ブログ

今朝はいいお天気のデンバー近郊。ISC2 Security Congressもはや最終日である。

遠くに見えるロッキーの山々は、もう雪をいただいている。

今日のイベントは午前中のみ。朝のキーノートは、元政府のサイバーセキュリティ副長官の女性。AI時代のセキュリティと人の役割について語ってくれた。誰もが、それぞれの強みを持っていて、人としての強みはAIにはまねができない。まず、自分の強みを知ることから始めるべきだと言う。自分が（周囲に対して）与えられる特別なものは何か、そしてその理由は、自分は何を目標に進んで行くのかを常に考え続けることが重要だと言う。必要なのはスキルではなく、目指す方向性。必要なスキルはAiに頼ればいい。実際、そううまく行くかどうかは別にしても、人がAi時代を生きるための、一つの考え方だろうと思う。

次のブレークアウトセッションは、企業のガバナンスやリスク管理（GRC）とセキュリティの統合に関する話。脅威インテリジェンスを元に、セキュリティ対策を考え運用していくセキュリティ部門と、ガバナンスやルールを重視するリスク管理、監査部門。前者が、徐々にダイナミックな形に変わっていくのに対して、後者が依然としてチェックリストベースの評価手法を基本としている。この双方を統合し、脅威インテリハンス（脅威評価）から、最終的な対策評価とリスク管理までを統一的に進める必要があるという議論である。考え方としては、自分たちの組織への脅威を複数（3～5種類）選んで、そのTTP（戦術、技術、手順）を明らかにして評価し、それを対策に紐付ける。ここで問題になるのが、セキュリティとGRCでのフレームワークの違い。前者はTTPから対策への流れとして、MITRE ATT@CKを使い、後者は例えば、CSF2．0ベースのチェックリストを使う。これを統合するためには、脅威から導かれるTTPとその緩和策までをMITRE ATT@CKで管理し、得られた緩和策をCSF2.0のセキュリティ要件にマッピングする。こうすることで、最終的に満たすべき要件の優先順位を明確にすることができる。前半では、実際に想定するTTPが有効かどうかを技術的に検証して評価し、後半では、その評価をもとに、対策の優先順位を付け、アセスメントした結果と突き合わせて現実のリスクを評価する。この方法でダイナミックに脅威とリスクを紐付けることが可能になるというわけだ。まぁ、言うは易し・・特に縦割りのきつい日本の組織ではなかなか難しいのだが、環境や脅威がめまぐるしく変化する現在においては、必要な考え方だろうと思う。特に、経営層に対して説得力を持つ後者が、状況を正しく反映した評価を行うことができる意義は大きいだろう。

最後のセッションは、ゼロトラストの実装に関する話。いまだに、残念ながら日本ではゼロトラストはある意味バズワードで、ベンダにとってはお高いソリューションを売るための方便なのだが、こちらでは、本質的な理解が（特にユーザサイドで）進んでいる。一月に「ゼロトラスト再考」でも書いたのだが、ゼロトラストとは、変化していく脅威に対して、ダイナミックに追従するための戦略だと言える。その本質は、脅威や状況の変化をリアルタイムで捉え、対応をダイナミックに変化させていくという、いわばセキュリティの「アジリティ」を高めていく点にある。つまり、AIによる脅威の変化が加速されつつある昨今、それに対応出来る戦略の筆頭格なのだ。詳細は書かないが、この講演は、ある意味、私がずっと抱いているモヤモヤを解消してくる内容だった。願わくば、こういう講演が日本でも聴かれるようになってほしいものだ。

そんな感じでイベントは終了。午後は、とりあえず部屋に帰って昼寝（日本時間では深夜なので、時差調整もかねて・・）する。夕方に起き出して、今夜はちょっとカジュアルな晩飯。ちょっと英国パブ風な店があったので、地物のビールとフィッシュアンドチップスなど。

ちょっと酔い覚ましに外を散歩する。少し寒いが、あちこちに焚き火風の暖をとれる場所が合って、なんとなくキャンプの夜を思い起こさせる。

ホテルの中にも暖炉が置かれている。

コロラドの高地もそろそろ冬支度なのだろう。そう言えば、日本の別宅の外気温をチェックしたら、とうとう氷点下に落ちていた。水抜きしてきたのは正解だったようだ。今回の日程はこれで終わり。明日の早朝にデンバーを離れて帰国の途に就く予定である。帰ったら、こちらも冬支度だ。

引き続きコロラドでのイベント参加。二日目の朝は、濃い霧に包まれていた。

なにやら昨今の状況を暗示しているような気がする。さて、朝は6時半に朝食会場へ行って朝飯を食い、部屋に戻ってざっとシャワーを浴びてから朝のキーノートを聴く。

今朝のキーノートは、長年FBIで誘拐事件の交渉役を務めていた人物。流石の話術で会場は盛り上がるのだが、残念ながらこうしたカジュアルな雰囲気の話は私のヒアリング力に余る。なんとか聞き取れた内容を言えば、相手に脂油モンする際に、答えがYESになる質問の仕方の方が心理的にハードルが低いが、交渉術においては、これは罠として使えるのだとか。YES/NOの質問を織り交ぜながら相手を揺さぶっていくのだそうだ。とにかく、相手の本音をどう引き出すかが重要なポイントだとのことである。

その後、今日はAI関連の話を続けて聴く。最初の講演はCISCOのエンジニア。AIエージェントが、実際に何かを実行する際に使用するMCPサーバだが、このMCPを悪用した攻撃もあり、また、不必要な情報までエージェントが取り出してしまわないように、MCPの通信に入り込んで、チェックする仕組みについての話。既に実証は終わっていて、近いうちに製品化するとのこと。こうした仕組みを間に入れるとボトルネックにならないか気になるのだが、実際に遅延は僅かだという。大きなポイントは、データのチェックとポシリーのコントロールを分けること。エージェント、MCPサーバの双方から影響を受けない形での判断が重要だという。

