★☆★JNSAメールマガジン 第243号 2022.8.12☆★☆
2022/08/12 (Fri) 15:30
★☆★JNSAメールマガジン 第243号 2022.8.12☆★☆
こんにちは
JNSAメールマガジン 第243号 をお届けします。
メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン https://www.jnsa.org/aboutus/ml.html#passed
コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。
今回のメールマガジンは
アルテア・セキュリティ・コンサルティング 代表
二木真明 様にご寄稿いただきました。
【連載リレーコラム】
RSA US 2022参加記
アルテア・セキュリティ・コンサルティング 代表 二木真明
今年、6月上旬、米国カリフォルニア州サンフランシスコで2年ぶりに開催され
たRSAコンファレンス。昨年はコロナ禍でリアル開催が見送られる事態になり
ましたが、今年はオミクロン株蔓延で一旦開催が延期されたものの、6月に開
催されました。
前回、2020年3月に参加して以来、海外渡航も難しい状態が続いていましたが、
ようやく帰国後の待機措置も解除となったことから、現地参加することにしま
した。
到着してみると、街には観光客が戻り始めていて、名物のケーブルカー乗り場
には長い列ができています。公共交通機関ではマスク着用が推奨されているも
のの、街を歩く人にマスク姿は少なく、すでに、日常が戻りつつあるようにも
見えます。
今回、RSAコンファレンス参加者には、ワクチン接種もしくは検査陰性の証明
が求められましたが、スマホアプリで事前に証明書をアップロードすれば、短
時間でチェック完了となり、チェックイン時にアプリを提示すれば、バッジに
確認済みのマーキングが行われて、以降、フリーで出入りができるようになり
ます。もちろん、紙の証明書も受けつけられますが、多くの参加者はアプリに
よる提出を選択していたようで、チェックインも非常にスムーズでした。
RSA本番前日の6日には、恒例になっているCSA（Cloud Security Alliance）の
イベント（1日セミナー）に参加しました。従来、CSA Summitと呼ばれていた
イベントを、今年からはCxO Summitと変えたのは、そろそろクラウド利用も成
熟時代に入ってきたからかもしれません。企業の情報システムを考える場合に、
まずクラウドありきで考えることが普通になってきている現在、CxOクラスの
人たちに求められるのは、クラウドをうまく使って、変化の激しいビジネス環
境に対応出来るシステムを作り上げていく発想と手腕なのかもしれません。DX
（デジタル・トランスフォーメーション）が、一過性のものではなく継続的な
変化を促すものだとすれば、そのインフラはクラウドにするのが最適だろうと
思います。CSAの活動は以前ほど目立たなくなってはいますが、逆に、地に足
をついた活動に変わってきているという印象を強くしました。
https://www.csasummitrsac.com/event/44926c47-de59-477b-9a82-6eabb68b7c30/websitePage:cb6fbab7-49b7-4595-b571-77a72f2653e2
前日の夕方には、モスコーンセンターの展示会場でウエルカムレセプションが
開かれましたが、コロナ前とほとんど変わらない混雑具合と、マスク着用者が
ほとんどいない（実際ゼロに近い）状況に恐れをなして、早々に撤収しました。
展示会場は終始そんな感じのようでしたので、今回、展示会場にはほとんど足
を踏み入れませんでした。ちょっと残念ですが、万一コロナをもらって帰れな
くなるリスクを考えればいたしかたありません。
さて、RSAの本番は、いつものようにキーノート講演とブレークアウトセッシ
ョンを聴いて回る形で過ごしました。セッションの内容も、昨今の情勢を反映
したものが多く、興味深く聞くことができました。以下、私の私見も交えた形
でいくつか紹介します。
ネット上での情報戦をテーマにしたセッションでは、民主国家の一番の弱点で
ある国民の分断を狙うような攻撃に対してどのように対抗すればいいかという
議論がありました。言論の自由やプライバシーを確保しつつ、こうした攻撃に
対抗するのは極めて困難です。安易に規制や監視を行えば、民主主義の根幹が
揺らいでしまうからです。一方、攻める側からすれば、対立する意見の両方に
油を注げばよく、たとえば、敢えて偽情報などを流さなくても、目的を達する
ことができてしまいますから対処も極めてむずかしくなってしまいます。
結局の所、国民の情報に対する感性や、異なる意見に対する寛容さを失わせな
