RSA Europe1日目

昨日は、うかつにも帰ってそのまま寝てしまったので、今頃の日記。朝からちょっとどんよりした天気のアムステルダム。晴れ間が見えたと思うと、ざっと一雨来るという、いわゆるダッチウエザーである。

ホテルの€21な朝食バイキングを食って、それから、フロントにたぶん、今日荷物が届くから受け取っておいてねとお願いしてホテルを出た。荷物はどうやらパリで足止めされていて、アムスへ運搬中らしい。

RSAの会場はRAIというコンベンションセンター、直線距離で2キロ～3キロ。まぁ、歩けないことはないが、市内交通の4日乗り放題チケットを買っていたので、早速トラムに乗ってみる。チケットは紙製だが、中にチップが入っていて、トラムやバスでは乗り降りの際に、地下鉄では改札でタッチする。

ホテルからトラムの走っている通りまでは徒歩5分ほど。何も考えずに来たトラムに乗ったら、途中で違う方向に曲がってしまったので、降りてもう一度乗り直す。コンベンションセンターへの直通路線は近くにないので、トラムをZuidあたりで降りて、地下鉄（といってもこのあたりは地上区間）を一駅乗ると、RAI駅である。

駅から5分ほど歩いてセンターの入口。RSAのレジストレーションはこじんまりとした感じで、既に列ができていた。

並んでいる間に外を見たら、結構激しい通り雨。そういえば、傘はロストした荷物の中。今日はどうにかしのがないといけない。

オープニングに続いてキーノート。トップはRSAな人たち。あとはMSがいつものように、自分たちの開発プロセスなどについての話とか・・・。ちょっと退屈だったので、途中で落ちてしまう。

お昼はこんな感じでランチバックが展示会場（こじんまりとしたもの）で配られた。まぁ、こういうランチは気楽で良い。場所が無いので隅っこに座り込んで昼食。これでそこそこ腹一杯になる。

午後からは、トラックセッションだが、RSAは1セッション45分と短いので、なんとなく消化不良になるセッションが多いのが残念。これはもう少し長くしてもいいんじゃないかな。

興味深かったのが、APTというものの整理を再度やろうというパネル。一時、完全にマーケティングターム、どころかバズワードと化してしまったAPTの意味合いをもう一度整理して、嘘と現実を区別しようというのは面白い試みだろう。実際、本当の意味でAPTに狙われる組織はそれほど多くないことや、Advancedの意味が単に「高度な攻撃」を意味するのでは無く、臨機応変に様々な攻撃を使いわけてくる点だということもいい解釈だろうと思う。実際、ありふれた攻撃でやられてしまっているところも多いし、彼らは最初からゼロデイなどを駆使してくるわけではない。一方、守りの堅い相手に対しては、より高度な手法を使ってくる。要するにそこまでして狙いたい相手かどうかという点が、APTを気にする必要があるかどうかという分かれ道である。気にするなら腹をくくって対策をする必要があるということだ。こうしたAPTの多くが国家に支援されたようなレベルの相手なので、そういう連中が狙う相手は限られている。一方でサイバー犯罪やハクティビズムの標的はまったく性格が違う。前者は、手口の臨機応変さではAPTにも負けない。犯罪組織はリソースもカネも持っている。あとは、リスクと利益のバランスという現実的な感覚で動くので、基本的な対策をきちんと行っておけば、かなりモティベ-ションを削ぐことができる。むしろ、後者は利益は関係ないので、手口がかなり荒っぽい。民間企業においては、こちらのほうが厄介だろう。セキュリティがベンダ主導で回ってしまっている日本では、なかなかこういう整理ができていない感じがする。もう少し、ユーザサイドが（セキュリティという意味で）実力をつけないといけないなと、改めて思った次第。

もうひとつ面白かったのが、ソフトウエア開発とバグのお話。脆弱性と言われるものの多くがバグなのだが、通常のテスト過程では見落とされてしまう。そのために、いわゆる脆弱性検査などを後付けでやるのだが、そこで見つかって手直しが発生すれば納期が遅れる。まして、この段階で発見できるバグはそれほど多くない。設計段階からきちんと考えて進めるべきであるという、もう何度も言い古されていて、いまだにできていない話だ。思うに、この話はセキュリティ屋を前にやるのではなく、ソフトウエア開発者やその管理者を前にやるべき話だと思う。それができていないから、彼らの意識が上がらず、対応が進まないのである。こうした話はエンジニアの基礎科目であって、もはやセキュリティ屋の間だけですべき話題では無いというのが私の思いだ。

最後は、NATOにおけるサイバー情報交換の取り組みの話。一朝有事の際は、リアルタイムで連携しなければいけない防衛の世界では、システム上での情報伝達や流通の仕組み作りが必須である。CDXIというNATOの仕組みはなかなか汎用的で面白い。実際の導入はこれからなので、あれこれ紆余曲折もあるだろうけど、結局、必要に迫られた進歩は、この分野から始まるのかもしれないなと思った。

そんな感じで今日の日程は終了して、展示会場でレセプション。

とりあえず、お酒と食べ物で、晩飯代を浮かせてから、会場をあとにした。空模様はこんな感じで時々雨がざっと降る。小降りになったタイミングを見計らって駅まで移動。

行きと同じルートで宿まで帰る。近くの停留所で降りて、ホテルに向かう途中、一気に雨脚が強くなった。この大木の下でちょっと雨をやり過ごす。

そんな感じで宿に帰ったら、まだ荷物が届いていない・・・。今日は無理か・・とおもいつつベッドにころがったら、そのまま寝込んでしまい、気がついたら午後10時。日本時間だと6時くらいだから、日本時間で寝てしまったことになる。歯を磨いてもう一度寝ようと思っていたら、荷物がようやく届いた。レンタルのモバイルルーターもどうにか繋がるようになったので、初日のごたごたは、一応これで収束。それからちょっと薬の助けで寝直して、朝の4時版頃起床。日本時間だと昼頃までゴロゴロしていた感じなので、ちょっとダルい。でもまぁ、これなら話を聞きながら落ちることはなさそうだ。そういう意味ではヨーロッパはアメリカよりも時差調整がやりやすいかもしれない。反対に帰ってからが苦労しそう。

さて、今日は二日目。USとはちょっと違った雰囲気を探してみよう。