舞台はとある国際空港。些細なWi-Fiルーターのトラブルから始まった障害は次第に重大なシステムエラーを引き起こし、ついには人命にも関わる事態へ…。
日本IBMは先日、サイバー攻撃疑似体験ゲーム｢TERMINAL（日本語字幕版）｣を公開しました。同社のWebメディアMugendai（無限大）にて、その詳細が紹介されています。
ITアナリスト、チームマネージャー、そして空港責任者の全3部からなるTERMINAL。選択肢をクリックしていくだけで難しい操作などはなく、所要時間も20～30分程度と誰でも気軽にプレイできます。
チームを編成してトラブルに対応、犯人からの理不尽な要求と究極の選択…。
リアルなサイバー攻撃を学べてゲームとしても楽しめる上、ゲーム内のチャットボットに同社が誇るAIのWatsonが採用されるなど、随所にさすが感が光る秀作となっています。
特別なハードも不要で、PCから気軽に遊べるTERMINAL。リモートワークの息抜きがてら挑戦できそうな詳細は、Mugendai（無限大）よりご覧ください。
こんにちは。最近、ご機嫌が上向かないはなくとです
今回は、ハーバード・ジュリアードを首席卒業した私の「いつも機嫌がいい人の小さな習慣」という書籍を紹介したいと思います。人生って自分がどのような感情をどれくらいの割合で過ごしてきたかで決まるんじゃないかと思ってます。死ぬ前に「よい人生であった。。」と笑顔で死にたいものです。
・幸せだから笑顔ではなく、笑顔だから幸せがやってくる
・挨拶は体ごと相手に向ける
・身近な人ほどありがとうと言う
・いつもと違うことをしてみる
・ときどき空を見上げる
・意識してゆっくり、丁寧に動く
・姿勢を正して深呼吸する
・朝起きたときにベッドを整える1日の最初に行う仕事。できたら気分いい
・譲れるときは譲る
・体を動かす
・誰も見ていないところでいいことをする
・自分を褒める
・安いものより欲しいものを買う
・物より経験にお金を使う
・入ってくるお金/出ていくお金にありがとうとつぶやく
・他人のためにお金を使う
・苦手な人にも自分から挨拶する
・相手からいいとこどりをする
・相手のいいところはすぐ口に出す
・相手が断りやすい状況にして頼みごとをする
・身近な人の欠点に慣れる
・小さな親切をちょこちょこする
・正しいことを言うときほど控えめに
・「言葉の力」を味方につける
・どうにもならないことは「これでいいのだ！」
・布団の中ではいいことだけを考える
・計画を立てすぎず「なりゆき」を楽しむ
・根回しに手を抜かない
・人に頼ることを恐れない
・大事なことよりしたいことの予定を優先
・迷ったら「原点」に戻る
・「やらなければいけないこと」を「やりたいこと」に変える
・「時間がない」と言わない
・損得より「気分がいいこと」を基準にする
・やりたいことはすぐにやる
・誰かのために時間を使う
おしまい。
マイクロソフトは、AndroidアプリケーションをWindows 10上で実行できるようにする、Linux用のWindowsサブシステムに似たサブシステムを作成していると報じられています。
約70％のモバイル市場シェアを持ち、iOSとは異なり、オープンアプリのエコシステムであることから、Androidのサポートを直接Windows 10に持ち込まないのは間違いだろう。
Microsoftはこのことに気付いており、すでにYour PhoneアプリとサポートされているAndroidデバイスを使って、Windows 10でAndroidアプリを起動するための限定的なサポートを開始しています。しかし、Your Phone経由でのAndroidアプリの起動は、Windows 10でアプリを実行するのではなく、携帯電話からのストリーミングによって行われます。
"Microsoftは、アプリ開発者がAndroidアプリをMSIXとしてパッケージ化し、開発者がMicrosoftストアに提出できるようにすることで、コードをほとんど変更せずにWindows 10に持ち込めるようにするソフトウェアソリューションに取り組んでいます。"とWindows Centralが報じています。
この新しい取り組みは「Project Latte」と呼ばれ、Windows Subsystem for Linux（WSL）と同様に、Windows 10内で直接実行される仮想化されたAndroid環境を構築するという。
最大の障害となるのは、Androidアプリに求められるグラフィカル・ユーザー・インターフェースだが、『WSL 2』のリリースに伴い、マイクロソフト社は『WSL-G』、つまり『WSL - Graphics Architecture』と呼ばれるプロジェクトに取り組み始めている。このプロジェクトでは、内蔵のWaylandディスプレイサーバーを利用して、LinuxのGUIアプリをWindows 10のユーザーインターフェイスで直接実行できるようにしている。
