AI時代に増えるセキュリティ攻撃と設定の穴
長谷川リョーです。 高宮慎一です。 ぼくらの戦略論です。ベンチャー・キャピタリストで戦略プロの高宮さんと、大阪で福祉事業に取り組んでいる長谷川リョーで、戦略の話をしていく番組です。
いやー、今回ね、ぼくちょっと緊急企画でやりたかったっていうのが、 はい、はい。
AI時代、セキュリティ柔軟どうしたらいいんだっていう、めちゃくちゃいろんな企業がアタックされて、いろんな企業が情報を漏らしまくって、
免許証漏れるわ、FXアカウント漏れるわ、そっから個人のデスクトップ入られるわ、結構地獄絵図になってて、なんか全然人事じゃなくて、スタートアップとかもすごいやられちゃってるから、
どの投資先の役員会でも絶対話題になる、どうしましょうみたいな話があって、なんかビジネス側、経営者目線としてどうしようかみたいな話もあるし、緊急企画というところで、我らがCTO今井さんにも参加していただ
いて、技術目線でどうなんだみたいな話もしたいし、
一方でまあまあ自分自身として、会社のパソコンで目線なんかも収録しちゃってるけど、果たしていいのかとか、個人としてもどう対応したらいいのか、責任取りきれないのどうしましょうみたいな、なんか自分のパソ
コンきっかけでFX講座ダダ漏れになっちゃって会社が大迷惑とかだったらもう責任取りきれんしどうしようみたいな
話を
僕もなんかスモールビジネスですけど、その障害者の方の情報、個人情報とかすごいセンシティブなものを扱ってるんで、結構どうしようかなってちょうど思ってたところがあるんで
普通のなんかウェブサービス的な話とかエンタープライズサービスとかの話でもあるし、僕も当時先医療系の会社もあるんで、医療系とかだと個人情報のセンシティビティが一段上だから、ね、より気をつけなきゃっていう
話で
どう対応していくかっていうところで
ぜひCTO
これどう切り出しましょうかみたいな話がありつつ、一旦これ僕の認識を今井さんにぶつけてみていいですか
もちろんシステムとか、テクノロジー的な脆弱性をつかれて入られるみたいな話は
素人的には一番攻撃されるイメージってそれなんですけど、でも起こってることって実はシステムそのものがクラックされて入られてるというよりは
システムと人が絡んだときの運用、何ならエージェントとかAIエージェントを使ったとか何かVPNを使ったみたいな話の権限設定みたいな話
要は運用上のルール設定とそれを遵守するみたいな、人起因のところで入られてるケースの方が多くて
もうなんかテックそのものが破られてるっていう感じじゃないと思ってるんですけど
今井さん的にはそこどうなんですか、テックそのものが破られているケースもいっぱいあるから
ディフェンスの方のテック力を上げなきゃいけないみたいな話なのかどうなんですか
よろしくお願いします、CTOの今井と申します、よろしくお願いします今回
本業もスタートアップのCTOやられてるんですよね
CTO兼CPOみたいな形でやってるんですけど
そうですね、さっき高宮さんがおっしゃっていただいた通り、人起因でのセキュリティが破られるみたいな
もちろん技術的な面で破られるセキュリティもあるかなと思うんですけど
人が起因して何かこうやってしまったとか、人が何か設定したからそこから漏れてしまったとか
もちろんそういうのもあるんじゃないのかなと思いますね、もちろん
今起きてるインシデントで大いいのってどっちなんですか
いやこれが難しいところで、ちょっと個社の名前を出すべきかどうか若干微妙なところがあるんですけど
例えばそのPCの乗っ取りみたいな話、今一番ホットなワードの防車であれば
あれはどちらかというとそのサービスで設定されていた設定値をダウンロードしたPCが乗っ取られてしまうみたいな話なので
なんかちょっとあいのこみたいな感じのところはあるかなと思う
でもあれってテックがディフェンスをちゃんとしたのにテック側が破られたというよりも
テックはしっかりしていたんだけどそこの設定を人でするところのデフォルトの設定が脇山になってたから
別にテックそのものが破られたというよりも設定の脆弱性つかれたという理解してたんですけど
どうなんですか、そんなことないですか
その設定を配っていたのは会社側なので、そのデフォルト設定を配っていたのは会社側なので
その設定値は技術的なところなんじゃないのかなとは若干思いますけど
でもそこってポリシーを遵守するの話で別に設定値さえ変えれば何とかもうちょっと防げたはずなのに
めちゃめちゃセキュリティを飼いくぐってブレーク
なんか穴がないところに穴を開けられるわけじゃなくて穴があったのを見つけられただけっていう
そうだと思います、基本的には
という意味で言うと結構そのヒトキーン、なんか経営ビジネス側がテック分からなかったとしても
じゃあどういう設定にするの、設定によっては穴がゼロにはできないのかもしれないんですけど
めちゃめちゃ狭い穴にはできるみたいな話はあったと思っていて
そこがベストエフォートで最も狭い穴にできていなかったっていうのは結構問題だったじゃないか
2段階あると思ってて穴がないところにこじ開けられたはもうなんかテクノロジーでベストを作ったけど
相手が上手でしょうがなかったようでごめんなさいだと思うんですけど
こっちが正しい設定をしなかったが故に穴が開いちゃってたっていうのは結構運用上の話で
