Ogagaga Diary

2012年05月19日 [長年日記]

■ 第11回北海道情報セキュリティ勉強会@月寒公民会館

河野さんからクラウドをテーマにしたお話を聞けるということでとても楽しみにしていました。

下記は今日の簡単なログです。 (間違っていたらすいません)

今日の目標

情報セキュリティの目的に従って判断ができるようになる
リスクベースの考察ができるような次頭作り
学生諸君は情報セキュリティプロフェッショナルになるための準備と差別化

情報セキュリティの現場力、使えるスキルと人物像

情報セキュリティは「科学」

- 推測しにくにパスワードはない「科学的というのは誰がやっても同じ」という意味ルールをどうやって作るかの方が重要「あやしいメールを開かない」→ 何が怪しいかがわからない

情報セキュリティは目的ではなく、手段だということを知らない三流エンジニア

[問題]

USBメモリ利用禁止の「管理目的」はなんでしょう

- アンチウイルス対策？→ウイルスソフトウェアがやるもの本来の目的 - データが残ることが問題

 データを完全に削除することが難しいハードである。復元ソフトウェアで復元できてしまう

「残存オブジェクト」という。残存データが悪用されないことを目的にする

スタックスネット USBメモリでデータを持っていたために、ウイルスに感染した話のせいかも

[問題] 個人情報保護のためのシンクライアントを導入している企業がしなくてはいけないことはなんでしょう

会社中の情報を誰でも見れるのが問題[日本のベンダー] 日立が問題？

ログインしたら、WordやExcelだけが選べるようになっていて、かつ特定のファイルにしかアクセスできないようになっている。→アプリケーションレベルでセキュリティをかける

シンクライアントはマシンを紛失してもサーバーにログインしないとデータを取れないので安全である。情報保護でできることはこれだけ。

[問題] 個人情報保護法を違反したとして、何らかの処分を受けた人は2005年以降(行政では2003年以降）何名いるでしょうか？ (6ヶ月以下の懲役または30万円以下の罰金) →０名

消費者がクレームをいったときに対応をできないと違反になる。

情報セキュリティって？

- 情報資産のセキュリティではない - ISMS取得を簡単にするためにやってきた情報セキュリティ対策から、自社のための情報セキュリティ

 に切り替えられない企業が山ほどある

いかに自分たちの会社にあった基準にしていくかが大事。徐々に緩やかに基準を落として行くほうがいい - 情報を活用するためのセキュリティができないと、クラウド、ソーシャルの世界に乗り遅れて

 しまいますよ

現場に必要なのは

- リスクアセスメントが正しいかどうかを判断できる人材

 情報システムを活用するメリットを理解し、情報セキュリティ対策を立案できる人
 ○○してはいけないは、何もしないということなので、意味がない
 テレビをみちゃいけないは結果が残らないからだめ、
 テレビを見ないで本を読みなさいだと、本を読んだ結果について議論ができるのでよい。ほめることができてよい。

 「モチベーションが上がらないと誰もやらない」

- プロシージャを作成できる人材私用マシン持ち込みについて →自分でルールを作っているから運用できている

 自分の作ったルールが会社の基準と合致していればだいたいは許可される

[問題] 課長が部門の5人にエクセルで管理表を送付しました。社員がこれらに記入してメールに添付して課長に返信した場合、添付書類は全部でいくつになったでしょうか？ →27個になる

 本来はこの27個分のチェック基準を作る必要がある。

でもだいたいは最初の課長のPCのチェックだけである。なのでなくなってもわからない ^^^^^^^^^^^^^^^^^^^^^^^^^^^^ ---------------------------- メールでの添付は危ない ----------------------------

よくファイルを暗号して、パスワードは別便で送ることがあるけど、 SMTPの経路を2回通ることになるので、泥棒が待ち伏せしているのと同じ状況なのであまり意味がない。

パスワードは事前に両者が知っている情報がいい(電話番号の下4桁とか。ただしメールのシグネチャに注意する)