MicrosoftのSteve Pronovost氏によるXDC 2020の講演では、Microsoftが作成している新機能「WSL-G」についてさらに詳しく説明している。
WSL-Gコンポーネントか何かを含むWSLをAndroid OSを動かすために移植すれば、Windows 10で仮想化されたAndroidアプリを動かすことができるようになる。
Bowden氏は、この新しいサブシステムがGoogle Playをサポートする可能性は低いと述べているが、それはGoogleがこのサービスを非ネイティブのAndroidやChromeOSデバイスにインストールすることを許可していないからだ。
しかし、Androidアプリのオープンアーキテクチャにより、開発者はAndroidアプリをパッケージ化し、Microsoft Storeを通じて配布することができるようになる。残念ながら、これは、悪意のあるAndroidアプリがGoogleにとって悪夢となっているため、Microsoftは提出されたパッケージのマルウェアのレビューにもチームを割かなければならないことを意味している。
OPSECという言葉を最初に編み出したのは、ベトナム戦争時の米軍だ。当時、米軍の戦略や戦術が敵に読まれていると見られたことから、Purple Dragonという作戦チームが調査した。北ベトナムやベトコンは米国の通信を解読できておらず、また内部でデータを収集できるスパイもいないと見られたことから、米軍自身の不注意で重要な情報が敵にばれているとの結論が導かれた。軍事分野でのOPSECの定義としてPurple Dragonが最初に定めたのは、「我々の優位性や弱点を敵軍に知られずにおく能力」だった。 もともと軍事分野が発祥の概念だが、コンピューター時代には、政府機関や民間企業にとっても極めて重要な考え方となった。OPSECを強化するための策を考えておくことは、あらゆる組織の最高セキュリティ責任者（CSO）にとって欠かせない。
その後、OPSECの概念は、米軍から米政府機関へ、さらには民間部門へと徐々に広がり、細かな肉付けが施されていった。米国の核兵器を管轄する米エネルギー省では、OPSECについて、「非機密情報や、支配下にある重要情報が、短期的または長期的に秘匿が必要な機密情報を知る手がかりとなり得る場合に、そのような情報を特定するプロセス」を扱うものだと説明し、「OPSECの目的は、任務・作戦・活動についてのセンシティブな非機密情報を識別・統制・秘匿すること、および、その任務・作戦・活動を敵が侵害する能力を無効化または緩和することである」としている。
ここまでの定義や説明は、どれも非常に抽象的だ。OPSECには具体的に何が含まれるのだろうか。それを理解するには、OPSECの顕著な失敗例をいくつか見てみるのが一番かもしれない。公になった情報をつなぎ合わせ、当事者が隠しておきたかったであろう全体像をあぶり出すことに成功した事例である。
まずは、立場上もっと慎重であるべきだった人に関する顕著な事例を見てみよう。2017年3月、Gizmodoのライター、Ashley Feinberg氏は誰でも入手できるいくつかのデータだけを基に、当時の米連邦捜査局（FBI）長官のJames Comey氏がひそかに開設していたInstagramアカウントとTwitterアカウントを突き止めることに成功した。ソーシャルメディア上の証拠をたどって答えを導いた見事なお手本だ。
Feinberg氏は、Comey氏の息子のBrienさんが米ケニオン大学のバスケットボール選手であることを知り、同大学の運動部のInstagramアカウントでBrienさんに関する動画を見つけた。その投稿に付いたコメントの1つは、Brienさん個人のInstagramアカウントにタグ付けされていた。そこでFeinberg氏は、匿名の使い捨てアカウントを使って、Brienさんのアカウントにフォローリクエストを送った。こうすると、その人に関連するアカウントをフォロー先の候補としてInstagramが提示してくれるからだ。
この時提示されたアカウントの中に、「reinholdniebuhr」という鍵付きアカウントがあった。このアカウント名の基になっているReinhold Niebuhrというのは、James Comey氏が卒論のテーマにした神学者の名前だった。これがComey氏のアカウントだとFeinberg氏は確信した。
また、Twitterアカウントに関しては、「niebuhr」に関連する名前を使っているアカウントは数えるほどしかなかった。そのうちの1つが、「@projectexile7」というアカウントだった。このアカウント名は、Comey氏が1990年代に立ち上げに携わった銃犯罪対策プログラムに由来するものと見られた。また、このアカウントをフォローしていたのは、Comey氏の友人で、安全保障関連ブログの開設者であるBenjamin Wittes氏1人だけだった。こうしてFeinberg氏はアカウントを突き止めた。その後、2017年10月になって、同氏の読みが正しかったことが確認された。
