噂に聞いていたRFIDタグ搭載本にはタグを無効にする方法が説明されていると聞き及んでいたのだが、それがWebに出ていることを知った。
これについて問題点を指摘してみる。
RFIDと個人情報やプライバシーの問題について、現在、インターネットや新聞、雑誌などで、さまざまに話題にのぼっています。
この本には本物の、機能するRFIDタグが付録としてついています。
RFIDタグは電波を使って、そこに書きこまれている情報を、離れたところから読みとることのできるものです。電波は目に見えないので、知らないうちに他人からRFIDの情報を読まれてしまう可能性があるため、個人情報やプライバシーの問題が心配されているのです。
ここまではよいとして、
流通用のタグやバーコードなどとは違い、書店にはこのタグを読みとるリーダは設置されていません。本を買うとき、持ち歩いているときはもちろん、インターネットを使ってサイト上で自分の意志で登録しないかぎり、タグの個体番号と個人情報との結びつけはおこなわれません。ですから、仮にこのタグをだれかが読みとったとしても、個人の情報をそこから探すことはできません。
これはどういう意味なのか。
「本を買うときや持ち歩いているときに、インターネットを使ってサイト上で登録しない限り」という意味だろうか。それはおかしい話だ。4月のネット時評で書いたホテルでのチェックインの事例のように、インターネットを使うこととは関係なく、タグの個体番号と個人情報は結びつき得る。
そうではなく、これは単に文章がうまくないだけで、実は、「本を買うときや、持ち歩いているとき、またインターネットを使っているとき、自分の意思で登録しない限り」ということを言いたいのかもしれない。だとしたらそれは正しい。それはつまり次のことを意味する。
この本を買うときや、この本を持ち歩いているときに、個人情報を提供すると、その個人情報はこの本の個体番号と結び付けられる可能性があります。個人情報を提供する際には、この本を身近に置いていないか意識する必要があります。なぜこのように説明しないのだろうか。
そして最後は次のように締めくくられている。
しかしながら、RFIDタグがついているということだけでも、心配をされる人がいるかもしれません。
ほーら出た。定番のパターン。つまりこの文は暗に、
心配する人がいるとしたら、それは、RFIDタグがついているということだけで(無根拠に)心配するような人である。
という理解に誘導している。
アルミホイルで包むとか、出版社に郵送して有償で無効化してもらうなどという非現実的な回避策を挙げているのは、「そのままで問題ない」という前提があるからだろうか。
たしかに現時点では、個人情報を提供するほとんどの場において、このタグのIDを読み取られることはないだろう。しかし将来はどうなのかだ。
そもそも、私がこの本の出版の噂を耳にしたときの話では、あえてRFIDタグを搭載し、あえてその危険性について説明し、あえて回避策を説明することで、RFIDタグのプライバシーリスクについて読者に考えてもらい、実際にどのような問題があるのかを洗い出すためだと聞いた。そういう趣旨なのなら、先に述べたように、
この本を買うときや、この本を持ち歩いているときに、個人情報を提供すると、その個人情報はこの本の個体番号と結び付けられる可能性があります。個人情報を提供する際には、この本を身近に置いていないか意識する必要があります。
といった教育的説明をしてしかるべきだろう。続けて、
しかし現時点では、個人情報を提供するほとんどの場において、このタグのIDを読み取るリーダが設置されていることはないと考えられます。ただ、将来、ユビキタスコンピューティング社会が到来し、至る所にリーダが設置されるようになると、状況は変わってくるので注意が必要です。
などと書いたらよい。
それなのに、「問題はないんだけど、心配症の人のために、いちおうの回避策を挙げておくよ」と言わんばかりの免責的な説明になっている。これじゃ教育どころか、日経コンピュータの「消費者に理解されていないICタグ」と同レベルではないか。まったく失望した。というか、たぶん私が噂を聞き間違えたのだろう。RFIDタグを搭載することが先に決まっていて、そのままでは批判を浴びるから、説明を書かざるを得なかったといったところではなかろうか。そういう発想で文章を書けば、「問題ありません。問題ありませんが心配な場合は……」という展開になってしまうのはいつも通りのパターンだ。FOMAのFirstPassのQ & Aしかり、ツーカーの回答書しかりだ。
以下はあくまで余談だが、
★出版社でのRFIDタグの無効化手続き この手続きをするには、書籍を太郎次郎社エディタスへ送る必要があります。
ご返送先を明記し、210円分の切手を同封のうえ、太郎次郎社エディタスへ本を送ってください。順次、タグを読めないように処理してからご返送します。
返送先住所情報の取り扱いに関するポリシーが説明されていない。RFIDタグをわざわざ無効化するような「心配をされる人」の住所名簿が作成可能となっている。これは結構価値のある名簿となるかもしれない。
本は書店に出向いて買えば匿名で購入できるのだが、この本の場合、RFIDタグの無効化手続きのために名前を明かさざるを得ないという、なんとも皮肉な話だ。
大事な原稿を1つ落とした。悔しい。もう1つ別の原稿を延期にして頂いた。関係者の方々には、たいへんご迷惑をおかけしました。申し訳ございません。
先週末から机に向かってもどうしても文章が書けなかった。月曜は東浩紀さんとの対談。それまでは緊張で持ち堪えていたのだろうか、帰ってきて仮眠を取ったところ、起きたら喉が炎症を起こしていた。