アイデアは - ミッションインポッシブル - シャーロックホームズ - ナショナルトレジャーなどにある。

リスクと損失のフレームワーク

リスク(インシデントの発生する可能性)

 脆弱生 × 脅威

       ↓
 損失(事故が発生した結末)

 - 情報資産が漏れたり、他社に使われたときの影響
 - 情報資産が意図せず改編されたりする

システム要件を考える

社外の関係者とも「共有ファイルサーバ」を使うときには、どのような条件を満たしていればよいか

[要件] - ユーザー単位のID発行 - ファイル単位のアクセス権限

 編集制限

- ファイル単位で同時編集可能もしくは排他制御 - ファイル単位の記録

 更新履歴
 アクセスログ

現場力を高めるために

- 「○○してはいけない」というルールは何も生まない - ひとつでも禁止事項があれば、それに引っ張られて、新たなシステムや

 ITサービスを導入することができなくなってしまいます。

クラウドサービスにおけるセキュリティ

クラウドセキュリティは簡単

リスクがあるか、ないか？

- 「そんなもんあるだとこころから思っている」 - 「リスクがあるから使わない」なんている人がいると「もう息をすうな」と思っています。

  人間の免疫力を馬鹿にすんなよと思っている

クラウドの免疫を高めるために

- 免疫ってのはどうやって出来るんだっけ？ - いろんなことを考えてみよう。

 「こうやったら使えるじゃん」と考えれる人が向いている

[結論] クラウドセキュリティを大きな声で語っている奴に、クラウドのヘビーユーザはいない - 使っちゃ行けないって言っている

リスクマネジメントの基本から

- そもそもリスクマネジメントの基本に忠実に判断するべきではないだろうか - 「データがどこにあるのかわからないのが気持ち悪い」というのは不安であって、科学的なリスクではない

クラウドサービスで何が変わったのか

- 変化を正しく判断できないと

クラウドコンピューティングの特徴

変化をしることにしましょう
NIST SP-800-145の定義

 - オンデマンドセルフサービス
   使いたいときに簡単に使える。amazonなら5分くらいで使えるようになる
 - 広範囲なネットワークからのアクセス
   VPN以外などのネットワークからのアクセスなど
 - リソースの共有
   メモリだけ、CPUだけ、ディスクだけ借りれるので、それを共有している。
   レンタカーのような感じ。
 - 迅速な対応
   ヤフーのゲームサービス
   サーバ費用だけで6億円、今は200万円だった。
   ユーザーが少なくなっても、6億の費用を維持しなければならない。
   クラウドは使わないときに減らすことができるのが便利
 - 従量課金製

上記のことを英語で正確に訳せてない人は信頼しないほうが...

On-demand self-service

メリットとリスクを並べてみる(できる限り考える) 二要素認証があれば、管理画面を乗っ取られる事はないんじゃないかってことを考えてみる。

それぞれの組織にとっては

リスクアセスメントは組織や、団体における事業計画、環境によって異なる
IPAでは中小企業用にサービスチェックしーとを作った

 http://www.ipa.go.jp/security/cloud/tebiki_guide.html

最近のいろいろなセキュリティの話題

どこのリージョンにデータがあるかわからないのもいいところである。
半年間くらい観察しているのが一番危ないので、ここで食い止めたい。

- 日々、PCをスキャニングするのが大事。 -PC立ち上がったときにウイルスソフトが起動しているか確認してみる。

自社だけでインターネット全体のウイルスの感染状況を把握するのは難しい

無駄な事にお金をかけないで、ウイルスソフトが立ち上がっていることを確認するほうが大事！

スマートフォンのリスクアセスメント

安価にセキュリティを守る方法

- Google Apps for business > モバイルの設定を利用するとよい

 Android Sync 年間6,00円

今はブラウザのセキュリティの話よりも、クラウド時代はスマフォのクライアントアプリケーション

 にフォーカスがあたっている。

誰がどのアプリを使っているかを管理する時代になってきている。

懇親会

白木屋

[ツッコミを入れる]