この事例が見事に示しているとおり、セキュリティ意識が高いはずの人でも、本人が気づかないうちに、ソーシャルメディアにさまざまな手がかりを残していることがある。また、軍事的な意味でこれ以上に深刻な痕跡がFacebookなどのソーシャルメディアに残っている場合もある。
例えばロシア政府は、ウクライナ東部の紛争に関して、親ロシア派の武装勢力はウクライナ国内の勢力であり、ロシア軍が関与しているわけではないと公式には説明している。だが、ロシア軍の兵士がソーシャルメディアにたびたび上げた投稿の中には、Instagramの写真にうっかり付いていた位置情報から、ウクライナ領内にいたことを明白に示しているものがあった。
似た例としては、広く利用されているフィットネスアプリ「Strava」がある。フィットネストラッカーのデータを基に、世界各地でユーザーがジョギングなどのアクティビティを行った場所が細かく分かる機能をStravaがリリースしたところ、秘密の米軍基地の場所が明らかになってしまった。このアプリは米軍兵士にも愛用者が大勢いるからだ。
企業レベルでOPSECに不備があった場合、国家安全保障上のリスクにはならないかもしれないが、当事者にとってはやはり大惨事となりかねない。OPSECに関して見られる過ちとして、米Digital Guardianのブログ記事の中で起業家のShy Bredewold氏が挙げているのは、慣れや不注意から企業の内部情報が漏れる事例だ。「熱心すぎる社員が投稿に加えたタグによって、公にしていないトレーニング施設の存在が明らかになる。あるいは、奥さんにした話が、うちの夫は来月の新機軸のプロダクトのリリースに向けて重圧を感じている、といった話として投稿される」
また、ずさんな扱いのパスワードが攻撃で狙われる恐れもある。Webサイトのパスワードはたびたび流出事件が発生し、多数のユーザー名とパスワードの組み合わせが公となっている。ハッカーにとっては、こうしたIDの持ち主の勤務先を調べて、再利用しているパスワードを攻撃に使えないか探るのにうってつけだ。
OPSECの手順については、米軍が定めた5段階のプロセスがあり、企業や組織がデータやインフラを精査して防御計画を定めるうえでも参考になる。米SecurityTrailsのブログに平易な解説があるが、ここでも簡単にまとめておこう。
1. クリティカルな情報の特定：敵の手に渡ったら組織に損害が及ぶことになるデータを特定する。顧客情報、財務情報、知的財産など、さまざまなデータが考えられる。
2. 脅威の特定：どのような敵に狙われるかを考える。サイバー犯罪集団からライバル企業まで、さまざまな可能性が考えられる。敵の種類によって標的のデータが異なる場合があることに留意する。
3. 脆弱性の分析：企業や組織のセキュリティ対策で核となるステップの1つだ。綿密なセキュリティ監査を実施して、インフラの弱点を明らかにする。
4. リスクの評価：脅威のレベルを特定する。すなわち、ステップ3で明らかになった脆弱性により、ステップ1で特定した重要なデータが、ステップ2で特定した敵にどのように漏れるのかを明確にする。公になった脆弱性を利用されたらどの程度の損害が生じ得るのかや、そうした攻撃を実際に受ける可能性がどの程度あるのかを割り出す必要がある。
5. 対応計画の策定：ここまでで探った情報に基づき、脆弱性を解消してデータを万全に防御するための計画を策定する。
変更管理プロセスを導入する OPSEC計画の中で講じられるセキュリティ対策にも、やや抽象的な面はあるが、HackerCombatの記事では、次のようなベストプラクティスを挙げている。
SecurityTrailsの記事では、OPSECの計画で注目すべき部分について細かく挙げている。氏名、IPアドレス、言語、メールアドレスなど、個人を特定するセンシティブなデータに細心の注意が必要なのは当然だが、人的側面への対応も欠かせない。特に、社内の人間にOPSECの意識を習慣づける必要がある。データやデバイスの暗号化、データの転送に対するモニタリング、特定のデータへのアクセスの制限など、いくつかの習慣についてトレーニングが必要だ。
また、本記事の前半で取り上げたような失敗の数々も意識しておく必要がある。ソーシャルメディアに関しては特にそうだ。第2次世界大戦時の米国では、「口は災いのもと」という意味合いのスローガンがOPSECの推進に使われた。現在の企業や組織にも同じことが言えるし、Facebookへの投稿にも同様の考え方が当てはまる。
社内でOPSECの責任者を誰が務めればよいかという疑問を持つ人もいるかもしれない。実のところ、その答えはまだ特に定まってはいない。多くの場合、社内で関心と技能が最も高い人物が、最も適任の候補者である。組織図のどこに位置しているかは関係ない。
