業界およびコミュニティへの貢献度の高い企業がなぜ？

　逮捕された社員が所属する会社、ディアイティは、IT業界では老舗に分類される業界では有名な企業だ。古くはWIDEでの活動などインターネット黎明期からIT系コミュニティへのハードウェア、ソフトウェア両面での技術貢献、人材輩出などでも定評がある。ディアイティは、近年、情報セキュリティに関するコンサルティングやマネージドサービス、フォレンジックなど専門性の高いサービス技術をビジネスの柱の1つとしている。

　そんな企業のセキュリティ事業、しかもインターネット上の企業漏えいを監視する部門の責任者が「ウイルス保管」容疑で逮捕されたとあって、業界およびセキュリティのコミュニティではちょっとした騒動にもなった。多くの関係者が思ったのは「セキュリティ企業がウイルス検体を保管するのは業務上ありえることで、逮捕は警察の誤認、あるいは行き過ぎではないのか」ということだろう。

168条の2、3の執行は専門家も注視している

　逮捕容疑は刑法168条の3「不正指令電磁的記録保管」だ。168条は、164条から166条までに規定された印鑑の偽造や不正使用に関して未遂も処罰するという条文。168条の2と3はそこに不正指令電磁的記録の作成（2）と取得・保管（3）の罰則規定を追加したもの。2011年にサイバー犯罪にも対応する法整備の1つとして施行された。

　この法改正では、増えるサイバー犯罪に対して罰則規定の必要性を認める声もあったが、当然反対する意見も少なくなかった。ウイルスや不正の定義が難しいし、調査・研究を委縮させるという理由からだ。相当な議論がなされ、「正当な理由がない場合」という前提が明記され、適用は慎重にされるべきということが法執行機関にも周知されている条文だ。

　その条文がセキュリティ会社に対して執行された今回の事件は、多くの専門家に、古くはWinny事件（ファイル共有ソフト「Winny」で悪意ある利用者だけでなく”開発者”が逮捕・起訴された事件）や岡崎市立中央図書館事件（図書館のWebサイトに自動アクセスするプログラムを実行した男性が逮捕された事件。「Librahack事件」とも）を思い出させたかもしれない。警察、裁判所など法執行機関（LE）に誤認はなかったのか、よく調べたのか、という疑問が湧いても不思議はない。当然、そのような疑義と検証は必要だ。

　ちなみに、168条の改正は、Winny事件の教訓から法整備の必要性が認識されたという側面もある。

ディアイティはShareを使っていたのか

　新聞報道や、逮捕を受けてディアイティが発表したリリースなどでは、詳細情報が見えてこない。報道では、当該社員はファイル共有ソフト「Share」のノードを立てて、ウイルスを感染可能な状態で保管していたとある。ディアイティは、企業の機密情報などがネット上に流出していないかを調査するサービスを展開している。

　この業務には、SNSや掲示板のようなオープンなネットワークやサービスをクローリングするような作業も含まれるはずだ。ときにはアンダーグラウンドのチャットや掲示板などもチェックするだろう。必要ならShareなどのファイル共有P2Pネットワークに出回っていないかをチェックしなければならない。

　だとすれば、企業が十分に管理された状態でP2Pネットワークのノードを立てる必然性と合理性はある。にもかかわらずディアイティのホームページに11月1日付けで公開された「お知らせ」にはShareやP2Pネットワークに関する記載がない。以下のような記述だ。

（前略）業務の中で、不正プログラムを取得することがあり、取得した不正プログラムは内部のサーバに保管するシステムになっております。（中略）この取得と保管はファイル流出監視サービスを行うという正当な理由に基づくもので、取得・保管したファイルを他人のコンピュータにおいて実行の用に供する目的はありません。

　この文面が説明しているのは、業務上取得した検体は内部サーバに管理しており、第三者への感染や攻撃を意図したものではない、つまり168条の3にはあたらないと解釈できる。また、「内部サーバ」という表現はShareのノードやキャッシュを指すものとは解釈しにくい。

　新聞報道では、警察はShare利用について言及しているのだが、ディアイティのお知らせではその点が明確ではない。そもそも、セキュリティ企業が内部のサーバにウイルスなどを保管していたくらいで（通常これは適正に管理され「正当な理由」と判断されるはず）、京都府警が動くとも思えない。京都府警のサイバー犯罪対策課は、サイバー犯罪の捜査力、技術力に定評がある警察の1つだ。

　ではなぜ、今回の「ウイルス保管容疑で逮捕」といったことになったのか？　新聞やネットの情報では、いまいち詳細が見えてこない。そこでディアイティと京都府警に対し、いくつか気になった点を取材した。

【次ページ】 ディアイティと京都府警に取材、両者の回答は？