いように、啓発など間接的な対策を取らざるを得ません。つまり、表だって国
家としてできることが極めて少ないのです。これが民主国家最大のジレンマな
のですが、乗り越えていくためには、国民が一方的な情報に惑わされないよう
に、事実のチェックだけでなく、多面的な視点からの情報を広く流通させてい
くことが必要です。こうした動きは、民主国家の場合、政府機関よりも、むし
ろ国民や、独立したメディアに求められるのではないかと思います。とりわけ
メディアには冷静な報道で、様々な切り口の情報を公平に提供して欲しいとこ
ろです。民主主義を維持していくためには、国民にも企業にも相応の意識が必
要になるということなのでしょう。
最近の「標的型ランサム攻撃」を題材にしたセッションも複数ありました。特
に、興味をひいたのが、こうしたインシデントでビジネスが停止した状況で、
パニックに陥りがちな経営層と、どう向き合うかというセッションでした。
ランサム攻撃を受けた時、身代金を払うことの是非には多くの議論があります。
ただ、どのような結論を出すにしろ、冷静な判断が求められるのですが、経営層
が目先の被害の大きさに驚いて、冷静さを失ってしまうと適切な判断ができな
くなってしまいます。経営層と向き合うセキュリティ責任者には、経営層が冷
静さを保つことができるよう、様々な配慮が求められる、というのがこのセッ
ションの趣旨です。
そのためには、まず、セキュリティ責任者自身が冷静でなければいけません。
ともすれば、現場と経営層の板挟みになって、自身も冷静さを失いがちですが、
まず、一息ついて頭を休めることや前向きな考え方を捨てないこと、さらには、
一人にならないことといった、ある意味当たり前のことを実践しつつ、怒る経
営層に対して、過剰に防御的にならず、良い「聞き手」として振る舞い、その
興奮を静めること、といった、どちらかといえば、心理面からのアプローチが
強調されていました。また、きちんと整理された形の情報を出来るだけ速やか
に伝えていくことも重要です。情報の不足は不安を増幅するからです。我々、
特に技術者は、インシデント対応に関して、技術的な側面に注目しがちですが、
現場での対応は、こうした心理面での配慮も重要です。これは、社内の話しだ
けでなく、専門事業者と顧客との間にも言えることでしょう。
この記事ですべてを書くことは難しいですが、他にも多くの興味深いセッショ
ンがありました。今回、技術系のセッションはあまり聴かなかったのですが、
クラウド、とりわけSaaSを対象とした攻撃手法などがいくつか紹介されていま
した。MS365などのSaaSでは、サードパーティーの様々なサービスと連携する
ための「アプリ」がサポートされますが、中には高い権限が必要なものもあり、
こうしたアプリを悪用して不正な処理を行わせる手法も紹介されていました。
またスマートフォンなどを対象としたマルウエア攻撃も増加していますが、聴
講した複数のセッションで、スマートフォンやタブレットなどのメモリーに常
駐する不正プログラムのリスクを下げるために、定期的な再起動を推奨すると
いった話が上がっていました。考えて見れば、スマホの再起動はファームウエ
アのアップデートの時くらいしかしないので、改めて考えさせられた次第です。
久しぶりのリアル参加は、なかなか有意義なものでした。バーチャルで海外の
コンファレンスに参加した場合、昼夜逆転になってしまい、昼間は昼間で仕事
があって、睡眠不足に陥りがちなので、たとえ時差ぼけがあっても昼間に聴講
できるリアル参加のメリットは大きいと思います。一方、バーチャル参加もで
きるハイブリッド開催のため、リアル参加でも終了後に聞き逃したセッション
のレコーディングを視聴できるのは助かります。
さて、あとは帰るだけなのですが、問題は帰国前の検査です。帰国便の関係で、
帰りはシアトル一泊してから羽田に戻るので、シアトル移動前にサンフランシ
スコ空港で検査を予約していたのですが、その場で陽性宣告されても、あれこれ
手配が大変なので、ホテルを出る前に、自分で抗原検査を行って陰性を確認して
から出ることにしました。検査キットは近くのコンビニで買えるので便利です。
ドキドキしながら15分待って、無事陰性を確認してから宿を後にしました。
おかげさまで、無事、羽田に戻ってくることができました。SOSアプリと呼ば
れるアプリをあらかじめスマホにダウンロードして、必要な情報をアップロー
ドしておくことで、スムーズに入国できるのですが、検疫チェックが入国審査
場から一番遠い場所で行われているため、往復、かなりの距離を歩かされてし
まいました。いたしかたないのかもしれませんが、せっかくアプリで事前確認
しているので、OKの人はショートカットさせるなど、改善の余地ありかなと思
いました。（笑）
状況が許せば、また他のコンファレンスにも参加してみようと思っていますが、
