今朝、ホテルをチェックアウトし、空港へ向かう。ホテルのシャトルが予約制だと知らず、結局タクシーを呼んで空港へ。なんせ、スキーの大荷物なので、バンタイプの車を呼んでもらった。とりあえず、チェックインもセキュリティもスムーズで、ギリギリだったにもかかわらず、問題なく搭乗時刻に間に合った。で、ちょっと遅れながらも無事離陸したので、ようやく今回のRSAの話を書くことができる。
米国のコンファレンスは総じて朝が早い。会場やその近くのホテルに滞在していれば、なんということはないが、今回はちょっと遠い宿だったので、結構、朝はばたばたする。結局、ちょっと出遅れて、キーノートのメイン会場には入れず、別会場での映像観戦となった。
今年は、なにやらちょっと不穏な雰囲気である。最初から「カオス＝混沌」というキーワードが飛び出した。どうやら、我々、セキュリティ屋は「混沌」とした状況に直面せざるを得ないらしい。いかにも、セキュリティ業界を代表するコンファレンスらしい、ある意味FUDっぽい話の建て付けなのだが、実際、たしかにサイバーの世界はかなり混沌としてきている。これはセキュリティだけの話ではなく、ITの世界全体の話である。1月のCESで見たように、技術は爆発的に進化、多様化している。それを引っ張っているのが、世界でもトップクラスの研究者や技術者だから、この先の予測は極めて難しい。しかも、それにAIのような、ある面では人間の能力を遙かに凌駕するようなものが、それを後押しするとすれば、これからのITの世界は、どんどん「想定外」の出来事が起きるだろう。政治的、社会的な影響もこれまで以上に大きくなる。戦争の（むしろ、表向きの戦争ではない情報戦の）道具としてこれらが使われる可能性は極めて高い。これらは技術的な問題ではなく、極めて政治的なパワーバランス の問題である。「セキュリティ」という領域を守っていこうとすれば、当然ながら、こうした、いわば「ITの爆発的進化」や環境の変化とと向き合わなければならない。それは、極めて難しいことだ。だから、今回の「混沌」は、セキュリティ業界が、ある意味で行き詰まりつつあるというシグナルなのかもしれないと私は思うのである。
これは、CESが、ITの進化による明るい未来を体現しているのに対して、その対極にあると言っても過言ではない。結論めいたものがあるとすれば、「とにかく、一緒に頑張ろう」という話である。ただ、私が思うに、「一緒に頑張る」相手は、同業者（セキュリティ屋さんたち）ではなく、むしろ、世のIT屋さんたちなのだろう。我々セキュリティ屋は基本的なことは知っていても、最先端のIT分野に自ら対応できるだけのパワーはない。実際、加速度的に拡大するIT技術やビジネスの最前線には、外（門外漢）からの意見を受け入れる余裕もないように思えるのである。思うに、そろそろ「セキュリティ業界」という、いわば「ご意見番」めいたポジションを捨てて、自ら様々な現場に入り込み、その分野の専門家や技術者と一緒に、もしくは自分がそうした存在に変わって、内側からセキュリティを高めていくことが必要になっているのではないだろうか。ある意味、「セキュリティ業界解体論」に近いのだが、そもそも、セキュリティ自体、何かに従属している存在なのだから、これは自然な流れではないかと思うのである。
今回は、フル・コンファレンスのチケットを敢えて買わなかった。たかだか45分程度のセッションの繰り返しのために、早期割引でも十数万円の投資は割に合わないと思ったからである。なので、今回はキーノートでの全体像掌握と、展示会でのベンダ動向の把握に重きを置いてみた。
最近よく見るのは、こうした自国の企業をアピールするブースである。CESでも多かったのだが、アジア系はもとより、最近ではヨーロッパ系も積極的だ。
米国は政府機関の出展も目立つ。こちらはNSAのブース。
今回は、FBI、DHS（国家安全保障省）もブースを出していて、様々な民間支援プログラムなどをアピールしていた。政府系のリサーチから、民間にノウハウを移転するというプログラムも少なくない。、このあたりは、産官学で人材がうまく回っていて、国が主体的に研究や技術開発に踏み込んでいる米国ならではの動きだろう、残念ながら、我が国では一部を除き、「官」は「産」にたよりきりなので、こういうプログラムは機能しない。
キーノートでも話が出ていたのだが、防衛系の企業の出展も目立ち始めている。「サイバー戦争」が現実味を帯びる中、軍需産業の力の入り方も顕著になっている。こうした企業が近い将来、レガシーなセキュリティ企業に取って代わる時代がくるのかもしれない。
こちらは、DHSのブースである。
初日は、そんな感じでキーノートと展示会巡りで終わった。午後に一度宿に戻り、夕方にまたダウンタウンに帰って、日本のお客さんとの会食など。