OPSECに携わる人を支援する非営利組織Operations Security Professional's Association（OSPA）のサイトでは、OPSECに関与している人々の事例が分かり、多くの人がたどるキャリアパスや職務の内容を知るうえで参考になる。OPSECに全精力を投じている人もいれば、さまざまな職務の1つとしてOPSECを担っている人もいる。自社でOPSECの考え方を取り入れるにはどのような形をとるのが最善か、各自で考える必要がある。
昔は年始の挨拶といえば年賀状だったが、最近はLINEを活用している。
毎年年末年始の時期にはLINEおみくじのキャンペーンがあり、ここ数年毎年キャンペーンに乗っかっている。
そんなわけで年賀状の生産枚数は毎年下降を続け、今や年間1枚のみとなっている。
というのも、FacebookもLINEもやっていない人が約1名いるのだが、そういう人に限ってとてもお世話になっていた人となるので、毎年書き続けている。
年賀状って面倒くさいと思うかもしれないが、生産枚数1枚だと、意外に面倒くさくない。
毎年最初に作る年賀状が、その年に作成する最後の年賀状になるので、しっかり気持ちも込められるし、疲れないのである。
話がそれたが、今年のLINEおみくじキャンペーンが、事実上最初のおみくじとなったため、結果を晒しておきたい。
ちなみに、おみくじは、大吉・吉・中吉・小吉・末吉・凶 の順に良いとされている。
今回は小吉となったが、今年は後厄なので、まぁ妥当なところだろう。
昨年は散々な年だったので、一陽来復の兆しにはとても期待したい。
勝負どころが1月下旬の午前中とのことで、今年は年明け早々に勝負どころが来ることとなる。
年明け早々に勝負どころが来る点は少し心当たりがある。
ここまでは良いのだが、開運アイテムがK-POPだと！
うーん。
き、聴いてみるか。。。。。
ガートナー ジャパン（以下、ガートナー）は2020年11月26日、これからの時代に求められる新しいセキュリティリーダーシップの在り方について発表した。
新型コロナウイルス感染症（COVID-19）の影響でビジネス環境は大きく変化し、企業は多くの不確実性に直面することになり、セキュリティリスクもこれまで以上に予見しづらい状況になった。
「トラストを上げる」「トラストを確保する」といったように、これからのセキュリティでは「トラスト」という単語が頻出する。キャッチーな言葉を使うとセキュリティについて最先端の議論をしているように思えるが、人によってその意味するところが異なるため、何を議論しているのかが不明瞭なままになる危うさがある。
セキュリティリーダーは、このような表層的な議論を続けるのではなく、「ここでいう信頼（トラスト）とは何か」を問いながら、具体的な対象がはっきりと分かるように議論を仕切り直すべきである。
リモートワークの拡大や、デジタルトランスフォーメーション（DX）で加速するクラウドやモバイルの活用など、セキュリティリーダーは常にセキュリティとビジネスの間に立たされる。
例えば、セキュリティが十分ではないのにビジネスを推進しなければならないという場合には、「最初から大規模に利用せず、できる限り小さく始める」ことが鍵となる。社内での議論をこのような方向に導くことができるのは、企業の中でもセキュリティリーダーだけである。
セキュリティ関連の事件が起きたとき、経営陣から「当社は大丈夫なのか」と聞かれることがあるだろう。「はい／いいえ」というシンプルな回答を期待されているという背景はあっても、それだけではセキュリティ状況の報告としては十分とはいえない。
「大丈夫か」に対する直球の回答ではなく、「セキュリティの本当の問題は何か」を経営陣に報告するための良い機会とできるかどうかが、新しいセキュリティリーダーへの分かれ道になる。
まさに1年前の2019年末は、2020年は東京オリンピックがあり、マイルでの3年ごとの周遊計画を立てていたりで、素晴らしい年になると想像していた。
ところが、ふたを開けてみると武漢ウイルスの蔓延で東京オリンピックは1年延長になり、飛行機は飛ばなくなってマイル旅行どころではなくなり、仕事ではテレハラで休職したりと、散々な1年であった。
とはいえ、今年は大厄だったので、それでも健康に迎えられるだけでも感謝である。
世の中には「年越し派遣村」のリニューアル版である「コロナ被害相談村」が用意されるらしい。
そう思うと、過ごす部屋や布団がある状態で年を越せるのはありがたいことなのかもしれない。
「コロナ被害相談村」を対応する方々には頭が下がる。
私は自分の対応で精いっぱいである。
年末恒例の大掃除を行ったところ、内藤忍先生が作成した、いつぞやのセミナーでもらった資産運用虎の巻が出てきた。
紙で持っておくのも何なので、データ化しておきたい。
資料は数年前のもので、マイナス金利時代の前提がついているものの、おそらく基本的な考え方は今でも通じると思うし、今後も通じる気がしている。
投資に関しても大きな成果がない1年だったが、逆に退場することもなく市場に入れたことに感謝しなければならない。
いろいろ無事であることに感謝しつつ、来年は前進したいと思う。