銀行のデータセンターってどんなところなのか

ツイッターで#GitHubというタグがトレンド入りしていた。

そんなことある？　と思ってみていたら、どうやら、GitHub上に三井住友銀行などのソースコードが流出というニュースが流れてざわざわしていた。

ふと、昔、銀行関係のシステムを開発していた頃を思い出した。

銀行のデータセンターってどんなところ？

私は銀行向けのシステム開発を担当していたことがある。そのプロジェクトでは開発したシステムの導入まで担当していたので、いくつかの銀行のデータセンターに入ったことがある。

データセンターとは、企業の業務システムが稼動させているサーバ類を設置した専用の施設のこと。重要な機器やデータを収納しているため、セキュリティは厳重である。

システム開発をしていると業種によって特色があるが、金融系システムはセキュリティが最重要視される。今回のような流出事故など絶対にあってはならない。

私が訪問したことのある銀行のデータセンターの中で、一番セキュリティが厳しかったところを紹介する。

データセンターの所在地は非公開

データセンターはセキュリティの観点から所在地は非公開。特に公開する必要性もない。

おお、こんなところに！という感じで田舎にそれはあった。山を切り開いてドンと建てたようなあからさまな感じでもなく、なんでもない住宅街にそれは突如現れた。

もちろん、建物名などは書いてない。なんか無機質なビルだなと思ったら、データセンターだった。Googleのデータセンターのようないかにも感もなし。

入場ゲート

門のところには警備員。玄関にも警備員。受付では身分証明書を提示。事前の訪問申請情報と一致しないと入館できない。

中には、社員証の他、顔写真付きの身分証明書の提示まで求められたこともあった。緊張感がどんどん高まる。

荷物チェックは空港並み

かばんの中身はすべて警備員によるチェックが行われる。USBメモリーやCD-Rのように記憶媒体は事前に申請したものしか持ち込みできない。

ポケットの中身はすべてトレイに出してチェックされる。同時に、身体は金属探知機をくぐる。

ただ、空港と違ってベルトは外さなくても、警備員に指さしてベルトしてるよ、と見せれば大丈夫だった。これから仕事するぞーというときにベルト取りたくないよね。気持ちが緩む。

こんな感じで建物に入る際には、空港のような厳重さ。Ｘ線検査まではさすがに無かった。

オペレーションルームへ

これでようやくサーバー機器をリモートで操作することができるオペレーションルームに到達。

普通の執務室のような感じで、ここではある程度自由に作業ができる。食べ物は食べられないけど、水分補給はOKだった。紙パックはダメだったけど。

インターネットには一切接続できない。トラブったときは己の勘が頼り、というのも心細いので、メンバーを本社に待機させておいて電話で調査を依頼していた。

だいたいはこのオペレーションルームからリモートでサーバに接続して、作業をすることが多かったが、一度だけその先の超厳重エリアのサーバールームに行ったことがある。

いざサーバールームへ

サーバーにOSから入れる作業はさすがにリモートではできない。今のGCPやAWSならWeb画面からささっと操作して作れるけど、当時はオンプレミス。サーバの実機前に行ってCD-ROMセットしてOSからインストールしていく必要があった。

サーバールームへの入場はさらに厳重だった。

まず、荷物チェック済みのかばんでさえ持ち込み禁止。CD-ROM、ノート、ペンをクリアファイルに入れて持ち込む。ここから先は飲み物も持ち込めない。

靴はなぜか専用のスリッパに履き替え。再度金属探知機をくぐる。

堅牢な扉をくぐるには生体認証が必要。私のようなゲストの登録はないため、データセンターの職員が常に同行し、指紋認証などの生体認証をクリアする。

ここから先は通路には監視カメラが多数。白い通路にはなにも物が置かれていない。物陰が一つもない状態。

操作対象のサーバーが収納されたラックの前についたら鍵をあけてもらってコンソールを引き出して操作する。ちなみにこのとき使うラック用のコンソールは使いづらい。

データセンターからデータを持ち出すのは不可能

このように幾重にもセキュリティが施されており、ここからデータを持ち出すのは無理だろう。

今回のはデータ流出と行ってもソースコードが漏れたということなので、データセンターから漏れたのではなく、開発段階の資材を開発者が持ち出してしまった模様。

GitHub上に三井住友銀の一部コードが流出、「事実だがセキュリティーに影響せず」
日経クロステック／日経コンピュータ　2021.01.29　より引用

データセンターからなにかが漏れたら、こうは書けない。

開発段階ではデータセンターのような厳重さはないので、リテラシーの低いエンジニアがいれば流出してしまうだろう。

開発段階はセキュリティ甘いのか

そんなことはない。

データセンターレベルではないが、開発段階でもソースコードなどが外部に漏れないような対策はされており、基本外には持ち出しはできないようになっていることが多い。

しかし、コロナ禍の在宅ワークで、セキュリティに穴ができてしまった可能性もあり、こういうニュースでせっかく在宅ワークの流れができつつあるところに水を差すことだけはやめてほしいところ。

あと、GitHubはまったく悪くない。適切に使わないとこうなるという事例。