以前のように現地で日本の多くの方々にお会いできるようになればよいですね。
＃連載リレーコラム、ここまで
＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。
＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
https://tinyurl.com/3mysdz6v
※googleアンケートフォームを利用しています。
【部会・WGからのお知らせ】
★【会員限定】マーケティング部会主催勉強会
「「記事になるプレスリリースの書き方」講座」2022年8月23日（火）
ご参加希望の方はJNSA事務局まで。
★標準化部会デジタルアイデンティティワーキンググループ主催ミニウェビナー
「？？？とアイデンティティ」(全５回）
第1回「ネットワークとアイデンティティ」2022年8月25日（木）
参加受付を開始しました。https://www.jnsa.org/seminar/2022/index.html
★JNSA「産学情報セキュリティ人材育成交流会（JNSAインターンシップ交流会）」
プログラムを公開しました。参加登録開始までしばらくお待ちください。
https://www.jnsa.org/internship/index.html
【事務局からのお知らせ】
★JNSA事務局を騙った詐欺事件が発生しています。
当協会から個人の方へ金銭のご請求を行うことはございません。
お心当たりのある方は最寄りの警察署に御相談下さい！！
★リモートワークに活用ください！
「緊急事態宣言解除後のセキュリティ・チェックリスト」
https://www.jnsa.org/telework_support/telework_security/index.html
☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
sec@jnsa.org
☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡 <https://www.jnsa.org/aboutus/ml.html>
*************************************
JNSAメールマガジン 第243号
発信日：2022年8月12日
発 行：JNSA事務局 sec@jnsa.org
*************************************
こんにちは
JNSAメールマガジン 第243号 をお届けします。
メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン https://www.jnsa.org/aboutus/ml.html#passed
コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。
今回のメールマガジンは
アルテア・セキュリティ・コンサルティング 代表
二木真明 様にご寄稿いただきました。
【連載リレーコラム】
RSA US 2022参加記
アルテア・セキュリティ・コンサルティング 代表 二木真明
今年、6月上旬、米国カリフォルニア州サンフランシスコで2年ぶりに開催され
たRSAコンファレンス。昨年はコロナ禍でリアル開催が見送られる事態になり
ましたが、今年はオミクロン株蔓延で一旦開催が延期されたものの、6月に開
催されました。
前回、2020年3月に参加して以来、海外渡航も難しい状態が続いていましたが、
ようやく帰国後の待機措置も解除となったことから、現地参加することにしま
した。
到着してみると、街には観光客が戻り始めていて、名物のケーブルカー乗り場
には長い列ができています。公共交通機関ではマスク着用が推奨されているも
のの、街を歩く人にマスク姿は少なく、すでに、日常が戻りつつあるようにも
見えます。
今回、RSAコンファレンス参加者には、ワクチン接種もしくは検査陰性の証明
が求められましたが、スマホアプリで事前に証明書をアップロードすれば、短
時間でチェック完了となり、チェックイン時にアプリを提示すれば、バッジに
確認済みのマーキングが行われて、以降、フリーで出入りができるようになり
ます。もちろん、紙の証明書も受けつけられますが、多くの参加者はアプリに
よる提出を選択していたようで、チェックインも非常にスムーズでした。
RSA本番前日の6日には、恒例になっているCSA（Cloud Security Alliance）の
イベント（1日セミナー）に参加しました。従来、CSA Summitと呼ばれていた
イベントを、今年からはCxO Summitと変えたのは、そろそろクラウド利用も成
熟時代に入ってきたからかもしれません。企業の情報システムを考える場合に、
