NTTデータ孫請け社員が顧客情報を引き抜いて，作った偽造カードで不正引き出し
http://www.nikkei.com/article/DGXNASDD270ON_Y2A121C1000001/
http://itpro.nikkeibp.co.jp/article/NEWS/20121127/440222/
http://security.slashdot.jp/story/12/11/27/0834251/
メモ
なれる!SE (7) 目からうろこの?客先常駐術 (電撃文庫)
- 作者: 夏海公司,Ixy
- 出版社/メーカー: アスキー・メディアワークス
- 発売日: 2012/08/10
- メディア: 文庫
- 購入: 5人 クリック: 144回
- この商品を含むブログ (47件) を見る
http://d.hatena.ne.jp/JavaBlack/20120815/p1
- ‥‥なんなんだよもう，この常駐業務って奴は．人間性を破壊し正気を失わせる．窓のない部屋に大人数を押し込め，夜昼関係なくこき使って，私物は没収，外部との連絡も許さないとか．これじゃあ，これじゃあまるで．
奴隷じゃないか．
地銀共同センターは、13の地方銀行が参加する国内最大の共同利用型勘定系システム。容疑者はNTTデータの二次委託先企業に所属し、同センター構築の初期段階である2003年4月から継続してセンターのシステム開発に従事していた。顧客がATM（自動現金預け払い機）を利用した際、地銀共同センターの利用行と提携金融機関の間で発生する取引情報を、この容疑者が不正に取得してキャッシュカードを偽造した。この取引情報には口座番号や暗証番号などが含まれる。
疑問点１：下請け会社の名前が出てないのはなぜ？
今に至るも名前が出てないのは不自然なくらいだ．NTTデータの身内．NTTデータやNTTの名を冠している所という可能性も否定できないなあ．
コメントより，「ディスタンス」とのこと．
複数の口座から現金約2000万円を不正に引き出した容疑者は、NTTデータからみて二次下請けのディスタンスの従業員。2003年から10年近く地銀共同センターの仕事に従事してきた「高度な技術をもつ」（植木英次執行役員）ベテラン技術者だった。
http://biz.bcnranking.jp/article/news/1211/121128_131820.html
該当する「ディスタンス」というのは，以下の会社かな？*1
- 「株式会社ディスタンス」 http://distance.co.jp/
仮にもIT系の会社なのにホームページさえまともにメンテされてないとすると，既に事実上廃業してるんじゃないかという気も……．*2
以下のページを参考にすると「従業員数 当事業所6人（うち女性2人） 企業全体20人」．まあ良くある零細IT会社だね．たぶん人買い業中心．
http://job.j-sen.jp/hellowork/job_5084858/ (魚拓)
http://job.j-sen.jp/hellowork/job_4403866/ (魚拓)
「ハローワークインターネットサービスより転載した情報」という点でも不安が残る会社だ．*3 検索しても他に最近の求人も見つからないし．
ひょっとして，隠したかったのは「天下のNTTデータ様が，そういう零細弱小会社の社員に頼らないと，日常的なメンテもできなかった」という事実かな？
疑問点２：下請け技術者のスキルは？
本当に高度なスキルで情報を盗めるくらいなら，なんで孫請けだったの？*4 *5
疑問点３：下請け技術者の給与は？家族構成は？
ありがちな動機としては「金に困ってやった」というのが考えられるんだけど，その話をする上でも最も重要な要因がこれらだよね．マスコミはこの部分にもっと突っ込むべき．*6
ありがちなシナリオは最近の不景気で単価が切り下げられ，定年退職も迫っているのに老後の蓄えもなく，もちろん退職金も出ない．*7生活は切り詰めているのに年々貯蓄は減る一方．そのうえ仕事量はうなぎ登りで，サービス残業は青天井．*8
単に遊ぶ金ほしさだったとしても，元請けなら犯罪に手を染めずとも濡れ手に粟で遊ぶ金を得てるのに，遙かに貢献している下請け技術者では生活もままならない現状で元請けとのあまりの格差を目にしてれば，今までそういう事件が起こらなかったのが不思議なくらいだと思う．*9
ちょっと整理するために，単純な組み合わせで考えると以下の四つになる．
- １，技術は優秀で，待遇も良い．
- ２，技術は低いけど，待遇は良い
- ３，技術は優秀だけど，待遇は悪い．
- ４，技術は低くて，待遇も悪い．