そこはなんかもうちょっとベストエフォートでカバーできるから
技術力今のまんまでも全スタートアップ全企業ができる話なのかなとかって思ったり
それはあの多分今言ってもらったのってその気をつけるべきところ
ないしはちゃんとやるべきことはちゃんとやろうねって話かなって思ったんですけどそんな理解であってますかね
そうそうただやっぱり今までってこんな悪意を持って意図的にしかも銃弾爆撃的に
その穴を探せなかったからあんまり顕在化しなかったのがAI時代になって
徹底的に外周全部回って穴を探すみたいなことができるようになっちゃったから
インシデントとして顕在化しちゃっているっていう話だと思うんですよ
それこそさっきの事例も7年間その設定のまんまだったけど今になってその穴見つけられて入られたっていう話
そうですねやりやすくなったから数の暴力によって穴が探されやすくなったし
そこが露呈しやすくなったっていう構造が確実にありません最低としては
セキュリティを経営上の必要コストにする
そうとすると結構僕投資家社外取締役として投資先の経営会議とか取締役会で議論しているのは
ちょっとなんていうんですかねその悪意性とか攻撃力みたいなのが圧倒的に上がってきちゃったので
まずはめちゃめちゃこちら側も意識を上げないとなんかうっかり穴残しちゃいましたみたいな話でやると
めちゃめちゃやられるからその経営アジェンダとしてプライオリティを上げましょうと
しかも情報を漏らしてしまった時のなんかマグニチュードみたいなのめちゃくちゃ上がってると思ってまして
結構漏らしてしまった時のマグニチュードって漏らした人数かけるもしくは情報の項目数かける漏らした情報のクリティカル度だと思っていて
なんかFXの講座のパスワードとか運転免許書とかマジでやばいもしくはなんか医療企業の個人のなんかめちゃめちゃプライバシー度が高い医療情報とか出ちゃうってマジでやばいんで
そういう情報を持ってるんだとするとなおさらもっとできるベストエフォートで徹底的に穴を塞ぐっていうのをしなきゃいけないし
それをやるために本当に意識としてめちゃめちゃプライベリティー上げていかなきゃいけないんじゃないかと思っていて
それに対して今までだと意識が上がってないし後回しになっちゃったかもしれないし何なら外部のセキュリティ企業を使って脆弱性チェックするとか
それの対応するみたいなところに対してコストもかけらんなかったみたいなところが
世の中のベストプラクティスと言われていることをしっかりやるっていうこと自体がもう経営責任としてめちゃくちゃ大事になってしまっていて
ベストエフォートでやりきった上で攻撃力が勝っちゃったんだとごめんなさいなんだけど
こっちがやってなくてやられちゃいましただと経営の責任果たせないからもう徹底的にそこはコストかかっててもしょうがないとしてやるしかなくて
AI時代の必要コストみたいな話になっちゃってコストのレベルが上がっちゃってもやらざるを得ないから
それを織り込んででもエコノミックスがうビジネスモデルをちゃんと考えましょうっていう世界線に入っちゃったのかなって思ってますと
その通りだなと思う一方でちょっと高宮さんにこの機会なんでぜひ聞いてみたいところがあるんですけど
もちろん今おっしゃっていただいたできる限りのことはちゃんとして経営的にプライオリティ高くセキュリティの対応はしましょうねっていう世界線に突入して
今までもそうだったと思うんですけどそれがちゃんと認知されてかなりプライオリティとしては上がってきてるのかなって
セキュリティの部分に関して上がってきてるのかなと思いつつもビジネス上をセキュリティさっき言っていただいたデータを持っているかどうかとかに結構関わってくるじゃないですか
これゼロから始めたときってセキュリティのプライオリティどうなるんだろうってすごい常々思うんですよ
どう年先とかにアドバイスとかしてるんですかね
データを持たない認証とリスクの外部化
これゼロから始めるともしくは今後の事業機会としては持たざるセキュリティみたいな話がすっごい増えると思うんですよ
例えば本人認証しなきゃいけないサービスとかがあったとしてそれこそ金融とかでなんか免許証とかアップロードさせるじゃないですか
持ってること自体がリスクだから端末側でエッジ認証するみたいな世界は来るような気がしていて
企業側が個人情報を抱えないまま目的を達成するっていう仕組みとかソリューションビジネスが今後出てくるんじゃないかなって思ってます
だからKYCサービスとかってすごい出てきて何なら情報バンクみたいなビジネスモデルとかも出てきたんですけど
あの辺はもう抱えている情報のさっきのマグニチュードがデカすぎてめちゃめちゃ狙われるから
超リスク抱えてる危ないビジネスなんでもう徹底的にそれこそ世界最高のホワイトハッカーを抱えて
ブラックハッカーを撃退しますっていうのが本気でやりきれないと抱える方は危ないんじゃないかなと思っているので
基本持たないまま認証OKの情報だけをこっち側が吸い上げるっていう時代になっていくんじゃないかなと思います
それに伴ってそれをやるビジネスも出てくるし
企業がサービスを運営するにあたって持つ認証のアーキテクチャとかも変わっていくんじゃないかなって
なるほどビジネスとしてセキュリティ観点で二分するとすると
データを持つビジネスとデータを持たないで何とかやっていくビジネスの日向に極端に分かれるってことですかね今後
