Scribble at 2026-11-13 16:10:44 Last modified: 2026-11-13 16:24:43

この一件は、僕らのようなプライバシーマークを取得して運用しているレベルの実務家、そして IPA と同時期に Privacy by Design について言及し始めたようなレベルのエンジニアとしても、いろいろなことが言える。もちろん、弊社で現実に最善の対策がしっかり実行できているとは限らないわけで、ここでは安易にマウンティングする意図はない。しかし、それにしてもこの一件は色々と酷い。

まずクレジット・カード番号を EC サイトが保有すること自体に問題があるんだよね。EC サイトがカードに関連して知っておくべきことは、ただたんに決済が成功したかどうかだけだ。良品計画が金融機関でもない限り、顧客のカード番号なんで保有していてもクレジット・カード会社の代わりに決済処理なんてできないのだから、そんな情報を持ち続ける意味はないのである。なので、マーケティング屋はあれこれ言うだろうが、ビジネスの理屈から言っても、小売り業者がカード番号を保有するのはどう考えても不適切だし、何の利用価値もないはずなのだ。こう言ってはなんだが、唯一の利用価値があるとすれば、顧客の代わりにカード番号を使って買い物するという不正行為ができるくらいのものだろう。無論、EC サイトのスタッフが勝手にそんなことをすれば犯罪である。

そして、カード番号を顧客の ID として利用するなんて馬鹿なことを考え付くプログラマを採用していたことにも重大な問題がある。三下のコーダが法令や PCI-DSS なんて知らないのは当然だ。コーダは動くコードを書けばいいだけであって、それが銀行の基幹システムなのか、それともアダルト・サイトの決済に使われるのか、それとも北朝鮮の不正行為に使われるのかなんて、知ったことではないだろう。しかし、こういう手合いをまとめるプログラマや、僕らのようなシステム・アーキテクト（あるいは IT アーキテクト）と呼ばれる職能の人間は、SE のような技術営業ですら手短に学んでいるような法令や規格の知識を十分に弁えているのが当然だし、社内で営業やマーケティングから意味不明な理屈でカード番号を目的外に利用するのが「お客様のため」だなどとクズ理屈を並べられたら、最後の最後は辞表を手にして公益通報するくらいの気概をもっていてもいいくらいだ。

当サイトでは、もう20年近くも書いていることだと思うが、一般的にコーダやプログラマには、情報セキュリティや法令の知識はない。ソフトウェアの評価においては、仕様に沿って動くかどうかという「機能要件」と、そのパフォーマンスやセキュリティが高いかどうかという「非機能要件」という二つの基準があって、簡単に言えばコーダやプログラマというのは非機能要件の知識やスキルはゼロに等しい素人だ。つまり、コーダやプログラマだけを社内に何百人と採用していようと、無知や未熟者が集まったところで（これも当サイトではお馴染みの言い方だが）ゼロの足し算でしかないのだ。