水族館のお便りとタッチアクティビティ
こんばんは、Replay.fm 第108回です。 めっちゃ噛んだ。
どうしたの? なんか、あのー、服飾したばっかりで、 あのー、ロレッツが回ってない感じですか?
久々だもんね。 収録は久々じゃないのにな。 めちゃくちゃロレッツ回んなかったな。
まあ、今日いっぱい喋ったからな、仕事で。 それはあるかもしんない。 あー、確かにね。
いっぱいいろんな人と仕事が。 輪読会とかあったしね。 輪読会もあったし、
休んでる間に入社した人とワンワンしたりとか。 いや、偉いな。
いやー、今がチャンスなんですよ。 今を逃すと、休んでる間に入った人と話す、
いい口実を作りづらくなるから、やっぱ。 いや、別に作ればいいんですよ。
作ればいいんですけど、それはコミュニケーション教授の発想であって、
僕みたいな、コミュニケーションとまでは言わないが、ちょっとなんか、
用事もないのに話すというのは、僕にとってハードルが高いので、
休みから復帰したんで、っていう顔をしてやるっていうのが、いいんじゃないかという見立てでございます。
なるほどね。 そう。
いいっすね、偉いっすね。 偉い。
まあ、会社規模がちっちゃいからできることでもあるけどね。 4人ぐらいかな、確かに。
なんで。そんな感じですけど、今日は久々にお便りをいただいておりますので、読みましょうかね。
すごい。
アイルロスさん、いつの間にか107回、もうすぐ煩悩が極められますよね。
セキュリティ出ないとこに食いつきますが、生体タッチでは、正確にはここかな。
生体タッチ、生体タッチ、でも生体でしょ?
生体タッチでは、あ、生体タッチではない。
生体タッチでは、水族館ではないですが、愛知の南千田地、ビーチランドもっていう話ですね。
合ってるよ、合ってるよ。
合ってるんだ。生体タッチでは、ああ、そういうことか。
水族館ではないですが、愛知の南千田ビーチランドも、西打ち以外にいる形もできてよいですよ。
竹島ほどではないローカルさがありますし、小さい子から参加できるツイヤー、タッチアクティビティが主です。
福井は足元からすばりの水族館。
ああ、わかります。地味にいいですよね。
関東では話題ありましたが、江の水が好きです。
ショーのレベルがそうして高かったと感じてます。
これは前の話です。
すごい、めっちゃ詳しい。
そう、福井はね、これ多分足元ガラス塗りがまさに新しさを得るところのところだろうなと思うんですけど。
なんかしかも最近リニューアルしたらしいんだよね。
なんて水族館だっけ?
あ、越前松島水族館ってところなんですけど。
あの、バイスポットですよ。
足元、ああ、もうホームページ行くとトップにあるけど。
だいぶリニューアルされてる。
正面が水族館になったのかな?
これはね、いいですよ。とても綺麗でした。
南千田ビーチランド。
鈴鹿サーキットの対岸ぐらいにありますね。
遠いな。
ちなみにイルカタッチはあの、僕が話したあの、あれ?前回話したか忘れてたけど、
そのラッコが見れる水族館のところから、超近い場所にあるところにイルカ島っていうのがあって、
そこでも実は触れるっていう。
だから触れる場所結構あるんでしょうね。
なるほどね。
そう、そこも竹島歩道地南千田ビーチ、いいっすね。
滋賀からだと近いよ、多分。
秒で行けるよ。
秒で行ける?
対岸型水族館とおもちゃ遊園地。
いやーちょっと小連れとしてはだいぶ。
あ!小豆お姉さん!
分かる人には分かる?
お母さんと一緒の。
ちょっと僕だけテンション上がってる感じがあれですけど。
いやいや、あれですよ。
補足すると、お母さんと一緒はみんな通ってると勝手に思いますけど、
そういうことにして話すけど、
世代交代があるじゃないですか。
体操のお姉さんとかって卒業するんですけど、
小豆お姉さんは今年の4月卒業したばっかで、
転職したの?
