今朝はいいお天気のデンバー近郊。ISC2 Security Congressもはや最終日である。
遠くに見えるロッキーの山々は、もう雪をいただいている。
今日のイベントは午前中のみ。朝のキーノートは、元政府のサイバーセキュリティ副長官の女性。AI時代のセキュリティと人の役割について語ってくれた。誰もが、それぞれの強みを持っていて、人としての強みはAIにはまねができない。まず、自分の強みを知ることから始めるべきだと言う。自分が（周囲に対して）与えられる特別なものは何か、そしてその理由は、自分は何を目標に進んで行くのかを常に考え続けることが重要だと言う。必要なのはスキルではなく、目指す方向性。必要なスキルはAiに頼ればいい。実際、そううまく行くかどうかは別にしても、人がAi時代を生きるための、一つの考え方だろうと思う。
次のブレークアウトセッションは、企業のガバナンスやリスク管理（GRC）とセキュリティの統合に関する話。脅威インテリジェンスを元に、セキュリティ対策を考え運用していくセキュリティ部門と、ガバナンスやルールを重視するリスク管理、監査部門。前者が、徐々にダイナミックな形に変わっていくのに対して、後者は依然としてチェックリストベースの評価手法を基本としている。この双方を統合し、脅威インテリジェンス（脅威評価）から、最終的な対策評価とリスク管理までを統一的に進める必要があるという議論である。考え方としては、自分たちの組織への脅威を複数（3～5種類）選んで、そのTTP（戦術、技術、手順）を明らかにして評価し、それを対策に紐付ける。ここで問題になるのが、セキュリティとGRCでのフレームワークの違い。前者はTTPから対策への流れとして、MITRE ATT@CKを使い、後者は例えば、CSF2．0ベースのチェックリストを使う。これを統合するためには、脅威から導かれるTTPとその緩和策までをMITRE ATT@CKで管理し、得られた緩和策をCSF2.0のセキュリティ要件にマッピングする。こうすることで、最終的に満たすべき要件の優先順位を明確にすることができる。前半では、実際に想定するTTPが有効かどうかを技術的に検証して評価し、後半では、その評価をもとに、対策の優先順位を付け、アセスメントした結果と突き合わせて現実のリスクを評価する。この方法でダイナミックに脅威とリスクを紐付けることが可能になるというわけだ。まぁ、言うは易し・・特に縦割りのきつい日本の組織ではなかなか難しいのだが、環境や脅威がめまぐるしく変化する現在においては、必要な考え方だろうと思う。特に、経営層に対して説得力を持つ後者が、状況を正しく反映した評価を行うことができる意義は大きいだろう。
最後のセッションは、ゼロトラストの実装に関する話。いまだに、残念ながら日本ではゼロトラストはある意味バズワードで、ベンダにとってはお高いソリューションを売るための方便なのだが、こちらでは、本質的な理解が（特にユーザサイドで）進んでいる。一月に「ゼロトラスト再考」でも書いたのだが、ゼロトラストとは、変化していく脅威に対して、ダイナミックに追従するための戦略だと言える。その本質は、脅威や状況の変化をリアルタイムで捉え、対応をダイナミックに変化させていくという、いわばセキュリティの「アジリティ」を高めていく点にある。つまり、AIによる脅威の変化が加速されつつある昨今、それに対応出来る戦略の筆頭格なのだ。詳細は書かないが、この講演は、ある意味、私がずっと抱いているモヤモヤを解消してくる内容だった。願わくば、こういう講演が日本でも聴かれるようになってほしいものだ。
そんな感じでイベントは終了。午後は、とりあえず部屋に帰って昼寝（日本時間では深夜なので、時差調整もかねて・・）する。夕方に起き出して、今夜はちょっとカジュアルな晩飯。ちょっと英国パブ風な店があったので、地物のビールとフィッシュアンドチップスなど。
ちょっと酔い覚ましに外を散歩する。少し寒いが、あちこちに焚き火風の暖をとれる場所が合って、なんとなくキャンプの夜を思い起こさせる。
ホテルの中にも暖炉が置かれている。
コロラドの高地もそろそろ冬支度なのだろう。そう言えば、日本の別宅の外気温をチェックしたら、とうとう氷点下に落ちていた。水抜きしてきたのは正解だったようだ。今回の日程はこれで終わり。明日の早朝にデンバーを離れて帰国の途に就く予定である。帰ったら、こちらも冬支度だ。
コメントする