東さんとの対談の件については、今の冴えない頭では書きたくないので、また後日。
延期になった原稿について、Creative Commonsライセンスで掲載したいということで、同意するかの選択を求められていた。これまで、Creative Commonsライセンスで著作物を発表したいと思ったことがなかったので、それがどういうものかきちんと理解してこなかった。とり急ぎ、どういうものか調べることとなった。
提案されたライセンスは、Attribution (BY:), No Derivative Works (=) のタイプ。つまり、著作者表示を求め、二次的著作物を禁止するもの。これは、単発の論考のような文章の取り扱いとしては、ごく常識的なもののように思える。
常識的なものであるならあえてライセンス表示をする意味は何なのだろう?と最初は疑問に思ったが、複製、頒布、展示、実演を明示的に認めるという意味があるということか。
Webで公開しているものについて、印刷して適当に使うのはまあどうぞという気分なのだが、著作権法的には、それはいちいち許可してあげないといけないことなのだろうか。その許可手続を省略するのがライセンス表示の意義であると。
しかし、「印刷してご利用ください」というのであれば、文化庁の「自由利用マーク」でもよいのではないか。「コピーOK」を選択すると、プリントアウト、コピー、無料配布を許可することになるらしい。しかし「送信」は含まれないらしいので、Webへの転載はダメということか。
それに対して、Creative CommonsのAttribution, No Derivative Worksを選択することは、転載も許可することになるということだろうか。
ん?もしかして違うのかな。二次的著作物禁止は、
許諾者は、他の人がその著作物に基づく二次的著作物ではなく、その著作物そのものを複製、頒布、展示、実演するのであればこれを許します。とある。「そのもの」とはどこまでを言うのだろう?
基本的には、Webで公開した文章について、他のWebサイトへの転載をすることにはあまり意義がない。なぜなら、URLひとつでどこからでも原著作物にアクセスできるはずだからだ。(サイトが潰れたとき、サイト管理者である著者が死亡したときのために、転載を許可しておくという意義はありそうだが。)
ただし、文章を自分のサイトに載せるのではなく、他者の管理下にある作品の集合体のひとつとして掲載してもらう場合には事情が異なる。統一されたデザインで集合体のひとつとして掲載されることに価値があるのだから、より著名なサイトへの転載はあり難いこととなる。
しかし、その場合でも、転載の許可を求められれば快く許可するのであるから、ライセンス表示によって無制限に最初から許可しておく必要があるとは思えない。
もし、大量の転載要求が発生するなら、最初から明示的に許可しておくことには意義があるだろう。著作権管理団体を通さずに済む。しかし、単発の論考のような文章について、大量の転載要求が生ずるとは思えない。今までどおり、手作業で確認と許可の手続きをふめばよいように思える。
ただ、作品の集合体の一部として文章を提供する場合には、集合体管理者の手間(転載要求者と原著作者との連絡作業の手間)を軽減する意義が小さくないのかもしれない。しかし、その程度の必然性のために、無制限の転載を許可するというのもなんだか不安だ。
Creative Commonsライセンスには他にどんなタイプがあるのだろうか。Share Alikeというのがあるらしい。つまり、二次的著作物の同一条件許諾
許諾者は、自分の著作物について定めた許諾条件と同じ許諾条件の下であれば、他の人が二次的著作物を複製、頒布、展示、実演することを許します。ということらしい。
しかし、文章の二次的著作物には、どんなものがあり得るのだろうか?引用は、元々、著作権法で認められているのだから、わざわざ許可するまでもない。ひとつには、吉野家コピペと呼ばれる現象が、文章における「二次的著作物の同一条件許諾」の状態だったかもしれないが、他にどんな事態があるだろうか。少なくとも、論考や論文といった文章について、Share Alikeというのは考えられない。
……。ここで思い出したのだが、もしかしてこれがそれに該当するのだろうか。私が4月に日経ネット時評に書いた文章から、10〜50文字程度の単位で何か所もの文が引用ではない形で他人の著作物中に埋め込まれて書かれていた。これは偶然で起きることの範囲を超えていた。
私はこのとき、「パクりましたねなどと言うつもりは毛頭ない」と述べたが、このときの「パクる」は、「他人の著作物を(参照せずに)真似て同じ内容の主張をすること」を意味しているつもりだった。その意味ではこれはパクりではなかった。他人の文章を一部使って異なる主張が展開されていた。これを何と表現したらよいのかわからなかったのだが、これが「Share Alike」で実現される世界なのだろうか。
こういう使われ方を明示的に拒否するために、No Derivative Worksを指定したCreative Commonsライセンスを掲げておくのは意義があることなのかもしれない。
8日の日記に頂いた「どう思われますか?」という脈絡のない不可解なコメント。何なんだとスラッシュドットを見に行ってみると、どうやらこれ「ご冗談でしょう、八田真行さん」のことらしい。
そこからいろいろ見てまわるとたどり着いたのが、「部 室」という掲示板にあった次の発言。
萌えクリコモ本 : 八田真行 id (reply, thread) - Wed Oct 08 14:34:45 2003