まずクラウドありきで考えることが普通になってきている現在、CxOクラスの
人たちに求められるのは、クラウドをうまく使って、変化の激しいビジネス環
境に対応出来るシステムを作り上げていく発想と手腕なのかもしれません。DX
（デジタル・トランスフォーメーション）が、一過性のものではなく継続的な
変化を促すものだとすれば、そのインフラはクラウドにするのが最適だろうと
思います。CSAの活動は以前ほど目立たなくなってはいますが、逆に、地に足
をついた活動に変わってきているという印象を強くしました。
https://www.csasummitrsac.com/event/44926c47-de59-477b-9a82-6eabb68b7c30/websitePage:cb6fbab7-49b7-4595-b571-77a72f2653e2
前日の夕方には、モスコーンセンターの展示会場でウエルカムレセプションが
開かれましたが、コロナ前とほとんど変わらない混雑具合と、マスク着用者が
ほとんどいない（実際ゼロに近い）状況に恐れをなして、早々に撤収しました。
展示会場は終始そんな感じのようでしたので、今回、展示会場にはほとんど足
を踏み入れませんでした。ちょっと残念ですが、万一コロナをもらって帰れな
くなるリスクを考えればいたしかたありません。
さて、RSAの本番は、いつものようにキーノート講演とブレークアウトセッシ
ョンを聴いて回る形で過ごしました。セッションの内容も、昨今の情勢を反映
したものが多く、興味深く聞くことができました。以下、私の私見も交えた形
でいくつか紹介します。
ネット上での情報戦をテーマにしたセッションでは、民主国家の一番の弱点で
ある国民の分断を狙うような攻撃に対してどのように対抗すればいいかという
議論がありました。言論の自由やプライバシーを確保しつつ、こうした攻撃に
対抗するのは極めて困難です。安易に規制や監視を行えば、民主主義の根幹が
揺らいでしまうからです。一方、攻める側からすれば、対立する意見の両方に
油を注げばよく、たとえば、敢えて偽情報などを流さなくても、目的を達する
ことができてしまいますから対処も極めてむずかしくなってしまいます。
結局の所、国民の情報に対する感性や、異なる意見に対する寛容さを失わせな
いように、啓発など間接的な対策を取らざるを得ません。つまり、表だって国
家としてできることが極めて少ないのです。これが民主国家最大のジレンマな
のですが、乗り越えていくためには、国民が一方的な情報に惑わされないよう
に、事実のチェックだけでなく、多面的な視点からの情報を広く流通させてい
くことが必要です。こうした動きは、民主国家の場合、政府機関よりも、むし
ろ国民や、独立したメディアに求められるのではないかと思います。とりわけ
メディアには冷静な報道で、様々な切り口の情報を公平に提供して欲しいとこ
ろです。民主主義を維持していくためには、国民にも企業にも相応の意識が必
要になるということなのでしょう。
最近の「標的型ランサム攻撃」を題材にしたセッションも複数ありました。特
に、興味をひいたのが、こうしたインシデントでビジネスが停止した状況で、
パニックに陥りがちな経営層と、どう向き合うかというセッションでした。
ランサム攻撃を受けた時、身代金を払うことの是非には多くの議論があります。
ただ、どのような結論を出すにしろ、冷静な判断が求められるのですが、経営層
が目先の被害の大きさに驚いて、冷静さを失ってしまうと適切な判断ができな
くなってしまいます。経営層と向き合うセキュリティ責任者には、経営層が冷
静さを保つことができるよう、様々な配慮が求められる、というのがこのセッ
ションの趣旨です。
そのためには、まず、セキュリティ責任者自身が冷静でなければいけません。
ともすれば、現場と経営層の板挟みになって、自身も冷静さを失いがちですが、
まず、一息ついて頭を休めることや前向きな考え方を捨てないこと、さらには、
一人にならないことといった、ある意味当たり前のことを実践しつつ、怒る経
営層に対して、過剰に防御的にならず、良い「聞き手」として振る舞い、その
興奮を静めること、といった、どちらかといえば、心理面からのアプローチが
強調されていました。また、きちんと整理された形の情報を出来るだけ速やか
に伝えていくことも重要です。情報の不足は不安を増幅するからです。我々、
特に技術者は、インシデント対応に関して、技術的な側面に注目しがちですが、
現場での対応は、こうした心理面での配慮も重要です。これは、社内の話しだ
けでなく、専門事業者と顧客との間にも言えることでしょう。
この記事ですべてを書くことは難しいですが、他にも多くの興味深いセッショ
ンがありました。今回、技術系のセッションはあまり聴かなかったのですが、
クラウド、とりわけSaaSを対象とした攻撃手法などがいくつか紹介されていま