極端に分かれると思いますしよっぽどセキュリティの技術力に自信がないと持たない方に行っちゃうんじゃないかなと思います
その上でデータを持つ方に関してはもう覚悟決めてゼロの状態からセキュリティに関してはガチガチに固めた方がいいよねっていう
そのコストも織り込んだ上でビジネスとして成り立つのかっていうのをビジネスプラン考える時点で多分考えざるを得ない
なんか過去も似たような話あって日本のSNSだけ青少年のためにちゃんと巡回してなんかコストかけろみたいな話があったのに海外勢はやってないずるいじゃないかとか
あとはそれこそクリプトの取引所のところで金融庁管轄課の大手証券会社の試算課に入ったら金融庁が求められる普通の日本の大手の金融のスタンダードでガチガチにセキュリティとかコンプライアンスの制度を入れて
そうするとオペレーションコストおよび先行投資のシステムコストが爆増して利益率がめっちゃ下がったみたいになっちゃってるんですけど
なんかそのビジネスの性質上もそれの抱えてる情報のマグニチュードがでかいがゆえにもうそうせざるを得ないそれを抱えてそれを守る手段を徹底的にやった上でも本当に儲かるんですかっていうのが多分問いなのかな
ただもうちょっとマグニチュードが弱いビジネスってぶっちゃけこれ別に特定の企業はどうこうじゃなくて世の中の流れとして正直多分技術側と経営側のすごいコンフリクト戦いみたいな話があったと思うんですけど
技術側がそこ早く対応しないと危ないですよそこにちゃんとコストかけてください設備投資してくださいみたいな話を言っても限られたスタートアップの調達したコストの中でじゃあそこに本当にいくら回すのかみたいな話
でプライオリティが正直下がりがち必要コスト最低限で何とか回すみたいな話でごてごてに回っちゃってたっていうのが多分今までの世の中の相場感だったと思うんですけど
本当にここ3週間1ヶ月ぐらいで世界が一変したと思っていてそこを必要コストであったとしてももうそれを無視できない世界になっちゃった
スタートアップ的に言うとよく法律が変わって法律に対応するためにめっちゃコストが上がっちゃってなんか急にビジネスモデルのエコノミックスが悪くなるみたいな話ってあるんですけどももう法律と同じぐらい強い強制
力を持って対応しなきゃいけない事象になっちゃったんじゃないかなと思ってます
いや今言っていただいたことすごい理にかなってるというか技術的な方面でちょっと見直してみるとかなり適合度高いなと思ったんですけどその理由がですね一個わかりやすい事例があるんですけどこれがクレジットカード
なんですよ
クレジットカードって確か5年前ぐらいかな5年か3年前ぐらいにPCI DSSっていうセキュリティのクレジットカードを扱うのであれば国際的なセキュリティ基準としてルールとしてPCI DSSというのが対応必
須になったんですね
このPCI DSSっていうのが具体的な中身もうちょっと詳細調べてもらえばわかると思うんですけどすごいざっくり言うとクレジットカードの番号をサーバー経由しないように扱うっていうことなんですよ
これってサーバーっていうのは自社サーバーですね例えば僕がSaaSのサービスでやってるとしてただそのSaaSのサービスにクレジットカードを登録してもらって決済サブスクリプションとか決済毎月のリカイリング
のお金を払ってもらうっていうことをして欲しかったらクレジットカードの情報をもらわないといけないわけじゃないですかもちろん
なんですけどそれをSaaS側のサーバーをクレジットカードの番号を絶対にサーバー側に送らないようにする仕組みを取らないといけないっていうことになったんですよ結構ちょっと前にこれ何が起こるかっていうと
ですね
サーバーを経由しないのでクレジットカードの番号とかを強制的に管理することが絶対にないんですよつまりSaaS側はデータベースとかあとはログとかサーバーのログとかを漁られたとしても顧客のクレジットカードの
番号は絶対に流出しないんですね構造上技術的に構造上持ってないので
流出することはないっていう完璧な状態になってるんですよでこの状態ができているからこそクレジットカードの情報っていうのはかなり安全に決済できるみたいな仕組みになってるんですけど今高宮さんが言ってくれたの
ってこのPCI DSSという仕組みを使ってSaaS側は安全にクレジットカードの取引ができます
ただ例えばPCI DSSに対応しているストライプだったりとかそっち側はクレジットカードの番号をガチガチにロックしてるんですよでストライプ側がセキュリティをガッチガチにするとそうすることによって顧客のク
レジットカード番号は絶対に漏れないっていう状態が作られてるんですねクレジットカード業界は
そうですよねだからそこのガッチガチにディフェンス力が高い人にディフェンス力を集中させるっていう話とあとは一方でそのストライプを使う企業の目線でいうとそこのディスクを外部化できていて外部化する費用を
ストライプに払ってるとも言う
単なる決済機能分の値段プラス付加価値として万が一漏れたときに世の中ベストと言われることをやったし俺のせいじゃないストライプのせいだって言えるその分もストライプにお金払ってるっていう構造になっている
