クラウドストレージのデータ消失に関する責任の所在

2024年9月23日 15:07

本稿では、クラウドストレージのデータ消失に関する責任の所在についてお話をしたいと思います。

クラウドストレージって…

クラウドストレージは、ユーザーから見たらクラウドのどこかに保存されているデータではありますが、クラウドストレージを提供している会社から見たらローカルに保存しているデータに他なりません。ということは、その会社がデータを消失させてしまう可能性だってあるわけです。
このような場合、データ消失の責任はクラウドストレージ提供会社とユーザー、どちらに発生するのでしょうか？

誰が悪いのか？

残念ながら、現状では「ケース・バイ・ケース」とお答えするしかありません。ということは、事故が起こって裁判をやってみてその結果を待たないといけない、ということになってしまいます。
いくつか事例を追ってみましょう。まずはクラウドストレージ提供会社に責任があるとされた事例です。

クラウドストレージ提供会社が悪かった例

F社は、クラウドを通じたストレージを提供している会社でした。ある日のこと、約5700件の顧客データが消失しました。最終的に振り返って何が原因だったかを挙げるなら、メンテナンス作業中に使用された更新プログラムに不具合があり、対象外のサーバーに保存されていたデータまで削除されてしまいました。
詳しく見ていきましょう。F社は、脆弱性の対策として特定のサーバー群に対して更新プログラムを実行しました。しかし、この更新プログラムに致命的な不具合が含まれており、対象外のサーバーのデータも削除されました。
データが消失した会社には大規模な会社も含まれており、また特にEコマース事業者などデータ消失が事業継続に直結する企業も含まれていました。
F社はデータ復旧ソフトを使用してデータを復旧することを試みましたが、復元データに新たな問題が発生しました。復元データがアクセス権限のないデータまで閲覧可能となるなどの問題が発生し、最終的にデータ復旧を断念しました。

第三者委員会を設置！

F社は事故の原因調査と再発防止策を講じるために第三者委員会を設置しました。そしてその報告書ではデータが消失していた「第1事故」と、その事故で消失したデータが想定外のところに復元された「第2事故」について報告しています。
結論から言えば、すべての始まりとなった「第1事故」の原因はベテラン担当者のやり方の方が尊重されており、マニュアル無視が黙認されていたことから始まっています。この担当者だけが、自作プログラムでメンテナンスを行っていたのです。
F社にもマニュアルというものはもちろん存在しました。そしてシステム変更などの重要な操作にはマニュアルに沿うことがきちんと記述されていました。しかし「第1事故」の原因となったシステム変更担当者A氏はマニュアルに従わず自作の「更新プログラム」を使って作業を行っていました。A氏ひとりが隠れてこれを行っていたのではなく、自作プログラムを使った独自の作業手順に従ってA氏がこの業務を行っていたことを、上長も認識しながら黙認していたという状態でした。
「第1事故」発生前の午後5時ごろにA氏はメールシステムの障害対策を行うため、自作の更新プログラムをさらに改変して対象サーバー群で実行しようとしました。つまり、いまできたてホヤホヤ、なんの動作検証も行われていないプログラムをいきなり実践に投入したのです。のちに明らかになったことですが、A氏が日常使っていた自作の更新プログラムから泥縄式に作成された臨時更新プログラムにおいて、「"対象外サーバー群"についてファイルを削除する」というコマンドを消し忘れていました。これが、"対象外サーバー群"のデータがバックアップも含めてすべて削除されてしまった直接の原因でした。
当該日付の5時48分頃に監視システムのアラートでA氏は異常に気付き、更新プログラムを緊急停止しましたが、この時点でほとんどすべてのデータが消失していたと報告されています。
この「第1事故」について報告書は「過失の内容およびその程度」について言及しています。それによると、A氏は「社内マニュアルを故意に無視し、上長もこれを是認することで、積極的に情報セキュリティの不備を生じさせていた」と、まことにもってそのとおりなことを指摘しています。しかし一方でA氏が「約10年前から独自方式でメンテナンスを行ってきたにもかかわらず、第1事故以前は重大な事故はなかった」というような事情も勘案しています。A氏がベテランであることをもって、マニュアルを無視したやり方も是認されてしまったということになります。
そしてF社の過失について「軽過失の枠内ではあるものの、比較的重度の過失であったものと解される」という、なんだかよくわからない結論に至っています。私にはこれ、重大な過失をなるべく軽く見せたいという本性が現れた表現にしか思えないのですが。
そして「第2事故」については、「創業以来サーバー単体でのデータ消失の経験が無かった」ため「データの消失を想定したマニュアルや手順書を作成していなかった」ことを指摘しています。いやいや、想定してないことの方がおかしいでしょう。
そして結局「第2事故」についてはどういう作業を行えばよいのか手がかりさえないまま本当に手探りで慌てて作業を行った結果、誰がどう使えばいいのかという設定もせずに復元データを提供してしまったというのが事のあらましです。
そうして、事故から約1ヶ月後、データ復元は断念され、約5700件のデータが失われることになりました。結論としては、データ消失事件の責任はF社にあるとされました。

利用者側「も」悪いとされた事例

逆に利用者も有責となった事例について見てみましょう。こちらは、3者の当事者が出てきますので話がやや込み入ります。
Z県の産業を支援する公益財団法人Yが運営するポータルサイトの全データが、サーバ管理会社であるN社の社内手続きミスにより完全に消失しました。当初はデータの復旧も不可能と発表されました。
こちらはYとN社がクラウドサーバの賃貸借契約がその月末で切れるため更新手続きがされていたにもかかわらず、N社側の手続きミスで更新がされず、期限切れで消えてしまったという事案になります。
「システムの全プログラムが完全に消失。同センターが登録したデータや、ユーザーが登録したデータ（メールマガジンの配信先や配信内容など）も完全に消失」「プログラムの再構築は可能だが『相当の期間が必要』で復旧のめどは立っておらず、データは『完全に消失し復旧が不可能な状態』」と、聞いただけでへたり込みたくなるような内容となっております。
この件に関しましては重大な操作ミスなどはありません。ただ、更新手続きが忘れ去られていたという1点に尽きます。そのため、N社の管理ミスが原因という判断は出ていますが、Yがバックアップを取っておかなかったことも責任を果たしていないと判断されました。
皆様、安心して下さい。このケースにおきましては、Yの従業員が危険を予知していたのか、ローカルでのバックアップも必要と考えN社のサーバー内にあるデータを自動でローカルにコピーしていたものが発見され、最終的には復旧致しました。

利用前に合意を行う「責任共有モデル」

最近では、サーバー提供会社とユーザーの間で「責任共有モデル」というものが作られることが一般的になりつつあります。要はここからここまでがサーバー提供会社の責任範囲、ここからここまでがユーザーの範囲と取り決めることです。
しかし、人間というのは本質的に怠け者なのでしょうか、特に問題がなければもっと楽な方法をとったらいいじゃないか、という方向に流れてしまうことは、F社の件などを見ても明らかではないかと思います。

小括

Y社のデータが起死回生の復活を果たした後者の事例などを見ましても、データというのは「やり過ぎじゃないか？」というぐらいバックアップを取っておいた方がよいものと言えると思います。
ぜひ、弊社のサービスをご検討下さい。
では本日はこれにて失礼致します。