同様の話は次の講演でもあった。こちらの講演は具体的な実装の話では無く、こうした制御を行う際の考え方について。Aiエージェントに対するポリシーの適用は、可能に限り、それが何かを行う直前で、独立した形で行う必要があるという点。ちょうど、人的ミスや故障の際に、機械側でフェイルセーフを組み込むのに似ている。してはならないことをAIに教えることも必要ではあるが、すべてのパターンを人が網羅出来るわけではない。現実に、人の指示をかいくぐって不正な動きをしてしまった事例は多い。AIへのポリシー適用は、AIが扱える環境とは完全に独立して行う必要があるという話だ。これは、先の講演のシステムの設計思想に通じる。

この時期、こういう飾り物は定番。このガイコツはなかなか存在感がある。これも、昨今のギョーカイ界隈の状況を暗示しているような気もするが・・・。

午後はタウンホールミーティングで、ISC2の幹部が、ISC2の方向性を話したり、参加者からの質問を受けたり。ちなみに、来年の開催は、ワシントンDC近郊のナショナルハーバーとのこと。以前何度か、別のイベントで行ったことがある場所だ。来年また行けるのを楽しみにしていよう。その後、今度はAIを使ったバグ探しの話。いろんな条件で実行させてその違いを見る研究の話は興味深い。単純にバグを探す指示だけでは、3割程度しか見つけられないが、指示を細かくしていくにつれて、検出率が上がる一方で、誤検知も多少増えるというのも面白い。☑させるときは、対象のコードが含まれたファイルだけでなく、関連したファイルをすべて与えることで、他のファイルに依存したバグ（脆弱性）も見つけ出せるようになる。いやぁ、なかなか面白い世の中になった。まぁ、そのうち、AIが全部コードを書くようになったら、そんなことも不要になるのか。あるいは、Ai間違いを別のAIがチェックすることになるのか・・・。いずれにせよ、これから数年の内にそんあ世界が来るのだろう。

会場の渡り廊下から、西側を見ると遠くにロッキーの山並みが見える。以前、アスペンやヴェイルにスキーで来たのを思い出した。スキー場のトップは4000ｍとかなので、空気が薄くて難儀したのを覚えている。

今日も部屋でちょっと横になったら寝てしまい、最後のセッションは逃してしまった。夕方、展示会場で軽食と酒が出るレセプションがあり、今夜の晩飯は、それですませる。昨夜、ちょっとカネをつかやったので、今日はタダ飯である。（笑）会場に大きなクマのぬいぐるみ。愛嬌があるが、この時期、山では本物がうろついているので、洒落にならない。

そんな感じの二日目である。こんな夕景をみながら、部屋に戻る。

夜8時から1時間ほど日本と打ち合わせ。まぁ、これはお約束である。さて、明日はもう最終日。午前中でイベントは終わる。

そして、今日からこちら。

ISC2 Security Congress 2026、今年も参加である。今回はコロラド州デンバー（近郊のオーロラという地域）での開催。会場はデンバー市街から少し離れた空港近くのリゾートホテルである。

昨夜はとりあえず、10時過ぎからだらだらと寝て、今朝は6時台に起床。昨夜の残りのラップを食いつつ、レジストレーションのあと、朝食会場でまた少し食うなど。オープニングは8時から。

ISC2のトップによる、いつも通りのオープニングアドレス。いつも通りに、「この難局を乗り切るにはコミュニティーの力が・・・」という話なのだが、私はちょっと疑問を感じながら聞いていた。「難局」の元凶がAIだとしたなら、意思決定も動きも圧倒的に遅い「人」のコミュニティーはどこまで力を発揮できるのだろう。相手が人が主体の脅威ならば、コミュニティの知恵、いわゆる「共助」は大きな力になると思うが、人のはるかに上を行くAI相手に知恵を出し合ったところで、追いつかないような気がするのだ。強いていうなら、AIも交えたコミュニティーが必要なのではないだろうか、などと妄想していた。

このあと聴いたセッションは、いわゆるCIAの3軸を拡張して、よりリスクの性質を詳細に評価出来るようにするという話。たしかに、C（Confidentiality:機密性）、I (Integrity：完全性）、A（Availability：可用性）の3軸は大きすぎるきらいがある。COBITのような7軸もありうるのだが、この講演では、9軸つまり、CIAに加えて（Non-repudiation：否認防止、Authenticity：正統性、Authorized use:承認された利用、Possession：支配・所有、Privacy：プライバシー、Utility：電力などの供給）という6軸を追加するという話である。最初に思った疑問は、これらが独立した軸ではなく、CIAのそれぞれに関連しているということ。その点は講演者も触れているのだが、それなら、独立して扱うのではなく、CIAそれぞれを細分化（階層化）した形で扱うのが綺麗なのではないかと思うのである。聴いていて、一度自分なりにそう言う整理をしてみても面白いのではないかと思った。そういう意味では、面白い示唆が得られた講演だったと思う。

