EUの確認法がある限り、今後もっとこういう漏洩が増えるだろうし、その分罰金も増えるね。

結果を見せてよ。何かしらの影響があるって聞くけど、あいつらはいつも罪を償わないよね。

確認は、郵便局に行って、窓口の人がオンラインフォームで正しいIDを提示したことを証明するだけでいいんじゃない？それに、写真照合もやっておけば完璧。コンピュータにその事実を保存して、1回のID使用に限る。こんな大麻のことみたいな重要度の低いものにはいいと思うけど（ビザ申請みたいに保存が必要なものとは違って）。ナイトクラブのバウンサーがIDをチェックするのと同じような感じだね。

ACTを受けてから10年後、行ったこともない大学から手紙が来て、私のSSNが漏れたって言われた。なんで10年も経ってからそんなことを保持してるんだ！？今は誰かにSSNを渡すのは絶対にやらないって分かってるけど、ティーンエイジャーの頃はそんなこと知らなかった。こんな馬鹿げたことが違法になるまでは、ずっと続くんだろうな。

「一度身分証明書を使って本人確認と法定年齢の確認ができたら、そのコピーを保持する理由はないよ。KYC法や一般的なCYAポリシーは年齢証明を保持することを好むのかな？例えば、未成年者がパスポートの日付を改ざんするのを防ぐために。特に規制の厳しい業界では。」

なんでそんなことしないんだろう？監査要件に失敗したら大きなデメリットがあるだろうし、一定期間記録を保持することが義務付けられてるはず。悪いことをするのにコストがかからず、いいことをするのに法的・財政的に危険があるシステムを作ったら、誰だって悪いことを選ぶよね。そもそも、こんな情報を集めるべきじゃない。こういうポリシーを設計する人たちは、実際に機能するものを作る能力がないんだよ。彼らは、自分たちが賢くて有能なリーダーだと見せかけたいだけで、実際はそうじゃない。年齢確認やオンラインID、中央銀行デジタル通貨なんかに手を出してるけど、この事件を忘れないでほしい。こういうポリシーを実施したり書いたりする人たちは、ほんとにバカだよ。彼らはリスクを考えず、冗長性や耐久性を計画しない。悪意のある行動を考慮に入れないし、システムの悪用についても考えてない。

これに関してちょっとした話があるんだけど、少し複雑で完全には関係ないかも。でも、低価値のユースケースが高価値の認証メカニズムを脅かす様子を示してるんだ。あるプロジェクトで、不動産会社がクライアントで、彼らはCRMを使って家をアップロードして、Zillowみたいなサイトに掲載してる。私たちは彼らのリストされた家のデータが必要だったから、CRUDを作る代わりにそのデータソースを使いたかった。CRMの営業チームにAPIについて聞いたら、サードパーティ用のアカウントはないって言われて、クライアントのアカウントにはAPIがあるから、APIキー（またはアカウントのパスワード）をクライアントに頼む必要があるって。一般的には理解できるけど、私たちの場合はデータが公開されてるから、CRMの営業スタッフはクライアントにアカウントにアクセスさせて公開データを取得するように頼むべきだって考えたみたい。結局、私たちはZillowみたいなサイトから家をスクレイピングすることにしたんだ。実際、私たちのプロジェクトは付随的な低価値だったから、CRMのクライアントも同じように脆弱だと思うし、問題の根本原因は全然明らかじゃない。2つの点がある：1つ目は、APIキーが常に必要なAPIを持つこと（公開データに対して認証なしのアクセスを許可しないこと）は逆に安全性が低いってこと。認証情報やトークンが必要ない時に使われることが多くなるから。2つ目は、このCRMは実質的に集約者として機能していて、他のベンダーに公開するためにAPIを消費してるけど、他のベンダーが彼らからデータを読み取るためのAPIは提供してない。これによって、サードパーティのベンダーがクライアントとして認証することになってしまって、これは間違ってる。認証情報は人やグループを特定するものであって、ユースケースを特定するものじゃない。

EUではどうなってるかわからないけど、アメリカではほとんどの州に「PMP」（処方薬監視プログラム）があって、多くの州でマリファナの販売を追跡してるんだ（実際には処方薬じゃないけど、管理薬物だから）。医者は約12ヶ月前までのデータを見れるんだけど、ほとんどの人はこれを知らなくて、アルコールの販売みたいにID確認の後に売られて、みんな忘れちゃうと思ってる。いくつかの州では、マリファナの販売を処方薬の配布みたいに扱っていて、関与する人々の詳細を含む中央データベースに報告する必要がある。スペインでも同じことがあるかはわからないけど。

一言で言うと、クレーム。理解できる部分もあるけど、問題の一部でもある。