くそう、おもしろそうだなあ。CCを叩いてしまった手前手出しできん。
ちなみに、一般的に言って、他人を叩くとろくなことがないです。だいたいにおいて。
これを見て、薄ら寒い思いがした。目つきのヤバい少年がナイフをシュッ・シュッと振り回しながら街を徘徊している情景が目に浮かんだ。
「CCを叩いてしまった」というのは、これ「クリエイティヴ・コモンズに関する悲観的な見解」のことらしい。これは発表当時に通りすがりに読んだ記憶があったが、これが「叩く」という意識の下で書かれていたことを知らされ、ぞっとした。
最初にこの記事を読んだときの印象は、「その通りだけれども、それを言ってどうなるの?どうしたいの?」というものだった。何か据わりの悪いものを感じてその場を去った記憶がある。それが「叩く」という意識の下で書かれていたとは、どうりで気持ち悪かったはずだ。気持ち悪さは次の結びの文に凝縮されている。
そんなわけで、筆者としては、このような暗い見通しを持っているのだが、あと数年で、このような見通しを吹き飛ばすような普及をクリエイティヴ・コモンズが遂げてくれればと願うばかりである。
今になって読み返してみると、この記事で著者が言いたいことは、他の著作物と違ってソフトウェアの場合には、
保守や付随するサービスで収益を上げることができる、というのがオープンソースのロジックである。
という主張などに主眼があるのだろう。
つまり、オープンソースというものが世に正しく理解されていない現状がある中で、オープンソースとは何かということを単純に正攻法で説明するのではなしに、オープンソースとは似て非なるものを挙げて違いを示してみせることによって説明に代えるという、効果的な説明手段のひとつだ。
そうしたやり方は八田氏の他の記事にも見てとれる。「オープンソースの現実、と若干の理想(上)」は、
他人の文章をあげつらうのはあまり趣味のよいことではない。しかし、それがオープンソースへの理解を深める一助になれば、ある程度は許されるのではなかろうか。
という書き出しで始まり、「同 (下)」では、冒頭にこう書かれていた。
前回は我ながら今ひとつ歯切れの悪い内容で、批判も多く頂戴したが、そうなったのにはそれなりに理由がある。というのは、氏が問題の記事で書いている内容にはやはり承伏しかねる部分があるのだが、一方で別のところで氏が吐露しているソフトウェア開発者としての氏の実感(と思われること)は十分共感できたので、判断に迷ってしまったのだ。
「判断に迷う」とは何の判断のことだろうか。これは、「叩きのめすべき相手かどうか」の判断のことだろう。「あげつらうのはあまり趣味のよいことではない」とわざわざ書いていることが、趣味のよくないことをしようとした自覚を表している。
ちなみに、この後半の記事は(内容そのものは正しいにしても)全く的外れなことを言っている。
そもそも、問題の記事を読んで筆者が最初に違和を感じたのは以下の部分である。
一般にソフトウェアのライフサイクルでは新規開発後に運用と保守・機能拡張を何度か行った後に、再び新規開発をするという過程を繰り返すが、オープンソース手法はそのうちの保守や機能拡張において有効な手法なのであって、新規開発では足かせとなる危険性も高い。筆者の実感では、これは全く逆だ。保守ほどオープンソース開発者の苦手とするものはない。
この後、八田氏は「保守にはお金が欲しいからである」という話へとつなげていくのだが、元記事の佐藤一郎さんの言う保守の話は、そこより前の部分に、
安全保障などの観点からはソフトウェアの開発した企業に頼らずにプログラムの保守・改良が必要であり、そのソースコードが入手できることは重要性となるが、
とあるように、元開発者のことを指しているわけではない可能性がある。誰でも後から改造できる可能性が残されていること、後からコミュニティに参加できる可能性が残されていることを指しているはずだ。さらに言えば、続く部分に、
オープンソースの特性を理解した上で利用すべきであり、セキュリティを含む保守コストを考えると必ずしも安いとは限らない。
とあるように、保守にお金をかけることの重要性について述べているくらいだ。
八田氏のこの「あげつらい」は、もはや言いがかりレベルのものでしかない。相手が何を言っているのかについて、複数の可能性を検討することなく、自分の主張の展開に利用するのに都合のよい解釈をした時点で思考が止まってしまうらしい。
その端的な例が、彼の9月6日の日記にあったようだ。
この坂村健先生の書評なのだが、二点理解に苦しむ点がある。
GPL(The GNU General Public License; 一般公開仕様許諾書)で有名なFree Software Foundation(FSF)GPLは仕様を公開しろと言っているんではなくて、ソースを出せと言っているのです。GeneralとPublicはともかく、なんで原語にない「仕様」が出てくるのかよく分からない。
坂村さんは前もどこだったかで「TRONは仕様が公開されているからオープンソースだ」というようなことを話しておられた。ゆえに、本気で「オープンソース==仕様の公開」だと思い込んでいるのではないかと危惧される。
普通、「一般公開仕様許諾書」が「一般公開使用許諾書」の漢字変換ミスの可能性が高いことには容易に想像が及ぶだろう。彼は、続く段落の主張がしたいばかりに、その可能性を切り捨ててしまうようだ。
このように彼は、以前から継続的に、叩きのめす獲物を探してまわっていたようだ。どうにも彼の記事には気持ち悪いものが残ると薄々感じていたが、そういうことだったらしい。
