はやくも最終日となった(ISC)2 Congress。今朝の天気はあいかわらずの曇り。まぁ、雨が降っていないだけマシである。例によって5時前に起きて、日記書きなどをして、それからシャワーを浴びて7時半頃に会場に向かう。それから朝食会場に行き、軽くフルーツとかでコンチネンタルな朝食。
今日は、朝からブレークアウトセッションの連続。最初はクラウド関連のBoFセッションで、()SC)2自身がこの3年ほどの間にシステムをすべてクラウド化した経験を題材に、あれこれ経験交流しようというものである。
日本に比べれば、大きな組織でもクラウド利用が進んでいる米国。クラウドへの移行を成功させる鍵は、従来のシステムの構成や使い勝手にこだわらないことだという。クラウドは基本的には「既製服」だ。SaaSはもとより、IaaSであっても、従来のオンプレミスと同じ物を期待すると失敗する。まずは、クラウド移行に合ったシステムを考え、それに合った仕事のやりかたを考える必要があるということだ。本末転倒のように聞こえるが、クラウドへの移行ということがビジネス上の(たとえば、経費の大幅な削減や最新のシステム機能、モビリティーの導入などを意図した)大きな目標だとしたら、仕事のやりかたを変えるのは、当然なのだ。逆の言い方をすれば、クラウド移行の目的を、きちんと考えて決めておく必要がある。組織全体に影響を与える問題だから、当然ながらトップが深く関与する必要もあるプロジェクトだ。トップは「世の中の流れ」で動きがちだが、実際に作業を始める前に、明確な方針を持ってもらう必要があるのである。思うに、日本の企業は、このあたりが極めて弱い。だから、最新のシステムを使って業務を効率化しようとしても、現場がついてこないのである。屋上屋を重ねるようなパッケージのカスタマイズがいい例だ。結局、本来別物のシステムを無理矢理今の仕事に合わせようとしてしまうのである。そうした「合理性」の観点では、日本企業はまだまだ米国企業の足下にも及ばないと思うのである。
クラウド導入には、セキュリティやコンプライアンス上のリスクもある。クラウドに上げていい情報とそうでない情報をきちんと整理しておくことも重要だ。ある参加者の組織では、DLP(情報漏洩対策)システムを使用して、コンプライアンスやセキュリティ上の制限がある情報のアップロードを監視して、問題があれば対処しているのだという。最近の流れを考えるならば、このあたりの機能はCASB(Cloud Access Security Broker)に統合されるべきなのかもしれない。
その次は、インシデント対応(IR)の管理を「ストーリーボード」ベースでやるというもの。
インシデント対応は、一刻を争う場合が少なくない。とりわけ大きな組織では、対応に当たる関係者やマネジメント層の意思疎通が不可欠だ。こうした意思疎通を効率よく行うためには、文字や言葉よりも視覚に頼った方が良い。時々刻々変化していく情報を、うまく視覚化して全体で共有することで、コミュニケーションを効率化しようというものである。
講演者の組織(全米規模のネットワークを持つ医療機関)では、こうした情報共有に、WebEXのビデオ会議システムと、MSのOneNote、そしてVISIOを使用しているという。OneNoteは、様々な形式のデータを統合できる。インシデント対応のための流れをテンプレートにしておき、それを順次埋めながら情報を共有する。その過程で、必要な情報をVISIOを使って視覚化し、これらを会議システムを使って共有するという仕組みである。IRを行う際に、IRチームの部屋にホワイトボードを持ちこんで状況を整理するというアナログな方法では、このような大規模かつ地域が分散した組織では効率が悪い。そこを、うまくITでカバーしようという話である。対応過程で情報を電子化しておくメリットは、それをネットワーク経由で共有できるだけではない。最終的な報告書作成も、OneNoteから転記することで簡単にできてしまうから、非常に効率的である。大規模な組織のCSIRTは、こうした枠組みを作っておくといいだろう。
午前中の最後のセッションは、カスペルスキーの講演者によるIoT関連のお話。Miraiあたりから始まって、車、重要インフラなどクリティカルな方向へ話が進んでいくのだが、あまり目新しい話もなかった。
IoTについては、通常の情報セキュリティの3軸(C:機密性、I:完全性、A:可用性)だけでなく、別の3軸(S:安全性、R:信頼性、P:プライバシー)を加えた6軸が必要だという。最後のプライバシーはちょっと異質な感じもするのだが、必要な要素だろう。
しめくくりはスポンサーらしく自社の宣伝。IoT専用OSは面白いが、できればこれはオープンソースで作って欲しいなと思う。(信用がおけないというゲスな理由ではないが)そのほうが、なにかと使い勝手が上がりそうだ。K社といえば、最近米国政府から出禁(笑)を食らったようだが、米国でのビジネスはどうなのだろうか。そこが一番気になった。
昼にまたホテルに戻って、ちょっと昼寝してから、午後のセッションへ。午後一はSOCにおけるThreat Intelligence自動化のセッション。STIXによるIoC(Indicator of Compromise)を含む脅威情報の流通と、それらをシステムに自動的に反映させるための枠組みの話だ。ちょっとコンセプト的な話で、実装にはまだあれこれ課題も多そうな感じである。
そのあと、インシデント対応の話をもうひとつ聴いたのだが、このあたりからまたしても睡魔が襲ってきてちょっと辛かった。
最後はクロージングキーノート。Cyberwar(テレビ番組?)のホストで、安全保障問題のレポーターである講演者の話は、最初、興味深く聞いていたのだが、途中で意識が途切れてしまう。残念ながら、いまいち記憶が定かでは無い・・・(苦笑)
そんな感じでイベントも終了。そのあと参加者のパーティーが近くのバーを借り切って行われた。
ホテルに戻ってから会場へ行き、しばし、ロックバンドの演奏に酔いしれる。
これで今回の高飛びは日程終了。一眠りして、朝3時に起きてこれを書いている。4時45分に車がくるので、そろそろ急いでチェックアウトしないといけない。