んですよね保険的な意味も若干含まれているそこにはなのでクレジットカード業界はそのPCI DSSによってかなり守られているっていうのが他の業界でも今後絶対送り得るなって今高宮さんの話聞いて思いましたね単純にこう
いう仕組みが絶対に今後ボコボコ出てくるんだろうなっていうのは思いますね
自作システムと中小企業の攻撃リスク
なんかとするとの質問なんですけど最近というかこの1年ぐらいのトレンドとして僕らみたいな会社そのエンジニアとかセキュリティの担当員がいなかったり弱小企業がなんていうかサースに金払うの高いから
個社にマッチしたかよいとこに手が届くようなものをクロードコートで自分で作って自社だけで使うっていうのが一個の流れとしてあったと思うんですけど今の話を受けるとなんかそこの既存の大きいサースを使っちゃった
ほうが結果的にはそこのセキュリティが担保されてたりとか責任の所在的になんか中長期的にはいいのかなって思ったりもしたんですけど
なんかまさに長谷川さんね社内の何だっけ会計システムかクロードで作りましたとか
人事ロームシステムとかなんかチューニングして使ってはいるんですけどいざじゃあそこのそこに関してもクロードに相談しながらみたいな方向性もあるんでしょうけど今の話だとなんかサースを使っちゃったほうが楽かな
みたいなとかもあったり
なんかそれ結局取り扱ってるデータの対象が何かだと思うんですよなんか最悪漏れてもどうでもいい我が社のコーポレートの企業概要のホームページのデータをホームページビルダーみたいになったらどうでもいい一方で
なんかユーザーさんの個人情報あの医療情報的なものすらそれで触っちゃっているとか
場合によっては従業員の方の給与情報等不要家族情報みたいな話とかだとまあまあセンシティブじゃないですかそれのなんかさっきのクリティカル度に応じて自分たちでやっちゃっていいのか
その外部にまあ外部のサースを使って外部のサースのせいにする方がいいのかみたいな話でいいことあとはなんか機能によると思うんですよさっきの今井さんの話でクレカが先になんかデータを持たないような形にな
ったって言ったじゃないですか
それってお金が動く一番直接的なトランザクションだから早かったんだと思うんですよ当然そこは先にガードされましただけど単なるユーザー情報みたいな話は後手に回っていた時になんかそのユーザー情報の中で一番
クリティカルな例えば個人身分証明書みたいなのが出て名寄せされちゃうとかなり個人情報をなんかコンプリートになっちゃっていろいろなサービスの認証に使いちゃうわけじゃないですかなんか勝手にあの携帯電話を契
約されていて特留に使われてて気づいたら警察がコンコンってきましたみたいなのとか運転免許とかやれちゃうとできちゃうわけで
そうなってくると多分直接お金の流れの次にクリティカルなものって何だったっけ当然公的な身分証明書だしその次はフィジカルな住所とか電話番号なのかもしれないしとか
あとはどうなんですかね今井さんその技術的に名寄せができないようにものすごく断片的にフラグメント化した形で情報を持って名寄せをできないようにするとかっていうのはあるんですかね
いや基本名寄せできなくするという方向性よりもやっぱりあのデータを持たないでなおかつデータにアクセス物理的にできないみたいないうそういうアーキテクチャレベルその構成をそういった方に寄せてった方がセキュリ
ティ的には絶対にいいかなとは思うんですよ
でその上でデータを扱う上でそのデータがどのぐらいセンシティブかどうかっていうのがやっぱり必要なのかなという面では思いますねどれだけデータが重要かどうかですかね
どうなんですかねその技術的な専門性およびそれの運用のプロみたいな話から言うと長谷川さんみたいな悩みって全日本のちゃんとしたIS部門セキュリティオフィサーがいない企業スタートアップだったり中小企業が抱
える悩みだったりするじゃないですかそもそも相談する人がいません
社内じゃできませんそういう人たちはどうしたらいいんですか
これがあの多分新しい悩みなんですよ今までだったらクロードコードとかなかった時代って外部のサーズサービスとかに任せる他なかったじゃないですかぶっちゃけ自分で作れなかったじゃないですか
でそれが生地作れてしまう現状においてで次多分これ何が起きるかっていうとAIによって攻撃者がめちゃくちゃ手広く数打てるようになった世界戦に今なってるんですけど
ちっちゃい企業がもしかしたら手当たり次第に狙われる可能性が
そうですよね僕もそれ思いましたなんか大企業目立つとこを先にやるんだけどなんか中小企業強迫みのしろ金100万円みたいなのも何千件やってきてみたいので小銭を設けるみたいなのもAI使ったらできちゃいます
よね
カジュアルにそういうのが横行する可能性があってでそれの標的がクロードコードでなんか内部の障害エンジニアではない方が立てていてしかもそれがネットワーク的に全然公開されていて全然アクセスできますと他の社内
からじゃなくて外部からもアクセスできるみたいな状態になってるっていうのが一番危ない可能性があって
難しいですねたぶん新しい悩みプラスで社内にいないのであれば結構難しいなぁという面もあって
じゃあ端的に言っちゃうと社内にいない場合はやっぱり何かしら外部のデータを使う外部と繋がるようなシステムは
自作のシステムをなるべく使うなと自分の中で完結する業務のアプリぐらいだったら自作してもいいけど外と繋がるものは基本何も自作するなっていうのが一番安全