次の講演は、「静的なコンプライアンスから動的なリスク評価とレジリエンスへ」というもの。これだけ変化が激しい世の中だと、従来型のコンプライアンス管理（決まった形のチェックリスト管理的なもの）では、まったく追いつかない。状況の変化をとらえて、リスクを再評価し、対処していく動的な枠組みが必要なことは言うまでも無い。継続的モニタリングや、「ゼロトラスト」すら、こうした動的なリスク評価と対応の範疇にある。この講演では、従来型のコンプライアンスから動的なリスク評価、対応への移行ステップと、その章が意図なりうるものを整理していて興味深いものだった。詳細は書くと長くなるので敢えて書かないが、「ゼロベースでやるのではなく、既存のしくみは、少なくとも基礎にはなるから、その上に動的な枠組みを作っていくべき」というのは、考え方として共感できた。新しい考え方を導入する時、ともすれば従来からの方法を全否定しがちだが、何が使えて何が使えず、何を足すべきかという検討が重要で、そうした検討に基づいて十分考察をしてから進めないと、結果として負荷が大きくなりすぎたり矛盾が出てきて失敗するよ、というのは納得である。

イマイチ腹も減っていなかったので昼飯はパスして、部屋に戻ってちょっと昼寝。午後の最初のキーノートから復帰する。キーノートは、AIや量子コンピューティングなど、従来の形を大きく変えるものとどう向き合っていくか、という話だったのだが、これも課題の列挙と抽象的な解決策に留まったように思えた。この種の話は、具体的に何をすべきかが、なかなか見えてこない。それもそのはず、まだ最終形が見えてこない（いや、そもそも際限なく進化を続けて最終形もないのかもしれない）物を相手にしては、「状況を見ながら適切に対応を」としか言えないのである。要は「大枠は提示できるが、最後は自分で考えて動け」ということなのだろう。

さて、例によってこのあたりから、時々スイッチが切れ始めた。ちょっと限界なので、一度部屋に戻って横になったら、夕方まで寝てしまった。なぁ、無理は禁物である。（苦笑）午前中は悪かった天気が、午後にはすっかり禍福したので、目覚ましがてら周囲を少し散歩する。

夜はネットワーキングイベントがあったのだが、とりあえずパスしていつものように「塊肉」を食いに行く。周囲には何もない孤立したリゾートホテルなのだが、中の飲食は（ちょっとお高いが）結構充実している。このステーキハウスもなかなかだ。とりあえず、いつものコロナから入って、8ozのフィレ（ミディアムレア）と付け合わせのアスパラガスを食いながら、オレゴン産のピノノアール。ちょっとした贅沢である。

例によって、金額（特に円換算）は考えないことにした。（苦笑）でも、至福の時間はプライスレスだ。

そんな感じで初日が終わる。明日はまた終日コンファレンス聴講。寝落ちしないことを祈ろう。

PHP祭りは一段落するも、まだ停止しているサイトも少なくない。どうやら既にEOLでサポート外のバージョンのPHPを使い続けていて、更新が難しいのではないかという推測も出ている。こうしたEOLソフトウエアの使用については、これまでも問題にされてきたのだが、更新がアプリケーションに悪影響を与える可能性などを理由に、放置されてきた実情がある。サイバー攻撃、個人情報漏洩は依然として継続しているから、動かし続ければ、格好の餌食になりかねないから、もう放置はできない。かといって、いつまでもサービスを止められないから、根本的な解決を考えざるを得ないところまで来ていると思うのである。

アプリケーションの部品あるいは動作基盤として使われるソフトウエアの更新は、従来、設計上意識されることがなかった。アプリケーションのEOLまで同じ物を使い続ける前提である。しかし、昨今の状況を考えると、従来考えられなかった頻度でこうしたソフトウエアに多数の脆弱性が発見され、緊急に導入が必要な修正版がリリースされることは、容易に想像できるし、現実にそうなりつつある。また、オープンソースを含め、旧バージョンのサポート期間がどんどん短くなっているから、今後の開発においては、（今進行中のものを含めて）、こうしたコンポーネントを（メジャーバージョンアップを含めて）更新する前提での設計が必要になるだろうし、発注元はそれを要求すべきだ。開発者は、たとえばコンポーネントのラッパーを作るといった形で、バージョンアップがアプリケーション全体に与える影響を緩和するような設計をすべきだろう。

さて、今週は別宅を撤収しなければいけないので、金曜の仕事が終わってから、グリーンプラザの温泉に浸かりに行ってきた。やっぱり、温泉は定期的に浸かって身体を温めるのがいい。これから寒い時期に入るので、特に重要だ。

あいにくと週末にかけて天気は下り坂。土曜の朝は小雨模様になっていた。とりあえず、朝飯の後、片付けをして、昼ごろに別宅を撤収。気温は比較的高めだったが、次は11月になるので、万一のことを考えて水抜きはしておいた。横浜へのルートは軽井沢経由、碓氷バイパスから松井田妙義に抜けて上信越道というルート。碓氷軽井沢からと比べて、それほど時間も変わらないし、山道の走行を楽しめるので最近は主にこのルートを使っている。雨で道が濡れているので、無茶はできないのだが、それでも退屈しないのがいい。（いい爺が大人げないと思うなかれ（苦笑））

高速も比較的空いていて、途中、上里で軽く昼飯を食い、三芳で休憩といういつものパターン。大泉からの外環も珍しく渋滞なく、5号から中環も順調。明るいうちに横浜に到着することができた。

郵便受けを見たら、支払い物が複数。健康保険料3ヶ月分を、とりあえず涙目で支払い、少し昼寝してから、晩飯を食いにでかける。買い物も面倒だったので外食である。

ニュースを見ていたら、先日サイバー攻撃を受けた某企業が、なんと政府に「能動的サイバー防御」を依頼したという。これにはちょっと驚いた。民間企業一社の手に余るという理由のようだが、そもそもこの仕組みはそうした形で動く物ではない。この企業（の経営者）は、なにか勘違いしているのではないだろうか。昨今の攻撃には、様々な主体が関わっているだろうし、それらすべてに対して一国で 対抗することなどできようもない。サイバーセキュリティ系の企業もグループにある企業だし、そんなことは分かりそうなものだが、ある意味「バンザイ」することを正当化するつもりなのだろうか。まぁ、この企業のビジネスには（かつて不快な思いもしたので）色々思うところもあるのだが、かなり意味不明な行動だと思うのである。さておき、国は国際的な連携での情報収集や共同対処の枠組みをさらに強化すべきだろう。もはや、一国のみでの対応は困難な状況になりつつあるので。