少し時間があったので、ユニオンスクエアあたりをしばらく散策。一昨日のサンフランシスコは春のような陽気で、夕方は、散歩していて、気持ちがよかった。
宵の明星が出ていたので、ちょっとこんな絵柄を撮ってみた。
ちょうどバレンタインデーとあって、夕暮れのユニオンスクエアは歩くカップルの姿も多い。
もうひとつ、こんな絵も撮ってみる。
そんな感じで、お客さんとの会食も無事終えて、PowellからBARTでMillbraeに戻る。Powell St.のケーブルカー乗り場は遅い時間でもケーブルカーを待っている人がいる。
翌日の朝は、ちょっと雲が多い空模様。この日は、近くのMariottの会場にあるSandboxエリアのIoT/ICS系のステージに詰めてみることにした。
コンファレンスセッションが、参加費の割にはイマイチだと書いたのだが、そういう意味では、Sandboxのセッションは、そこにフォーカスして話を聞きたい人間にはいい。しかも、展示会パスでも聞ける。そのぶん、地べたに座って聞くという、よくあるスタイルなのだが、どちらかと言えば私はそういうスタイルが好きなのだ。
ICSサンドボックスのプレゼンでサンディエゴがスマートシティの先進的な取り組みをしていることを知った、そういえば、CSAのIoT WGのリーダーせある、Brianも、サンディエゴ在住である。これは、もう少しあれこれ調べてみたいところだ。
お隣では、SANSがCTFっぽいイベントをやっている。
こちらは、このところICS系ステージの常連になっているカスペルスキーの連中。今回は、プラントのVRシミュレーションを使って、ICSへの攻撃シミュレーションを可視化しようという面白いシステムの紹介。本物のPLCからの信号をシミュレータに取り込んで、実際のプラントがどう動くかをVRでシミュレーションするというもの。見た目は、VRゲームそのものだが、実際に、PLCからの信号でプラントが異常動作して、それを映像で確認できる。
これは、圧力異常で可燃性ガスが漏れて火がついた状態。
まだ開発途中らしいが、実際のプラント用のステージングシステムに応用すれば、プラントを燃やさなくても（笑）攻撃や異常のシミュレーションができる。すべてをシミュレートするのではなく、実際の制御系のアウトプットを受けて動く部分のシミュレーションであるのが面白い。実際の演習などで有効活用できそうな技術である。
こちらのセッションでは、医療機器の実際のインシデントや医療機関内でのセキュリティの取り組みを医療機関のCISOが語ったセッションである。実際、一般のセキュリティはCIA（機密性、完全性、可用性）のうち、C（機密性）にフォーカスすることが多いが、医療系など、直接人に影響を及ぼすシステムでは、可用性や完全性の欠落は命に関わるため、一般とは違った優先順位で考える必要がある。しかし、医療機関という独特のカルチャーを持つ組織で利用されるITに関してセキュリティの対策や対応を取ろうとすると、そのカルチャーが障害になることが少なくないようだ。たとえば、医療機器を装着した患者に何かあった場合の調査で、機器のフォレンジック調査がタイムリーにうまく出来るか・・・といったあたりである。特にIT畑からのCISOは、そのあたりで苦労するのだとか。
トレンドマイクロの連中は、SHODANを使って、インターネットに公開されて（しまって）いる機器の傾向分析を紹介していた。機器やプロトコル別、地域別の件数で見ると、なかなか面白い傾向があるようだ。ロサンゼルスは全体的に件数が多い。次いでヒューストンが続く・・・と言った感じだが、プロトコルによっては、違う都市がトップに出てくる。これは、脆弱な機器の普及の偏りや、人口、IT化率、その他様々な要因が関連しているのだろうと思う。こうした傾向と、各都市の様々な統計情報を相関させてみると面白い傾向が見えて来るかもしれない。それこそ、ディープラーニングに食わせてみたいテーマである。
今年も、政府系な人のプレゼン。去年はFCCが、5Gに関する話をしたのだが、今年は商務省から。IoT機器の安全を高めるためのコミュニティー作りを呼びかける内容のプレゼンである。米国の役所の偉いところは、こうしたところでの存在感を自然に作り上げているところだろう。偉そうにするでもなく、でも、自分たちの方向性を説明して技術コミュニティーに対して協力を求め、率直にに議論する彼らの姿勢は、どこかの国の役人どもに足の爪の垢でも煎じて飲ませたいところである。まぁ、こうしたことができるのも、米国のように産官学で人が循環している国だからだろうが・・・
さて、今年のRSAはそんな感じで終わった。CESとはなかなか対照的な感じがあってこれはこれで面白かったのだが、我々も、もう一度自分たちの立ち位置や、これからのロードマップを考え直さなければならないだろうと強く感じた次第である。
コメントする