さまざまな問題について
（8/24 現在）
この事件の背後には，さまざまな問題がありました。岡崎市，岡崎市立中央図書館，三菱電機インフォメーションシステムズ，愛知県警，検察，裁判所のそれぞれに誤りがあり，それらが積み重なった結果，無碍の利用者であったlibrahack氏が逮捕され，20日間勾留され，罪に問われる一歩手前まで追い込まれたのです。
このページでは，それぞれにあった問題点について，繰り返された議論や検証などをもとに，私（管理者：杉谷）の視点で掘り下げます。
具体的なソースについては，各種リンクから各所を参照してください。
このページでは，それぞれにあった問題点について，繰り返された議論や検証などをもとに，私（管理者：杉谷）の視点で掘り下げます。
具体的なソースについては，各種リンクから各所を参照してください。
岡崎市の問題
岡崎市は，市民の税金を用いて予算を組み，三菱電機インフォメーションシステムズの MELIL/CS を購入しました。また，継続的に運用管理を依頼しています。
MELIL/CSの導入は「プロポーザル方式」で決められました。これは，複数の業者に提案をしてもらい，最も優れた案を採用するというものです。
しかし，WEB システムとして極めて性能の低いシステムを購入してしまったことについては，適切な比較検討が行われたのか，適切な採用条件だったのか等，問いただされるべき問題があります。
運用管理についても，随意契約で継続して三菱電機インフォメーションシステムズと契約しています。不具合を修正させることができる契約内容なのかどうか，確認する意義はあると考えられます。
MELIL/CSの導入は「プロポーザル方式」で決められました。これは，複数の業者に提案をしてもらい，最も優れた案を採用するというものです。
しかし，WEB システムとして極めて性能の低いシステムを購入してしまったことについては，適切な比較検討が行われたのか，適切な採用条件だったのか等，問いただされるべき問題があります。
運用管理についても，随意契約で継続して三菱電機インフォメーションシステムズと契約しています。不具合を修正させることができる契約内容なのかどうか，確認する意義はあると考えられます。
岡崎市立中央図書館の問題
岡崎市立中央図書館は，大規模なリニューアルに際して MELIL/CS を導入しました。その後，運用管理の責任を負う形で，図書館側が指示を出し，三菱電機インフォメーションシステムズがそれに応じるという形で運用が続けられました。
今回の事件に際して，アクセスログに関して三菱電機インフォメーションシステムズと連携して「これは攻撃ではない」という判断を下せなかったこと，警察の求めるままに被害届を出したことについて，問題があります。情報システムの運用について，運用主体として委託先と充分に連携できていたのでしょうか。
また，アクセスログの提出が被害届の提出前にも行われていたこと，同時に四名の個人情報を警察に渡していたことなど，図書館としての個人情報取り扱いに問題があったと考えられます。
これは， 岡崎市個人情報保護条例 第8条に抵触する可能性がある上， 図書館の自由に関する宣言 の第３の２で謳われている「図書館は、読書記録以外の図書館の利用事実に関しても、利用者のプライバシーを侵さない。」という言葉とも矛盾します。
被害届の提出前に，個人情報を沿えて，アクセスログを提出する。この行為は，図書館を信頼していた岡崎市民への裏切り行為とも言えるのではないでしょうか。
今回の事件に際して，アクセスログに関して三菱電機インフォメーションシステムズと連携して「これは攻撃ではない」という判断を下せなかったこと，警察の求めるままに被害届を出したことについて，問題があります。情報システムの運用について，運用主体として委託先と充分に連携できていたのでしょうか。
また，アクセスログの提出が被害届の提出前にも行われていたこと，同時に四名の個人情報を警察に渡していたことなど，図書館としての個人情報取り扱いに問題があったと考えられます。
これは， 岡崎市個人情報保護条例 第8条に抵触する可能性がある上， 図書館の自由に関する宣言 の第３の２で謳われている「図書館は、読書記録以外の図書館の利用事実に関しても、利用者のプライバシーを侵さない。」という言葉とも矛盾します。
被害届の提出前に，個人情報を沿えて，アクセスログを提出する。この行為は，図書館を信頼していた岡崎市民への裏切り行為とも言えるのではないでしょうか。
三菱電機インフォメーションシステムズの問題