さて、今朝はちょっと朝寝してから、朝食はコンビニで買ってすませ、荷造りをする。今日から「秋の高飛び」でデンバー（米国コロラド州）へ行く。ISC2 Security Congress 2026に参加するためである。このイベントも、このところ毎年参加している。昨今の状況は（日本に特に集中しているとはいえ）世界的な傾向でもあるから、どのような話が聞こえてくるのかも興味深い。

昼過ぎに自宅を出て羽田に向かう。当初、電車で・・と思っていたのだが、気温が26℃まで上がって、蒸し暑い感じなので、ちょっと折れて車にした。道路は順調で20分ほどで到着。とりあえずスーツケースは預けてしまい、ちょっとこんな景色を見に行く。

米国の航空会社にあまり荷物は預けたくないのだが、まぁ、中身が衣類ばかりなのと、もうかなりくたびれたケースなので、最近米国の国内線の持ち込み荷物制限が厳しくなっていることもあり、預けてしまった次第。まぁ、入国時に一度受け取らなければならないのだが、タグがついていれば、そのまま預けられるので。両替は1ドル札のみ30枚。そもそも、最近、現金はチップ以外、殆ど使わないのでこれで十分である。

空港内もすっかり秋の雰囲気になっている。とりあえず、保安検査を抜け、出国手続きを終えて、いつものラウンジでまったりしているところだ。

例によって、ビール一杯とカレー一皿を摂取してしまったのだが、とりあえず、その後はあれこれ控えて搭乗を待っている。あと30分ほどで搭乗時刻である。デンバーはデルタで行くとちょっと便利が悪い。（ユナイテッドだと直行があるのだが）今回も、シアトル、ソルトレイク経由の2ストップである。シアトル便は、飛行時間が短めなので、どうしても寝不足がちになるのだが、とりあえず、機内食はそこそこにしてひたすら寝ることにする。どのみち、WiFiも到着直前でないと使えないので。

とりあえず、出発。続きはシアトルか、ソルトレイクにて・・。

【追記＠ソルトレイク】

シアトルまでの機材はA350-900。以前はA330だったように思ったのだが、大きな機材に変わったようだ。それでも、今日のフライトは満席らしい。

出発は定刻。いつもの東京の景色を眼下に一路シアトルへ。

今回の機内食、和食は飽きたのと、チョイスにチキンカレーがあったので、そちらを選択。

食事の後すぐに寝にかかったのだが、やはりよく眠れず。到着前の朝食はキッシュ。カレーもあったのだが、さすがに連続でカレーはやめにした。そんな感じで、ほぼ定刻にシアトル到着。

そこで30分ほどラウンジで待って、次のソルトレイク行きに乗り継ぐ。ラウンジに入る前に見た時は、ゲートがB7と、ラウンジの近くだったので、ちょっとゆっくりしていたら、出る時点になって、A13という、ずいぶん遠い場所に変わっている。仕方が無いので歩いて言って見たら、行き先がボストンとの表示。ボードを見たらソルトレイク行き、B6の文字が見えた。アプリの表示はA13のままだが、信用できず、またBゲート方向へ急いで戻る。ラウンジ手前まで戻ってきた時に、ボードを再度見たら、B6というのは、一つ遅い便。搭乗便はA13になっていた。ちょっとわけがわからくなりつつ、またA13まで走って戻る。よく見ると、ボストン行きは隣のA12で、一番端のA13がシアトル行き。とんだ早とちりで、えらい大汗をかいてしまった。どうにか搭乗には間に合って、一番最後に搭乗する。まったく、大騒ぎである。まぁ、とりあえず乗れたのでよし、と一路ソルトレイクへ。あいかわらず、シアトルの離陸待ちは混雑していて、しばらく待ってから離陸。

こんなランチを食いながら、実質1時間半ほどのフライトで、ソルトレイクへ

荒涼とした山々が少し雪をかぶっている。

とりあえず、無事？ソルトレイクに到着し、あまり時間が無いので、そのまま乗り継ぎの出発ゲートへ。で、ほぼ定刻に事前改札搭乗が始まった・・と思ったら、一度乗った乗客がまた降りてきた。機長が出てきて何やら話をしていたと思ったら、メンテナンスのため、搭乗を一時停止するという。いやな雰囲気が漂う。結経、出発は最終的に1時間遅れとなり、機材変更でゲートも変更になる。

クルーが降りてきた時はキャンセルかと身構えたが、幸い機材変更ですんだようだ。現時点でまだ搭乗が始まっていないので、もう少し遅れそうだ。なんとか無事デンバーに向かえることを祈ろう。

【追記＠デンバー】

結局、フライトは約2時間遅れ。デンバー到着は午後7時前になってしまった。それでもまぁ、到着できたのが幸いである。流石にポロシャツ1枚では寒いデンバー。標高は別宅よりも高い1500ｍ超である。以前来た時はちょっと息苦しさも覚えたのだが、流石に別宅暮らしで高地順応しているからか、今回は問題無かった。ただ、往路のドタバタでかなり体力を消耗したので、早く休みたかった。とりあえず、Uberでイベント会場のホテルに移動してチェックイン。小腹が空いていたので、売店でラップ（2個入り）を買って、一個だけ食い、早々に寝ることにした。これは翌朝の追記である。さて、今日から ISC2 Security Congress参加である。

