今日から１０月。日本からは半日遅れだが、今年も最終コーナーである。
さて、今回のコングレスも４日目となり、最終日。今日は午前中のみの全体セッションである。ちょっと出遅れて、１０分ほど遅刻して会場入り。まぁ、最初５分ほどは挨拶なので、実質は５分遅れくらいだろう。
今日の最初は、ISC2側のセッション。企業のインフラとしてのITと、たとえば製造現場の技術（OT:Operation Technology)のセキュリティを融合させるべし、というお話である。エンタープライズITのセキュリティは、一定のレベルにあるが、一方で現場のOTとしてのITのセキュリティは、いまだお寒い状態だ。かつては、隔離されたシステム、ネットワークだからと気楽に構えていられたOTサイドも今ではそうはいかなくなっている。だが、そのことにまだ気がついていない現場が少なくないのも事実。企業IT側のノウハウを現場にというのは簡単だが、現実はそううまくいかない。そもそもIT部門と現場ではカルチャーも違う。たとえ、IT部門と現場の共同プロジェクトを起こしたとしても、その溝は容易に埋まらない。本気で、それをやる気なら、IT部門とOT部門の人員を半分ずつ入れ替えるべきだと、今日のスピーカーは言う。つまり、それぞれの視点を持った人間が、自分の仕事として考えないとダメだということである。同時に、組織として、すべてのセキュリティを一元的に管理するため、CISOはOTに対しても責任を持つべきだと言う。セキュリティ予算の配分も見直すべきだ。既に十分な予算が付いているはずだから（・・・というのは日本人的には羨ましい限りなのだが）IT部門と現場での割り振りや無駄を見直して、使い方を整理すべきだという。IoT時代のセキュリティは、おそらくそういう形にしないとダメなんだろう。さて、我が国を振り返るに、なかなか課題が山積みだなと、少し憂鬱になるのである。
次のセッションは、パネルだったのだが、モデレーターとして紹介されて出てきたのは、ハワード・シュミット氏。ちょっとサプライズだった。ISC2側のアプリには名前が載っていなかったので、ちょっと驚いた次第。パネリストは、サイバーサイドと物理サイド、そして、その両方のセキュリティに関わっている人たち。
お題は、ソニー事件に学ぶ・・・である。当初、北朝鮮犯行説が取りざたされたソニー（SPE）事件だが、その後、内部犯行説が有力になった。こうした内部犯行への対策は、サイバー側だけではなかなか難しい。一方で、伝統的なセキュリティの枠組みでは、社員採用時のバックグラウンド調査といったことは、普通に行われてきたし、社員が不正に走る前兆などについても、経験が豊富にある。手段がITになっても、こうした動機にかかわる部分では、従来からの枠組みが重要になるのである。そういう意味で、組織のセキュリティにとって、この両方の融合は重要な課題となっている。ハワード・シュミットが冒頭に述べた言葉だが、（サイバーサイドは）内部犯行という言葉を再定義しなければならないという。それは、単に内部者の悪意というだけではなく、悪意ある外部者によって誘導された内部犯行という側面もあるからだ。APTなどを想定すれば、時間をかけて、エージェントを企業内の要職に送り込んでくることや、内部者に対して様々な誘惑、脅迫、罠を仕掛けてくることも考えられる。こうしたスパイ映画的な話は、実際に、これまで発生してきたことである。とりわけ重要インフラ企業のセキュリティを考える場合、こうした側面も無視できないのである。
さて、その次のスペシャルセッションは、私にとっては２回目の「テロリストの息子」である。７月のRSA ASIA PACIFICで同じ話を聞いたのだが、これをアメリカで聞くとまた、少し違った印象を受ける。父親と叔父がテロリストだった彼が、そうした過激思想から抜け出す過程を本にしたのが「テロリストの息子」である。いわゆる原理主義が、本来の教義を、いかに自分たちに都合良く解釈し、人々の憎悪を煽っているかということ、そして、そうした原理主義者は、たとえばイスラムを信じる者たちのなかで、ごく少数であるという点を彼は強調している。また、こうした過激主義は本質的に憎悪に基づいているため、それを力で押さえ込もうとすることは、かえって逆効果だとも言う。そうしたことが、自分の言葉として語られるから、感銘も深い。
さて、最後は、クロージングのランチ。いつものように、表彰式などが行われた後に、クロージングの講演。演者は、海兵隊の退役将軍と、またしてもちょっとキナ臭い人物。まぁ、ASISらしい人選である。とりあえず、そんな感じで今回のイベントも無事終了。あとは、週末まで適当に遊んで帰る予定だ。
早めに終わったので、一旦宿に帰ってどこかへ出かけようかとも思ったのだが、ごろっと横になったら、そのまま夜まで寝てしまった。
明日は、ディズニーでも行ってみようかと思っている。夕方に、少し南へ走って、途中の海岸線から夕日でもみるのもいいかな・・・などと思ってるのだが、はたして睡魔に勝てるかどうかは微妙である。
コメントする