１の組み合わせはある意味で普通だが，下請け孫請けならまず有り得ない．*10
２の組み合わせはもっとない．*11
人数的には４の組み合わせが一番多そうだけど，そんな奴に重要なシステムの内部を触らせてたとするとNTT-Dの管理体制に深刻な問題があるということになる．それに技術が低いなら「システムにある脆弱な部分があり、そこを狙い、高度で専門的な知識を使ってアクセスした」という証言と矛盾する．*12
３の組み合わせも散見されるんだが，これこそ指摘されている多重下請け構造の深刻な問題そのもの．
そもそも孫請け会社の技術者がなぜ、重要システムに精通しているのか。それはＩＴ（情報技術）産業の業界構造に深く関わる。「システム開発は仕事量が膨らむときとそうでないときの山と谷が大きいビジネス。パートナーと一緒に仕事を進めていく形態を取る」（植木執行役員）。自社では手が回らないときや、自社のコストでは採算が合わないとき、“調整弁”として中小のシステム会社を使うことが常態化している。
http://www.nikkei.com/article/DGXNASDD270ON_Y2A121C1000001/?df=2
下請け／孫請けの方が元請けより詳しいのって普通の話でしょ．実作業してるのは下請けなんだから．
「雇用の調整弁」というと聞こえはいいけど，その実態は使い捨ての奴隷みたいなものだから．困った時には酷使して，仕事が終わるとハイ，サヨナラ．
宮口容疑者はソフト開発技術者で、銀行間の対外接続を担当するチームに所属していた。システムの運用は別に担当者がいるため、通常は稼働中のシステムに近づけない。
だが例外があった。新機能の追加などでシステムを改変するタイミングだ。地銀共同センターは「大きな改変は年に３回、小さな改変はほぼ毎月ある」（植木執行役員）。システム改変直後は正常に作動するかを監視するため、開発技術者が運用の現場に立ち会うのだ。
宮口容疑者は自ら担当するシステム改変のさい、普段は入れないシステムの「運用ゾーン」に許可を得て入室。10〜20人が作業するなか、堂々とシステムに不正アクセスし、他人の口座番号、暗証番号を盗み取った。そのデータをキャッシュカードに入力し、偽造カードを作製したのだ。
むろん、宮口容疑者にシステムにアクセスする権限はない。だが、「システムにある脆弱な部分があり、そこを狙い、高度で専門的な知識を使ってアクセスした」（植木執行役員）。
http://www.nikkei.com/article/DGXNASDD270ON_Y2A121C1000001/
変更や修正は起きるものだし，それを「例外」って言っちゃうセンスはどうなの．それは通常業務の一環でしょ．
そしてそういう時は技術者が直に操作するしかないけど，元請けは何もできないのが普通だから全部下請けに丸投げだったんだろうなあ．
そしてシステム内部にアクセスするんなら，SQL直打ちとかファイルの閲覧とかで大抵のことは可能なはずだけどね．暗号化してあったとしても，暗証番号なんて4桁の数字だから力業でなんとかできるし．*13
http://scan.netsecurity.ne.jp/article/2012/11/28/30517.html
http://biz.bcnranking.jp/article/news/1211/121128_131820.html
http://japan.zdnet.com/security/analysis/35025060/
http://sierblog.com/archives/1684259.html
http://itpro.nikkeibp.co.jp/article/COLUMN/20121130/441081/
http://www.nttdata.com/jp/ja/news/release/2012/112700.html
下請け、孫受け構造の限界か
現状で解決策というと「今までも認識していたことを改めてしっかり実施する」といったことしかない考えられないのが正直なところです。
一方で、懸念はたくさんあります。何より、下請け、孫請けという受注構造に今後も業界として頼り続けていいのかということです。下請け企業を保護する下請け法の問題もあります。
今後は、IT業界に限らず、外国人を含めた非正規社員の比率が増えるのは間違いありません。愛社精神を持つ人もますます減るでしょう。そうした環境の中で、企業は下請け、孫請け企業による不祥事にどこまで責任を持てるでしょうか。改めて考える必要があります。
- システムインテグレーターに構築を発注するユーザー側は、今後どんなことに気をつける必要がありますか？