しかし、昨日は暑かった。別宅界隈（標高1000m超）で23℃とか、季節が夏に戻ったかのようである。暑い（熱い？）と言えば、本業界隈は、あいかわらず騒々しい。連日の不正アクセスのニュースが継続しているのに加え、PHPが脆弱性修正版を夜の11時にリリースするとのアナウンスが・・・。CVSS（共通脆弱性指標）の評価値が9.2と緊急の対処が必要なレベル。一部には攻撃が始まっているという情報もあって、世の中が大騒ぎになった。PHPは様々なWebサイトのアプリケーションに使われている。多くの企業や個人がWebサイトに使っているCMS、WordpressもPHPで動いているから、影響は非常に大きい。先手を打ってサイトを停止させる組織が続出するなど、テレビのニュースでも取り上げられたり、首相御自ら注意喚起を行うなど、国を挙げての大騒ぎになっている。

ちなみに、うちの仕事用のWebサイトはWordpressを使っているので間違いなく対象。このサーバも表だって使っていないないものの、PHPはインストールされているので、アップデートしておいたほうが無難。パッチは予定通り午後11時にリリースされたのだが、それが、Linuxのパッケージとしてリリースされるには時間がかかる。なので、とりあえず、リリースされるまでの間、安全策としてサーバを停止させた。本当に油断ならない状況なので、致し方ない。

一夜明けても、まだパッケージはリリースされておらず、仕事など色々あったので、昼間はサーバ停止のまま放置となった。

さておき、昨夜一雨あったのを境に、気温が急降下して、今日はこの季節らしい気温に戻った。まったく、体調がおかしくなる変化である。昨日、風が吹いてまた落葉が進んだ。木々の間の空がまた少し広がった感じである。落ち葉だけでなく、枯れ枝が大漁に道路に散乱しているので、かなり邪魔なことになっている。

今日は少し雲が多いものの、天気は悪くなく、お山もこんな感じで全体が見えている。

紅葉も日増しに濃くなって、いい感じである。

午後は仕事をしながら、その合間にまた少し歩く。気温は12℃くらいと、昨日に比べて10℃は低いので、上着を着ていないと結構寒い。

下の画像の一番高い木は、前の記事でも書いたが、更に一段と黄色くなったように見える。どんどん季節が進んでいる感じだ。

夕方まで仕事をして、日が暮れかかってから買い物に出かける。帰ってきてから、暗くなったあたりを少し歩いて、どうにか歩数は一万歩をクリアした。見上げた月はまた太って、もう数日で満月になりそうだ。

晩飯を食ってから、アップデートの様子を見たのだが、標準のリポジトリではまだパッケージがアップデートされていない。仕方が無いので、別のリポジトリから最新版のパッケージを探してインストールして、サーバを再起動した。とりあえず、今回のお祭り対応は完了したのだが、たぶんこれはほんの小手調べに違いない。おそらく立て続けに深刻な脆弱性のアナウンスが出てくるのだろう。だんだん恐れていた状況に近づいてくる。世の中のIT関係者よ、戦いに備えて覚悟を決めよ！！。（とはいえ、これはもう人力でなんとかなるレベルではない。一刻も早く、機械的な対抗策を考えないといけない事態である）

先週末もいい天気が続いたので、散歩も自ずと歩数が伸びた。朝晩の気温が下がってきたので、また一歩紅葉が進んだようだ。

下の一番高い木もそろそろ黄色みががかってきた。これも落葉樹なので、もう一ヶ月もすれば枝だけになる。

土曜日は久しぶりにグリーンプラザの温泉へ行って来た。さすがにこの季節の週末は客も多い。それでも、午後の早い時間であれば、芋洗いは避けられる。

空にはこんな昼の月。

土曜はこれと言ってすることもなく、一日のんびりと過ごす。ドラクエ10オンラインのアップデートがあったので、夜はしばらくハマる。「大型」アップデートとは言うが、追加されたメインストーリーは2、3日でクリアできてしまう。で、また半年待ちだから、次のアップデートの際にストーリーを忘れていて難儀するのである。今回、久しぶりにレベルキャップが引き上げられたので、また、各ジョブでのレベル上げの日々が始まる。さすがにレベル140台だと1日で1レベルアップはきつい。新ストーリーは剣士でクリアしたが、レベルはまだ142でカンスト（143）していない。レベル140のジョブがまだ10種類以上あるので、レベル上げはまだまだ遠い道のりである。（苦笑）

日曜は、昼過ぎに一気に8000歩ほど歩いてから、少し仕事をする。散歩では、また少し紅葉の様子を見て回る。

朝はかなり冷え込んだが、昼間は気温もあがって過ごしやすい。浅間山もいい感じだ。

紅葉もそうだが、広葉樹の落葉も進んでいて、木立の隙間から見える空が、少しずつ広がっている。

仕事と言えば、情報漏洩騒ぎがまだまだ止まらない。サービス事業者が攻撃を受け、そのサービスを利用している複数の企業や地方自治体の情報が漏れたというニュース、それにまた新たに攻撃を受けたというニュースがぱらぱらと聞こえてくる。メディアは「専門家」の話としてAIの介在可能性を伝えているが、なんらかの形でAIが使われていることは間違いないだろう。NICTがA2Bと名づけた、アプリ解析からバックボーンにいるサーバの脆弱性を見つけ出して攻撃する手法では、少なくとも解析にはAIが使われていそうだし、もしかしたら、攻撃そのものもAIを使って実行されているのかもしれない。AIと言えば、このところ「AI暴走脅威論」が盛んだが、それ以前に、AIを悪用しようとする輩がいることが最大の問題だろうと思う。先端AIの暴走や規制の議論の隙間で、自前のAIを使って悪事を働く輩（犯罪組織や無法者国家など）が暗躍していることは間違いないわけで、そういう奴らに対しては規制やモラトリアムは無意味だから、AIそのものよりも、そうした悪用に対しての対抗策を考えることが必要だろうと思うのである。とはいえ、狙われそうな組織（どこも狙われて不思議ではないのだが）は、当面、臨戦態勢で臨むしかなさそうである。

