ログインしては駄目？！

質問

私、IT系でECサイトでデータ周りの運用を担当しております。

とあるユーザ様が利用規約に違反した為に、当該ユーザを無効化し
無効化が正しく動作しているか確認する為、当該ユーザでログイン致しました

すると、上役の方から『登録されているユーザでログインしては駄目』と
ご指摘がありました。

私としては、無効化したユーザへのログインなので大丈夫だと思ったのですが
これは社会的に見て不味い行為にあたるのでしょうか！？

ご教授宜しくお願い致します。

回答No.5

utun01 · ベストアンサー

法的にはグレーゾーンですね。
登録内容を運用的に見れる規約であれば、現状は見逃されている部分だと思います。
まぁ、登録内容を見ないように運用する事は可能ですが、法に完璧に準拠しようとしたらそもそもほとんどの登録制webシステム自体が違法です。
IT系の法律ってのは、本物のエンジニアを交えずに作ってるんだろうなぁ・・・
と何かある度に思いますね。

ともあれ、解決策についてですが、
登録情報から個人情報に該当しそうな部分を削除し、パスワードを任意に変更した上でログインするなら、問題無いと思います。
その辺の情報変更は、DB管理者辺りに依頼すれば可能かと思います。
不正アクセス禁止法については、無効化された違反ユーザアカウントについては、該当ユーザのアカウントでは無くなるという解釈が通れば問題無いはずです。
規約にそういった条項があれば問題無いでしょう。

お礼

やはりツールを使用して、該当アカウント状態ではなくすという処理を行うのが妥当というところでしょうか。
ありがとうございます。

回答No.6

wormhole

以下を読む限りはアクセス管理者やユーザーから承諾を得ている場合は大丈夫みたいですが、「管理者に近い立場」というのはアクセス管理者ではないでしょうから不正アクセスになりそうな気がしないでもないです。
http://www.npa.go.jp/cyber/legislation/gaiyou/gaiyou.htm

お礼

確かに、正確にその点をつかれてしまうと不正アクセスになってしまうのかもしれません。
指摘されればの話ですが…
ありがとうございます

回答No.4

dscripty

質問の行為に関連する法律。

不正アクセス行為の禁止等に関する法律
http://www.meti.go.jp/policy/netsecurity/fusei_access_law.htm

ログイン履歴をユーザが確認できるシステムじゃなければ、発覚することはないとおもうけど。。。

お礼

私は管理者に近い立場なので、不正アクセスにはあたらない気もするし、
dscriptyさんの言うとおり、発覚することはないと思いますが。
仮に発覚した場合は、厄介な問題を引き起こす可能性を含んでいますね。

参考になりました。ありがとうございます。

回答No.3

TooManyBugs

無効化したとはいえ業務上知り得た他人のID、パスワードを使用したのですから倫理上許されないことです。
これを許せば次は有効化したときのテスト、常時正常動作のテスト、常時使用に発展しかねません。

お礼

回答ありがとうございます。

確かにおっしゃる通りです。
本番に対しての垣根がどんどん低くなることになりかねませんね。

回答No.2

trajaa

本番環境でテストするって事？

普通は、テスト環境でテストしない？

そもそも『当該ユーザを無効化』の設定を信用できないような怪しいシステムなのだろうか？
普通は、キチンと方式と作業手順が決まっていて、標準作業手順に従っていれば確実に動作するのでないのか？

その手順が正しいかどうかは、システムの導入前に散々テストするんでないのか？

手順が定まってないとか、事前の検証が充分で無いようなシステムでECサイト稼動しているの？

お礼

回答ありがとうございます。

無効化と言いましても、直接データベースに対して削除フラグを立てる更新を掛ける運用で
尚且つ手順が正しく決まっているわけではないのです。

そういう意味では、本番は安全性が低い環境で動作しています。

回答No.1

mogumogu_kaeru

IDを無効化したとしても登録ユーザのID/PWを使って運用者がLogin行為を行う事は、社外の人から誤解を招く行為なので社内運用規定で禁止されていると思います。

Login行為を行わないでも、IDを無効化した手順を再確認して以後数日間はLogin履歴を監視するなどしてはいかがでしょうか？

お礼

ありがとうございます。
確かに、社外の人間からすれば何をしてるんだ！となりますね。