- ベンダーロックイン（Vendor lock-in） と攻撃的な商慣行の危険性に関する実話に基づく物語
- 公共機関がメールシステムをオープンソースベースへ移行しようとした際、ベンダーの不公正な契約と監視の疑惑に直面する
- 契約書内の隠れた条項と一方的な改定により、顧客の自由な離脱が阻まれ、運用コストが急増する
- 監視およびメール閲覧の疑いが実際に明らかになった状況でも、組織は法的・倫理的対応より費用増加にしか関心を示さなかった
- オープンソース精神を掲げる企業でさえ 悪用事例が発生し、業界全体に信頼の毀損と否定的なイメージだけを残す
著者序文
- 本稿は実体験に基づいているが、個人と企業の身元保護のため、技術や細部情報、文脈の一部は修正・混合されている
- ベンダーロックインと攻撃的なビジネス慣行という IT 業界に蔓延する問題を扱うための典型的な事例として読むことを勧める
経過 – 新しいメールシステムの導入
- 数年前、主要な公共機関（Agency A）は老朽化した Exchange メールサーバーを使用していた
- セキュリティ更新が長く行われておらず、露出リスクが大きいうえ、オープンソース導入を推奨する規定が登場した
- ある外部委託業者が、オープンソースのメールスタックを基盤とするマネージドサービスを独自拡張し、エンタープライズサポート付きで提供する提案を行った
- 市場でよく見かける価格帯ではあったが、実際の提供サービスに比べて価格が過度に高かった
- Agency A はすでに**信頼できるインフラ（複数データセンター、堅牢な IP 帯域など）**を保有していた
- 機関からの依頼は「このソリューションを評価し、適切なら移行する」ことだった（対象: 約 500 のメールボックスとエイリアス）
パイロット導入と成功した移行
- 著者は当該オープンソーススタックを非中核環境と一部のテスト顧客に割引価格で適用し、1 年間問題なく検証した
- 設計の柔軟性に満足し、Agency A にパイロット移行を勧めた
- 新しいサーバーを構築し、初期参加者向けにドメインを設定したうえで段階的に移行を実施した
- MX レコード切り替え後も問題なく定着し、組織内チームも大きな課題なく運用を維持した
うわさの拡散と第二の機関
- Agency B は同じマネージドサービス提供事業者の既存顧客だった
- 総コストを 1/10 に削減し、データの自律性を確保し、安定性も向上するという利点を見て移行に関心を示した
- しかし5 年自動更新契約に 2 年残っており、6 か月前通知条項によってある程度の時間的余裕があった
- 当該事業者の攻撃的な営業方針と報復への懸念から、極秘で準備を進めた
- アカウント・エイリアス設定とテストセットの完成後、契約解除通知の時点に合わせて実際の移行を計画した
第三の機関の登場と不吉な予感
- Agency C も同じベンダーを利用しており、同じオープンソーススタックへの移行意向を示した
- 著者は別個の見積もりを Agency C に提出したが、Agency B との関連性には触れなかった
- 流れは順調に見えたが、予期しないSMS 連絡が届いた（「メールを送れない」という内容）
解約妨害と内部情報流出の疑い
- Agency B の IT 責任者は、**「解約で問題が発生し、内部で離脱準備を進めていたことがベンダーに露見した」**と知らせた
- 機関内部の計画や、著者が Agency C に出した見積書までベンダーが入手していた
- Agency C はベンダー側から、**「そのソフトウェアの唯一の公認導入事業者」**だとして不当競争や法的措置までほのめかされた
- 機関は潜在的な紛争を懸念し、移行計画を断念した
メール盗み見の疑いとテスト
- Agency C では、旧契約管理担当の外部人物のトークン認証アカウントがすべてのメールへのアクセス権限を持っていることが確認された
- その人物はベンダーに「知らせた」と認めたが、著者への言及については否定した
- メール傍受を確かめるため、海外の知人を通じて偽の見積書を送ったところ、ベンダーが即座にその情報に言及する出来事が起きた
- これにより、メールを閲覧できていた可能性が極めて高いことが明らかになった
驚くべき契約条項とベンダーの対応
- IT チームが正式に抗議すると、ベンダーは「契約条項に基づき可能」だとし、2 年前に受け入れられていた一方的な改定事項を指摘した
- 改定条項の例:
- 通知期間を 6 か月→12 か月に延長
- 無償サービスを有償へ転換可能
- 「セキュリティ目的」を名目に Web メール以外のアクセスを遮断（実際に直ちに実施）
- これは GDPR 導入以前の時代、規制が十分でなかった状況だからこそ可能だった慣行だった
消極的な対応と追加被害
- 著者は公正競争および非公認導入事業者という論争について自ら説明を試みたが、連絡の試みにベンダーは応答しなかった
- 著者は二つの機関に法的・倫理的調査を勧めたが、実際にはコスト増加（以前は無料だった機能の有料化、30% の追加費用）にしか注目しなかった
- 組織は内部不正や個人情報侵害よりも予算負担だけを問題視して終わった
結末と示唆
