あちこちで漏洩が発生してますが、対応時に見落とされがちなこと

情報漏洩の際に、「漏洩した情報に掲載されている内容」で影響を受ける人や、漏洩した情報をもとに引き起こされる事象（想定される事項）に対応するってのは、（普通に）行われます。これがされないのは論外としても…

見落とされがちなのは「つこうた当人」のフォローアップ（つこうた場合ね）。

こうした場合、どうしても「漏洩させるやつが〜」という文脈になりがちなのですが、一般的にインシデントを発生させた人（つこうた人）に話を聞くと、「漏洩させてやった」という人は出てきません。ほとんどが「こうなるとは思ってなかった」というところです*1。

一般的に、脆弱性を突かれてコンピュータを攻撃され、そのコンピュータを攻撃に使われた場合には、そのコンピュータ（の利用者）は被害者であると同時に他者への加害者にもなってしまう、という事故の特性を持ちます。

暴露ウィルスによる情報漏洩の場合も一緒で、つこうた人は「情報漏洩による被害を引き起こした人」（＝加害者）という側面とともに、「暴露ウィルスに感染させられた人」（＝被害者）という側面も持ちます。

もちろん、なぜにnyなりを使ったのか？という動機や、「つこうた」状態にならないような対策をどうやったか？とかその他多くの点において瑕疵がある、という話はあるでしょうが、それでもウィルスによる被害を被ったという点において被害者なわけで、この点を抜きにした対応を行うことは到底考えられないというのが正直なところです。

実際に事故対応を行う際には、この部分についても留意の上、当事者のケアを行う必要がある、と強く感じてるので、あえて書いておきます。

自業自得という見方もありますし、この点について否定するものではありませんが、それでも「周囲の対応が首吊りの片棒を担ぐ結果になった」とかいう状態は気持ちのいいものではないので…。

ちなみに会社組織においてこういう話が出たときは、（世論の調子にもよるとはいえ）基本的には内規に従って粛々と対応する、というのが通常です。

＃そこで感情に駆られて（必要以上に）厳しい対応をするような組織は、もはや
＃組織とはいえない気がしますし、正直このテの事案において「メシウマ」とい
＃う言葉を見てると、このあたりの痛みがわからない人が増えたのかなぁ…とい
＃うようにも思います。

なお、上記の話は「ファイル共有ソフトウェア」による（違法な）ファイルのやりとりを容認するものではなく、あくまで「一般的な事故対応の1つ」として考えなきゃいけないことには「こういうこともあるよね」ということを述べるものでした。

*1:「自分は大丈夫だと思ってた」という人もいますが、「こうなるとは〜」とほぼ同義かと。