開発や運用を委託した時点で、発注者といえども管理プロセスなどには実質的に手が出せなくなります。もちろん、問題が起きた時の対処方法などは決められますが、細かな運用プロセスは分かりません。その意味で、ユーザーからするとお手上げです。
http://japan.zdnet.com/security/analysis/35025060/
こっちは古いニュースか．事件の内容も似ているし，日付を確認しなかったら分からない所だった
http://itpro.nikkeibp.co.jp/article/NEWS/20060328/233646
http://www.nttdata.com/jp/ja/news/release/2006/032801.html
http://b.hatena.ne.jp/entry/itpro.nikkeibp.co.jp/article/NEWS/20121127/440222/
- id:pratto NTT-Dの委託先なのだから、NTT-Dだって被害者たりえるのに、その委託先の社名が出てこないとか、つまり委託先は身内。NTT-Dのグループ会社なんだろうな旧CIの下の方の粒粒の会社なんだろうな。
- id:ysync 法や契約で縛ったところで、多重下請け構造の末端や派遣だと（法を犯しても）失うものが少ない人が関わる可能性が上がるからな。／終身雇用という家族や未来を人質にする手法を捨てたらこうなる。
- id:houyhnhm 内からやられたら、脆いからね。／二次委託でも触れるように契約上してはあると思いますけど。特に運用はバカにトラブル調査無理なので。／メモリダンプ出来れば大概抜けちゃうので対策になってないと思うんだよね。
http://b.hatena.ne.jp/entry/www.nikkei.com/article/DGXNASDD270ON_Y2A121C1000001/
- id:nekora 何故か報道されない委託先社名
- id:omi_k 金にさわる仕事じゃさあ、モラルはさあ、金で買えるんだよ、つか金で買うしかないんだよ実際のところ
- id:joker1007 これで、また無駄な承認フローが増えて作業立ち会いに人が割かれて、資料作りに勢が出ますね。まあ、中で働いてたら不思議でも何でもないというか、ギリギリの良識によって成り立っているからなあ。
- id:ysync ↓本社正社員は家族と未来（退職金、企業年金、住宅ローン他）を人質にとってるからね。リスクとリターンが末端とは大きく違う。
- id:satohu20xx 教育とか下請けとかじゃなくてその人が悪いだけでは。んで、重要な場所で働いててもそれ相応のお金を払わないとやっちゃう人が出るだろうなぁ。
- id:sasashin q「再発防止に向けて、全社をあげて取り組んでまいります」ならまず下請けを安く買い叩くことをやめればいいんじゃね。金を扱う人間の待遇が悪いと色々起きやすくなるのでは（ソースなし）。
- id:kakei "高度で専門的な知識"…えっ？/金融系システムのセキュリティはSEの良心で守られてる部分が多々ある気がします。
- id:tnakamura 銀行員になるには身元がしっかりしてないとなれないが、多重下請なので銀行システムの開発者の身元のチェックや監視は全然行なっていない
- id:stealthinu 大手SIの下請け孫請け丸投げ体制がこの事件を起こしたとも言えるな。土建屋のロジックをそのままシステム開発に持ち込んでるんだもんね。そこが改善されない限り日本のSI業なんて復活しないだろ。
- id:seiunsky セキュリティについて教育できたって、犯罪するき満々の人を防ぐの難しそう
- id:suginoy こういう事件あると、この孫請け社員が充実した仕事ができてたら犯行に及んだだろうかと考える
スキルや貢献度と，待遇が比例してないのが根本原因だよなと．
IT業界だと首切り／派遣切り／雇い止めやらパワハラやら多重下請け／偽装請負やらが日常茶飯事なので，自社に対する愛社精神や忠誠心はおろか帰属意識さえない人は多いと思う．ましてや親会社の親会社の顧客なんて，顔もろくに見たこと無いですね．下手すると一度も会ったことなかったりします．
- id:TakamoriTarou 多重下請け構造は問題だけどそれが原因じゃ無いでしょ。社員だったら倫理観が高いから事件は発生しなかったとでも言うのか？ それとも犯行に及ばせる劣悪な環境を強いていたとか？ id:ysync 犯人も孫請けの正社員では
なにをいまさら．劣悪な環境はIT業界の常識です．*14