安全面で言ったら絶対そうだと思う一方ただそれは経営者が多分決めるべき問題でその会社のポリシーによるじゃないですか別にノーガード戦法もあり得るわけですよやるように言ったら
なので本当にもう一番最初の話高宮さんの話に戻っちゃうかもしれないんですけど何をプライオリティー高く持っているか次第ですよねそこに関しては経営者が
うんなんかすごくどの時代も普遍的な話だと経営の意思決定プライオリティー次第ですよねってなっちゃうんですけどノーガード戦法のリスクリターンがあまりにも悪くなったんじゃないかという
のが僕は思っていてノーガードでやった時に命付けられさえしなければ逃げ切れてそれで運用コストが浮いて大きくなったらちゃんとやろうねですって言ったのかそれこそ小さい家から狙われちゃうとか大した身の手裏金取
れなくても狙われちゃうみたいな話になると
ノーガード戦法をやった時にちょっとした日々のオペレーションコストを削減するために万が一やられちゃった時のマイナスインパクトがでかすぎてノーガード戦法がペイしないんじゃないかっていうそういう時代なん
じゃない
みんながみんなガードを一定上げなきゃいけないんじゃないかっていうでそのガードの上げ方も一応世の中標準ここまでやればちゃんとやったよねっていうレベルまでやらないと万が一やられた時にやってなかったからそう
なっちゃったんだよねっていう責任を追及されちゃうからもうなんか一定世の中の水準までやらざるを得ないんじゃないかなそうするとやっぱり
大手がどの水準でやってるのかとかもしかするとセキュリティの業界団体とかがベストプラクティス標準的にはここまでですよみたいなガイドライン出してくれると準拠しやすいとは思うんですけどやっぱりそれなりにコ
ストをかけてちゃんとやってる大企業みたいな人がやってるみたいなレベルにも合わせざるを得ないんじゃないかなとすると
さっき言ってたストライプの事例みたいなのがあらゆるサースとかでも起きて大手のサースを使ってそこが割高なんだけどその責任取る代も含まれてますみたいな
でもあらゆるところでそうですよね税務申告とかだってそうで万が一自分で税務申告してミスって税務省が入って怒られた時に悪意がある
って言われるとめちゃくちゃ追徴されるんだけど税理士が間違えちゃいましたで素直に払うと一定の金利だけで済むしみたいなそこのなんていうか
本当保険料と一緒でリスクを外部化するために超過でランニングコストを払ってるっていう構造にしかならなくてリスクの方がデカすぎるからランニング払った方が安いんじゃないかっていう
最近社内規定とか作る時に社老司とか使うんですけどクロードコードで一発余裕で作れるんですけどまあ3万円で社老司が責任取ってくれるのっていいかみたいな感じで払うんで
だからもうちょっと後ろ向きな意味でAI時代AIで何でもできるんだけど誰が言うかが大事ですみたいな話ってなんかポジティブな意味で使われがちじゃないですかその権威性があってインフルエンス力がある人が言う
と
リーダーシップとかなんか納得感が高まるみたいな今回ってなんかその保険的な意味でそのリスクをなすりつけるっていう意味で誰が言うかが大事みたいな話なんだけどあらゆるそのポジティブな方でもネガティブな方
でも誰が言うか大事みたいな
AI攻撃に対する防御と古い機器の脆弱性
なんかちなみにめちゃくちゃ素人質問なんですけどその生成AIの進化によってその攻撃する側の攻撃力が上がってると思うんですけど逆にその守る側も当然それと合わせて上がるじゃないですかめちゃくちゃ素人な質問
なんですけど
だとしたら一周回って別に心配することでもないわけではないんですか
あの全部を塞ぐことはあの理論上無理だと思います
いたちごっこってことですかひたすら
いたちごっこですあの常にであの上回るのは常に攻撃を仕掛ける側だと思いますねなぜかというと常に動いてるからです守る側はもう何でしょう全て前方位
小手に出せるわけね
そういうことです
まあでもねそのいたちごっこの構造って今までも人対人でいたちごっこだったんだけど攻撃側の人のリードタイムがかかってたから先手の有利性みたいなのがそこまでなかったんですけど
AI時代になっちゃうと先手の有利性そのめちゃめちゃサイクル早く脆弱性を見つけに行くみたいなこと絨毯爆撃的に見つけちゃうみたいなことができるししかも大量に見つけるし穴を塞いだとこでもぐらたたきみたいにな
っちゃうから先手の有利性がめちゃくちゃ上がって
より穴を全部塞ぎ切ることが無理みたいな感じになったと思うんですよ最強の保護と最強の盾なんだけどなんか昔はそれが両方クラッシュすると割れてたんだけど保護の方が圧倒的に有利になったから盾が結構しんどい状況
になっちゃったっていう
その通りだと思いますプラスアルファちょっとこの間PHPのセキュリティアップデートっていうのがかなり話題になったかなと思うんですけどこのPHPの音が結構なんて言うんでしょうねセンセーショナルというかあれ
なんですけど
古いそのシステムの穴を塞がないといけない可能性がかなり高まってきたんですねこれが例えば割と守るべき対象としてウェブサーバーだったりとかそういうのはわかりやすいかなと思うんですけど
これがですね例えば事務所に置いてあるWi-Fiルーターとかが攻撃対象になる可能性があるんですよねWi-FiルーターってWi-Fiルーターなんですけど内部でサーバー立ってるのでそのサーバーが狙われる