さておき、昨日の夕方の付きは、また少し太って半月くらいになっている。

今朝は久しぶりに青空が見えない天気だった。予報によれば、今週前半は天気が崩れるようで、後半もいまひとつすっきりしないらしい。とりあえず、水曜か木曜には横浜に戻ろうと思っているのだが、天気が回復したら、また一段と気温が下がりそうだから、次に来る時は本格的な冬支度が必要になりそうである。

水曜日は天気が悪く、調子も良くなかったので、ほとんど出歩かず。で、木曜からちょっと横浜へ戻って一泊して、今日また別宅に戻ってきた。もともとの帰った理由は手持ちの常用薬が切れかかったこと。そのまま別宅撤収してもいいのだが、もうしばらく秋を楽しみたいのと、再来週デンバーへ行くので、もう少し高地で過ごしていたかったから。で、とりあえず軽井沢から新幹線で往復となった。軽井沢までの道中、いつもは国道側を通るのだが、ちょっと時間が不安だったので、有料道路側を通ることに。途中、鬼押出しあたりで見た浅間山など。

とりあえず、本宅に戻って、薬は補充。日帰りもせわしないので、一泊することにして、ちょっと懸案になっていた作業に着手する。本宅で、以前メインで使っていたPCがあるのだが、実は、ちょっと問題があって、Windows10のままアップデートできていなかった。サポート切れを使い続けるのもアレなので、昨年末に新調したノートPCを別宅兼用でメインPCとして使っていたのだが、比較的新しいPC（自作）なので、別の目的で活用しようと考えていたところだったのである。仕事の環境等は、この半年ほどの間にノート側に全部整っているので、容量不足だったSSDの交換に併せて、すべてインストールし直すことにした。しかし、これがちょっと難渋。インストールそのものはうまく行ったのだが、それをADに参加させるところで（もともと、うちのADが抱えていた）問題が発覚。その対処に数時間かかってしまい、作業が一区切りついたのは夜の8時だった。想定外にエネルギーを使ってしまったので、とりあえず晩飯を近くの和食レストランに食いに行き、生ビールで一息。そんな感じでちょっとドタバタ。で、今朝は午前中に打ち合わせを一件、オンラインで。昨日再構築したPCのテストがてら使ってみる。とりあえず、そちらの方は問題無く、昼過ぎに打ち合わせが終わったので撤収準備していたら、いきなり緊急地震速報。スマホから大音量のアラームと同時に外では災害無線の放送。一瞬身構えて、揺れに備えたのだが、いつまでたっても揺れない。テレビをつけてみたら緊急放送になっていたのだが、日本の東半分が真っ赤。しかし、震源に近い北海道の映像にも揺れの兆候はない。なんとなく「誤報」っぽい雰囲気が漂い始めたところで、またアラーム。今度は何？と見たら地震速報取消のお知らせだった。昨今の情勢と仕事柄、まず頭をよぎったのが「サイバー攻撃」なのだが、どうやらそうではなかったようで、とりあえずひと安心。実際カムチャツカあたりで地震が起きては居たのだが、マグニチュード9.9クラスと誤判断してのアラームだったようだ。震源が日本から離れていたのが一因だというのだが、詳細な理由は不明。速報取消騒ぎは前代未聞のお騒がせで、気象庁は平身低頭、陳謝しているようだが、まぁ、深刻な事態でなくてよかったと思っておこう。（笑）

そんなことをしていたら、帰りの新幹線（東京発）まで時間が少なくなってしまったので、新横浜から新幹線を乗り継ぐことにして、家を出る。少し雲は多いものの、天気は良くて気温は高め。長袖ではちょっと暑くて腕まくりする。久々の富士山は霞んで肉眼ではかろうじてわかるくらい。下の画像はちょっとコントラストを強めてある。

新横浜まで来てみたら、東海道新幹線は軒並み遅延中。どうやらさきの誤報騒ぎが原因らしい。やはり「お騒がせ」である。まぁ、こちらは自由席で東京までなので、来た列車に乗ればいいので止まっていなければ問題は無い。次にきたのが「のぞみ」で、自由席が最後尾の2両しかなかったから、どうせ座れなさそうだし、とりあえず指定席車両のデッキで立っていることにした。20分もかからないので問題は無い。

東京には発車時刻の20分ほど前に到着。小腹が空いたが、時間が中途半端なので、コンビニでサンドイッチを買い込んで乗車する、

後はのんびり帰るだけ・・・だったのだけど、大宮から乗ってきて隣に座った奴が、やたらとタバコ臭いので難儀した。どうせ、乗車前に思い切り吸ってきたのだろう。本人はまったく気がついていないようだが、吸わないものにとっては迷惑千万である。そういえば、昔会社のエレベーターでもそんなことがあったなと思い出した。朝とか、休憩時間など、全面禁煙のオフィスに入る前にタバコを吸ってきた奴らの臭いで、エレベーターがひどいことになっていた。まったく、困りものである。

そんな感じで、ちょっと気分悪い出来事もあったのだが、無事、軽井沢まで帰って、スーパーで買い物をしてから別宅に帰着した。とりあえず、これで、来週半ばくらいまでは、こちらに居られる。・・・で、今気付いたのだが、実は本宅で書類にはんこを・・と思っていたのを、すっかり忘れていた。書類は未開封のままリュックの中に・・・。はぁ、これは大失敗である。相手先には申し訳ないが、来週まで待って貰おう・・。