- id:twisted0517 そりゃあんな値段で買い叩いてりゃコンプライアンスのしっかりした業者なんて使えねーわな、とか。
- id:sometimeshappy 下請け社員の管理なんて丸投げが基本だもんなぁ。せいぜいこういうのはいけません守りまショー的なA4ペラ1渡してなんかあったらオタクのせいだからねとしかならないと思うよ。観測範囲が異業種ではあるけど。
- id:raitu 「そもそも孫請け会社の技術者がなぜ、重要システムに精通しているのか」NTTデータ内に精通している人がいないから。彼らから見たらこの程度の事でも「高度で専門的な知識」なんだろう。奴隷商人は恨まれるというお話
- id:ya--mada あいつら仕事してないし。って思ってしまうのは被害者意識でしょうか？
- id:yogasa 容疑者が所属してた会社でもなく，銀行でもなくNTTDだけが責められてるようなのがよくわからん．どこにも責任ありそうだが
元請けは，品質やセキュリティをきっちり管理するという信頼のもとで仕事を受注してるんです．だからセキュリティを維持する責任は元請けにある．*15それができないなら大幅に値引きするか，そもそも廃業しろって話です．
でも実際は設計も開発も品質管理も運用も全部下請けに丸投げというのがまかり通っている．それでいて下請け孫請け技術者は安く買い叩く．それでも「我々がきちんと品質管理してます（キリッ）」とか主張してきたけれど、実際に管理運営してるのはワーキングプアの現場技術者．こういう事件は「元請け社員でも起きる時は起きる」けど、「起きるべくして起きた」とは随分印象が違うよね．
- id:robeht 丸投げ体質企業なのと今回の事件は別問題だね。
- id:milanista 下請け構造は問題あるけど、この事件には関係ないやろ。
- id:mu_hal モラルの有無に下請け元請け孫請けは関係ないと思うけどなぁ…やる人はやるし。あと業務知識を元にDBからデータ抜いたのを「不正アクセス」と呼ぶのは、何か違う気がする。
- id:ssig33 悪意あってやってんだから NTT データが下請けに依存しないってなれば NTT データに入社しておなじことやるんじゃないの
- id:m_sakunyan 下請けだからとか関係ないじゃん・・。
- id:georgew 基本的に元請け正社員か下請けであるかは関係ないように思う。
- id:barelo 別にデータの社員だからって同種の犯罪に手を染めないとは限らんだろう。身分差別的で嫌な論調だ。
- id:ProjectK でもこれって下請け孫請け依存構造だから起こったものなのかな？経緯をみる限り悪意を持っていれば自社の社員でも起こしうるものにしか見えないけど。
といわけで，関係なくはない．普通は身分差別はあるし，待遇が全く違うから．
モラルや忠誠心ってのは自然発生するものではなく，金で買うものなんですよ．
そういう意味で丸投げ体質でなければ起きなかった事件という可能性は高い．少なくとも元請けは，その責任を果たしていなかった．だから責められるのは当然．
- id:unaken みかかの優秀な社員は、下請けが作った仕様書や設計書の文章の「てにをは」や「句読点」の添削に忙しいからね。疎かになるんだろ。
．．．これが，冗談じゃすまないんだよなあ．
http://el.jibun.atmarkit.co.jp/pressenter/2012/03/8-4118.html
暗号化しようとどうしようと，4桁の整数なのでブルートフォースで解けちゃいます．*16
問題なのは閲覧の可否ではなく，それを使って不正に預金の引き出しが行われ，しかもそれが検出できなかったこと．もし不正引き出しがあってもそれを全て検出できれば犯人を逮捕して，被害者には預金を戻せばそんなに深刻な被害にはならなかった．
今回のはどれだけ被害が出たか全貌さえ掴めてないので，不正に引き出されたのに損害を補填してもらえず泣き寝入りする被害者も出るのではないか．それどころか自分が被害者であることにさえ気付かないかも．．．
- id:morita_non 切り捨てられた一円未満の他人の口座の利息を自分の口座にごんごん振り込むプログラムを潜り込ませたスーパーハカーが再び現れたのかと思ったら違った。NTTデータの信用？
- id:lll_nat_lll 偽造カードを作製したのくだり、社内でテスト用にカードを作れるのかな。発行から廃棄まで管理してそうなものだけど。「高度で専門的な知識を使って〜」の部分も、同様に管理されてなかっただけなんじゃないのかな
