図書館のサーバーから、誰でもアクセスできる匿名FTP（Anonymous FTP）経由でプログラムがダウンロードできることが分かり、状況が急転する。アクセス障害の原因がシステム側の設計上の問題であることを、朝日新聞が専門家の分析結果として報じたのだ。
　翌9月から10月にかけては、図書館事件を追及していた方の手で、入手したデータの中から別の図書館の利用者情報が次々に発掘され、それを追うように、愛知県岡崎市、宮崎県えびの市、東京都中野区から、図書館利用者の個人情報流出が公表された。

◆しかし、アクセス障害の原因はシステム側にあった

　今回のMDISの発表では、アクセス障害が発生した原因は、同社の図書館システムが1回のアクセスに対してデータベースとの接続を10分間、維持する仕様になっていたため、データベースの同時接続数が設定値を超えると接続できなくなくなるというものだった。
　これは、8月に指摘された通りの原因であり、逮捕された男性が逮捕時に主張していた予測でもある。同社は6月に、アクセスの度にデータベースに接続する方式にシステムを改め、7月から11月にかけて対象となる28の図書館の改修を行ったという。同社は、アクセス障害が発生した際に、システム解析や性能調査による原因の究明を行わず、図書館への説明も不十分だったとしている。

◆個人情報流出の原因も、システム開発側に

　同社は、システムの改良開発を導入先図書館の動作環境で行い、その作業後にプログラムを持ち帰ることがあった。その際、個人情報が含まれていることに気付かず、製品マスターに登録してしまった。これを、個人情報があることを認識しないまま出荷するという作業を、2000年から今年7月までの間、同社の各拠点で行っていた。
　その結果、同社の図書館システムを導入したほとんどの図書館に、他の図書館の個人情報が混入する事態となった。また、プログラムがダウンロードされたことは8月上旬に認識していたが、個人情報流出についての確認が不十分であったため、流出情報の確定まで約4か月を要する結果になったとしている。

◆個人情報流出の詳細を発表

　混入した他館の個人情報のうち、パートナー会社のサーバーからプログラムと一緒に外部に流出したのは、岡崎市立中央図書館159名分、えびの市民図書館2761名分、中野区立図書館51名の計2971名分の、氏名、生年月日、住所、電話番号、図書名などが組み合わさったもの。すでに導入先全ての図書館システムについて調査を行い、混入していた他館の個人情報については各図書館に報告。各図書館の了解を得て、11月19日までに全て削除したという。
　図書館システム内の他館の個人情報は、Webサイト上からはアクセスできない領域に格納されており、通常の図書館業務メニューでも操作できず、同社は、外部に流出していないことも確認したとしている。同社は、どのシステムにどの図書館の個人情報が混入したのかは明らかにしていないが、報告を受けた飛騨市が、4名分の個人情報と削除を確認したことを、11月22日に公表している。

（2010/12/02　セキュリティ通信）

【関連URL】
・弊社図書館システムに生じた問題について（お詫び）（三菱電機インフォメーションシステムズ）
http://www.mdis.co.jp/news/press/2010/1130.html