クラウドサービスの見方（みんなで考えるITスキルとセキュリティリテラシー）

この記事は、山本が周囲の人と実施したIT＆セキュリティの入門勉強会を素材に、読み物としてまとめ直したものです。
ITに詳しくない方が、ITについて攻められるレベルを目指せるよう、具体的で分かりやすい話をしつつ、本質を捉えてもらおうという試みです。

ITを「攻める」

あらゆる活動にITが関わってくる時代になっています。自分の仕事を進歩させるためにも、他人から預かった秘密を守るためにも、ITの素養は必要です。同時に、ITに関してあふれかえる新しい情報や意見に振り回されないためにも、ITに関する素養が求められていると思います。

裁判のIT化であっても、何が起きようとしているかをきちんと理解したり、制度や運用に意見を言ったり、個別の手続で効果的に活動するときには、やはりITに関する素養が大いに物を言うでしょう。

「ITスキル」と「セキュリティリテラシー」

ITスキル&セキュリティーリテラシーと言うキーワードを挙げてみました。「スキル」と「リテラシー」を書き分けてあります。

「リテラシー」というのは、読み解いたり判断したりする力のことです。「技術があって自分の手で使いこなせる」ということまでは言っていません。自分の手で使えなくてもいいので、それがどういう意味を持つかの判断やあたりがついて、必要に応じて詳しく調べたり、「これは専門家に聞く必要がある」と判断できたりする力がリテラシーだと言えます。

「スキル」と言うのは、それよりももう1歩踏み込んでいます。自分で手を動かして何かをやれる状態をイメージしています。

セキュリティーはそれ自体が武器になる場面はあまりありませんし、専門的な部分に踏み込むと難しい＆ヘタに素人が手を出すと危険な場面も多いです。だから、ここは「リテラシー」が大事なんだと言う発想です。

それに対してIT一般となると、これは実際に活かしていく側面が強いですし、攻めることができるれば自分の武器になっていきます。だから「スキル」としました。

ITスキル＝プログラミングの「初歩」

では「ITスキル」って具体的にどのレベルのことでしょう。
平たく言えば、「脱・お客さん」です。

皆さん、ITの言葉で少し難しいものになると、ふんわりした説明を聞いて、ごまかしごまかし来ているのではないでしょうか。

「ハッシュ値というのはファイルの指紋のようなものです」
こんな説明は、間違ってはいません。でも、雰囲気が伝わるだけです。
この説明を100回聞いたとしても、それより前には一歩も進めないのではないでしょうか。いつまで経っても「お客さん」なのです。

「中の人」「それを自分で使う人」になるというレベルを目指したほうがいいと思います。そのくらいは「攻めた」ほうが、結局モノになると思います。

私がお勧めしたいと思っているのは、半年で良いので、プログラミングをやってみるということです。一発で「脱・お客さん」できて、あとは自分で色々なことができるようになっていきます。

今2人に1人くらいはのけぞったと思いますので、先に言っておきます。
「半年間、自分だけが使うプログラムを書いてみる」というレベルのプログラミングだと、全然難しくありません。

私は弁護士7年目頃から独学でプログラミングを習得した経緯があります。今ではアプリケーション開発者として、サーバー側もソフトウェアも自分でプログラムを書きますし、技術者との会話で困ることもほぼありません。

その経験から確信していることを言います。
プログラミング2年目の自分より、5年目の自分のITスキルは遙かに高いと思います。でもその差は連続的だと感じます。しかし、プログラミングをやったことのない自分と、半年やった自分との間には、超えられない壁があったと感じています。
ゼロとイチの差が一番大きいのです。

「半年間、自分だけが使うプログラムを書いてみる」というのは、プログラミングの「おいしい部分だけ」を味わうことができる、ものすごくお得な取り組みだと思っています。

開発をやり始めると、複雑な作業や地味な作業が山のように出てくるのですが、「自分だけが使うちょっと便利なプログラムを書く」という活動にそんな難しさは全くなく、はっきり言って楽しいことばかりです（笑）。

それなのに効果は抜群です。
「サーバーが～」とか「APIが～」とか「プロパティは変更できて～」とか「ハッシュ値が～」と言われても、皆さん、実際のところ具体的なイメージは全くわいていませんよね？　

でも、半年で体験できる程度の初歩的なプログラミングをやるだけで、実は「サーバー」「API」「プロパティ」「ハッシュ値」は、全部自分の手で扱えます。どれも数行からせいぜい数十行のコードを書くだけで体験できてしまいます。

留学したときにプログラミングの講座を受けられたという、星野光帆先生の記事なども一度ご覧になったらどうでしょう。「おいしいところ」がよく分かるな、と思います。
https://note.com/miho_hoshino/n/n519ac255a4ae