先週末から秋晴れが続いている別宅界隈。昼間は20℃近くまで気温が上がる日がある一方、夜は10℃以下まで冷え込む。先日のような3℃を切る冷え込みはその後ないが、秋がどんどん深まっている感じだ。近くの木々も、そろそろ紅葉し始めている。

うろこ雲と紅葉も秋らしい絵だろうか。

三連休が終わり、また今日から日常が始まった。今日は5件ほどの打ち合わせの合間に、周囲を散歩する。9月の長雨以来、歩数が戻っていないので、頑張ってリハビリしないといけない。

今朝の浅間山はうっすらと霞んでいる。天気がちょっと下り坂になるサインだろうか。

お天気といえば、荒れ模様だった本業界隈。一時に比べるとサイバー攻撃を受けた・・という発表（というかニュース）は減ったように見えるが、今日もまだ何件か発表があった。先日、某通信キャリア系のデータセンタが、そのシステム基盤ごとやられてしまった関係で、そのサービスを使っていた企業からの漏洩（可能性）発表が続いている。現代の情報インフラであるデータセンターが侵害されると、影響が非常に大きくなる。今回の侵害はテナントではなく、事業者のシステム（仮想化基盤）ごとランサム攻撃に遭ったため、そのデータセンタに収容されているすべてのテナントのサービスが停止したばかりでなく、データも漏洩してしまった可能性があるわけだ。この会社は、政府調達のクラウドセキュリティ認証制度であるISMAPの認証を受けており、ハイレベルのセキュリティ対策が行われていたはずなのだが、それを回避するような攻撃があったのか、はたまた、運用上、なんらかの穴があったのか、そのあたりは詳細な原因が判明していないので、なんとも言えない。ただ、こうした対象を狙うならば、攻撃側もそれなりに準備をして臨むだろうから、当然、攻撃はハイレベルなものになるだろう。他のデータセンター事業者も、他山の石として、再度守りを固めてほしいところだ。

さて、そんな感じで一日過ごし、夕方に仕上げで歩いて、歩数は久しぶりに1万1千歩を超えた。夕方、近くのテニスコートに猫がぽつんと一匹。のどかな風景である。

さて、明日はちょっと天気が崩れる予報。明後日には回復するようだが、気温がぐっと下がってくるようだから体調管理には気をつけないといけない。高地であるこのあたりは、そろそろ冬支度を始める時期になってきそうだ。

今週は好天が続いている別宅界隈。昼間はそこそこ気温も上がって過ごしやすいのだが、夜は放射冷却で一気に冷える。先日など朝方2.7℃まで下がったので、そろそろ冬支度も視野に入れないといけない。さておき、別宅界隈の様子と猫をまじえて・・・。

これは、マムシグサの実。

道にはこんなドングリがたくさん転がっている。

昼間は天気もいいので、猫たちものんびりと過ごしている。

昨日も、朝から快晴。浅間山もスッキリと見える。ちょっと寒いが、気持ちがいい散歩日和である。

昼前に一件打ち合わせをすませてから、車で越後湯沢へ向かう。ルートは中之条から沼田へ出て、月夜野から関越道。所要時間は2時間半ほどである。目的は、毎年恒例の（というか久しぶりの参加なのだが）越後湯沢情報セキュリティワークショップ参加である。5月の白浜、6月の熱海に続いて今年3回目の「ギョーカイ温泉イベント」である。会場は中心街から少し離れたNASPAニューオータニホテル。駅～車だと、ものの5分くらいだが、裏はスキー場である。

ホテルの入り口はハロウィーン飾り。この日の宿泊客は大半が関係者だ。

今回のテーマはセキュリティにおける「自助」「共助」「公助」。昨今、深刻化しているサイバー攻撃に対抗するためには、この3つが有機的に結びつかないとダメ・・という話である。セキュリティの情報共有コミュニティーであるISACなどの話とか。

このところの騒ぎが気になるところなのだが、このイベントのプログラムは、夏頃には決まっていたので、直近のネタがなかったのは残念。この種の温泉イベントは、常連組にとっては昼間よりも夜の方が盛り上がるのだが、今回、会場のホテルが取れず、駅前に泊まることになってしまったのと、車の移動なので、酒が入るイベントはちょっと辛いので、とりあえず夜の部はパスして、ホテルにチェックイン。それから晩飯を食いに出かける。

この店は、湯沢に来るとよく来る店。昔、スキーでしょっちゅう来ていた頃から来ている蕎麦屋である。で、かんな感じでニシンせいろと舞茸天など。

これでほろ酔いになってしまい、帰りにコンビニでまた少し酒などを買って宿で出来上がることにする。夜の部の別会場が近くにあるのだが、こちらのセッションはあまり興味を引かれなかったので、今回はパス。宿の部屋でいい感じで酔っ払った所に、呑みの誘いが入ったのだが、既に結構出来上がってしまっていたので、これもパスして、温泉に浸かる。暖まったら一気に眠くなって、そのまま沈没した。

今朝は朝風呂の後、朝食を取り、チェックアウトしてまた会場へ行き、講演を聴く。昼飯のお弁当を食った後、腹ごなしに周囲をしばらく散歩。しかし、気温が25℃とか、秋にはほど遠い雰囲気。もう少し涼しいかと思っていたのだが、長袖ではちょっと暑いくらいで腕まくりして歩くなど。やはり今年はちょっと異常かもしれない。

