厚労省の電子申請欠陥、１０日間放置…個人情報流出の恐れ（2007年7月5日23時46分 読売新聞）
このソフトを利用者が使うと、外部からパソコンを操作され、情報が流出する恐れがある。同省は先月２６日、欠陥を認識したが、適切な対応をとっていなかった。同省によると、今のところ被害の報告はないという。
ソフト会社は昨年１２月の時点で欠陥を公表していたが、同省は気づいていなかった。同省は先月２６日、内閣官房情報セキュリティセンターからの指摘で初めて問題を認識したが、利用者に注意喚起せず、システムを稼働させていた。同省では「早急に対応すべきだった。反省している」としている。
結局、半年以上放置していたということですね。
日本の官僚というのは頭がいいのか悪いのかよくわかりません。
う〜ん。日本のお役人は「放置」が好きですから。ミートホープの件もそうだった可能性が高い報道がされていますね。結局、「放置」にしても、政策立案にしても、それから生ずる結果についての想像力がないのでしょう。
厚生労働省では、この電子申請ソフトを使っての電子申請を推進するようにと、我々社会保険労務士にキャンペーン活動をしている。だが私は使っていないし、ダウンロードしていない。理由はこの電子申請(オンライン申請）が非常に使いにくいシロモノだから。
社会保険（健保・年金）や雇用保険・労災保険の申請手続には必ず添付書類が必要である。例えば医師の診断書、病院の受診証明、事業主の証明、賃金台帳の写し・・・膨大である。一般的な「紙」での申請の場合はこれらの添付書類は一緒に窓口に持参するか、遠隔地からの申請であれば申請書と一緒に郵送しても受付けてくれる。
ところが電子申請の場合は添付書類は「別途郵送」することとなっている。電子申請と郵送、そんな二度手間掛けるくらいなら、最初から「紙」で役所の窓口に持参するか「一括郵送」した方が手っ取り早い。
そもそもこんな阿呆くさい「電子申請システム」を作っておきながら、セキュリティ欠陥の放置だって？ 我が社労士の所轄官庁（厚労省）はダメだ。
年金問題しかり危機管理意識の欠如でしょう。
体質だから仕方が無いとしか言いようがない。
救い難いというより救えないし救いたくもない厚労省です。
一般国民は、ここ数年でお役所及びお役人を信用するものではないと思い知ったのではないでしょうか？
なんでここだけをつくんだか。
この話はJRE（JAVAのランタイム）のVerの低いのを使用していたことらしいですが、そんな欠陥さらしている企業、自治体は日本には星の数ほどありますよ？
そんなに行政組織がミスるとうれしいですか。
銀行なんかでもActiveXを全部有効にしてください。とか平気で書いてますから、官僚がどうとかというより、日本人が駄目なんだと思いますけど？
司法関係は大丈夫なんでしょうか・・・？
>そんなに行政組織がミスるとうれしいですか。
「素行の悪い組織」の不正がバレテ糾弾されるのは嬉しいですが、問題あるのでしょうか？
ついでに訊きたいのですが。
「納入元からセキュリティの注意が有ったのに、無視して放置している」
企業、自治体が「星の数」ほども有るのでしょうか？
MultiSync＠一市民さん>
細かい点ですが、厚労省のサイトを見る限りだと、
と云うのとは、微妙に違う可能性が有ります。問題の電子申請ソフトがJavaを使ってて、電子申請ソフトと一緒に特定のバージョンのJavaを入れる必要が有るようなのですが、そのバージョンのJavaにセキュリティホールが有ったようです。
新聞報道の
と言うのは、おそらく、Javaの製造元のSun Microsystemsが、そのセキュリティホールの情報を（Webサイトなどで）公表したのが昨年12月と云う事だと思われます。新聞報道だけだと、電子申請ソフトの製造元から厚労省に連絡が有ったのが12月なのか、Sunがセキュリティホールの情報を公開したのが12月なのかが曖昧ですが、「厚労省に通知していた」等の表現じゃなくて「公表していた」と書かれてる点からして後者の可能性が高いと思います。
もし、この推測が正しいなら、Javaは色んな所で使われてるし、SunのWebサイトから、自由にダウンロードできるソフトなので、わざわざ、Sunから厚労省に対して注意が有った、と云う事は考えにくいと思います。
いまいち消化不良なのですけども。
「バージョンが決め打ち」というのが、特に”イタイ”ところなのではないかと。
JREはアプリケーションの実行環境で、大雑把に言えば、”OSのようなもの”ですね。脆弱性というのは、Windows、IEなど、アプリ実行環境で毎月のように見つかっています。これは、各ユーザでアップデートしてもらうしかない訳ですが、アップデートすると、アプリが動かなくなる、という話ですかね。
参考：
JREの脆弱性で波紋 - 政府や地方自治体の電子申請システムで対応に遅れ：Security NEXT
ron さん>
まぁ、使う側からすると、そうなんですが、テストしたり、動作保証をする事になると、話が色々血塗られてくる訳です。
特に、客が、官公庁とかのお硬い所だったり、サポート人員(≒客から貰う人件費)が少なかったりすると、エラい事になります。
万が一、何か有ったとき、
「このJREのバージョンで、この操作をやる場合のテストはやってませんでした」
なんて言う訳にもいかず、かと言って、JRE等の前提ソフトが新くなる毎にテストしなおす余力もない、と。
そんな場合は、得てして、「バージョンが決め打ち」と言う安易な選択をせざるを得ない場合も有る訳です、はい。
＞万年下っ端プログラマ さん
官庁は単年度予算で動いてますから...
おそらく、開発費のみで、保守費のようなものは、計上されていないだろうとw
12月に脆弱性が発覚して、今年度予算が国会を通ったのは3月？
ということは、今年度予算にも入ってないかも。
jbeefという方の以下の日記が参考になると思います。
http://takagi-hiromitsu.jp/diary/200507.html
2005年07月04日と2005年07月17日の日記を参照してください。
日記を見ればわかりますが、納入元ではないが、
「セキュリティの注意が有ったのに、無視して放置している」
役所、企業はたくさんあるようです。
�睫攅生�＠自宅の日記ですね。
2007年7月8日の日記でまとめをされています。
「厚生労働省の脆弱性放置は何が問題とされているのか」
http://takagi-hiromitsu.jp/diary/20070708.html#p01
こちらを読んだ方がわかりやすいかもしれません。
>�睫攅生�＠自宅の日記
皆様のありがたいコメントに加えて、素人ながらに良く解った気がします（＾＾；
やっぱり厚生労働省は特に問題が大きかった様ですが、
行政全体の管理体制がこの調子だと住棄ネットの信用性も・・・・以下自粛
管理のための予算が下りなかったとか、そういうことではないでしょうか？
アプリというのは、作り放しで終わりというわけにはゆかず、利用者がいる以上は、その後も継続してサポートが必要になりますから。省庁縦割りの予算取りでは、こうした運営費を確保していくのは難しいのかなと想像します。
それで、「e-Gov への一本化」によって、運営を各省庁一体にすることで、運営費を確保していこう、という話になっていたのかな、と。
ただ、厚労省のアプリについては、実行環境（JRE）のバージョンをチェックして、一致しないと動かないようになっている、という点と、そのバージョンのチェックが「パッチバージョン番号」までの一致を要求している、という点が特異ですね。
「パッチバージョン番号」というのは、仕様を変更せずに、問題だけを修正する場合にカウントアップする番号です。ここまで限定してしまうと、後で問題が発生するのは明らかのように思います。現にこれで、実行環境のセキュリティ・アップデートが封じられてしまった訳でして。