さて、ここでハタと気づかされたのが、じゃあ自分はどうなのかという自戒の念である。
固定IDのプライバシー問題が理解されていないという現状がある中で、理解していない人の発言をあげつらって、こいつはわかってないぞと叩きのめすことによって、効果的に、あるいは効率的に、自らの主張を展開してきたのではないか。
そうかもしれない。
だが、相手の意図を取り違えて批判することほど取り返しの付かないことはないのであるから、そこは慎重にしてきたつもりだ。また、公式性の高い文書(個人による文書ではなく、組織による文書)についてだけターゲットとするようにしてきたつもりだ。
知り合いが関係者である場合であっても、それでもあえてWeb日記であげつらうこともした。それはそうすることがそのケースでは問題解決のために効果的だという判断の上での辛い選択だということは、7月18日の日記で告白した。
よくよく考えてみると、Web日記というもの自体が、そうしたあげつらいによって成り立っているようにも思えてくる。日記なのだから個人の勝手な感想を書く場として認められている。いやそうであるはずだ。書く人も読む人も、そうであるはずだという暗黙の共通認識があるからこそ、多少きわどい主張であっても許され、そしてそこに他の場では得られない楽しみを読者も見出すことができているのだろう。
しかし、批判という手段が自己目的化してしまうのはいかがなものか。
私の日記はどうだろうか。目的化してはいないはずだと思う。最近、書くことがなくなってきたのは、目的がある程度達成しつつあるからなのだから、そのはずだ。
たぶん。きっと。そうかも。
もう一週間も前のことだが、哲学者で批評家の東浩紀さんと対談させていただくというおそれおおい企画に参加してきた。これは「本とコンピュータ」12月号に掲載される予定の対談で、日経デジタルコアでもご一緒している仲俣暁生さんに企画していただいたものだ。仲俣さん執筆の日経ネット時評には、「書籍の「無線ICタグ」化に疑問あり」などがある。
そもそも私は子供のころから読書をしない無教養な人なので、プロの批評家の方と対談するなどおそれおおいというか、うまく話がつながるのだろうかと緊張した。でも話題はいっぱいあった。この日記を書き始める直前、山根さんから東さんが中央公論で連載中だった「情報自由論」のことを紹介され、それにコメントするぞというのが日記を書き始めた目的のひとつでもあった。
連載の記事を入手するのに手間取り、読み終えたのはずいぶん後だったのだが、いずれの回もとても興味深いものだった。プライバシー問題について考える人すべてにおすすめだ。来年に単行本として出版されるそうだが、ずいぶん先なので図書館に行って中央公論を探そう。
1時間半ほど対談した後、食事会と2次会に行き、あれやこれやとお話しした。その中で特に意気投合したのが、反対運動を目的化してしまった人たちによる批判がもはや、批判としての力をなくしているという現状への嘆き(うまく表現できないけど、こんな言い回しで合ってるかなあ……)だった。
ありていに言えば、住基ネット反対派の批判の声がもう、行政官や専門家どころか、一般の技術者や市民にさえも耳に入らなくなっているという事態。これが飛び火して、普通のプライバシー議論までもが邪険にされるという始末。
たとえ「反対派」の人たちが反対運動を自己目的化して安住してしまっているのだとしても、論理として存在する批判そのものは聞き入れるべきなのは当たり前なのだが、この国ではそれが通用しないらしい。「どうせ、あの人たちは○○なんだから、ああいうバイアスのかかったことを言ってるんでしょ」という発言が、偉い先生からも飛び出してくる。
ユビキタスコンピューティング社会が近づくにつれ、何かしらプライバシーの問題がありそうな気はするけれども、「別に問題ないよ」という一言で片付けられてしまうという状況。
私のアプローチは、技術的に掘り下げることによって、いくつかの設計・実装が明らかにプライバシー上の問題を含んでいて、技術的に解決可能な方法が存在する場合があることを示し、それによって、プライバシー問題の議論は検討するに値する部分が少なからずあることを示すことだった。
それに対して、東さんのアプローチはおそらく、プライバシーが損なわれていくのはもはや止めようのないことだと受け止めて、それが人々をどう変えていくのかということを明らかにすることで、それでよいのかを問うというものだったのかな、と思う。
情報自由論には、私の視点から突っ込めそうなところがいくつかあった。それはまたそのうちにここに書いてみようと思う。
13日の日記に対して崎山伸夫氏からコメントがあった。これには時間をかけてコメントしようと思うところだが、1点だけ先に書く。
それがこういう愚かな議論につながるのだろう。
とあるが、なぜ愚かなのか、どう愚かなのか説明していない。
崎山さんのところから辿って、Gohsuke Takama氏の「European Commission発行のセキュリティとプライバシーについてのレポート」から、「Security and privacy for the citizen in the Post-September 11 digital age: A prospective overview」という報告書が出ていたことを知った。これは興味深い。しかし、リンク先の ftp://ftp.jrc.es/pub/EURdoc/eur20823en.pdf にアクセスできない。
検索して探してみたところ、欧州委員会の一機関である Institute for Prospective Technological Studies より発行されていた。
