F-Secure問題に見る、顧客を安心させる秀逸なリリースの掲出

大変気になるニュースと感心したことがあったので備忘録として。

【エフセキュア株式会社】F-Secure社、久保田直己氏の情報漏洩事件
http://matome.naver.jp/odai/2144661883763922401
F-Secure(エフセキュア)の久保田直己氏が大量の個人情報漏洩で炎上
http://matome.naver.jp/odai/2144661266249874601

要旨としては、フェイスブックで特定の記事に対して「いいね（like）」ボタンを押した人の個人情報を、
公開/非公開にかかわらず収集してリスト公開したらしいというもの。

恐らく
Facebookがマルウェア対策を無償提供 - TrendMicro、F-Secureと提携
http://news.mynavi.jp/news/2014/05/21/295/
の一環で、顧客情報へのアクセスをfacebookがf-secureに提供しているから実現できたと思われる。

セキュリティ会社がセキュリティホールでしたというお粗末な話のようだが、f-secureのリリースが秀逸過ぎた。

04 11月 2015
弊社社員による個人的なソーシャルメディアの不適切な利用とされている件について
https://www.f-secure.com/ja_JP/web/press_jp/news-clippings/-/journal_content/56/1082220/1423363

まずタイトルから

弊社社員による個人的なソーシャルメディアの不適切な利用とされている件について

自分のところの従業員であることを認めながらも、個人が行ったことであるとしている。
これによって、会社側としての保険をまず担保している。また、あくまでもソーシャルメディアを利用したとして、
f-secureのシステムを使ってやったわけでは無い（のではないか）と示している。
また、「されている」という、未だ未確認である旨を示すことで、確定情報では無いと暗に示している。
これは上のf-secureのシステムを使ったかどうかも現状不明であるとも示しているが、文言としてのニュアンスで解釈するところ。
上手い。

一行目

エフセキュア日本法人の社員が、ソーシャルメディアの個人使用において、不適切な使用を行ったとされております。

こちらもタイトルの内容をそのまま繰り返しているが、微妙にソーシャルメディア（に紐付いたシステムを）個人使用したかも？ともとれる。ここは何ともいえない歯切れの悪さでいい。

二行目

エフセキュアは、社員の行動規範には厳しい基準を設けており、本件を非常に重く受け止めており、現在この件について社内調査を進めております。

会社としてはあり得ない話だから、がんばって調査をしているよ、と社内コンプライアンスは完璧だが、一部の社員のせいでこうなったのだとアピールしている。
また、ここで現状の確定報告（社内調査中である）している。タイトルに対するリリースとしてはここが本旨だったりする。

三行目

また、当該社員によるエフセキュア重要データ等へのアクセスは行われておらず、本件によるお客様へのエフセキュアのサービスやデータに影響はございません。

ここが秀逸。
あくまでも「エフセキュア重要データ等へのアクセス」はされてなく、且つ顧客に提供しているサービス、及びデータは問題ない、安心してね、と書いてある。
裏を返せば、facebookのデータ（facebookから提供される個人情報を含めた諸々）は知らない（調査中だ）ということ。

そのあとは謝罪文と問い合わせ文。

ぱっと見だと「ああ、問題ないんだな」と思わせる（実際f-secure製品としては問題ないという）リリース。
かなり参考になった。

要点は
・まず分からないことは分からないようにする（伝聞や想定であるとアピールする）。要は、徹底的にはぐらかす。
・現状は断言する。二行目の文章。強い企業の姿勢もアピール。
・実際問題ないところは問題ないとアピールする（言い方は悪いが、話を上手くすり替える。今回の件だと、facebookの個人情報の件は調査中であると言っているので、文章としてもリリースとしても全く問題が無い）
かな。

個人的には痛い話。
F-Ssecure製品を購入するという選択肢が無くなってしまう。セキュリティ企業で無ければ、未だよかったのにとつくづく。
企業コンプライアンスって大事ですね。
特にマイナンバーが始まるので、もしかしたらSophosが全取りするんじゃないかと密かに思っていたり（まあ、なさそうだけど）。
また、どうやって非公開の個人情報を抜いたらしいのかが一番気になるところ。想像通りfacebook←→f-secureのデータ融通なのであれば良いけど。

今後のリリースも練られたものが出るはずなので、続報を待つことにする。

続報
http://roserogue.blogspot.jp/2015/11/f-secure_9.html
酷い。