システム開発におけるユーザ一覧表示の危険性について

Question

以下の状況において危険性があるのか教えていただきたく質問します。

##状況
例えば、学校など教育機関で使うシステムの学生管理機能を開発するものとします。
これは教員のみがアクセスでき学生個人に関する様々なデータ（成績等）を閲覧できるものです。

このシステムで、学生一覧として名簿やデータを表示することに対する個人情報の悪用(?)やセキュリティ上の危険性は何が考えられるのでしょうか？

---

そもそも一覧機能がいらない等、前提をつぶすことはなしでお願いします。

##気になった経緯

大学に通っている頃、聞いた話で。
教員は自身の研究室や講義で担当する学生のデータは自由に閲覧できますが、それ以外は全く知ることができないそうでした。

現在、開発する過程で、ユーザ一覧をどう表示するか考えているので なぜ大学ではこのようなことになっていたのか気になった次第です。

Comments

[CHERRY]

聞きたいのは「最小権限の原則」の話でしょうか？

Answer 1

教員は自身の研究室や講義で担当する学生のデータは自由に閲覧できますが、それ以外は全く知ることができないそうでした。
現在、開発する過程で、ユーザ一覧をどう表示するか考えているので なぜ大学ではこのようなことになっていたのか気になった次第です。

セキュリティの原則に「Need to knowの原則」があります。これは、職務上必要最小限の権限のみを与えるというものです。引用した閲覧権限の話は、このNeed to knowの原則に従ったものと考えられます。
個人情報漏洩事件・事故のさまざまな経路のうち、一番対策が難しいのが「アクセス権限を持っている人からの漏洩」です。なので、不必要な権限は与えない（たとえば、職位の高い社員といえども実務に携わらないならアクセス権は与えない）ことが原則となります。

Comments

[kon124]

なるほど。Need to knowの原則、覚えておきます。
調査のためのキーワードは非常に助かりました！
ありがとうございます

Answer 2

基本、アクセスする人の閲覧権限・操作権限を細かくコントロールすることになります。

• クラスの担任である教員には、クラスの生徒に関する情報
• 教科の担任である教員には、担任教科を受講している生徒に関する情報
• 学年主任には、当該学年の生徒に関する情報
• 教頭以上には全生徒の情報

といった感じで権限を階層的に与えます。
この権限にしても、住所などの個人情報と、学業成績とでは別の扱いになります。
※教科担任は生徒の住所を知る必要は必ずしもないですし、教科担任は成績を変更できますが、クラス担任は各教科の成績を閲覧することしかできないのが普通です

この辺は業務システムとしてはごく普通のものですね。

で……業務システムからの漏洩事件においては、アクセス権の設定が誤っていると言うことは希（Web系での設定漏れは別の話です）で、多くは「権限を持っているものが目的外の利用をしている」のです。
※特にデータの持ち出し系の漏洩事件の場合

システムでのガードだけでは防ぐことはできないということでもあります。正当な権限を持つものが悪意を持ってアクセスしている場合、それを防ぐ方法はないのですから。

Answer 3

このシステムで、学生一覧として名簿やデータを表示することに対する個人情報の悪用(?)やセキュリティ上の危険性は何が考えられるのでしょうか？

システムにおけるセキュリティに関してはシステムが不明なのでわかりません。

悪用に関しては以下の危険性があります。

• 教員が誰でも出入りできる部屋で、その学生一覧を開いたままいなくなる
• 教員が授業や講義で学生に学生一覧を見せる
• 教員が学生一覧のデータを複製し、誰でも見れるページに載せる

Comments

[kon124]

確かにその危険性は考えられますね！
今まで悪意にばかり目を向けて考えていましたが、悪意のない行為にも注意する必要があると。
ありがとうございます

[dice142]

まあ私が挙げたものは悪意があるかモラルが無いかのどっちかですね。
あとはどこまでの情報を見れるようにするのか次第で変わりますね。

[Zuishin]

モラルの無い教員からはアカウントを取り上げましょう。Need to know を言うなら、大学の教員が学生の名前や住所や成績を知る必要があるかどうかも微妙ですね。

[dice142]

住所に関しては微妙というですが、名前と成績は授業する上で必要だとは思います。
ですがまあそれは質問内容から脱線しちゃうので深堀りはしない方向で。

[Zuishin]

名前は本人から聞けばいいし授業態度は見ればわかるし成績を知っても特別授業できないので意味がないと言う意味ですが、確かにここを深堀りしても仕方ないですね。

Answer 4

教員は自身の研究室や講義で担当する学生のデータは自由に閲覧できますが、それ以外は全く知ることができないそうでした。

現在、開発する過程で、ユーザ一覧をどう表示するか考えているので なぜ大学ではこのようなことになっていたのか気になった次第です。

学校に限った話じゃないですが、業務上必要と認められる範囲を越えるデータを閲覧できてしまって問題になるケースは今まで割と沢山ニュースにもなってる気がしますが、気にしてるのはそういう話ですか？

役所勤めの人が手続きに来た芸能人の個人情報漏らしたりストーカーがそういう情報利用したりという事件は過去に何度も発生してると思うので、必要以上の情報にアクセスさせないのは普通だと思います。

Answer 5

Security NEX 最新の情報セキュリティに関するニュース

漏洩事故や件数を調べてみては？

Answer 6

一覧にしようがすまいが、名前や学籍番号を知っていればアクセスできるなら一緒です。
その教員のアカウントに特定のグループへの閲覧権限を紐付け、そのグループに属する学生のみ一覧に表示するようにすればいいでしょう。