昨夜は11時半過ぎにホテルに到着。即沈没して一夜明け・・・。今日からISC2 Security Congress 2025に参加である。会場は一昨年と同じホテル。中に大きなアトリウムがある。時期的にはまったく同じなのだけれど、今回は気が早いクリスマスの飾り付け。前回は時期的にハロウィーンモードだったのだが、なぜだろうか。
こちらが会場のコンベンションセンター。とりあえず、早朝にバッジをピックアップして、会場で朝食。一度部屋に戻って8時前に再度会場へ向かい、オープニングと最初のキーノートを聴く。
スピーカーはGoogleな人。Googleの巨大かつ複雑なシステムのセキュリティをどのように維持しているかという話。創業時から屋上屋を重ねるように拡大したシステムのバラバラなセキュリティを統合した苦労話など。そのキーワードは「工業化」。すべてのネットワーク、システム基盤、アプリケーションについて、必要なセキュリティ要素を規格化（部品化）して、機械的に組み込む事で、システムが巨大化しても追随できるセキュリティを実現したとか。そうすることで、最新のセキュリティをシステムを大変更することなく導入できるようにもなったと言う。しかし、言うは易しで、そうした根本的な発想の転換はGoogleだから出来たような気もする。工業化という言葉は、前世紀に某通産省が唱えて大失敗した「ソフトウエアの工業化」を思い出させるのだが、重要な部分をコンポーネント化しつつ、上物も含めて常に最新の技術を取り込んで行くスピード（アジリティー）をさらに上げようという発想は当時は全くなかった話だ。アジリティーを損なわず、かつスケーラブルなセキュリティを実現する、というある意味理想的な形だから、本当にそうなっているのだとしたら、その発想と実現した技術力を賞賛すべきだろう。
そこから、午前中にブレークアウトセッションをふたつ。ランサム攻撃のような会社を揺るがすインシデント対応に何故失敗するのか、という話とか、SOCのあり方を考え直す話とか。会社の業務が止まってしまうようなワーストケースのシナリオを前提にきちんと机上演習をやって問題点を洗い出せ・・・という話なのだが、それもセキュリティ部門だけでなく、全社的な枠組みでやらないと意味が無い。実際、そうした事態でセキュリティ部門ができることなんか、ごく僅かだ。全社を挙げて対処する練習をしておかないと、重大なインシデントに直面した際に身動きが取れなくなる。しかし、そもそも縦割りのきつい会社には難しい。旧態依然たる日本の大企業には特に難しいのだが、このところ頻発しているランサムによる業務停止が長引く原因はまさにそのあたりにあるから、そろそろ皆気がついてもよさそうなところだが・・・。「うちは大丈夫」なんて言える会社はないのだから、万一の場合に備えて全社対応の演習を、トップダウンで考えるべき時代なのだろうと思う。そういう事態を想像できない（したくない）経営者にはそろそろご退場願いたいところである。
昼飯を挟んで午後もいくつかのセッションを聴いたのだが、次第に眠気がきつくなってくる。昼休みと、午後の展示会見学時間は部屋に戻って仮眠する。会場から部屋までそこそこ距離があるので、今日はそれだけで軽く1万歩を越えた。（笑）夕方は、ナッシュビルのダウンタウンで交流イベントがあったのだが、夜に日本との打ち合わせがあったのでパスしてホテルで晩飯。
日が暮れたアトリウムはイルミネーションが綺麗だ。晩飯はとりあえず肉。（笑）
で、部屋に戻って1時間ほど日本とリモート会議。例によってどこに居ようが関係ない。（苦笑）こちらの午後9時は日本の午前11時（翌日）である。流石に、午後の打ち合わせはきついので、午前中にリスケして貰った。そんな感じのナッシュビル初日（昨日はノーカンで）、明日も引き続きコンファレンス参加である。
コメントする