んですよ単純に
そういった形で物理的に置いてある事務所に置いてあるものが狙われる可能性があるなぜかというと古いのでそこの部分はしかもおそらくアップデートしないと思うのでそこまでちゃんと気にしないけれど
それこそディフェンスの領域国防の領域でいうとすごいクリティカル度高いじゃないですかプリンターまでデバイスプリンターレベルでデバイスを守るみたいなそこまでガチガチにいくっていう議論が今出てるみたいで
そのレベルだと思いますねプリンターだってWi-Fi繋ぐためにサーバー立ってるのであいつもなので防ぎきれないと思うんですよ現実その一事業者が防ぎきれない領域まで来ると思うので
なのでできる限りローカルとか事業所物理的なデータっていうのは持たないしアクセスできないしということを徹底したほうがいいしもうちょっと話戻るんですけどその経営者のITリテラシーというかセキュリティに対
する考え方みたいなのも今一度アップデートしたほうがいいかなという気がしますね
そうですねもう防ぎきらないからなんかもう対数の法則で確率論でいつか自分のところにも来ると思って漏れてしまった時にちゃんと経営責任説明責任が果たせる状態にあるのかっていうのを多分常に問うべきなんじゃない
かなとその完璧に守りきるガチガチにするっていうのはもう理論上ほぼ無理になっちゃった時に
やっぱり万が一が起きてしまった時にベストプラクティスやってましたとかあとは外部化してたからそっちの業者のせいだって言えるとかあとは今後それこそ保険とかも出てくると思うんですよね
保障のでそれにちゃんと入っとくとか全部多分オペレーションコストランニングコスト増の方向にしか行かないんですけどもそれを織り込まなきゃいけない毎年税務申告してね会計処理してねそのためには税理士のコスト会
計士のコストかかりますのと同じでもうセキュリティ対応するにはセキュリティの専門家のコストがかかるし
保険もかけると保険の費用もかかりますもうそういうものですという前提にいないとダメなんじゃないか経営者がコストダウンをしようとして削る先じゃないんじゃないか今までだと削られがちだったところだったと思うん
ですけど
なのでクロードコードで人事システム作るのは結構危ないんじゃないかっていう そうですねあとなんか今日の話的に学びというか知ってほしいこと的には僕らみたいなっていうところをやりますけどの非スタートアップの
スモールビジネスの小規模会社的にはなんかそういうハッカーとかミノシロキンとかで大企業に攻撃されるもので自分たちは関係ないって話に思いがちなんですけど今って銃弾爆撃できちゃうから
なんか昇格のミノシロキンがそこら中で起こる可能性があるって今井さんもおっしゃってましたけどそこは結構他人事じゃないっていうのは知っとくべきかなっていうのは思いましたね
攻撃することの技術的難易度が下がった上に1攻撃あたりのコストも下がっちゃったから攻撃しやすいただまぁ社会的なコストはまだ高いからもしかすると国として対応しようとすると社会的なコストをもっと上げて現場使
いをするとかっていう方で攻撃することの割を合わなくするとかっていう動きにもなるんじゃないかなと思いますけどね
確かに確かに
個人が守るべき会社データと業務端末
僕これ個人的に気になってるところっていうと経営レベルでいうとビジネス側の視点としてそういう割とちょっと俯瞰して言えるんですけど
一歩ひるがえて自分の話になったときにじゃあどこまで一つのパソコンで全部やっていいのかと個人メールを会社のパソコンでやっていいのかgmailでクラウドだからいいのかとかちょっと休憩時間にwebサーフィン
するぐらいでポチポチクリックしてるのもいいのかみたいな話になってきちゃうじゃないですか
で万が一自分が業務でクリティカルな情報を持っていてそれは自分経由で漏れてしまったときの会社に対する申し訳なさみたいななんか精神的な話みたいなもちろんそうなんだけど
現実的に保証みたいな話になったときに個人でも終える範囲のマグニチュードを超えちゃうじゃないですかと思うと僕ら一人一人もさっきのスタートアップじゃない中小企業が自分の身を守んなきゃいけないのと同様に結構
個人レベルでも同じ身の守り方をしなきゃいけなくて会社がポリシーを定めています
としたら愚直にそのポリシーを守った上でやってましたでも漏れちゃいましただから僕のせいじゃないです会社のポリシーのせいですみたいな話にしないと結構やばいんじゃないかなって思ったりもするんですけど個人と
してはどうしたらいいですかね今井さん
個人のセキュリティリテラシー的なところは確実に向上していかないといけないですね多分これは日本国として重要な気もしますねじゃないと個々人が破られたら意味がないと思うのでっていうのもある一方を例えば会社に
よってだとは思いますけど
その従業員に対してセキュリティの研修を必須としているみたいなルールって結構ありがちかなと思うんですけどきっとそういうのって会社によってはなあなあにしがちだったかなとは思うんですよねそういうセキュリテ
ィの研修みたいなところで言うとそういうのがもう本当に徹底されるべきだし本当に個々人ができる限りのことをしっかりと言うかちゃんとやることをやるっていうことだと思うんですよ
ですけど本当にちゃんとやるべきことをやれっていう話だとは思うんですけどそれが必要になってきている今っていうようなところかなと思いますね
