京大研究員逮捕

それでは、自分なりに危惧することなどを。

まずは、今回の逮捕の容疑は不正アクセス法と威力業務妨害ですね。
まずは、不正アクセスについてですがこれは何を持って不正アクセスとするかが問題となっています。今回はＣＧＩに対して特定のパラメータを渡してあげると少なくとも運用者側は出ることはないと思われていた個人情報が出てしまったというわけです。
しかしながら、パスワードやらＩＤやらそういったものを不正に利用したわけでもないのでこれで直ちに不正アクセスというには無理があると思います。
そして、威力業務妨害についてですがとくに、サイトの閉鎖を迫ったわけでもないので脆弱性を発見し、通報し改善を促したという点では問題ないだろうと思われます。
だが、やはり問題は某セキュリティイベントで行ったことでしょう。サイト名を伏せた上でこのような脆弱性がありましたということを発表する分には問題はなかったのだろうが、具体的に名指しをした上実際に取得した個人情報の一部を出してしまったという点に問題があるのではないだろうか？

もっとも、このような行動を取らせた経緯には個人的に十分に同情の余地はある。まず、表面的に見ても具体的な名前、方法、取得したものを見せた方が発表に説得力がある。これは事実である。これは、自らの自己満足という側面が多いのではないかと思われる。
そして、第二に脆弱性を発見し通告したところでそんなものは存在しないとか、無視されるとか、逆に不正アクセスだと決めつけ脅迫されるなどの例が後を絶たなかったのも事実だろう。
しかしながら、不特定多数とは必ずしも言えないがイベントでこれらを公表するのはいただけない。もし、本当に脆弱性があることを伝えたければまずは運営者の方にこうして取得したデータともども具体的な方法を教えてやればいいのだ。発表してしまうのはこれをやってからでも遅くはないだろう。

しかし、この問題のおかげで脆弱性を通報するための第三者的な機関の設立の機運が高まりつつある。これが大きな一歩となることを望む。より、セキュアなサイト作りのために。