日本で政府系機関がこの種の報告書を出すとすると、どこだろうか。
仕事の関係で、国民生活センター発行の月刊「たしかな目」の11月号を頂いた。今号の特集が「商品のリコール 大研究」ということもあって、読んでみるとなかなか興味深い。
わが国で法的に「リコール」が規定されているのは『道路運送車両法』による自動車と、その後付装置のみです。生活にかかわりが深い「消費生活用製品安全法」「食品衛生法」「有害物質を含有する家庭用品の規制に関する法律」「電気用品安全法」などの安全規制関係法の範ちゅうでも、欠陥や不具合が認められても事業者に回収義務はありません。
なのだそうだ。そんな気はするという程度の漠然とした認識はあったが、改めてはっきりと知らされた。続く部分によると、
まずは何より、(略)事業者が行政庁に報告することを義務づける仕組みをつくることが必要です。
とあるので、報告の義務もないらしい。
次のページには、海外のリコール制度がどうなっているかが紹介されている。
アメリカ
子供用品や家電品のリコールについては消費者製品安全委員会(CPSC)が、食品については連邦食品医薬品局(FDA)、農務省の食品安全検査局(FSIS)が所管。前者では、事業者が欠陥品の存在を知ったときは、その事実をCPSCに報告することが義務付けられています。(略)
EU
(略)イギリスでは、製品回収は通産省の所管。同省は、リコールを行うための企業向けガイドを発行し、社告記事などについては、わかりやすい通知のための詳細にわたるチェックリストを作成。(略)
韓国
韓国では、2001年7月より改正消費者保護法に基づき、製品不具合情報の通知が義務付けられました。同法には緊急製品回収命令制度もあり、危険な製品の迅速な回収を目指して、重要な欠陥を発見した場合、5日以内に地域当局に通報することが義務付けられています。
だそうだ。
p.17の「よい社告・悪い社告」によると、日本でも経済産業省が「消費生活用製品のリコールハンドブック」というものを出しているらしい。
また、社告に「極めてまれではございますが……」「万が一に備えて……」「他の製品については安全にご使用できますので……」「何とぞ、お客さまにおかれましては今後とも当社の製品をご愛顧のほど……」などといった文言は不要。簡潔にして具体的に、消費者がどんな行動を取るべきなのかが示されていなくてはなりません。特に安全性に関係するケースでは、消費者が危険を回避できる情報を明記する必要があります。
とある。どっかで似たような話を見たなあ。
検索してみたところ、そのガイドブックはここにあった。
「たしかな目」のこの特集のメインコンテンツは、国民生活センターが消費者の意識の実態をアンケート調査した結果になっている。「告知して回収を行う企業はイメージアップ」、7割近くが新聞社告の内容までよく読んでいる」、「最近、社告が増えていると感じている人は7割弱」、「社告の内容がわかりやすくなったと感じる人は5割未満」、「「効果的」と「効果に疑問」がほぼ互角」、「8割強が危険がなくても公表して回収すべき」、「製品の回収率は低いと予想している消費者が約6割」などの見出しとともに分析結果が書かれていて、興味深い。
その次には、新聞社告を掲載した事業者の「新聞社告を出したきっかけ」に関するアンケート結果も掲載されている。
また、p.22からは、「企業が商品のリコールを決意するとき」として、3つの実例が紹介されており、回収に要した費用(広告費、部品代、人件費など)の推定額が掲載されていて興味深い。
全体を見渡して気づいたのは、コンピュータソフトウェア製品のことが全く想定されていないという点だ。
ソフトウェア製品がこの種の議論から外されている理由として、「ソフトウェアはPL法の適用外だから」という話が出てくることがしばしばあるのだが、冒頭で述べたように、そもそも消費生活用品であっても、製品回収や報告が義務付けられているわけではないのに、それでもこのように扱われているのだから、ソフトウェアも同列に扱ってよいはずではなかろうか。
PL法が適用されるか否かは、単に、欠陥の不存在の立証を製造者側に持たせる「証明責任の転換」が適用されるかされないかの違いでしかない(らしい)という話は、8月19日の日記で書いた。
p.18の「これでいいのか? 日本のリコール事情」では、「いまだにある回収措置をためらう傾向」、「回収するべきかどうか判断力不足の企業も」、「わかりにくい社告」、「社告以外の方法による告知の努力不足」、「電話がかかりにくい企業の窓口」、「高いとはいえない回収率」、「経過や結果の報告がない」、「販売店の積極的な協力が得られない」、「費用負担のあり方」といった見出しで、課題について議論されている。
これらの課題のうち、ソフトウェア製品の場合ではさほど解決困難ではないものがある。回収するべきかの判断が難しいというのは、欠陥の存在/不存在がアナログな世界ならではだろう。1か月以内に発煙する製品が1パーセントの確率で存在する場合に回収するのは妥当だろうが、それが 0.0001パーセントだったらどうなのか。それに対して、ソフトウェアのセキュリティ欠陥の場合は、たいていの場合は100パーセントの再現性があって、事故が起きるか起きないかは、攻撃する者が現れるか否かの二者択一でしかない。迷う余地はないと思われる。
p.19の「これからの取り組みに向けて」の「行政へ」では、
ことし5月、国民生活審議会消費者政策部会は、「21世紀型の消費者政策の在り方について」をまとめ、製品回収制度の強化に関して、「回収期間の短縮などリコール制度の運用を強化するとともに、新たな製品の分野でも必要に応じて制度化することが重要である」と提言しました。この提言を早期に実現すべく関係省庁の検討が望まれます。