なんか会社として個人を守るためにも個人がちゃんと会社のポリシーを遵守し、なんかただアリバイ作りのために研修やるだけじゃなくて研修に基づいたポリシーをちゃんと守ってるからをモニタリングして守ってない人に
ちゃんと注意を促すとか
なんかそういうのは会社側が仕組みとして整えるとしてそれに従いますっていうのが一つあるのと個人としてやれることって何ですかもう究極言っちゃうとなんかクロードを触る pc はスタンダードにしてどこにも繋が
らないでなんか自分家の wifi ルーターすら繋がないとか
あとは本当に大事な個人の情報は一切ネットに繋がないなんか遮断したハードディスクに保存するとか極論そうなるじゃないですかとはいえ実生活それじゃ無理じゃないですか
どこまで今やっとくとその相場館であの人ちゃんとやってたね いやすごく難しいなぁと思うのがあのもうこのAI流星めちゃくちゃ出てきたこの2,3年あのもうぶっちゃけしっちゃかめっちゃかじゃないですかもうセキ
ュリティ面に関しては個人のセキュリティ面に関してはあの絶対的になんかもういろいろ入れちゃいけないものとかも入れてたりとかそういうの絶対にあると思うんですよ現実としてね
表では言わないとは思いますけど絶対に現実としてあるっていう中で最終的に行き着くところとしてはなんかそのデータまあ今だったらクロードコードとかの場合はアンソロピックのサーバーにデータとして送ってるとか
になるかなとは思うんですけど
それがこうローカルで絶対あのプライバシー保護された状態でローカルで処理されるとかその世界に行くまでの間この過渡期難しいと思います何で難しいかというとあのクロードコードとかを使わないと個々人の生産性
っていう面で言うと絶対に負けるんですよ
そうですねで取り残されちゃいますよね そういうことですなので何か史上原理的に難しいなと思いますねなので何か現実理想論でいけばやらないでねっていう話になると思うんですけどでも現実史上的に無理だと思う
ので
そのやらなきゃいけない一定リスクを負わなきゃいけない中でもでも最低限これだけをやっとこうみたいなおすすめってあります
いやでもそれはもう確実にできる限りデータは分離するだと思いますもうやれることとしたらなんかセンシティブな状態情報っていうのはなんか本当に持たないローカルに持たない
絶対顧客情報はローカルに保存しない閲覧もしないログに残っちゃうんでっていうことじゃないかなと思いますね
会社のサーバーに置いてあるのを見に行くだけで絶対ローカルに落とさないしそれをましてやなんか違う pcとかに持ち出さない
持ち出さないそれを徹底するっていうところかなと思います会社によっては usb メモリーとかつないじゃいけないポリシーとかあったりしますそういうことだと思いますので
パスワード管理とサービス登録の見直し
あとその業務じゃないところ生活者目線でもあるじゃないですかなんかサービス登録して認証するときになんか運転免許証入れたらそれが漏れちゃったって
運転免許証で内載されるから番号を変えるのに今免許センターで再取得でめちゃめちゃ混んでるとかになっちゃってるじゃないですか
そういう生活レベルで気をつけることとかってなんかできることあるんですか
運転免許証漏れるみたいないうのってむずいですよねなんか気をつけるようなくないって思っちゃいますけどね個人レベルで
なるべく必要ないサービスには登録しない給民サービスはアカウント削除するとかなんか僕最近思ってたのはちょっとサービスごとにうまくメールアドレス工夫して
メールアドレス変えて内容を捨てしづらくするとか漏れたときに責任追及できるようにどういうメールアドレスが漏れてる
例えばgmailってピリオドをどこに入れるかって自由ででも同じメールに届くじゃないですか
エイリアス的な
そうそうだからその登録するサービスで微妙に絶妙に一個ずつ場所を変えていくとかもしくはそれでも限界があるからセグメントごとにしてこの週のサービスはここに
ピリオド入れとくとかするとか究極捨て垢めちゃくちゃ作って転送しろみたいな話で保温垢を守れみたいな話なのかなとか
そうですねそういうテクニックワークできる限りやっていくべきかなと思いますね
っていうのも結構前からiOSとかの機能でアップルの新しい機能で捨て垢捨てメールを簡単に作れるようになってるじゃないですかiOSとかって
なのでそっちの方向性なのかなとは思いますねそのメールアドレスはいっぱい作るんだけど転送先として一個にしておくみたいな方向性はありかなとは思いますね
あとはもう当たり前だけどパスワード使い回すなみたいな話は
もちろんそれはもう最大
AI時代じゃなくても言われてたことが割となーなーで自分にまさか起きなかったから弊害なかったねじゃなくてもう明らかにどっかがクラックされるからそこからパスワード漏れると思って同じパスワードは使わないって
パスワードもそうですし二段階認証とかパスキーとかいろいろあるのでそういうのを対応総認証として使うっていうのが必須かなと思いますね
あと一個注意点なんですけどさっき武井さんがアカウント給民アカウントを削除するみたいな話あったかなと思うんですけどできる限り削除するみたいな
あれ削除したとしてもサーバー側に残ってる可能性って全然ある
ですよ物理的な削除をしていなくてサービス側が論理的な削除をしているみたいなのは絶対にあるしあと法律上確かちょっと詳しいところを教えましたけど