晴れてたぶん。そういう感じ。
多分いろんなステージ出たいとか、いろんな活動してるんで、結構会うチャンスがあるっていう。
11月22日。
11月22日はちなみにあいこの誕生日ですね。
さっそく始めるか。
お手紙ありがとうございます。
雑談が止まらないですけど。
なんで雑談が止まらないかというと、という話はあるけど。
そうですね、今日記事一つしかないんで、
それをもって雑談したわけじゃないけど、
十字つなぎに無限に話すそうな危険な香りがしたんで。
それもあるけど、そうだね。
お便り引き続きお待ちしております。
マジで何でも。
水族館話最高って感じですけど。
Googleフォームか、Xのハッシュタグでぜひお願いします。
SmartHRの脅威モデリングワークショップ
じゃあ一個私読もうかな。
オンリーワンですけども、
スマートHRのブログで教員をチームで洗い出すストライドを使った教員モデリングワークショップという記事ですね。
何かっていうと、スマートHRのAI開発部になるチームがあるみたいなんですけど、
そのチームで教員モデリングワークショップをやりましたっていう話ですね。
言ってしまうと、開催のきっかけとか、
またやったことはスタンダードなこと、
いい意味でスタンダードなことをやられてるなという感じはしていて、
セキュリティチーム、セキュリティ詳しい社内のメンバーを呼んで、
教員モデリングっていうのを実際にチーム内で、
オンラインなのかオフラインなのかちょっと分からないですけど、
ひざつき合わせてやるみたいなところとか、
またやるにあたってシステム構成図とかシステムコンポーネントみたいなのを洗い出して、
これで全部だよねみたいなのを確認した上で、
じゃあそれがどういうふうに関係してるのかとか、
そこに対してストライドを今回使ったみたいなんですけど、
それで教員を洗い出してみたいなことをやってみましたっていう記事になってます。
取り上げたものとしては開催の流れがシンプルに素敵だなというか、いいなというふうに思っていて、
開催のきっかけというかこれやろうってなったきっかけが、
多分AI開発部の中でセキュリティに対して課題感を持っていて、
今日やられやしたよねっていうのがスタート地点になってて、
その後のアクションとして社内にPSATチームっていうのがSmartHRさんにはあるので、
PSATチームに相談してみたところ開催に至ったっていう流れがあったみたいで、
結構インハウスでセキュリティをやる自社サービスを提供するような会社においては、
セキュリティチーム目線はすごい嬉しい流れだろうなと思うし、
開発チーム目線としてもPSATっていう受付口があることで、
気軽に多分相談できる環境なんだろうなと思うし、
その結果この脅威モデリングっていうものにたどり着いて、
専門家を交えてひと回してきたっていうのはシンプルにいい話だなと思ったので、
ちょっと取り上げましたっていう感じですね。
いいですね。
なんか発端がその開発チーム側っていうのが本当に素晴らしいというか、
心強いですね。
そうだね。
やっぱ常にこの流れが起きるかというと関心もそうではないし、
そうならないことが悪いと言いたいわけでも全然ないんだけど、
やっぱ自分たちで危機感を持ったところをスタートにすると、
インプットの加算も違うだろうなと思ってますし、
これを生み出すためにセキュリティチーム目線でできることは、
平たく言うと文化づくりとかかなとかも思いつつ、
優秀なソフトエンジニアだと結構気を配ってくれたりするし、
なかなか再現性みたいなところまで思いを馳せるとちょっと難しくなるけど、
シンプルにいい話だなって感じですね。
STRIDEで脅威を整理する難しさ
あとなんか当たり前っちゃ当たり前だけど、
半年教育モデリングやってないんで、
ちょっと教育モデリングって結構楽しかったなってすごい思い出しながら、
教育モデリング。
やりますか、じゃあ。
まあいいテーマがあれば。
無理やりやるもん、まあまあテーマ多分探せばあるんだろうけど。
まあ無限にあるからね。
なんか開発チーム目線でも結構面白いと思うんだよな。
なんか開発やってた頃に接点がなかったのはちょっともったいないとまでは言わないけど、
面白いよねっていう気持ちはありますね。
はい、そのとこですか。
これなんかストライド以外のさフレームワークはなんか今あんのかなあ。
あんまりよく知らないんだけどさ、なんか。
一回めっちゃ知られるとこあるけど、
やっぱなんか。
パスタとかさあるじゃん。
なんかストライドの事例しか見たことないかもな。
何で見かけたかもう忘れちゃったんだけど、
このストライドを作ったMSがもうストライド使ってないっていう話をどっかで見かけたんだよね。
なんか俺も見た気がする。