- 数年後、責任ある役員たちは全員交代し、技術チームだけが残って後悔とともに慎重さを身につけた
- 結局、より安全だが革新的ではない事業者へ移行する形で幕を閉じた
- 著者はこの問題を根本的には解決できなかった
- 「オープンソース支援」を標榜する企業がこのようにベンダーロックインや非倫理的行為を見せれば、業界全体が被害者になる
- 問題の核心はソフトウェアではなく、それを扱う人の姿勢にある
1件のコメント
Hacker Newsの意見
かつて臨時のITマネージャーだった人物が、トークン認証によってメールクライアントへ接続されたままの状態で、すべてのメッセージにアクセスできていた。この人物は、過去にベンダーと元の契約を結んだ当事者だった。非公式に尋ねると、「警告するために」連絡したので問題ないと言っていた。こういう行動は本当に気分が悪い。何かを漏らしたり規則を破ったりしても「大したことではなかった」と言う人たちがいるからだ。私と一緒に働くDirectorも、似たような行動を何度もしていた。カンファレンスでソフトウェアを知ると、すぐにデモを設定して契約を持ちかける。そして知り合いの外注先に先に仕事を約束する。実際には契約する権限がないので、その段階になってから私に連絡してくる。私が製品選定を任されてからも、こうしたことが2回あった。毎回別のマネージャーの下で働いていたが、どちらも「何の問題もない」と言うだけだった。最後には、そのDirectorがこうして仕事を約束し契約を準備することが、会社の方針に重大に違反していると指摘された。Directorは内部の問題だから誰も自分を処分できないと言って、気にも留めていなかった。後に私たちがその製品を検討したとき、その製品は「時間が経てばもっと良くなる」と約束し、会社の全データがそのままAIに流し込まれていた。企業データセキュリティ規則をまったく気にしていない状態だった。そのときもDirectorは「何が問題なんだ、みんな他人のデータを読んでいる」と無頓着に反応した。結局、法務チームが介入してAI機能を無効化した。こうした悪意のある、あるいは無分別な同僚と対峙するのは本当に難しく、特にその人物が自分の上司ならなおさら厄介だ。彼らは単なるミスとして片づけて通り過ぎ、誰も制裁できない
私はFortune 100企業2社で働いた経験がある。あちこちで管理職がベンダーから個人的なリベートを受け取るのを、公然と何度も目撃した。公に指摘したら、いくつもの会議にもう呼ばれなくなった
Directorがしたことは、私が見てきたHR Directorたちが普段よくやることと非常によく似ている。彼らは2〜3年ごとに、何の相談もなく高価な業績評価ソフトウェアを片っ端から入れ替えるのが本当に好きだ。それでも最近いちばん気に入っているLatticeは、少なくともUXはまともだが、以前使っていたPeopleSoftは本当にひどかった
依頼内容は単純だった。「このソリューションを評価して、適切なら移行しよう」。だが、何度も読み返してようやく正しく理解できた。ここで言うソリューションとは、前の段落で言及されたベンダーを含まず、オープンソーススタックだけを意味していた。最初はベンダーも含むのかと思ったが、比較が続いたので混乱した
私も数段落読んでから、ようやくその点を理解した
面白かった。私はまさにその箇所で読むのをやめた
Oracleの話のように思える。もちろんOracleはこういうことをもっと巧妙にやるが、私はいつも人に、Oracle製品はできる限り避けるよう勧めている
いつかこの話で実名が公開される日を見たい
著者によれば、その会社は法的訴訟を非常によく起こすところらしい。個人的に訴えられる状況を避けたいのは当然だ。自社の取締役でさえ、この会社と争おうとはしないだろう
「いつか実名公開されることを望む」という話があった。だが「関係者と会社のプライバシー保護」のため匿名で書くという返答だった。企業にも今やプライバシー権があるのかと思うが、その気持ちは理解できる。以前、自然災害の際に会社が到底容認できないことをした職場で働いていた。私が問題提起したら、自分だけが処分され、同僚たちは黙って耐えていた。結局、最初の機会に会社を辞めた。もう20年前のことだが、その話をいざ文章に残すのは簡単ではない。すでに何十年も前の話で意味があるのかとも思うし、リーダーシップも社名も全部変わった会社なので、何が残るのかとも思う。だから私のブログには、複数の会社のひどい話を自動公開するdead-man's switchがあるが、誰がそれを見たところで何が変わるのかとも思う。腹が立つだけか、無意味かもしれない。それでも私はHNでいつも実名公開を叫ぶ側の人間でもあり、結局自分でも矛盾している
あまりにも残念なことに、彼らはEUにいるので、法的にも文化的にも表現の自由はそれほど重視されていないようだ
この人は本当に「地雷原」のような環境で働いているようだ。一歩ごとに問題が爆発し、強敵がいる状況だ 関連リンク
時系列や当事者を取り違えているだけかもしれないが、「この会社が自社管理版と独自機能を付けた製品を提案した」とあるので、それが本当にオープンソースなのか疑問だ
