マジで、そんなの売るなんて人間として最低だよ。

そうだね、ソースコードは脆弱性を見つけるのに役立つだけで、そんなに大きな問題じゃない。個人情報は本当に恥ずかしいね。

ソースコードに焦点を当ててるせいで、スウェーデンのニュースがこの件に対して反応が遅いのかな。国内のニュースではまだ見てないけど、あんまり広く調べてないからな。

暗号鍵についても言及されてるね。

「電子署名文書」って何を意味するの？署名に使う鍵のこと？それとも、単に電子署名で署名された文書のこと？

そうだね。こういう場合、誰かが自分のインスタンスを立ち上げて競争しようなんて思わないよ。政府のコードは社会にとって重要なものだから、ほんとに良い理由がない限りは公開されるべきだと思う。その理由が「私たちがやってることがあまり得意じゃなくて、誰にも知られたくない」なんてのはダメだよね。

ノルウェーで政府のために働いていたとき、すべてのコードがオープンで開発されるように少しずつ変わっていった。今はここに3000のリポジトリがあるよ：https://github.com/orgs/navikt/repositories 私が始めた頃は、大きなセキュリティシアターだった。例えば、外部のインターネットアクセスがない薄型クライアントで開発しなければならなかった。そしたら、素晴らしい人たちが責任者になって、すべてをモダナイズしてくれた。ただ一つの欠点は、辞めるときにすべてのサブスクリプションを解除しなきゃいけないこと、へへ。民間企業を辞めるときは、ただGitHubの組織から外されるだけだったけど、ここではまだたくさんのリポジトリやイシュー、PRにサブスクライブしてたんだ、へへ。

でも、火事や洪水で全部失うのも簡単だよね。いろんなトレードオフがある。

簡単で古臭い、でもちゃんと機能するものを支持して当選した政治家なんていないよ。

skatteverket.se、polisen.se、kronofogden.seが漏洩の影響を受けていると思います。

特に何もないけど、私の理解では、CGIっていうスウェーデンのITコンサルタント会社がハッキングされたみたい。彼らは政府のいろんな部門のITサービスの契約を持っていて、メンテナンスや開発もしてるんだよね。

特定のサービスや機関がドメイン名を持っているわけじゃなくて、内部で従業員だけが使うサービスか、他のシステムに統合されていて、知らず知らずのうちにやり取りしているものになると思うよ。

スウェーデン税務署のITディレクター、ペダー・ショーランダーによると、そんなものは存在しないらしいよ。「私たちのデータもユーザーのデータも漏洩していません。影響を受けたのは電子署名用のサービスですが、私たちのデータやユーザーのデータはそこにはありません」と言ってる。「共同政府の電子プラットフォームからソースコードが漏れたという情報は真実ではありません。そんなプラットフォームは存在しません。犯人たちは人々に不安を感じさせたいんだと思います。私たちはデータが安全だと自信を持っていて、来週の確定申告期間が始まる前に状況をコントロールしています。」

入札プロセスに最適化されているんだよね。彼らはプロのプロジェクト入札者で、ちょっとしたアウトソースのソフトウェア開発が付いている感じ。

残念ながら、公共入札プロセスは、基本的な運用セキュリティすら守れないこういう巨人たちに契約を与えることを助長していて じゃあ、あなたが考える解決策は何ですか？私が見る限り（公共入札に限らず）、私は「大規模なITプロジェクトや企業はセキュリティ問題に悩まされる」と主張します。だから、明らかな代替手段がないのに、プロセス（入札）や地域（ヨーロッパ）を特定することにどんな価値があるのか、よくわからないです。

ここでの問題は、セキュリティ要件が比較的曖昧で、顧客が受け入れにサインした後は運が必要ってことだよね。大企業と契約するのは、自分の身を守る良い方法だよ。「もし彼らが全ての人や知識を持っていてもできなかったなら…」って感じで。基本的に「シスコを買ったことで誰も解雇されたことはない」っていうマントラだね。

スウェーデン人としてこれはゾッとする。発言からは、基本的なリスクを理解していない書類仕事や認証を追い求める人たちの匂いがする。脅威のある人たちが足場を築いた後にどう動くかを理解していないみたいだ。もっと有能な人たちが現場にいることを願うよ。

ポジティブな変更をコードにして提出してもいいのかな？

この特定の漏洩については何も知らないけど、スカッテヴェルケットで働いたことはあるよ。言っとくけど、CGIが実際の個人データを持っている可能性はほぼ0%だよ、少なくともスカッテヴェルケットの外のサーバーではね。内部で働いていても、何にもアクセスできなかったから。こんなに閉鎖的なシステムで働いたことはないかも、スウェーデン軍の「複合体」を除いてはね。いや、実際にはあっちの方が少しはオープンだったかな、少なくとも「内部」に入ったら。

https://publiccode.eu

同様に、あらゆる種類のインフラに対する納税者資金による契約（明らかに独自のソリューションによるデジタルインフラを考えている）も、ロックインや悪用を防ぐために相互運用性が保証される場合にのみ授与されるべきだと思う。

SPARと契約を結ぶだけで でも、それは悪意のある匿名の人やグループがデータベース全体にアクセスすることとは全然違うことのように思えるね。

スカンジナビア以外の人にとっては、これを強調するのがいいと思う。スカンジナビアの国々は、アメリカ人には衝撃的に感じるほどオープンで透明性が高いんだよね。例えば、ノルウェーでは、ほとんど誰の証券口座の保有状況や住所、電話番号なんかを公のウェブサイトでチェックできるんだ。理論的には、誰の税務申告も調べられる。個人識別番号は、アメリカの社会保障番号のようにプライベートなものとは考えられていないことが多い。

識別番号自体は特に役に立つわけでもなく、取得が難しいわけでもない。実質的には公の情報なんだ。取得するのはめちゃくちゃ簡単。mrkoll.seでワンクリックでできるよ。

それは面白いかもしれないけど、実際には個人情報は漏洩してないから完全に関係ないよ。それに、「スウェーデンの電子政府サービス」のソースコードも漏洩してないから、そもそもそんなものは存在しないんだよね。