致命的なほど性能の低いシステムを納品したことに関して責任があります。通常，常識的な最低限の技術力をもってシステムを構築していれば，今回の事件は起こりませんでした。
そもそも，一般的な WEB システムにおいて，毎秒一回を下回る速度でのクロールでサーバが応答できなくなることはありえません。
Twitter 上での議論 および 技術者の検証 により，WEB システムとして通常ありえないレベルの欠陥が確認されています。
この欠陥は，セッションが解放されるまで長時間かかることによって有効なセッション数が一定数で頭打ちとなるため， サーバの性能をどれだけ上げたとしてもシステムの性能は改善しない，プログラムの根本的欠陥でした。
また，三菱電機インフォメーションシステムズはMELIL/CS ASP版の欠陥を認識していた可能性が指摘されています。おそらく過去に検索エンジンのクローラのせいで本事件と同様の症状を発生させ，それを回避するために robots.txt を設置していたのではないか，と考察されています。
もし欠陥を認識していながら修正せず検索エンジンからのクローラを排除することで欠陥の存在を隠していたのであれば，顧客である図書館に対して非常に不誠実な対応を取っていたことになります。
また，ソフトの問題で検索が遅く使いづらかったため図書館職員から苦情があった際には， 「ハードの性能が低いからだ」と答えていた ようです。
そもそも，一般的な WEB システムにおいて，毎秒一回を下回る速度でのクロールでサーバが応答できなくなることはありえません。
Twitter 上での議論 および 技術者の検証 により，WEB システムとして通常ありえないレベルの欠陥が確認されています。
この欠陥は，セッションが解放されるまで長時間かかることによって有効なセッション数が一定数で頭打ちとなるため， サーバの性能をどれだけ上げたとしてもシステムの性能は改善しない，プログラムの根本的欠陥でした。
また，三菱電機インフォメーションシステムズはMELIL/CS ASP版の欠陥を認識していた可能性が指摘されています。おそらく過去に検索エンジンのクローラのせいで本事件と同様の症状を発生させ，それを回避するために robots.txt を設置していたのではないか，と考察されています。
もし欠陥を認識していながら修正せず検索エンジンからのクローラを排除することで欠陥の存在を隠していたのであれば，顧客である図書館に対して非常に不誠実な対応を取っていたことになります。
また，ソフトの問題で検索が遅く使いづらかったため図書館職員から苦情があった際には， 「ハードの性能が低いからだ」と答えていた ようです。
愛知県警の問題
まず大前提として，警察の責務は警察法第二条によって定義されています。大雑把に言えば，警察は治安維持と犯罪防止と被疑者の逮捕を行うけれど，その責務は厳密に縛られていて，容疑者の言い分や被害者の言い分のどちらかに肩入れすることなく，公平で，かつ，むやみやたらとその権力を行使してはいけません，といったところです（
警察法
）。
愛知県警は，岡崎市立中央図書館から提示されたアクセスログを読み誤り，また，偽計業務妨害の罪を構成するために故意が必要でないと考え，結果的に librahack氏を逮捕，勾留するに至りました。
アクセスログを読めば，一般的な WEB システムの知識があればこれは攻撃ではないことが明らかであったはずです。
また，偽計業務妨害には故意もしくは未必の故意が必要です。愛知県警はこれを誤り，家宅捜索に至りました。
愛知県警には サイバー犯罪を取り扱う部署（生活経済課） があります。何故，技術的知見に基づく判断ができなかったのでしょうか。
加えて，捜査上，対象の行為が罪を構成しているかどうかは警察官が常に意識しているべき要点であるはずです。罪を構成していないのであれば，捜査する必要すらありません。
さらに，警告や注意を行わず，いきなり逮捕に及んでいることを見落としてはなりません。仮に偽計業務妨害であったとしても，迷惑行為に対して警告や注意を行い，それでも改まらなければ罪に問えばよかったのです。事実，librahack氏は逮捕のその日まで，岡崎市立中央図書館のサーバが停止した状態になっていたことは知りませんでした。
そのうえ，任意の事情聴取に際して，「DoS攻撃」「業務を妨害した」「責任を取る」といった文言を含む，あらかじめ準備した調書にサインをさせました。これは，正常な取り調べ（供述調書の記録）とは言えません。
逮捕後，勾留十日目ごろには，警察はlibrahack氏が攻撃を行ったのではないとの認識を持っていたとの取材結果もあります。