としている。
これのことらしい。ソフトウェア製品の議論は含まれているだろうか。読まねば。
ソフトウェアのセキュリティ欠陥について、何かを義務付けることは、技術発展の阻害という面などとのバランスをとらねばならないのだから、直ちに何でも義務付けよと言う気にはならないが、「消費生活用製品のリコールハンドブック」に相当するような、「脆弱性告知ハンドブック」みたいなものを作ることは、有効かつ無害ではないかと思われる。
事業者が脆弱性告知をするにあたって、危険性をはっきり説明しないような告知を出すことがあるのは、なにも隠ぺいの意図があるからとは限らないのではなかろうか。単に書き方に慣れていない(かつ、自分で物事を考える力を備えていない)ド素人が書いたために、ふにゃふにゃな告知文になってしまったという実態があるのかもしれない。そうだとすると、脆弱性告知のテンプレートのようなものが公的に用意されていると、スムーズに活用されるのではないかと期待できる。甘いだろうか。
p.25には、「商品のリコール情報を掲載している公的機関のサイト」として以下が挙げられている。
これらのリストはどうやって作られているのだろうか。事業者から届出があったりするのだろうか。ソフトウェア製品の脆弱性について、事業者がどこかに届け出たという話は聞いたことがないような気がする。
製品評価技術基盤機構のサイトに、事故情報収集制度の概要というページがあった。昭和49年に発足した制度だそうで、
経済産業省所掌の消費生活用製品を対象に、消費者団体、地方自治体(都道府県、市町村等)、消費生活センター、製造事業者及び流通業界、製品安全協会、一般消費者等の協力を得て、製品事故に関する情報収集を行っています。
だそうだ。
経済産業省は、テスト結果に基づき、製造事業者等に対し再発防止策を講ずるよう指導する等所要の行政上の措置を行っています。
行政上の措置もあるらしい。
こうしてみると、制度は既にあるのに、なぜソフトウェア製品が対象になってこなかったのか、やっぱり不可思議だ。(PL法が関係ないことは既に述べた。)
ソフトウェアのセキュリティ脆弱性の場合は、事故が起きる前に欠陥の存在を証明し得るため、事故が起きる前に告知の必要が生ずるという点で特殊だからだろうか。事故が起きた後でないと対応できない体制であるからとか。
あ、いや、
消費生活用製品(家庭用電気製品、燃焼器具、乗物、レジャー用品、乳幼児用品等)の欠陥等により人的被害が生じた事故、 人的被害が発生する可能性の高い物的事故、及び製品の欠陥により生じた可能性のある事故に関する情報を提供しているページです。
とあるので、死者やけが人が出るものでないと対象でないということだろうか。
あ、違う。単純に、「消費生活用製品」というのが、消費生活用製品安全法で定められた規制対象品だけを指しているということなのかな。
第一条
この法律は、消費生活用製品による一般消費者の生命又は身体に対する危害の発生の防止を図るため、特定製品の製造及び販売を規制するとともに、消費生活用製品の安全性の確保につき民間事業者の自主的な活動を促進し、もつて一般消費者の利益を保護することを目的とする。
第二条
この法律において「消費生活用製品」とは、主として一般消費者の生活の用に供される製品(別表に掲げるものを除く。)をいう。
2 この法律において「特定製品」とは、消費生活用製品のうち、構造、材質、使用状況等からみて一般消費者の生命又は身体に対して特に危害を及ぼすおそれが多いと認められる製品で政令で定めるものをいう。
3 この法律において「特別特定製品」とは、その製造又は輸入の事業を行う者のうちに、一般消費者の生命又は身体に対する危害の発生を防止するため必要な品質の確保が十分でない者がいると認められる特定製品で政令で定めるものをいう。
だからやっぱり、「制度は既にあるのに」というのは間違いか。
今年の CSS *1は、北九州国際会議場で29日から開催される。
今年は、31日の午前にRFIDのセッションが生まれた。プライバシー保護に関する発表が3件と、偽造防止に関する発表が1件と、たいへん興味深い。プログラム委員会からこのセッションの座長を仰せつかった。私のような口だけ番長が司会とは甚だ恐縮だ。私も手を動かして参加したいところなのだが、そういう体制ができていなくて悔しい。
今年は3会場並列に拡大したらしい。初日朝一セッションは4会場もある。去年までは2会場だった。発表件数が増えて繁盛している証か。
持ち時間が1件20分というのはこれまでどおりだけれど、これは短すぎるように感じる。私の古巣領域のJSPPでは30分、SWoPPでも短くせざるを得ないときでも25分にした。20分では、発表が15分だとすると議論が5分、発表に18分使うと2分しか議論の時間がない。初日は朝からでもよいのではなかろうか。
ちなみに、プログラミング研究会では発表25分 + 議論20分という構成になっていて、いつも議論が白熱する。(誰も質問を思いつけなくて閑古鳥が鳴く発表もあるが。)これは、その場で投稿論文の査読という特殊な事情もあるのだけれど、査読のない発表会の意義は何かを追求した結果、発表したという事実を残す目的よりも、関係者と議論することの目的を重視して改革したものだと伝え聞いている。
まあ、議論は時間外にしてもよいのだけれど、あまり議論している人たちをみかけないような気がする。とくに成熟した領域ほど議論がなくなるような気がする。いまどきの若いもんは議論しない、とか言い出すのは単なる老害か。「議論して当然の場」が用意されないと質問しづらいという面があるのだろうか。
