システムエンジニアとしての一言――SE今昔物語：萩原栄幸が斬る！ IT時事刻々（1/2 ページ）

プロフェッショナルなシステムエンジニア（SE）は、いかようにあるべきか。筆者がSEとしての経験を積み重ねてきた立場から、今の現役SEの実態に触れて感じた不安を話そう。

[萩原栄幸，ITmedia]

本コラムは、情報セキュリティの専門家・萩原栄幸氏がITとビジネスの世界で見落とされがちな、“目からウロコ”のポイントに鋭く切り込みます。

　筆者は今でこそセキュリティ、コンプライアンス、内部犯罪、クラウド、スマートフォンといったさまざま分野に活動の場を広げてきたが、SEとしても実にいろいろな経験を積み重ねてきた。今回はSEとしての立場で疑問に感じたことを、昔の出来事からごく最近の事例までの中からランダムに取り上げてみたい。

　その昔、世間では都市銀行が「第三次オンラインシステム」を競って開発していたころの話だ。筆者は、セキュリティ上の視点からある疑問を感じたことがあった。他行はどうしているのか？　世界はどうなのか？　こういう観点でシステムのプログラムソースを調査したものの、さまざまな点で不足があり、この疑問については結局「運用上やむを得ず」として、長い間そのままになってしまった。残念ながら現在でもそのままにしている企業やシステムが数多く存在する。

　その疑問の1つは、「アクセスコントロール」である。例えば、ある金融機関において（呼称は企業により異なるが）支店長の権限が100、副支店長が80、次長が60、課長が50、行員が30、パートが10だとしよう。そのような権限の条件で「振り込み処理」を行うとする。振り込み処理のプログラムモジュールは、Aモジュール＋Bモジュール＋Cモジュールの全部で3つとする。この3つの処理を完結させて、ようやく「振り込み処理」が一気通貫で完了する。また、モジュール単位の実行可能権限は、Aモジュールが30以上、Bモジュールが60以上、Cモジュールが50以上だとしよう。

　筆者が感じた素朴な疑問は、「それでは次長（権限が60）以上の人、例えば副支店長や支店長なら振込処理を全部できてしまうのか。それはセキュリティ上まずいのではないか」ということだった。しかし当時は（今も？）、「それで何が悪いのか。君は支店長が変なことをするとでも言うのか。そんな考え方はおかしいぞ！」と言われたのである。

　読者はもうお気づきだと思うが、“支店長は善人”と思う人は、たぶん先進国を含めて世界の中では日本だけだろう。外国では先週までライバル企業の社長だった人間が今週から自分たちの企業の役員に収まっているといった話がいくらでもある。それは金融業界でも例外ではない。

　また、社長が自ら自身の会社を高く売り払おうと（起業目的が会社を高く売却するという極端な人間もいる）、さまざまな不正を行うことがある。つまり、「論理的にその可能性を排除できないなら、そのケースも考えなければならない」というごく当たり前のことを筆者が指摘しただけであった。

　他国のシステムは案の定、日本のようなケースはまずなかったわけである。不正行為が1人で完結してしまうというというのは非常に危険なことであり、前述したプログラムモジュールなら、「端末利用者の権限区分≧Aモジュール実施の権限区分ならAモジュールの実行」ではなく、「端末利用者の権限区分＝Aモジュール実施の権限区分ならAモジュールの実行」とすべきだ。

　Aモジュールの実行権者は「30」。つまり、役職のない行員以外は実施できない。例え支店長でも副支店長でも実行権限がないわけである。不正な振込処理を完結するためには、最低でも3人の共犯者が必要になるので、当然ながらプログラムモジュールのセキュリティはその分強固なものになる。

　当時はやむを得なかったと思われるが、筆者の主張はかたくなに「拒否」され、変人扱いされてしまった。このような場合は運用に大きな変更を伴ってしまうし、何より“支店長は神様”という風潮を変えることなどできるわけもなかったのである。今になって振り返ると、現実を考えない青二才の若造の考えだったかもしれない。しかし、セキュリティの専門家として、いや1人のSEとしては正しい行動だったと思う。

　読者の企業におけるシステムではいかがだろうか。きちんと検討した結果として、「こういう運用を認めている」「リスクは覚悟の上」ということなら、それはそれで構わないと思われる。だが、議論し尽くされた結果とは到底思えないケースが多いのではないだろうか。