おすすめ言語は上の記事にもあるのと同じ、pythonという言語です。非常にシンプルで読み書きしやすく、かつ、メジャーですので、初心者はこれが間違いないと思っています。私自身も、今は別の言語がメインですが、1年半ほどpythonばかり書いていた時期があります。

プログラミングのお話はまた次から扱っていきましょう。

セキュリティリテラシーの入口：クラウドサービスを見る目

今日寄せていただいた質問があるので、これを素材に、セキュリティリテラシーの第1歩をやってみましょう。

・PDFファイルをまとめる（結合する）ときにWeb上のサービスを使いたいのですが、大丈夫でしょうか？
・会員サイトみたいなものの中にカレンダーを埋め込みたいのですが、Googleカレンダーを使ってOKでしょうか？
・サイズが大きくてメール添付できないときに、無料のファイル転送サービスを使うのは大丈夫でしょうか？

非常に身近な疑問ですね。
ただ私はこれは大変興味深いと思いました。個別の知識ではなく、「リテラシー」に深く関わると感じたからです。答えを知らなくてもアタリがついたり、手掛かりを思いつくのがリテラシーです。この種の疑問は、リテラシーがあれば、答えを知らなくてもアタリがつきます。

最初に視点を3つにまとめてみました。

次にこの絵を見てみましょう。

この絵をじっくり見て考えると、答えが分かってきます。

ここに登場人物が3つあります。左側の怪しい人物は、なにかしらの第三者の象徴です。右上のコンピュータを叩いている人は、そのサービスを運営している人です。下にいるのは自分ですね。

ここで質問ですが、あなたがアップしたデータを見ることができる人は誰でしょうか？

せっかくなので、1つ言葉を覚えましょう。
ITの世界では、「アクセス権」という言い方をします。
たとえばDropboxのフォルダXをAさんに共有したとしましょう。それは、DropboxのフォルダXについて、Aさんにアクセス権を付与した、ということです。
この言い方には是非慣れてしまってください。自分の口からもすらっと出るようにしたほうがいいです。

読まれる問題：規約問題

さて、ひとまずこのサービスをやっている人に注目してみましょう。このサービスをやっている人は、ここにある「PDF」を読めると思いますか？　読めないと思いますか?

ある種の特別なやり方をしない限りは、このサービスを提供している人はデータを読むことができます。手元にあるデータは技術的には当然読めるんだということですので、紙の事件記録をどこかの業者に預けるというのとさして変わりませんね。

「いや、しかし仮にもデータを預けるわけだから、ちゃんと責任を持って預かってくれてる、中身を勝手に読んだりしないんじゃないの?」
という疑問が湧いてくるかもしれません。それでは以下のものを読んでみてください。Google個人アカウントの2017年時点の規約です。

「本サービスにユーザーがコンテンツをアップロード、提供、保存、送信、または受信すると、ユーザーは Google（および Google と協働する第三者）に対して、そのコンテンツについて、使用、ホスト、保存、複製、変更、派生物の作成（たとえば、Google が行う翻訳、変換、または、ユーザーのコンテンツが本サービスにおいてよりよく機能するような変更により生じる派生物などの作成）、（公衆）送信、出版、公演、上映、（公開）表示、および配布を行うための全世界的なライセンスを付与することになります。（中略）このライセンスは、ユーザーが本サービス（たとえば、ユーザーが Google マップに追加したビジネス リスティング）の利用を停止した場合でも、有効に存続するものとします。」

どうでしょう。ひっくり返りそうになりませんか。Gmailで送った文章とか、GoogleDriveに載せたファイルとか、全てについて、Googleは出版だろうが配布だろうが全世界的に好きにできるというわけです。しかもサービスを解約しても、おそらくデータを消したとしても、その「ライセンス」は消えません。

今は規約が改定されて少しましになっていますが、それでも、Googleが一定の利用権を持つことは同じです。
ちなみにこれはGoogle個人アカウントだけではなく、たとえばMicrosoftのサービス利用規約についても、気になることが書いてあります。（内容を精査中です）

さて、ここまでを理解すると、「疑問」に答えが出てきますね。

「PDFファイルをまとめる（結合する）ときにWeb上のサービスを使いたいのですが、大丈夫でしょうか？」

これはどうでしょう？

―――PDFを扱うサービスがデータを読んだり使ったりするかもしれないし、規約も読まないといけないということでしょうか？
はい、そうです。アップロードしたらその事業者の手元にデータが移ります。移ったら中身を読めますし、永久保存するかもしれないし、誰かに渡すかも知れません。

いま「規約を読む」というキーワードが出てきました。これは半分正解です。しかし実際は、もう一段慎重になったほうがよいです。
そのサービスの運営元は、実績があったり、なにか信頼できそうな理由があるでしょうか。それとも、なにも分からない、ネットで検索したらたまたま引っかかったサイトでしょうか。