私が座長をすると、いつも質問を打ち切れずに終了時間を守れない。後で参加者に叱られる悪い司会なのだ。
関連: 6月21日の日記
昼飯に、知る人ぞ知る(?)タイ料理の店「クンポー」で本物のタイ料理を食べてきた。謎の場所に怪しげな店構え。辛いのは平気だが、汗はダラダラ、後で鏡を見たら顔は真っ赤になっていた。そのせいなのか、今、お尻が痛い。
*1 Cascading Style Sheetsじゃなくて、Cross Site Scriptingでもなくて、Computer Security Symposium。
先日大阪に行くため、東京駅構内で東海道新幹線の切符を自動券売機で買おうとしたら、指定席が1時間先まで満席になっていたため、自腹でグリーン券を買うことにした。現金が足りないのでクレジットカードを券売機に挿入したのだが、そこでギョッとする画面が現れた。
そのときは写真を撮り忘れたのだが、昨日、駅を通りがかったので撮ってきた。その画面とはこれだ。
カードを挿入すると、暗証番号の入力を求められるのだが、巨大な番号ボタンがそのままタッチパネルに現れるのだ。
銀行のATMでもタッチパネルで暗証番号を押すのだから、人々はそれに慣れているだろう。だが、ATMは個室だった。それに対して新幹線券売機では、離れたところからでも見通しがよい。斜めからでも見える。
画面には次のように案内されている。
暗証番号を入力してください
画面のボタンまたは券売機右下のテンキーから入力できます
たしかにテンキーが硬貨投入口の下に用意されている。へこんだところにキーがあるので、こちらを使えばそれなりに安全に入力ができるだろう。だが、案内文は、「画面 または テンキーから入力できます」と言っているだけで、テンキーからの入力を推奨しているわけではない。タッチパネルの巨大なボタンを人目をはばからず押してしまうのは、旅客の責任だというのだろうか。
こちらは、品川駅で見かけた、JR東海の「エクスプレスE予約」の受取専用切符発行機。
こちらは、テンキーも丸見えだ。隠そうという意思が感じられない設計。いったい何のためにテンキーを設置したのだろうか*1。
平和な国、日本。性善説で生きていける国民性。そんな人々の暖かい目に囲まれた社会。その社会の一員である自分に気づかされ、心和む想いがした*2。
ATMは個室だった。それに対して新幹線券売機では、
と書いたが、ATMが個室なのは田舎の小規模出張所くらいなものか。支店のATMコーナーならば何台もが並んでいる。しかし、ATMではタッチパネルは上向きだ。後ろからでは見えない。それに対してJRの券売機では、垂直になっていて後ろから丸見えという点が異なっている。
コンビニのATMはどうか。セブンイレブンに設置されているアイワイバンク銀行のATMを見てきたところ、タッチパネルはほぼ垂直だが、暗証番号の数字ボタンがパネルに表示されることはなく、テンキーでしか入力できないようになっていた。テンキーは深い切欠きの中にあり、十分に目隠しされた構造になっていた。しかも、タッチパネルは斜め横からでは、見えないようにフィルターがかぶせられていた。それに対してJRの券売機は、写真のとおり、斜め後ろ数十メートルから観察可能だ。
で、その大阪行きのとき、クレジットカードで新幹線切符を買おうとしてどうなったかというと、「そのカードは使えません」と拒否されたのだ。ああ、そういえば、昔からJR東海では、JR東海の「エクスプレスカード」でしか買えないんだったね。今でもそういう状況だったとは驚愕した。
駅員にATMはどこかと尋ねると、構内にはありませんという返事。念のため、クレジットカードが使えないのかと尋ねたところ、エクスプレスカードしか使えませんという返事。しかたなくATMを求めて改札を出た。するとそこには、VISAのマークのある券売所があるではないか。そこで買った。窓口の人に、どうして構内では普通のクレジットカードが使えないのかと尋ねると、「私は旅行会社の者なので……。」と言う。おお、たしかにここは「ジェイアール東海ツアーズ」というところだ。
なんとか目的の列車に間に合って乗れたが、乗り継ぐつもりが改札を出たおかげで、数百円損してしまった。
グリーン席に座っていると、とても丁寧な接客を受ける。快適だ。せっかくなので、「新幹線切符を買うのにエクスプレスカードしか使えないというのは、わざとやっているのですか?」と質問してみた。すると、車掌さんが出てきて、これまた丁寧にメモを取りながら話を聞いてくれた。だが、質問は簡単だ。
わざとやっているのですか?「はい」または「いいえ」でお答えください。
というもの。しかしなかなか回答は得られない。車掌さんは何度も車掌室に行って問い合わせをしてくれたけれども、得られる回答はこんなものしかこない。
お客さまに割引サービスを提供するため、エクスプレスカードをご用意しています。
アホか。それは、エクスプレスカードを提供している理由であって、エクスプレスカード以外を受け付けない理由ではない。
そんなこんなで大阪の用事も無事に済み、日帰りのため帰りの切符を買おうとすると……、ガーン、ATMに行くのを忘れていた。時間も遅いのでATMなんか開いてない。どうしよう……。駄目もとで新幹線自動券売機にVISAのクレジットカードを入れてみると、なんと、普通に買えるじゃないか。新大阪駅の券売機では買えるらしい。そうか、ここはJR西日本なのか。
