ACCSの久保田専務理事が語る個人情報流出訴訟の背景(前編/後編)
ACCSを巡る不正アクセスと情報流出の事件における一方の当事者である、ACCSの久保田専務理事へのインタビュー記事。後編の「幼稚なセキュリティ研究者こそがネット社会で最も迷惑な存在」というタイトルの台詞がなかなかにきわどい。
複雑な責任関係
事件に対しては様々な報道がなされているが、全部追いかけていると次第にわけがわからなくなってきてしまう。なぜだろうか。おそらく「誰が誰に損害を与え、その責任を負う必要があるのか」＿＿つまり責任関係があまりに複雑だからなのではないか。そこでちょっと腰を据えて考えてみることにした。
今回の事件の場合、単純に考えただけでも当事者が３名おり、それぞれが負う責任は以下の図のようになっている。
{{image 0,'クラッカー、ACCS、個人の３者による責任相関図'}}
まあそんなに難しい図ではない。これを箇条書きにしてみると
という感じ。
ところが実際にはここにもう一人当事者がいる。ACCSからサーバ管理を委託されていた業者だ。この場合、サーバ管理会社はACCSに対して損害を負わせた責を問われることになるだろう。で、そのへんを踏まえてさきほどの図を書き直してみたのが下の図。
{{image 1,'クラッカー、サーバ管理会社、ACCS、個人の４者による責任相関図'}}
随分矢印が増えた。３者の場合は３本だったのだが、今回は６本。ｎ者の場合は==(n-1)!==1+2+…+(n-1)本になる。ともあれ同じように箇条書きにしてみる。
- クラッカーはサーバ管理会社に対して責任を負う
- クラッカーはACCSに対して責任を負う
- クラッカーは個人に対して責任を負う
- サーバ管理会社はACCSに対して責任を負う
- サーバ管理会社は個人に対して責任を負う
- ACCSは個人に対して責任を負う
責任関係が生じているということは、極端な話その分だけ訴訟が起こる可能性があるということだ。図を観るだけならまだよい。けれども実際に裁判をやっているうちに、事件を追いかけている人だけでなく、当事者でさえもなにがなんだかわからなってしまうのではないかという気がする。
直接責任Onlyモデル
というわけでここから先はあくまでも個人的な希望。法的にどうとかいう話はまるで考えていないのであしからず。
ややこしすぎて全体像がつかみきれず、責任関係が明白にならないというのはやはり問題だと思う。それが結果的に「ホワイトハッカー」的な活動を萎縮させてしまう可能性は少なからずあるだろう。インタビューにおいて久保田専務理事は『それで萎縮してしまうということは、絶対にないと思う』と言っているが、すべての当事者が忠告に対して謙虚に受け止めることが期待できない(「不正アクセスだ。訴えてやる」と騒ぎ立てるとか)以上、「絶対にない」とは言えまい。サーバ管理を外部に委託することはごく一般的に行われていることと思うが、ヘタに「クラッカー」役を演じることになってしまった際に生じる責任関係を思えばなおのことである。
もうすこし簡潔にならんものか＿＿ということで、ごくごく単純に「直接責任をのみを問う」モデルはどうかと考えてみた。当事者が３者の場合、４者の場合の図を以下に示す。
{{image 2,'当事者が３者の場合の直接責任Onlyモデル'}}
{{image 3,'当事者が４者の場合の直接責任Onlyモデル'}}
矢印の数は３者の場合が２本、４者の場合は３本。ｎ者の場合は(n-1)本となる。訴訟の手間も随分減ることがわかるだろう。これなら全体像も把握しやすい。もちろん道義的な責任がこのモデルで果たせるとは思えないが、このモデルはそのへんをばっさりやっちまって簡潔さのみを取るものだ。
今回の件や、YAHOO!BBの事件を見ていると、被害者であると同時に加害者でもある立場にある人々(ACCSやYAHOO!BB)の加害者意識に欠けた発言が目に付くように思う。また、被害者である個人側も、クラッカーへの責任追及を急ぐ余り、そのへんをすっ飛ばしてしまっているような気がする。
自分で言っておいてなんだが、このモデルのような考え方をすれば万事解決＿＿とは実のところ全然思わない。けれども今のまま複雑な責任関係の狭間でもがき続けるのもやはり釈然としないのである。それを少しでも変えるために、少々極端な考え方をしてみるのもアリではないだろうか。
