PJに関する機密情報が外部に漏れていないと言い切ることって可能でしょうか

Question

ソースコードを外部のサーバーに置くのは当然漏れているということになりますが、例えばオンラインの環境でmicrosoft製やjetbrains製のIDEを使ったりとか、MD編集用のchromeアプリを使ったりとか、そういうのって漏れてないと言い切れないんじゃ？と思っています。

興味本位の質問なので特にどうしたいというのは無いです。

Amazonの開発者はmicrosoftのIDE使いませんみたいな話があると面白いなぁとか思っています。

Answer 1

最悪、オープンソースのものであればソースが読めるので、自分で解析した信頼できるソフト、OSのみ使う・・・ということでしか方法はないかと思います。
ただ、ハードウェアの問題（PC)もあります。真偽はわかりませんが、アメリカ国防省は某社のPCの使用を禁止したとかニュースで見たことがありますしね。

現実問題として難しいのではとは思います。

Comments

[ktrsmj]

中国だとWindowsの使用をやめていく方針のようですね。

国家レベルの話になってしまいましたが、身近な話で言うと、例えば業務でgoogle docsのspread sheetを使いたくても「オンプレじゃないと規定に反するからNG」みたいなことを言われてしまうことがあり、
「そもそもchromeアプリ使用に関する規定も無いのにドキュメントを外部に置くことだけに注目しててそれって意味あんの？」みたいに思っちゃうんですよね。

Answer 2

人間が扱うものである以上、「プロジェクト完成後に、全員口封じのために殺害する」というような、現実的に不可能なことをしない限り、完璧は期せないと思います。

ベネッセの事件もありましたが、情報漏洩に関していちばん怖いのは内部犯行です。

Comments

[ktrsmj]

ありがとうございます。おっしゃるとおりだと思います。

エディターとかの通信を行う開発者用のツールに関してはどう思いますか？

[maisumakun]

実際に、「XcodeGhost」という、マルウェア入りのアプリを生成するXcodeの偽物が出回ったこともありますし、「正規アプリのアップデートサーバを乗っ取って、アップデートと称してマルウェアをばらまく」「まっとうに動いている拡張機能を買収し、アップデートでマルウェア入りにしてしまう」など、いま正常に使えているソフトウェアすら、自動アップデートでマルウェアに早変わり、という危険はあります。

[ktrsmj]

そうですそうです、そういったことです。

拡張機能を開発している企業を傘下に収めて、マルウェアを仕込まなくとも課拡張機能ユーザーにどんな企業がいてどういったものを開発しているかを知ることはできそうですよね。

株価の上下を事前に知ることも出来たりしますよね。

どの程度通信を監視しているのかとか、どの程度通信を許容するべきかとか、そういう規格みたいなものって無いんですかね。