愛知県警は四点の誤ちを犯し，結果的に librahack氏は 不起訴処分（起訴猶予処分） となりました。起訴猶予処分を受けた人は，前科ではないものの，前歴として記録されます。これは将来，万が一別件等で起訴に至った場合，不利な情状証拠となります。
そして，起訴猶予処分となったのは，警察から検察に「罰金刑（略式起訴）か，起訴しないなら嫌疑不十分ではなく起訴猶予処分とする」よう依頼をかけていた，との取材結果があります。
愛知県警の捜査体制は，批判されてしかるべき問題を抱えているといえます。
アクセスログを読めば，一般的な WEB システムの知識があればこれは攻撃ではないことが明らかであったはずです。
また，偽計業務妨害には故意もしくは未必の故意が必要です。愛知県警はこれを誤り，家宅捜索に至りました。
愛知県警には サイバー犯罪を取り扱う部署（生活経済課） があります。何故，技術的知見に基づく判断ができなかったのでしょうか。
加えて，捜査上，対象の行為が罪を構成しているかどうかは警察官が常に意識しているべき要点であるはずです。罪を構成していないのであれば，捜査する必要すらありません。
さらに，警告や注意を行わず，いきなり逮捕に及んでいることを見落としてはなりません。仮に偽計業務妨害であったとしても，迷惑行為に対して警告や注意を行い，それでも改まらなければ罪に問えばよかったのです。事実，librahack氏は逮捕のその日まで，岡崎市立中央図書館のサーバが停止した状態になっていたことは知りませんでした。
そのうえ，任意の事情聴取に際して，「DoS攻撃」「業務を妨害した」「責任を取る」といった文言を含む，あらかじめ準備した調書にサインをさせました。これは，正常な取り調べ（供述調書の記録）とは言えません。
逮捕後，勾留十日目ごろには，警察はlibrahack氏が攻撃を行ったのではないとの認識を持っていたとの取材結果もあります。
愛知県警は四点の誤ちを犯し，結果的に librahack氏は 不起訴処分（起訴猶予処分） となりました。起訴猶予処分を受けた人は，前科ではないものの，前歴として記録されます。これは将来，万が一別件等で起訴に至った場合，不利な情状証拠となります。
そして，起訴猶予処分となったのは，警察から検察に「罰金刑（略式起訴）か，起訴しないなら嫌疑不十分ではなく起訴猶予処分とする」よう依頼をかけていた，との取材結果があります。
愛知県警の捜査体制は，批判されてしかるべき問題を抱えているといえます。
裁判所の問題
裁判所は警察の求めに応じ，その必要性を検討したうえで捜査令状や逮捕状を発行します。このとき，嫌疑が不十分である，または嫌疑なしと判断できていれば，捜査令状や逮捕状は発行されなかったはずです。また，そのような判断があれば，警察は捜査内容を見直せたかも知れません。
安易に捜査令状や逮捕状を発行した裁判所は，批判されてしかるべきではないでしょうか。
安易に捜査令状や逮捕状を発行した裁判所は，批判されてしかるべきではないでしょうか。
検察の問題
検察官にも，愛知県警と同様の問題がありました。しかし，検察官各個人に技術的知見を求めるのは無理があります。ならば，相応の知見を持った第三者の専門家に意見を求めるべきでした。
岡崎市立中央図書館が提示したアクセスログは，見る人が見ればまったく問題のないものであったことが即座にわかるはずのものだったと考えられています。
結果的に librahack氏は 不起訴処分（起訴猶予処分） となりました。起訴猶予処分を受けた人は，前科ではないものの，前歴として記録されます。これは将来，万が一別件等で起訴に至った場合，不利な情状証拠となります。
検察官は，本来なら嫌疑不十分，または嫌疑なしと判断すべきでした。しかし，県警の求めに応じて，librahack氏を起訴猶予処分としました。これが正しい検察のあり方であるとは言えないでしょう。
岡崎市立中央図書館が提示したアクセスログは，見る人が見ればまったく問題のないものであったことが即座にわかるはずのものだったと考えられています。
結果的に librahack氏は 不起訴処分（起訴猶予処分） となりました。起訴猶予処分を受けた人は，前科ではないものの，前歴として記録されます。これは将来，万が一別件等で起訴に至った場合，不利な情状証拠となります。
検察官は，本来なら嫌疑不十分，または嫌疑なしと判断すべきでした。しかし，県警の求めに応じて，librahack氏を起訴猶予処分としました。これが正しい検察のあり方であるとは言えないでしょう。
librahack氏の問題
ありません。
