2分オープニングセッション「クラウド社会における情報セキュリティのC.I.A」ファーストセッション「クラウドは○○を共有するサービス」セカンドセッション「社内LAN撲滅運動!」~クラウド専業のインテグレーターがISMS認証を取得した舞台裏サードセッション「強い組織になるための「非・堅牢な」セキュリティ設計のススメ」フォースセッション「上司が信用できない会社の内部統制」スピーカーによるトークセッション懇親会と今後のWebSigイベントについて「あなたはクラウドサービスのセキュリティを、どれだけ意識して使っていますか?」そう聞かれて明確に答えられる人は、多くはないのではないでしょうか。2013年のスタンダードとは?!』を開催しました。ここではその当日の様子をレポートします。GROUPのセミナースペース「PANGEA⁠」⁠。他にもいろいろな勉強会やセミナーが開催されているオープニングセッション「クラウド社会における情報セキュリティのC.I.A」いつもはWebディレクター寄りな方が多いWebSig会議ですが、今回はセキュリティがテーマということもあり、エンジニアの方も多く参加されていました。WebSig24/7の代表・和田嘉弘氏から今回のイベントを開催するにあたった、きっかけであり課題となる、クラウドサービスを利用することによるセキュリティの問題について説明がありました。便利なサービスを使うことと、仕事上の重要な情報を守るためのバランスを、情報セキュリティの3つの特性、機密性(Confidentialit⁠)⁠・完全性(Integrity⁠)⁠・可用性(Availability)から考えると、どういった対応をしていくのが最適なのか。その課題について個別セッションで、さまざまな立ち位置から実体験をまじえたお話を聞くことができました。Leaderとしてもセキュリティの著書を多数連載している上野宣氏から。セッションタイトル「クラウドは○○を共有するサービス」の『○○』の部分には皆さんは何が入ると思いますか?...答えは「リスク⁠」⁠。クラウドサービスはサービス事業者とのリスク共有であり、セキュリティリスクとしては「危険と損失の可能性」があると認識しておくのが、利用するときの大前提だということです。上野氏はクラウドサービスを使うにあたり「第三者の存在」「⁠手が届かない」「⁠法的な問題」の3つが脅威であるとし、それに対して安全に使うには「使っているサービスがどういうものなのか知る」「⁠技術的な対策をする」「⁠法的なことを知る」ことが大事であると語られました。株式会社サーバーワークス代表取締役の大石良氏からは、社内ツールをすべてクラウドサービスに移行したうえでISMS認証も取得した、その舞台裏についてお話いただきました。大石氏ISMSを取得した場合、一般的には取得前よりもセキュリティの概念が厳しくなり、業務上の不便を感じる人が増えてしまう問題があります。大石氏はISMSを取得しても生産性の低下は最小限にし、なおかつ自分自身が働きたいと思える環境になるように、ISMSはあくまでも営業のために取得すること=売り上げが上がる方向でなければ採用しないこと、“⁠守り⁠”と“⁠攻め⁠”を両立することを「情報セキュリティ基本方針」でまとめたとのことです。実際に利用している移行してうまくいったクラウドサービス、またはうまくいかなかったサービスを実体験をもとに紹介してくださり、それを聞いた会場の方の中には「ぜひ使ってみたい!」という声も聞けました。普段から制作業務を外部の人に委託し、そのやり取りで実際にクラウドサービスを利用している株式会社ロフトワークのWebディレクター滝澤耕平氏からは、Web制作現場での気をつけるべきポイントと、その考え方についてのお話を聞くことができました。どんなに事前に想定されるリスクを検討していても対策をしていても、予測のつかないことが起きる可能性があり、“⁠堅牢なセキュリティ⁠”というものは存在しえないこと。それを踏まえた上で、何か問題が発生したときに即座に対応できる体制と、それを検知できる仕組みづくりが、現場でのセキュリティ設計のポイントになるそうです。不穏なセッションタイトルでお話いただいたのは、チームラボ株式会社のエンジニア佐伯真人氏と高須正和氏から、誰にでも起こりえるヒューマンセキュリティホールを組織としてどのようにカバーしていくかについて。高須氏(左)と佐伯氏(右)フラットな仕事体系においてセキュリティでがんじがらめにしてしまうのは、やはり生産性の低下にも繋がってしまうという懸念と、そもそも組織内でセキュリティの概念で決められたことが守られない現状があり、内部統制に悩んでいた時期があったそうです。社員の自主性に任せてクラウドサービスの利用を許可したところ、自然と利用が広まり、社内で課題となっていたコミュニケーションや、ツールの利用方法の周知などが解決したとのことです。ある種の“⁠放置文化⁠”によりシステム的なセキュリティに関しては問題がないとはいえないが、大元を管理することで最低限のセキュリティは確保されていること。クラウドサービスを使うことにより、生産性の大幅な向上とクラウドサービス側で担保してくれるセキュリティにより、状況は改善したとお話いただきました。スピーカーによるトークセッション個別セッションの後で、スピーカーをされた5名の方とモデレーターの和田氏を司会進行に、4つのセッションをふまえてのトークセッションが行われました。上野氏から他のスピーカーに向けてセキュリティ的な質問を投げかけ、各スピーカーから実際に今利用している状況をもとに、セッションでは語りきれなかった細かな対応についてお答えいただきました。)の参加者から出た質問に、それぞれのスピーカーが答える場面もありました。トークセッション懇親会と今後のWebSigイベントについて第32回WebSig会議のすべてのセッション終了後、スピーカー・参加者・モデレーターあわせての懇親会となりました。セッションを聞いての感想を言い合ったり、スピーカーの方と参加者とで意見をかわすことで、よりセキュリティに対する考えを深めることができた方が多くいらっしゃいました。次回のWebSig会議は2013年6月を予定しておりますが、その前の4月中旬頃にWebに関わる人たちを中心としたコミュニケーションの場を提供する予定です。これまでWebSigのイベントに来たことがある方も、ない方でも、気軽に参加できるものになります。詳細は公式サイトでお知らせしますので、ぜひ皆さんご参加ください。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します⁠。個別にライセンスが設定されている記事等はそのライセンスに従います。