- id:hirolog634 エンジニアならば誰もが「高度で専門的な知識」などなくてもできてしまうと思うはず。こうした事件が起きると、いきなり犯人はスーパーハッカーになる。
- id:mizchi いい言葉だ… 「システムにある脆弱な部分があり、そこを狙い、高度で専門的な知識を使ってアクセスした」
- id:TakayukiN627 システムにある脆弱な部分があり、そこを狙い、高度で専門的な知識を使ってアクセスした｜これは嘘だと思う。
- id:kiron00 高度な云々と書いてあるけど、経緯を見るに単に業務知識を利用した不正横領じゃね。
- id:K-yamada 「そこを狙い、高度で専門的な知識を使ってアクセスした」これは嘘だな
たぶんそうだと思う．
仮に本当にそうだとしたら「待遇はもっと上げても良かったんじゃないか」みたいな話が出てきてしかるべき．
どうせ出ないんだけど．
「海外で食べて行けるエンジニア、食べられないエンジニア」
http://wirelesswire.jp/london_wave/201212030558.html
タイムリーなネタだったのでメモ．
簡単に言うと、外でも食べて行ける人は「自分で手を動かして何かできる人」です。
コーディングできる、設計できる、管理の仕組みを考えられる、コストカットした機材の調達の仕組みを考えられる、人員管理がうまい、プロジェクト管理できる、監査の仕組みやドキュメントを作れる、戦略を作って実行できる、という様な「自分で何かができる」人です。
反対に、「これは食べて行けない」という典型例。それは、日本国内の大手ベンダやユーザー企業勤務で、下請けや孫請けへの「丸投げ」しかできない「エンジニアもどき」や「SEというなんだか良くわからない仕事をやっている人」「仕事が部長や課長」という人々です。
日本では、残念ながら、通信もITも業界の仕組みは「ゼネコン体質」です。大手がコネやら知名度で仕事を取って来て、それを、下請けや孫請け、そのまた下請けに安い値段で丸投げして、利ざやを抜いて儲けるって奴です。
偉いのはお客、丸投げは当たり前だから、お客様側の「気持ち」を汲み取って、なんとか仕事をしなければいけないのは下請けの方です。これを長年やっているので、お客側は、要件定義をきちんと書いたり、妥当なスケジューリングで下請けに仕事を出したり、ということができません。
要するに、お客として「絶対にやらなければならないこと」ができないのです。
「「不正取得は1068口座、センター内で偽造」、NTTデータがカード不正利用の経緯を説明 」
http://itpro.nikkeibp.co.jp/article/NEWS/20130117/450281/
http://www.nttdata.com/jp/ja/news/release/2013/011700.html
http://www.atmarkit.co.jp/ait/articles/1301/17/news124.html
追記
説明を聞いて、記者が注目した点は3つある。
1つ目は、NTTデータが長期にわたって容疑者の不正を見抜けなかった点である。説明によれば、容疑者が不正取得した日は2012年6月2日、9月10日、10月1日の3回で、これ以外にはないことを確認したという。NTTデータが警察当局からの問い合わせによって不正を認知したのは同年11月20日なので、半年近く不正は発覚しなかったことになる。
これについて、池野氏は「容疑者は担当者相互の監視が十分でないタイミングを利用して不正を行っていた」と説明した。センターでは、重要な操作をする際には、必ず複数人が同時に端末に向かって操作をする運用をしていた。
ところが、操作結果を出力した帳票を取りに行くために端末を離れる場合など、単独操作が可能になってしまう“隙”が存在した。NTTデータは再発防止策として、端末の前には必ず2人がいなければ操作自体をできないようにロックする措置を講じたという
2つ目は、容疑者が「システム基本情報」という特殊なデータを不正取得した点である。地銀共同センター内の取引情報は原則として暗号化・マスキング処理が行われていて、容易に閲覧できない。暗証番号なら「＊＊＊＊」と見える仕組みになっている。ところが、この「システム基本情報」だけは例外で、マスキングされていない情報を取得することができた。
「システム基本情報」とは、システム故障時などの調査・復旧作業に必要となる取引情報を指す。NTTデータは再発防止策として「システム基本情報」へのアクセス制限を強化した。
ただし、「システム基本情報」という“例外”自体を無くすことは不可能だという。池野氏は「現在運用中の情報システムであり、根本的な作りを変えることはできない。もしゼロベースからシステムを設計するとすれば、違う考え方もあり得るかもしれない」と話した。