ただし，「User-Agentにメールアドレスを埋め込んでクローリングすれば、図書館側から問い合わせが容易だったのでは？」という指摘は存在します。
実際に，RFC 2616 HTTP/1.1の14.22にはメールアドレスを書くFromヘッダが定義されています。
日本語訳 によれば，「特に、ロボットエージェントは、受信後に問題が起きた場合にロボットを操作している責任者に連絡を取るために、このヘッダを含めるべきである。 」として，クローラはFormタグを実装するべきとされています。
これに対して，趣味で作る程度のクローラに対して厳密に RFC 等に対応する必要はない，そもそもFromヘッダはログに残らない，User-Agentがバラバラでは管理者側の負担が増えるだけなどの 意見も出ています。
ただし，「User-Agentにメールアドレスを埋め込んでクローリングすれば、図書館側から問い合わせが容易だったのでは？」という指摘は存在します。
実際に，RFC 2616 HTTP/1.1の14.22にはメールアドレスを書くFromヘッダが定義されています。
日本語訳 によれば，「特に、ロボットエージェントは、受信後に問題が起きた場合にロボットを操作している責任者に連絡を取るために、このヘッダを含めるべきである。 」として，クローラはFormタグを実装するべきとされています。
これに対して，趣味で作る程度のクローラに対して厳密に RFC 等に対応する必要はない，そもそもFromヘッダはログに残らない，User-Agentがバラバラでは管理者側の負担が増えるだけなどの 意見も出ています。
文責：杉谷 智宏
落としどころの提案募集
さまざまな問題がさまざまな組織にありました。今後，それら組織に何を求めていくのか，どうアプローチするのか。人によってそれぞれの想いがあることでしょう。
無記名で構いませんので，自分はこの組織にこうなってほしい，こうアプローチしたい，こうしてほしいといった想いを書き残してください。
ぜひとも参考にさせていただきたいと思います。
無記名で構いませんので，自分はこの組織にこうなってほしい，こうアプローチしたい，こうしてほしいといった想いを書き残してください。
ぜひとも参考にさせていただきたいと思います。
- 三菱は組織として真摯に信頼を回復する努力をして欲しい。自治体は組織として真摯に信頼を回復する努力をして欲しい。司直は真摯に信頼を回復する努力をして欲しい。図書館は真摯に信頼を回復する努力をして欲しい。 -- keikuma (2010-10-23 21:16:05)
- ミスりました。全て「*組織として真摯に*信頼を回復する努力をして欲しい」です。 -- keikuma (2010-10-23 21:17:19)
- librahack氏の名誉回復が最優先と考えます。岡崎市、図書館、警察、検察とMDISに働きかけるを。 -- 渋谷伸浩 (2010-10-23 21:21:47)
- 私も渋谷さんの提案に賛成です。librahack氏への正式な謝罪と例の『大量アクセスによる…』という説明は撤回させるべきと思います。 -- 高橋 博 (2010-10-24 05:15:25)
- 図書館等のITに不見識な組織にもっとJPCERT等を広報しなきゃいけない。図書館はlibrahack氏の名誉回復をして欲しい。MDISは組織としてまともに対応して欲しい。警察は捜査をまともにやって欲しい。そのためのリソースを外部に求めるのはかまわないと思う。 -- 杉谷 (2010-10-24 12:44:27)
- 話が長期にわたると忘れられがちですが、基本は『Librahack 氏の名誉が回復すること』の１点だけです。以降の話に関して、“私は”興味が薄いです。ただただ、企業の責任転換に因って冤罪での逮捕が起きたことに納得がいきません。現在においてもその場しのぎの対応をされているようですが、弱い個人を陥れるような対応を行ったことに対し、真摯な対応を望む次第です。 -- でゅらはん (2010-11-05 23:58:33)
- 一般のユーザーです。Librahack 氏の名誉が回復が大事に賛成です。 そして公共機関（図書館・警察検察含めて）のITに関する無知は何とかして欲しいですね。図書館の対応も素人レベルか、取ってつけたような理解程度の担当者が采配を振るう時点でお役所仕事な感が否めません。しかし、今回のことで驚くのはメーカーの対応です。いわばプロ集団だというのにこの程度の対応とは…それがある意味大きな驚きでした。 -- 山留 (2010-12-27 05:08:17)
;