でも、木々は少し紅葉し始めている。もうしばらくするといい感じになりそうだ。

とりあえず、最後まで講演は聴いて、終了後、有志が集まった飲み会はパスして早々に会場を後にした。今回、別宅から車で参加していたので、残念ながら飲めないのである。別宅から新幹線にしようとすると軽井沢まで出て高崎乗り換えという面倒なルートになってしまう。車だと月夜野まで下を走ってそこから関越道で2時間ちょっと。軽井沢まで出る時間と乗り継ぎなどを考えるとあまり変わらない。湯沢でもう一泊も考えたのだが、今日から3連休なので、宿の確保が厳しいのと、道も混みそうなので、今回は素直に帰ることにした。

さて、今年の温泉イベントはこれで終わり。次は来年の道後に行くかどうか・・・。道後はこれまで一回しか行ったことが無いので、来年は久しぶりに行ってもいいなと思っている。さて、昨今の騒ぎの延長上で、それどころではない状態に陥っていないことを切に願うばかりだ。

【追記】

そう言えば、湯沢での警察庁の講演で、「日本の警察は（サイバー事案に対処するための、十分な）権限と金がない」という話があった。権限というのは、主に予防対処や事件化する前の段階で何かをする「権限」、金はまんまの意味である。ある意味、現場（警察庁）の愚痴なのだが、強制権限がない部分は、実際に対応する権限のある相手に対して可能な限り情報を共有して「お願いする」のだという。金の面については、これは予算の問題なので、世論の後押しで国会などが動いてくれれば・・・という話だった。聴いていて、これは民間企業におけるセキュリティ部門の立場に近いなと思った次第。多くの組織のセキュリティ部門も、「権限」と「金」の問題が悩みの種だろう。そして、その対応策はまさに、「情報共有とお願い」「世論、世の中の動き」なのだ。たしかに、強制権限を持っていれば強力だが、考えて見れば、権限を行使するに当たっては、相手の状況やその影響を十分に把握しないといけない。副作用も懸念される。一方、実際に対処する権限を持っている相手が納得すれば、事はスムーズに動く。問題はその「理解」に要する時間を出来るだけ短縮することだ。それには普段からの情報共有などコミュニケーションが重要となる。そうして、周囲の理解が深まれば、自ずと予算もついてくるのかもしれない。このあたりは、今回のテーマである、「自助」と「共助」の関係と言えるだろう。そういう意味では、よほどの緊急事態以外では、強制措置の出番はないのかもしれない。

10月に入って数日はいい天気が続いたのだが、一昨日あたりからまたぐずついている。とりあえず、気分直しの猫分補給など。

天気がぐずついている原因は南の台風と北の低気圧。まぁ、9月からの長雨のように長続きはしなさそうで、今日は少し晴れ間も見えてきた。

最近すっかり日和見が板に付き、天気が悪いと引きこもる状態が続いているので、天気の回復は重要である。明日からしばらく秋晴れになる予想だからひと安心だが、日本の南海上には時季外れの台風3つ。一つは日付変更線を超えてきた元ハリケーンだというから興味深い。数日の間に日本に接近するものの、上陸はなさそうだ。太平洋沿岸はちょっと荒れそうだが・・・。

荒れ模様と言えば、本業界隈である。ここ何週間かのうちにサイバー攻撃による情報漏洩が多発していて、今日もまた3件ほど発表があった。明らかに異常な状況なのだが、その原因や攻撃の主体（アクター）、目的などの情報がいまひとつ不明で、専門家の間でも意見が定まっていない状況が続いている。盗まれているのは主に個人情報なのだが、それが目的なのか、単に結果として漏洩した（可能性がある）のか、それも定かではない。そもそも、日本の企業が立て続けに狙われているのは、なんらかのキャンペーンである可能性もあるのだが、同一のアクターによる攻撃である証拠も見当たらない。また、詳細な情報が少ないのでなんとも言えないが、侵害の方法もばらばらな感じがする。一部では、AIを使った攻撃・・・という話も出てきているが、これも確証はない。ただ、AIを使うことで、攻撃側は効率を大幅に上げられるから、短期間で多数の攻撃が実行出来る。あるいは何者かがAIなどを使って多くの組織の脆弱性を調べ、その攻撃方法などを含め闇市場で販売しているとか、Aiを応用したツールが闇で流通しているとか、あれこれ妄想は働くのだが、いずれも確証はない。ただ、使い手にある程度サイバー攻撃の知識があれば、高性能なAIでなくても（たとえば、ちょっとハイスペックのPCとGPUを使ってローカルで構築したAIでも）実用的なレベルで攻撃に利用出来るという話もある。少なくとも、攻撃の頻度が上がった原因の一つにはAIがあるとみてもいいかもしれない。だとすれば、こうした傾向は一過性のものではなく、今後も続いていく可能性が高い。これまで攻撃者に見つかっていなかった脆弱性が、発見され、悪用されることで、多くの組織でサイバー攻撃のリスクが高まることになる。以前にも書いたが、セキュリティ対策の基本や、対策の多くは従来から変わらない。但し、対策の見直しや運用のサイクルは大幅に短縮しなければならない。極論すれば、昨日は大丈夫だったものが今日は危険になる可能性も考えなければいけないということだ。特に、深刻な脆弱性に関する情報はリアルタイムに収集して、ただちに対策を講じる必要が出てくる。人手に頼っていては限界があるので、自動化出来るところはどんどん自動化していかなければいけない。なかなか油断ならない世の中になってきた。セキュリティ屋だけでなく、ITの、特に運用、保守に携わっている人たちは、腹をくくる必要がありそうだ。ITユーザもこれまででのように、セキュリティやシステムの運用を委託先任せにしてはいられなくなるだろう。そういう意味では、ユーザ企業も（特に経営層は）腹をくくって自社の体制を見直す必要があるだろうと思うのである。