問題は複合機にあらず

全国の大学ネットワークで、接続されていた複合機プリンターのデータが、外部から見える状態だったという記事。記事だけ見ると、複合機側に問題があったような印象を受けるんですが、それは一寸ミスリードさせるというか、記事の書き方が悪いんじゃないか。確かに、複合機側に利用者のID登録をするなど、予め指定されたユーザー以外が内部のデジタルデータにアクセス出来ないようにする仕組みもあります。でも、今回の一番の問題は、外部から大学や専門学校校内ネットワークにアクセス出来、さらにそのネットワークに接続されたデバイスにもアクセス出来る状態になっていた、ネットワーク設定の問題じゃないかということ。

多分普通に考えると、校内専用のローカルネットワークを敷いて、そこに校内デバイスを接続させ、基本的にはそのネットワーク内で完結するようにするはず。で、パブリックのネットワークアクセスするために、ゲートウェイを設定して、そこでセキュリティ制御をするはず。あるいは、専用のネットワークを構築するのではなく、パブリックなクラウド環境を利用して、VPN等で仮想的に学内ネットワークを構築する場合も有るかもしれないけれど、それだってVPNという「制限」が無ければ、そのネットワークリソースにアクセス出来ない訳で、余り学校などのような大規模施設でやっているとは思えない。実際のところは、校内のイントラネットと校外のパブリックネットとのゲートウェイがちゃんと設定されていなかったのが原因じゃ無いだろうか。

で、そうなると、今回は複合機が取り上げられているけれど、例えば先生とか生徒が利用しているパソコンとか、実験などで接続していたデバイス等へも同様にアクセスする事が可能なわけで、本来はそっちの方が問題では。あえて、複合機を取り上げるのは何か意図があるんだろうか。複合機だろうが、パソコンだろうが、スマホだろうが、個々のデバイスでのセキュリティ対策は最後の手段なわけで、一番重要な事は自分達が利用する構内ネットワーク(イントラネット)と、一般のネットワーク(パブリックドメイン)との接続を、以下に制御するかと言うことでは。全く遮断しては仕事にならないし、かといってフリーハンドで接続しては今回以上のトラブルがどんどん発生するわけで、その当たりをちゃんと説明するとかしないと、この記事だけでは「複合機怖い」で終わってしまいそう。で、自分のパソコンのデータが盗まれるわけです。