後でわかったことだが、東京駅構内でも、新幹線の自動券売機は、JR東海のものとJR東日本のものが混在していて、JR東日本の券売機を使えば、普通のクレジットカードも使えるのだ。しかも、2つの窓口は並んでいて、私はその日、数十歩進む(というか、来た道を戻る)だけで、VISAで買えたのだった。東京駅構内マップのオレンジ色のマークの窓口ではなく、緑色のマークの窓口に行けばよい。「駅ネット端末」と書いてあるところがVISAも使える自動券売機だ。東海道新幹線に乗るので、なんとなく東海道新幹線の改札のところで切符を買わないといけないような気がしてしまうが、東北新幹線の改札のところで東海道新幹線の切符を買えばよいのだ。ああそりゃそうだ。今まで気づかなかったよ。
そのことを教えてくれず、ATMは外にあると言ったJR東海の駅員は、そういう教育を受けているのだろうか。
で、どういう理由で一般のクレジットカードを拒否しているのかは不明なままだったのだが、昨日、品川駅を通りがかったとき、こんな案内ポスターを見かけた。
クレジットカードを使いたい人は、後ろにあるジェイアール東海ツアーズへ行けと書かれている。案内があるだけ東京駅よりマシなのだが、このポスターの文面に不誠実さが滲み出ている。まず、
こちらの窓口では、現金のほか、JR東海エクスプレス・カード、JRカードをお取り扱いします。
とあるが、なぜ、「○○は扱っていません」とはっきり書かないのか。この場合、読者に注意すべきは、使えないものが何かということであって、使えるものが何かではない。いったい、何のためにポスターをはりだしたのか。
そして核心はここだ。上の小さい文字の部分にはこう書かれている。
JR東海では、お客さまにスムーズにきっぷをお買い求めいただくため、きっぷの発売窓口をお支払方法により区分させていただいております。
ほほう、つまり、何かの事情があってクレジットカードを受け付けられないというわけではなくて、はっきりと意図を持って「区分」しているということが確認された。
そして、その意図的に「区分」する理由というのが、「お客さまにスムーズにお買い求めいただくため」だという。スムーズというのは何のことだろうか。JR東海のエクスプレスカードだと、サインが不要なのかもしれない。そこで、この窓口の駅員に尋ねてみた。「エクスプレスカードだとサインが不要なのですか」と。回答は違った。エクスプレスカードでも、一般のクレジットカードと同様にサインを求められるのだ。じゃあいったい何が「スムーズ」なのか。
J-PHONEのユーザ向けFAQといい、NTTドコモのFirstPass Q & Aといい、RFIDタグ搭載本の説明といい、Windows XPのファーストステップガイドといい、どいつもこいつも、よくもまあこういう「言わない嘘」を平気で書くよなあと改めて感心した。こういう文章を書かされて、仕事が嫌になったりしないのだろうか。
ちなみに、品川駅のこの窓口のすぐ隣には、JR東日本の新幹線券売機がある。そっちで買えば普通のクレジットカードが使える。JR東海提供の品川駅構内地図でいえば、「港南口」とある部分のすぐ上のくびれた部分の右側にある。この地図には載っていない。JR東日本提供の品川駅構内地図にはしっかりと載っている。緑色の直方体の部分だ。覚えておこう。客のことなど頭にないJR東海は初めから避けるようにするのが吉だ。
ちなみにこれが、品川駅のJR東日本の券売機。券売機自体は、JR東海のものとも、新大阪駅のものとも同一で、機械が異なるからクレジットカードが扱えるわけではないし、暗証番号が遠くから見通せるのも同じだ。
RFIDのプライバシー議論でよく目にするのが、「数センチとかの近くからしか読めない」という主張に対して、「電波を強くすればもっと遠くから読めるだろう」というものなのだが、私はこれについて次のように考えていた。電波の強度は、リーダからの電波に比べてRFIDからの応答の方が極端に弱いはずだから、通信可能距離はRFIDからの応答電波の強さで決まり、リーダ側の給電用電波を強くしても応答電波の強さはほとんど変わらないか、あるいはRFID側にリミッタ回路が入っているのではないか、と。
ところが先日、ある信頼ある情報筋からそれを否定する見解を得た。実際にリーダの電波強度を変化させながら試すと、強くするほど遠くまで読めるようになるのだとか。
全部の製品がそうなっているかはわからないが、だからこそやはり、9月6日の日記で書いたように、RFIDの製品仕様に、運用時の標準通信距離だけでなしに、悪用された際を想定した最長応答可能距離も併記するよう、義務付けるかガイドラインを作る必要があるように思える。
そういえば、空港のチケット発行機はどうなっていたかな。同じ構成だっけ?
と述べた件、いつもチケットレスでしか利用していなかったので、暗証番号を入力したことはなかった(チケットレスではクレジットカードを入れただけで決済済みの搭乗券が出てくるので)のだが、先日、羽田空港に行ったので、航空券購入機能を試してみた。
このように新幹線券売機と同じだった。
もしかしてこれがスタンダードなのか? 諸外国ではどうなのだろうか。
電車ならまだ、財布を掏られないようにしていれば、暗証番号だけ取られてもたいしたことないかもしれないが、空港といえば、この発券カウンターの次に向かうところは、すぐ隣の手荷物検査ゲートであるわけで、そこでは普通、財布を一旦手放すわけで、そのとき盗まれるかもしれないと思うとかなり危険を感じる。使用したクレジットカードは財布に戻さずに、搭乗券と共に手に持ってゲートを通るようにするのがよいかもしれない。
あの手荷物検査ゲートの係員は、どのくらいまじめに荷物が誰のものか確認しているのだろうか。
ちなみに、噂によると、銀行のATMですら、タッチパネルが垂直に設置されていて、店の外からパネルが見えるところもあるのだとか。