単なる書式とかは好きにしたらいいと思います。でも、「弁護士が事件記録を扱う」という場面になると、これは守秘義務の対象ですし、多くの場合に個人情報の宝庫です。
「規約を確認しました」といっても、そのサービスが本当に信頼できるかはまた別の問題です。規約がしっかりしていて、サービスも信頼できるという2重チェックが必要になってきます。

1つの着眼点として、「そのサービスの収益源はどこなのですか？」というものがあります。「ユーザーからお金をもらって、そしてユーザーのデータはきちんと守ります」というのは比較的理解しやすいです。

では無料サービスはどうでしょう。それ専業の業者であるなら、ファイルを無料で処理することにまつわるなにかから収益を上げているわけです。思わぬ形で内容が利用される可能性は無いでしょうか。

・・・というところまで確認した上で実践的な指針を言いますが、PDFファイルの結合とかは、もうローカルでやったらどうでしょう。私はそうしています。オンラインでしかできない特別な処理はほとんど無いと思います。しかるべきソフトで、クラウドにアップせず、ローカルでやると決めてしまうほうが、ずっと簡単だと思います。

「漏えい」問題

「サイズが大きくてメール添付できないときに、無料のファイル転送サービスを使うのは大丈夫でしょうか？」

この疑問についても考えられそうですね。先ほどと同じ問題点があります。つまり、規約がそもそもどうか。規約がよいとしても、本当に事業者にそのデータを読まれることはないか？　という点です。

まだ問題が出てきます。ファイル転送サービスということになると、3日とか1週間とかもしかしたら1年とかデータを預けるわけですね。すると純粋な漏えい、つまり、思わぬ第三者がそのデータを読めるようになってしまう危険はないでしょうか？

先ほど言った無料サービスというところも気にかかってきます。そのサービスは、個人情報の入った機密データを送ることが想定された作りなのでしょうか。

無料サービスが一律に使えないとは言えないわけですが、判断が付かない場合には保守的になっておいたほうがいいと思います。
なお、メール添付については、別途大きなセキュリティ問題がありますが、今日それに立ち入る時間はないので、またにしたいと思います。

アクセス権問題

さて、最後の問題も扱う準備ができました。

・会員サイトみたいなものの中にカレンダーを埋め込みたいのですが、Googleカレンダーを使ってOKでしょうか？

これについて、どう思われますか？

―――Googleの規約を読む必要があるということでしょうか。
はい、それは1つあります。しかしもう1つ大きな問題が出てきます。

先ほどの図で言うと、「第三者」に読める可能性です。

Googleカレンダーというのは、他の人と共有したりできますよね。逆に言うと、「共有していない人とは見えない」という設定なわけです。
会員サイトみたいなところに埋め込むという使い方だとすると、全員のGoogleアカウントはきっと把握していないですよね。するとどういうやり方をすることになります？

――― 一般公開状態ですか。他人に読まれる可能性があるってことでしょうか。
はい、その通りです。これが「アクセス権」の問題です。一般公開状態のカレンダーというは、世界中の全ての人にアクセス権を与えている状態です。

このカレンダー問題は、まさしく「リテラシー」の範疇のように思えます。
Googleカレンダーの細かい部分がどうなっているかとかまで、あらかじめ知識として持っているとは限りません。

でも、
・会員サイトで見えるようにするってことはアクセス権はどうなるんだろう
・やはり一般公開のカレンダーだろうか
・もしかして、一般公開のカレンダーが検索に引っかかるとか、それにまつわる漏えい事故とかないだろうか
ここまで考えられたら、それがリテラシーの成果だという気がします。

あとは調べればOKなわけです。
思いつきにしたがって、「Googleカレンダー　漏えい」でGoogle検索してみてください。しっかり記事が出てきます。
一般公開状態のカレンダーがGoogle検索に引っかかることがあるという情報も出てくるはずです。

―――ということは、全員のGoogleアカウントをきちんと確認して、全員にアクセス権を付けるのが正解でしょうか。
はい、それが王道です。ただし、会員サイトのようなものの中で、全員のGoogleアカウントを漏れなく把握するというのは難しいように思えます。
実際には、なんらかの方法でサイト内でカレンダーを描画する方法が無難ではないでしょうか。

まとめ

さて、今日はITスキルとセキュリティリテラシーという切り口を提案してみました。

そして、身近な疑問を素材に、セキュリティリテラシーの第1歩として、クラウドサービスを考える視点を扱ってみました。

第1回はここまでです。次回もフレッシュな疑問をもとに、ITスキルとセキュリティリテラシーを追求していきたいと思います。