3つ目は、容疑者がセンター内でキャッシュカードを偽造していたとみられることである。地銀共同センター内には、テスト用の特殊なATMが数台設置されており、そのうち1台にはキャッシュカードを作成する機能が備わっている。
カード偽造の経緯についてはNTTデータ自身も調査しきれていないという。「運用上、容疑者単独ではカード作成の操作はできないはずで、なぜ偽造できたのかが判明していない」（池野氏）。カード作成用のATM自体は情報システム開発・保守のために必要不可欠で、撤去する予定はないようだ。
対策に甘さがあったことを認めつつ、NTTデータの木村氏は「あらゆる不正のシナリオを考えながら対策を考えているが、いくら対策をしてもそれをかいくぐられる可能性はある」と率直に話した。NTTデータは当局の捜査が一段落した時点で、関係者を厳正に処分する方針である。
さんざん「高度な技術を用いて盗み出した」とか言ってたと思うんだけど，高度な技術についてはノータッチ？
それと，なんでNTTデータが自社の社員だけでメンテしなかったのかとか，孫請け社員の企業名及び年収については闇の中って感じだなあ．
やっぱり大方の予想通りということなんだろうか．
さらに3月末までをめどに、NTTデータグループ全体でシステム点検を実施するとともに、重要情報に対するアクセス管理の強化、不正アクセスの早期検知といった観点でセキュリティ強化を図る。「NTTデータ社内の有識者を集め、『どういった不正なシナリオが考えられるか』を検討し、それに基づいてガードしていく」（同社 パブリック＆フィナンシャルカンパニー事業推進部長 木村千彫氏）。さらに、技術の進歩にともなっていずれ脆弱な個所が生じてくるという視点に立って、再発予防策を講じていきたいとした。
業務委託先に対しては、これまでも、契約条文に盛り込んだ機密情報の扱いを順守するよう求めるほか、年に2回の頻度で情報漏えい防止に関するセルフチェックを行うなど、漏えい抑止に取り組んでいたというが、「それだけでは足りない。再発防止策の中でさらなる強化を図っていく」（池野氏）という。
http://b.hatena.ne.jp/entry/www.atmarkit.co.jp/ait/articles/1301/17/news124.html
なんでNTTデータは自分達でやると言わないんだろうね．
それと，孫請け社員の年収は一体いくらだったのさ．
*1:こっちの会社もあるんだが，事業内容からすると違うんじゃないかなあ．設立も2011年9月と新しいし．「株式会社ディスタンス」 http://distance-corp.co.jp/index.html
*2:給料未払いとかなければいいけどね．零細IT会社だと，十二分にありえるからねえ．．．
*3:ハローワークは求人を出すのにお金が要らないということで，ブラック企業率が高いとの噂．実際に求人を見たことあるけど，いかにもな奴ばかりだったよ．
*4:SIビジネス的には技術スキルと待遇が比例しないのは常識なのだが，部外者だと下請け孫請けで待遇劣悪だと，「技術スキルが低いからそうなったんだ」と誤解する人もいるかもしれんからね．
*5:「本当は高度なスキルなんてなくても，誰にでも盗めたんじゃね？」という指摘は，全くその通りだと思うけど．
*6:突っ込まない理由は，多重下請けとピンハネビジネスについては，マスコミも他人のことを言えた義理じゃないからかな．
*7:なにせ58歳だから．退職金も貯蓄もないというのは，動機としては十分だと思うんだ．
*8:さらには今年末で契約打ち切りの話まで．もちろんこのご時世に転職先などない，とかね．
*9:或いは氷山の一角？
*10:元記事でも「自社では手が回らないときや、自社のコストでは採算が合わないとき、“調整弁”として中小のシステム会社を使う」と書いてるくらいで，「（外注管理に必要な各種のコストを差し引いても）下請けの単価は元請けより安くて当然」という業界の共通認識がある．
*11:ちなみに元請けの人は原則としてこのパターン．「技術力は不要．必要なのは外注管理やマネジメント経験．」ということが求人票にも明記されてます．
*12:技術者なら，この発言は非常に疑わしいとも思うけどね．
*13:「脆弱な部分」ってSQLインジェクション並ってことはないよね？？
*14:関係者なら，真っ先に想像される動機がそれなんだけど．．．
*15:起きた後に「責任を取る」と言って経営者の首を切るのは別問題．問題を未然に防ぐのが本来の仕事．