それMSのなんか、MSのなんかのページに書いてあった気がする。
なんかストライド結構むずくない。
その心は。
どっかかりとしては別に全然悪くないと思うんだけど。
なんかこの脅威の分類がこう、何て言ったらいいんだろう。
なんかシナリオの中でこう、脅威を一個になんか絞るのがそもそも難しいよねみたいな話とかもあると思うし。
なんかじゃあ、その、なんか。
今で言うとじゃあサプライチェーン攻撃ってどれなんだろうみたいな話とかさ。
なんか困らんストライドの枠組みに入れようと思った時に。
まあ脅威だからそのなんかそのあくまで手段というか経路であって別に脅威じゃないよっていうのはなんか。
まあその厳密な定義で言えばそうなんだろうけど。
なんか。
そうは言ってもなんかこうさ。
なんかじゃあサプライチェーン攻撃に起因するんたらかんたらかみたいな感じになってくるとだるいじゃん。
なんかやってらんねーよってなるから。
確かに。
なんかストライドが難しいってよりかはその脅威とかリスクをあの。
切り口が難しいっていう話もある。
体系的にまとめようと思った時に難しいって話はある気はする。
なんか絡み方が結構複雑だよねと思った。
そのある事象をこうあるイベントを見た時にさ。
なんかそこに至るまでのこういろんな要素のうちじゃあどれが脅威でとかなんか。
うんうんうん。
いやーなんかその辺は結構わかんないけど。
いやーちょっと自分がだいぶセキュリティの体になってしまったので間違ってたら。
間違ってるかもしんないけどその。
なんか言いたいことはわかりつつ。
とはいえ結構その。
設計能力の高いソフトエンジニアとかだったらなんか。
そういうさ。
あの。
例えば。
この課題を洗い出しましょうってなって過剰。
過剰書きで書き出すにはちょっとなんだろう。
過剰書きでは表現力が足りないような複雑ななんかその変数が多いようなものについて。
まあ意思決定をしたり分析をしなきゃいけないって場面ってなんかセキュリティ以外でもぼちぼちある気はしていて。
でなんかそれを表現するためにまあいろんなみんながよく知るようなシーケンシャルフローズとかなんかあのまあマーメイドで表現できるようなものもあれば。
まあ単純になんかそのまあドキュメントをどう構造化するかみたいなとか。
まあ表をどう作るかとかなんかそういう話ってまあ結構日常的にあると思ってて。
なんかそういうのができるとセキュリティもたぶん一番最初はそのなんだろうな。
まあ結構右の足を踏むとかこれどう整理せばいいんだってなると思うし。
僕もなんかすごい最初はこうなったなって思うんだけど。
まあやっていくうちに割と意外と慣れていくというか。
まあそこでまあ多分セキュリティチームとか専門家がいるとまあそのなお良しというか。
なんかこういう風にまとめると綺麗になりますよみたいな。
助言もらえると最高って感じだけど。
だからなんかまあストライドがむずいというかストライドは切り口としては僕は結構好きで。
ただなんかストライドを切り口として散発的にディスカッションしてバーって出てきたやつをじゃあちょっとこれアクションに落とすために優先順位つけたり評価しましょうって。
過剰課金したりNotionDBまでテーブルに入れるとあれなんかちょっと流度近くねみたいになって。
同性婦化になる。
そういう意味ならめっちゃわかる。
なんかそのそうだね。
そのストライド自体がっていうよりはなんかそうだね。
とりまくその何だろう。
いろんなワークフローまで含めた時のストライドの扱いの悩ましさみたいな話であるから。
確かにそういう話ではあるな。
DREADの評価とセキュリティ分析の扱い
ちなみに裏でしゃべってたけど、ストライドじゃなくてドレッドじゃないかな、辞めたの。
辞めたというか非推奨になったの。
ドレッドか。
そうか。
失礼しました。
ストライドはまだマイクロソフター使ってるっていう。
ドレッドはセキュリティライフサイクルにおいて使用を辞めたみたいな話があるし。
ドレッドはね、ドレッドは確かにすごい昔に触ったけど。
うーんってなった記憶あるな。
ドレッドはもはや使おうと思う場面がほぼないな。
そうかもね、今だと。
もうざっくり発生可能性とインパクトぐらいの時空で考えればもういいかなって思ってて。
ドレッドで考える部分って。
なんかキリがない、ここまで細かく分析しても結局細かく分析、噛み砕いたその、
切り崩して細かく考えたものを使うかっていうとそんな使わん気がするし。
やっぱなんか実際に触って多分詰まってて言われてる課題感と全く同じことを思ったけど、評価が人によってぶれるというか、
結果なんかゼロはこれと定義して5はこれと定義してみたいな。
それはそうだけど、でもまぁそこはしょうがないんじゃない。
なんて言ったらいいんだろう。
