今週、Dropboxは大きな話題を呼んでいますが、企業が好んで取り上げるような種類のニュースではありません。FTC（連邦取引委員会）に提出された訴状によると、このクラウドデータストレージプロバイダーは、顧客データの安全性に関して、欺瞞的で誤解を招くような慣行を行っているとされています。しかし、Dropboxはこの主張に異議を唱え、セキュリティポリシーと利用規約（Tos）を擁護しています。Dropboxは利用規約を変更したことは認めていますが、セキュリティを後退させたり、Dropboxのデータ保護に関する一線を画すために変更されたという見方を否定しています。
いいえ、Dropboxの新しいブログ投稿によると、利用規約はGoogle、Skype、Twitterなどの他のオンライン組織の利用規約と根本的に異なるものではありません。Dropboxによると、利用規約はいくつかの点を明確にし、Dropboxの顧客が理解しやすいように修正されたとのことです。特に、Dropboxが法執行機関に情報を開示する可能性のある具体的な状況の説明が明確になったとのことです。「以前の利用規約の文言は範囲が広すぎて、Dropboxが望まない権利を付与していたと感じていました。」
Dropboxは、顧客データが法執行機関に安易に引き渡されるわけではないことを強調しています。まず、2,500万人の顧客のうち、そのような要請は月に平均1件しかありません。次に、Dropboxは厳格な審査プロセスを設け、あらゆるデータ要請が法的に正当であることを確認しています。要請が法的審査に合格しない場合でも、Dropboxは顧客の権利を擁護し、データを保護します。
Dropboxの創業者兼CEOであるドリュー・ヒューストン氏に話を伺ったところ、Dropboxはセキュリティ上の懸念を深く認識しており、顧客から託されたデータを守る責任を重く受け止めていると説明されました。2,500万人の顧客を抱えるDropboxにとって、不正アクセスからデータを安全に保護することは容易なことではありません。
とはいえ、セキュリティとシンプルさ、暗号化と使いやすさのバランスを取ることが重要です。Dropbox のデータは、転送中は SSL で保護され、Dropbox サーバーに保存されている間は AES-256 暗号化によって保護されます。しかし、暗号化は複雑な概念であり、経験豊富な IT 担当者でさえも理解に苦しむことがあります。そのため、Dropbox は暗号化キーを独自に管理しており、お客様が独自の秘密鍵の管理と使用方法を理解することを期待していません。
しかし、より強力なデータ保護を求め、独自の暗号化ソリューションの管理に問題がない組織や個人のお客様は、ご自身でデータを暗号化していただくことも可能です。Dropbox のお客様が Truecrypt などの暗号化技術を使用してご自身でデータを暗号化することは可能です。その場合、Dropbox は当該データの復号化やアクセスが一切できなくなります。ただし、その代償として、お客様がご自身の暗号化キーを紛失した場合、Dropbox は依然としてデータの復号化やアクセスができず、Dropbox はユーザーのデータ復旧を支援することもできません。
Dropboxは、自社のデータ保護メカニズムの長所と短所について、これまで率直かつ透明性をもって開示してきました。Dropboxフォーラムには、3年前に遡るスレッドがあり、Dropboxのサポート担当者がユーザーにDropboxの暗号化の仕組みを説明している様子が見られます。また、Dropboxが暗号化されたデータにアクセスできるのは特定の主要従業員のみであり、しかも厳密に定義されたシナリオに限られると説明しているスレッドもあります。
どんな話にも少なくとも二つの側面があり、少し時間をかけて別の視点から見れば、状況は全く違って見えるかもしれません。Dropboxのデータ保護をめぐる論争について以前書いた記事では、他のメディアの報道における不吉なニュアンスを軽視し、Dropboxに有利な立場を与えるよう努めましたが、それでも一部の主張は不正確で、Dropboxに不利益をもたらすものです。公平を期すために言うと、そもそもDropboxに直接連絡を取り、彼らの立場を説明すべきでした。
