この記事はFIXER Advent Calendar 2019 (https://adventar.org/calendars/4579) 23日目の記事です。

今回は時事問題にフォーカスして記事をまとめてみました。前日は蛭沼 さんの『小さくて早い？Svelteとは』でした。

先日起きた「神奈川のデータ漏洩問題」を取り上げ、調べてみたことをシェアしてみたいと思います。

神奈川のデータ漏洩問題

2019年12月頭に発覚した、大量の個人情報が入った神奈川県庁のハードディスクがネットオークションに出品され流出した問題です。

個人情報が入った神奈川県庁のハードディスク18個中9個の行方が分からなくなりました。2019年12月21日 県の発表によると、今回は幸い9個とも回収できたようです。

この問題の本質はネット上でもいろいろと取り沙汰されていますが、どこに問題があったのかと言えば「信用業務」だった部分が大きいと言われています。

つまり「目に見えない作業」を「どこまで信用するのか」ということになります。

クラウドはどうでしょうか？

「目に見えない作業」を「どこまで信用するのか」という点では「クラウド」はまさにその部類に入ります。

Azureのサービス利用を停止した場合、ハードディスクに残っているデータ管理についてはどうなっているかを調べてみました。

まず 日本マイクロソフト のサマリとしては、以下の通りです。

「Microsoft は厳格な基準に従っており、クラウド内のお客様のデータを Microsoft 管理下のシステムから削除するとともに、ストレージ リソースは再使用前に上書きし、使われなくなったハードウェアはデータ消去または破壊を行います。」（出典：日本マイクロソフトHPより）

サービス利用停止後、90日間はデータ保持し、その後物理記憶上のデータを削除することになります。データ削除の説明としては以下の通りです。

「保管用のディスク ドライブにハードウェア障害が発生した場合、Microsoft がそのディスク ドライブを交換または修理のために製造元に返却する前に、ディスク ドライブは確実にデータ消去されるか、破壊されます。ドライブ上のデータは完全に上書きされるので、データはどのような手段でも回復できなくなります。
このようなデバイスが廃棄される場合、米国の NIST 800-88 Guidelines for Media Sanitation に従ってデータ消去または破壊が行われます。」（出典：日本マイクロソフトHPより）

ディスク ドライブの確実なデータ消去/破壊 についてはsatosatoさんが、Microsoftに問い合わせをしてブログにまとめてくれました。
「『データセンターから生きて出ることはない』Azure廃棄ディスクの行方を追ってみた」

NIST 800-88については、2006年発表された初版のガイドラインをIPAが日本語翻訳をしています。（出典：IPA HPより）

2014年には改訂版のガイドラインが公開されています。こちらは英語版のみとなっています。（出典：NIST HPより）

上記のサマリについては、「特定非営利活動法人デジタル・フォレンジック研究会」の記事が分かりやすかったです。（出典：証拠保全先媒体のデータ抹消に関する報告書）

システムリスクより人的リスク

神奈川の問題については、ハードディスクを廃棄する業者内部の管理体制が問題でした。

つまり、データ消去のシステムリスクより、それを運用する人的リスクのほうが問題だということです。

では、Azureデータセンターの運用などうなっているのでしょうか。
調べてみたところ面白い記事があったので、その記事の見出しを紹介します。

・AzureのDCは・・・「知られざる謎の組織」が運用している
・Azure DCの立地条件には・・・「秘密の35項目」がある
・Azure DCのラックの色は・・・「白」と決まっている
・「悪魔の証明」・・・Azure DCのケーブルはすべて天井側にある
・Azure DCのツアーガイドには・・・「特殊能力」が求められる

上記は、マイクロソフトテクノロジーセンター センター長の澤円さんのインタビュー記事です。目に見えないところまで細心の注意を払っていることがわかります。（出典：偽名で運用 !? Azureデータセンターの「トリビア」を集めてみた）

おわりに

Azure Council Experts 《ACE/アジュール評議会》が発行した書籍「エンタープライズクラウドコンピューティング 実践ガイド」の「はじめに」に以下文章が書かれています。

『パブリッククラウドの可用性を疑うよりも、自身が作るサービスのクオリティーに時間と情熱を注ぐべきである。
もうクラウドレイヤー未満の事象に悩むのはやめて、エンタープライズ領域における本格的なパブリッククラウドの活用に、知恵と努力のすべてを注ぐ時が来ている。』

今回のような出来事があった時、あらためてパブリッククラウドの活用を検討していただけたら幸いです。