それはそうなんだけどさ、どっちかっていうと価値観を揃える方が多分大事で。
まぁね。
プランニング効果みたいなもんですよ、そこは正直。
でもそのドレッド使いたい場面ってさ、多分評価対象が、
いやどうなんだろう、評価対象少なかったけど僕が活用しようとした時は評価対象が多かったから、
すごいなんかやってられんってなったのと、
とはいえなんか適当にやるとその、なんだろうな。
だからまぁ設計ミスると適当にやった時に直感に反する数値の逆転が起きたりして、
なんかちゃんとやんなきゃいけなくなるというか。
結構扱いが難しいなと思った記憶があるな。
言わんとすることは分かりますが。
いやー、そうだね。
まぁ、ストライド。
なんかその結構話に戻ると、
発散して出てきたいろんなアウトプットを整理するのは難しいという話です。
なんかそこも含めて僕は割と楽しめるようになった感じがするかもしれない。
この整理すると結構なんかアクションに落とし込みやすいなとか。
なんか結構どうだろう。
設計好きなソフトエンジニアとかは意外と好きなんじゃないかなというか楽しめるんじゃないかなという気はするな。
変数多い問題脆いやん。
なんか正解がない系はやっぱ面白い気は個人的にはするね。
仕事でもチャンスを見つけて。
別にまぁいい。
いくらでも嫌になるぐらいやらなきゃいけないかもしれないけど。
いやー、今日はそんな感じですか。
インシデントデータベースを自作する構想
1個だけ。
教員モデルの話をしてるんですけど。
1個だけ、
記事買いはいらんって人はもう再生やめてもいいですけど。
なんかちょろっと雑談なんですけど。
なんかさっきXでも投稿したんだけど、
ずっと企業に起きたインシデントをデータベースとしてまとめたサービスとかオープンなページをずっと見つけられてなくて、
でも僕なんかずっと欲しいなって漠然と思ってて。
なんでかっていうと、
例えば社内でランスメイヤーの怖さを説明してってなった時に、
ランスメイヤーの事例であれとかあったなーみたいなと思った時に、
企業名を思い出せないとか、
企業名を思い出せるけどいつのやつだっけみたいなのを検索して探しに行くのがだるい。
だからデータベースでMySQLみたいにバーって引きたいなとか、
あとは単純に国内のインシデント件数増えてるんだっけとか、
どういう原因のやつが多いんだっけとかを定点観測したいみたいなのが思ってて、
それこそReplay FM始めたから、
今ちょっと見てないけど、
日本国内のセキュリティネクストとかスキャンネットセキュリティとかメディアをサブスクライブするとわかるんですけど、
マジで毎日情報漏洩とかって起きてるから、
体感わからなくなるというか、
毎日起きてるものとしか思えない一方で、
本当は多分傾向があるかもしれなくて、
そういうのを見るためにデータベースないかなと思ったんだけど、
僕は見つけられてなくて、
結論が今日思い立って、
クロードコードの余ったトークンを使って作り始めたんだけど、
普通にいけそうって思ってて、
これは何かなぜ、
ちょっと貼り付けよう、こっそり貼り付けるけど、
何だろう、みんな内緒で自分でやってるのか、
公開するモチベーションがないのか、
もしくはあとはこれを多分情報として売ってる企業はあるだろうなって気はしていて、
教員インテリジェンス的にとか思うんだけど、
すごい楽な時代になったなって思いました。
これ一回手動で作ろうとしたことがあって、
もう1日でやめたんだよね、やってらんねえと思って。
でしょうね。
クロードコードはお好みのルールを使えば、
デイリーで回して、
今はその3つ、さっき言った2つプラス海外のやつで、
国内外、セキュリティー支援とピックして、
クリエイトかアップデートかかけてってやって、
嘘つくかもしれないんで、
一応毎日コツコツレビューしようかなと思ってるけど、
もし、これでいいじゃんってやつがあったら、
マジで教えてほしいです、マジでお手紙欲しい。
もはやお手紙じゃなくてメンションでもいいんですけど。
あんまり分からないな、
気にしてみてないからかもしれないけど、
思いつかないですね、個人的には。
検索したり、
いろんなエレル目に聞いたりしたんだけど、
JPサートとかじゃないですかとか、
ジェミンに言われて、
いや、そうじゃないんだよな。
そうじゃないね。
そんな雑談でした。
ありがとうございます。
来週は、
いやー、金曜に収録してるせいで、
来週の記事を直近読んでるから、
すごい話したい予感がかかるが、
また見るかもね。
違和感がすごかった。
読んだ記事と収録のラグがね、
皆さん来週もお楽しみにしててください。
次は、ぼちぼち記事多いと思いますんで。
はい。
大丈夫ですか?言い残したことないですか?
はい、大丈夫です。
はい、じゃあ皆さんおやすみなさい。
おやすみなさーい。