CSA Summit US 2018

昨夜は、あまりよく眠れずに朝を迎えた。今日はRSAのプレで開催されるCSA Summitに参加。今朝のサンフランシスコは肌寒い、雲の多いお天気。

まずはモスコーンコンベンションセンターに行って、RSAのレジストレーション。北館に行ったら、レジストレーションは西館だというので、西館まで歩く。レジストレーションは比較的空いていたのだが、終わって表へ出たら土砂降りの雨。もう4月も中旬、いつもなら青空が広がる時期なのだが、まだ天気が不安定なようだ。しばらく待ってもやみそうにないので、思い切って南館まで走る。ちょっと濡れたが、とりあえず、CSA Summitの開会にはぎりぎりで間に合った。

講演は、スポンサーによるベンダ系のものが多いのだが、去年に比べると、ベンダ色が少し薄まった感じもする。ベンダの多くが、そのユーザとの共同セッションで、ユースケースの紹介だったこともある。去年はちょっと辟易した講演もあったので、これはよかった。

McAfeeの講演は、クラウドを標的としたランサムウエアのコンセプトに関するもの。Amazon S3ストレージサービスのバケットが、誤って公開されてしまっているケースも少なくないとのこと。SHODANなどでも発見が可能。そんなバケットにPower Shellで書かれたマルウエアを置いて、ユーザに対してそれをダウンロードして実行するスクリプトを組み込んだWORD文書を送り、暗号化を実行させるというコンセプトである。情報システムのクラウド移行が進む中で、今後、出てくる可能性が高い話だ。

こちらはFedRAMPの話。いかにクラウドを利用する政府機関とクラウドサービス事業者双方の利益になる制度であるかという説明。FedRAMPとCSAの連携についても話があった。たしかに、一度の作業で、その結果を複数の政府機関に横展開できるメリットは、こうした政府機関に対して大きなビジネス規模を有する大手事業者にとっては大きいと思う。クラウド利用を進めたい政府機関にとっても、統一基準は、個別のアセスメントの労力を省くことになり魅力的だ。ただ、米国でもFedRAMPに対応するコストは大きく、負担できる事業者は相応のビジネス規模を持つ大手が中心である。取得の作業に加え、コンサル費も馬鹿にならないという。大手コンサルファームの収益源でもあるようなので、周辺にはある意味利権も存在するのだろう。日本でもこうした制度を作ろうという動きがあるのだが、政府機関側も事業者側も、まだまだ成熟していない日本においては、結局利権だけが一人歩きしてしまう可能性があるから要注意だ。ちなみに、CSAが行っているクラウドセキュリティの認証制度 STAR (Level2）は、FedRAMPと連携して、政府向けサービスの認証　FedSTARを提供しようとしているようである。

今年のCSA Summitでは、ボックスランチの代わりに、なにやらジャンクな食べ物が詰まったバッグが配られた。ビーフジャーキーなども入っていて、夜のつまみによさそうなので持って帰ることにする。あまり腹も減っていなかったので、昼はそれを少しだけ食って終わりにした。雨は朝のうちに上がって、お昼には晴れ間も出てきたが、風は冷たくて薄着では寒い。

今回のSummitはCSABベンダ系のプレゼンも多かった。各社それぞれに、自社のサービスの優位性を強調しているのだが、こちらのSymantecのものは、DLPなども統合した形になっている。個人的には、どちらかといえば、セキュリティよりも、APIベースで各サービスを結合して、UI/UXをカスタマイズできるクラウドブローカーサービスがあるといいと思うのだが、こうした部分はセキュリティだけが先行しているイメージなのがちょっと残念。どちらかと言えばセキュリティは黒子であって欲しいのだが・・・。