した。MS365などのSaaSでは、サードパーティーの様々なサービスと連携する
ための「アプリ」がサポートされますが、中には高い権限が必要なものもあり、
こうしたアプリを悪用して不正な処理を行わせる手法も紹介されていました。
またスマートフォンなどを対象としたマルウエア攻撃も増加していますが、聴
講した複数のセッションで、スマートフォンやタブレットなどのメモリーに常
駐する不正プログラムのリスクを下げるために、定期的な再起動を推奨すると
いった話が上がっていました。考えて見れば、スマホの再起動はファームウエ
アのアップデートの時くらいしかしないので、改めて考えさせられた次第です。
久しぶりのリアル参加は、なかなか有意義なものでした。バーチャルで海外の
コンファレンスに参加した場合、昼夜逆転になってしまい、昼間は昼間で仕事
があって、睡眠不足に陥りがちなので、たとえ時差ぼけがあっても昼間に聴講
できるリアル参加のメリットは大きいと思います。一方、バーチャル参加もで
きるハイブリッド開催のため、リアル参加でも終了後に聞き逃したセッション
のレコーディングを視聴できるのは助かります。
さて、あとは帰るだけなのですが、問題は帰国前の検査です。帰国便の関係で、
帰りはシアトル一泊してから羽田に戻るので、シアトル移動前にサンフランシ
スコ空港で検査を予約していたのですが、その場で陽性宣告されても、あれこれ
手配が大変なので、ホテルを出る前に、自分で抗原検査を行って陰性を確認して
から出ることにしました。検査キットは近くのコンビニで買えるので便利です。
ドキドキしながら15分待って、無事陰性を確認してから宿を後にしました。
おかげさまで、無事、羽田に戻ってくることができました。SOSアプリと呼ば
れるアプリをあらかじめスマホにダウンロードして、必要な情報をアップロー
ドしておくことで、スムーズに入国できるのですが、検疫チェックが入国審査
場から一番遠い場所で行われているため、往復、かなりの距離を歩かされてし
まいました。いたしかたないのかもしれませんが、せっかくアプリで事前確認
しているので、OKの人はショートカットさせるなど、改善の余地ありかなと思
いました。（笑）
状況が許せば、また他のコンファレンスにも参加してみようと思っていますが、
以前のように現地で日本の多くの方々にお会いできるようになればよいですね。
＃連載リレーコラム、ここまで
＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。
＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
https://tinyurl.com/3mysdz6v
※googleアンケートフォームを利用しています。
【部会・WGからのお知らせ】
★【会員限定】マーケティング部会主催勉強会
「「記事になるプレスリリースの書き方」講座」2022年8月23日（火）
ご参加希望の方はJNSA事務局まで。
★標準化部会デジタルアイデンティティワーキンググループ主催ミニウェビナー
「？？？とアイデンティティ」(全５回）
第1回「ネットワークとアイデンティティ」2022年8月25日（木）
参加受付を開始しました。https://www.jnsa.org/seminar/2022/index.html
★JNSA「産学情報セキュリティ人材育成交流会（JNSAインターンシップ交流会）」
プログラムを公開しました。参加登録開始までしばらくお待ちください。
https://www.jnsa.org/internship/index.html
【事務局からのお知らせ】
★JNSA事務局を騙った詐欺事件が発生しています。
当協会から個人の方へ金銭のご請求を行うことはございません。
お心当たりのある方は最寄りの警察署に御相談下さい！！
★リモートワークに活用ください！
「緊急事態宣言解除後のセキュリティ・チェックリスト」
https://www.jnsa.org/telework_support/telework_security/index.html
☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
sec@jnsa.org
☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡 <https://www.jnsa.org/aboutus/ml.html>
*************************************
JNSAメールマガジン 第243号
発信日：2022年8月12日
発 行：JNSA事務局 sec@jnsa.org
*************************************