2012年05月12日 [長年日記]

■ 新しくOpenした床屋さん

行きつけの床屋さんが閉店してしまってどうしたものかと思っていたんだけどそのときの日記はこちら↓
床屋さんで感動して涙がこぼれ落ちたマスターのつてで新しくお店を開業したい人が見つかりGWにOpenしてたので行ってみました。

年齢は僕と同じくらいでとても話しやすい気さくな人がマスターでよかったです。

髪を切りながら、以前マスターがいたお店の話や「僕がどれくらいヤシロさん通っていたの？」などお話しました。最近は人柄で自分が通うお店を決めるのですが、ヤシロのマスターに劣らず良い人なので行きつけのお店になりそうです。あ、もちろん腕もよいですよ！

Open記念ってことでお店で使っているとてもよいらしいシャンプーをもらって帰ってきた。

■ 酒蔵オフ

すもけさんから小樽北の誉酒泉館に行きたいので、幹事してくれい！というご要望があり有志を募り行ってきました。

が、ブラック企業勤務となった言い出しっぺのすもけさんは欠席になりましたwww。そこで当日はすもけさんのために、画像投稿するときに必ずmentionをしてあげる優しさ(いじめ？)をしてみました。

写真は20120512_酒蔵オフ at 北の誉酒泉館です。

入館10秒で試飲
工場見学の際には謎の帽子をかぶりました。記念にみんなでかぶっている姿で写真撮影
この時期はお酒を作っていないので絞りたてのお酒は飲めなかった。冬は搾りたてを飲めるとのことでした！

参加できなかったすもけさんには親玉という日本酒をこっそり買っておいたので、今回はこれで我慢してくださいw

この後はみんなで(旧)岡川薬局でご飯食べてきました。僕は念願の岡川ラーメンを食べてきました。

また企画しようと思います。

[ツッコミを入れる]

2012年05月05日 [長年日記]

■ Sapporo.js 2012.05.05 #sapporojs

前回の参加は 2011.05.08 だったので、約1年ぶりの参加ですね。以下に自分がJavaScript嫌いなのかがよくわかる^^;

だけど、こうして続けていてくれるので、あんまり勉強する気にならない僕に力を与えてくれるので、ありがたいです。

@tricknotes にはいつも感謝です^^

今日は、第8章メソッド(P.90)の array.reverse() からで、せっかくだからTestを書きながらやってみましょうということで、mochaを使いテスト書きながら楽しい会となりました。

一般発表は

ぬるjs
NotHub API の紹介
Web Audio APIとNode.jsで楽々ウェブ楽器の作り方～Beatonica

などありました。

次回もテスト書きながら本を読みすすめるのかな。楽しいけどあまり本が進まないねw

[ツッコミを入れる]

2012年04月28日 [長年日記]

■ 年を一つ重ねました

無事誕生日を迎えまして、また一つ年を重ねました。

よい友人と仲間に囲まれてとても楽しい一年でした。新しい出会いが多かったり、仕事でも立場が変わったりと今後の30代をどう過ごすかについても考えることができた一年でもありました。

あと、体脂肪率が初めて15%台になったのが嬉しかった！最近「何のためにそんなに筋トレしているの？」と聞かれますが、もちろん日々楽しく過ごすためですよ。太りにくくなるし、体力がついて疲れにくくなり怪我の予防もできていいことだらけです。
あと、今日は先日亡くなったばあちゃんの49日法要の日でもありました。諸事情により僕が今日までとりまとめしましたが、ばあちゃんが僕の働きに満足してくれてるとよいな。

こんな僕ですがまた一年よろしくお願いします。

嬉しい事にAmazonよりお誕生日プレゼントが届きましたので、紹介させていただきます。

ちなみに、プレゼントは随時受け付けております！

Amazonの欲しい物リスト