こういうタイプのプロジェクトは多い。たとえばGitlabにはオープンソースのCommunity Editionもあれば、有償提供されるPremium、Ultimateエディションもある
これは「法の文言だけ守る」ケースだ。ヨーロッパの法律、特に各国法では公共分野でオープンソースの利用が義務づけられていることが多い。その理由は、相互運用性の確保、ベンダーロックインの防止、デジタル主権、そして「公的資金=公的コード」という原則にある。他人のサーバー上でオープンソースを使えば、技術的には義務を守っていることになるが、オープンソース導入の本来の理由、特にベンダーロックイン回避を考えると滑稽な状況だ
契約書の細部条項は、必ず注意深く読んでから署名すべきだ。一般消費者契約でもそうだが、ビジネス契約では必須だ
小規模なビジネス契約も例外ではない。私が理事を務める非営利団体で、職員がオフィス用複合機を探して契約書を持ってきた。もう全部確認済みだからそのまま署名してくれと言われたが、条項は本当に衝撃的だった。たとえば、私たちが何らかの理由で解約した場合（相手が契約を履行しなかった場合ですら）、残りの契約総額をただちに全額支払わなければならないという内容があった。レンタル形態なので、機器代金全額を月額料金に含めて回収しつつ、機器の所有権は業者のままだ。結局、解約しても機器は業者のもので、こちらだけが全額払うことになる。法的紛争になっても、こちらが弁護士費用を全額負担する。私は絶対に受け入れられないと言ったが、職員たちは他ではみんな署名しているのにと、1年近く私に腹を立てていた
細部条項まで注意深く読めという助言だが、実際には本文を見ればそれもあまり意味がない場合がある。契約条件が「一方的に」変更され、当事者に通知すらされないケースが増えている。IT業界ではほとんど日常茶飯事だ。すでに署名した契約の細部条項をどれだけ確認しても、後から変えられてしまうので意味がない。最近では、規約が変わったとメールで案内が来るならまだ運がいいほうだ。同意しないならどうするのか、という態度で、弁護士でなくても違法だと言いたくなるが、裁判所がまともに制裁したことがないので繰り返されている
契約書の解釈や確認にかかる時間、労力、誤解したときのリスクまで、すべてコストに含めて判断すべきだ。そう考えると、そもそも契約しないほうがいい契約も多い
「一方的変更条項」が実際にどう機能するのか気になる。細部条項が気に入らなければ、すぐに6か月前通知をして解約しなければならないのだろうか
私はID.meの登録契約書を読んで衝撃を受けた。「自発的に」市民権放棄を求めている。だから使いたくない。だがIRS.govへのログインにはこれ以外の方法がない。YouTubeを見るにはGoogleアカウントが必須だ。保護者グループのチャットに参加するには、WhatsAppのMeta利用規約に同意しなければならない。こういう例はきりがない
私は法律の専門家ではないが、彼らがメールを読んで、それに基づいて行動したという目的自体が明白に違法なので、契約自体も無効であるべきだと思う
特にこれが政府機関なら本当に衝撃的だ。外部委託業者がメールサーバーにバックドアを密かに仕込み、メールを密かに監視していたとしたら？ 汚職から外国の情報活動まで、何が起きているのか分からない。これがアメリカだったら、FBIやCIAが出てきて、こういうベンダー問題を一掃していただろう
その通り。問題は、解約しようとすれば、極めて敵対的な相手と法廷で争わなければならず、相手は私たちにさらに金を払わせるために全力を尽くすだろうということだ。組織の中には倫理より安全を優先して、追加コストを受け入れるところもある。一方で、不公正な特許訴訟や不合理な契約条項の撤廃のために争う会社も確かにある。この事例の組織は明らかにそういう側ではなかった
法的助言ではないが、こういうことは必ず実名公開して警告する必要があると思う
多くのHNユーザーが似たような状況を経験したことがあるのではと思う。以前、システム終了作業を秘密裏に進めていたのだが、うちの会社と協力会社の間でコードベースが共有されていた。うちの開発者の一人が「Reversing Migration Script」のような文言をコミットに残し、それから1時間もしないうちに両社CEOの間で大騒動になった。後になって分かったが、相手の会社はこうした単語をコード内でリアルタイム監視していて、こちらに終了の動きが見えた瞬間にすぐ行動していたのだ。実際には契約満了前に合法的に終了するだけで、特に不自然なことは何もなかった。こういう監視があったことを後で知り、社内では「スパイは誰だ」という魔女狩りまで起きた。本当につらい経験だった。今ではこうしたサイコパスじみた行動が当たり前になった世界のように思える。自分だけが旧時代の人間のように素朴に働いている気がするし、だから20代ばかり採りたがる会社が多いのも当然だ /半分冗談
具体的にどう監視していたのか共有してもらえると助かる。こういう事例から学びたい
監視されそうな場所には、わざと頻繁に反応しそうな変数名を書いておくのがよい。昔のNSAジョークのように
「実話に基づくホラーストーリー」とあるが、本当なのか気になる。細部まで事実であるほど、より興味深いだろう