残しておかないといけないっていうのもあるのでデータとして1年間とかそういうのは残しておかないといけないっていうのもあるので難しいですね
とはいえでもそれこそ運転免許証が漏れちゃったところって大会社のやつも漏れちゃってるみたいな話で僕も多分該当してるんですよ大会してるんですけど
でもとはいえなるべくちょっとでも痕跡を残さないみたいな話でいると大会してった方がいいのかなとか思っちゃうんですけどでもそれは無駄な努力だけどそんな努力やらなくていいよみたいな話なんですかね
いやでもやっといた方が単純に気持ち的に楽になると思うので削除してた方がスッキリはすると思うのでそういった意味でも別に削除はした方がいいですし削除しとけば
でも実理はそんなない
まあそうだと思います
てか分からないが正しいと思います
なるほど
見えない
集中管理と分散型データの行方
いやでもそんなこと言うとグーグルアカウント取られたらグーグルのパスワードマネージャー全部取られて一生もうダチになっちゃうなと思ってすごい怖くなりました
あのグーグルが行かれたら多分全部終わるんでだからもう諦めるしかないかもしれないです逆に言えばグーグルに寄せるって話になるんですよ
もう信頼できる一社に寄せて一社に徹底的に頑張ってもらうっていうさっきのストライクの話がより巨大化していくっていう
そういうことです
そうですよねまあグーグルがやられたらしょうがねえかみたいな
グーグルが持ってかれたら他の会社も持ってかれてるでしょみたいなそういう世界線だと思う
だからグーグルの人為的な穴をどう塞ぐかですよねさっきの二段階認証にするとかあとは結局パスワードよりも生態認証の方が
オリジナル性が高いから必ずどっちか二段階認証には生態系入れとけとかそういう話ですよね
そうだと思うんですけどひるがえてですねインターネットって何だったのかっていうところに持ってけたらなと思うんですけど
グーグルに一極集中するのであれば分散が分散データみたいないうところが主だったインターネットって何だったんだろうみたいな話にきっとなってきます
確かにより資本主義を増幅させる方にテックが動いたっていう民主化させるはずだったのにっていう
難しい問題ですこれは
いやでもこれそういうその手の壮大な話かつ若干SFが勝った話になってくるとこれめちゃめちゃハックされたとして
例えばですよ所有権の登記とか株主名簿とかがハックされて改ざんされ始めると資本主義そのものの厳選が崩れるじゃないですか
資本主義が立脚していたデータの精神精神信頼みたいな話が何を信じていいかわかんなくなると原始人の世界に戻っちゃうんじゃないか
お金すら信用できなくなっちゃうからそうするともうブツブツ交換になっちゃうんじゃないのとか
最終そういうディストピアみたいな話にはなってくるのかなと思う一方そういう重要なデータとかって
ビットコインとかもそうかなと思うんですけど分散的に管理して何か一個改ざんしたとしても修正できるような形のアーキテクチャーとかを取ってる場合が結構あるので
なので一気に書き換えられない限りは大丈夫みたいな話もあったりします
1分前にロールバックすればいいかもしれないし違うところの物理サーバーに置かれていたものがバックアップとして機能するかもしれないと
AIの保護力が上がりすぎて同時に寸分たがわず同時にアタックして同じタイミングで書き換えるとかできちゃったら
資本主義の根幹が崩れちゃうかもしれない
そもそもその分散的に管理するというアーキテクチャー自体破られる可能性があり得るので
別にその分散してたとしても意味がないという構造になり得る可能性もあるので
そこまで行くとねそもそも発電所とか攻撃されて電気止まらないのかとか
軍事施設発掘されてミサイル勝手に発射されないのかとかそこまで行っちゃいますからね
そうなってくると本当にSFデストピア小説の世界になっちゃいますけど
でもあり得る話ではあるかなとは思いますね
それをどう対策するのかっていうところを国として考えないといけないとは思いますけど
いやだからネタ話単なる都市伝説的な話としてちょうどこのタイミングで
イギリスとEUと日本が備蓄が1週間分しろとか言って
アメリカはなんか軍事基地がスタンダードローンで30日だか90日だか稼働できるようにしますとか
同時にアナウンスして同時かとかってちょっと思っちゃいましたけどね
それは点を恣意的につなぎすぎかもしれないですけどね
そんなアポカリプスを考える僕らの戦略論かもしれないです
オクトの剣の世界になっても生き残る戦略論
シャッホーってモヒカンにして斧を持ちましょうみたいな体を鍛えましょうみたいな
最後は最後はそこに集中するんです
なんか最後の方は壮大な話になりましたけど
なんかスタートアップだったり大企業だったり僕みたいなビジネスだったり
それぞれ考える学びが多かったのかなと思います
今井さんの言葉的にはやれることをちゃんとやりましょうっていうところに集約されるのかなと思いました
なんかAI時代になっていろいろ前提を疑わなきゃいけない
アンラーンしなきゃいけないことがやっぱ増えてる気がしますね
はいではいつも通りの皆様お聞きのアプリでのフォロー高評価
企業の戦略論の予約もぜひお願いします
あとはオプチャーへの参加もお待ちしております
ぜひ皆さんのセキュリティ対策などもお聞かせください
