RSAカンファレンス　2010 - もかちの日記

珍しく仕事のことを書いてみよう。
一応、情報セキュリティに関するお仕事を生業としています。
たまたま2日目の招待券をいただけたので、行ってきました。
http://www.rsaconference.jp/index.html
3万円自腹は厳しいので、ラッキーでした。

本年度のテーマ？副題が、「クラウド時代のセキュリティ／テクノロジーとガバナンスを問う」
ということで全体的にもクラウド関連のものが非常に多かったです。
気になったセッションとその感想を書いてみます。

＜基調講演＞
スピーカーは4名。
毎日10万のマルウェアが生まれている。
そのうち5万についてシグネチャを作ってる。
たとえば、Adobe Readerは1億行のソースコード。
穴はないかと探られている。
攻撃者はどんどんPro化しており、その技法、手法は高度になっている。また彼らは情報を共有しており、組織化されている。

ITの変化の大きな流れは、クラウドと仮想化の2つ。
この流れはしばらく続く。
ガートナーの予測だと2020年までにIT部門を持たない会社が20%程度出てくる。（まじか？）

クラウドを推進するものはなに？
→お金！
　おまけとして、グリーンやカーボン（おそらく環境とCo2かな？）
ただし、クラウドが広がると攻撃者も安価にAttackできる環境を入手できるようになる。

Firwallのお話し。
パロアルトネットワークスのニア・ズーク氏（Firewall-1のステートフルインスペクション作った人！）からFirewallの常識が変わるという話。
既存のFirewallは買うな。
ポートとIPの制御では限界が来ている。
Port80を使うサービスが非常に多い。
たとえば、WinnyもWeb閲覧も、SkypeもWebex（Ciscoのテレビ会議）もニコ動も、みんなWebサービス。
だけど、これらを止めるのはOFFかONだけ。
URLフィルタリングのような技術もあるが、社内の特定のUserは使う場合もある。
つまり各User毎にどのサービスを使えるか制御する必要がある。
また、ウィルスチェック、IPSなどのいろんな制御が必要でたくさんの装置を使っているがUTMのようなものを入れても十分な性能が出ない。また、高い。
これらを解決する次世代Firewallを作った。
これからはこれを使うべき！

Oracle関連のお話し。
Oracleは実はSaaSプレイヤーとして収益をあげている。
クラウド導入時の懸念点第一位はセキュリティ（74.6%!）
セキュリティレベルを開示しているベンダーは少ない。
これが増えてくれば、導入が進むのではないか？
各種、統制をとる必要があるものは従来通り、統制が必要。
　例）内部統制、個人情報保護法、ISMS、JISQ15001、PCIDSS...

Oracleの製品はけっこう良いのが出てる！
・Oracle Data Vault
・Oracle Database Vault
・Oracle Audit Vault
・テストデータのマスキングソリューション
なかなか、Oracleは欲しいソリューションが多く、期待できる。
(お値段が高そうだけど）
また、DB全体の暗号化技術も枯れてきており、昔とは常識が変わっているとのこと。←これ大事。

CISCO関連のお話し。
「HTTP is New TCP」
この一言に尽きるな。

＜内部犯行のお話し＞
三菱UFJ証券の個人情報漏洩の事件だけでなく、内部犯行が増えている。
この3年分のサイバー犯罪をJPCERTの中の人と、科捜研の人が分析して報告。
調書の100項目から24の変数を選択し、分類。
大きく分けると4つの種類。
・情報流出型
・システム悪用型I
・システム悪用型II
・システム破壊型

それぞれで犯人のプロファイリングのようなものを報告。
（なかなか興味深かったですが、実践につなげようとすると結構しんどいと思われるけど、ネタ的にはOK！）
やっぱり、認められたいんだね、人は人に。

ま、できることはありきたりだけど、
・共有アカウントの削除
・辞めたらアカウント即、削除
・内部犯行は割に合わないという教育

幸い、うちはがんばって、このあたりをやってる！
（実はこんな裏方のお仕事もしてます。）

＜国際的な犯罪の事例＞
かなり本格的な犯罪者集団がいるようです。
そして高度な技術を要しており、botの仕組みなどはびっくりするくらいよくできてる！
こりゃ、犯罪者側とのいたちごっこですわ。

ってな感じで、かけるところだけ書いてみました。
あとはかけないことも多いと言うことで...
本日のカンファレンスは勉強になりました。
会社で、この知識をメンバーに共有しなくては。

（おまけ）
Oracleブースの抽選会（休憩中にあるんです）、目の前の人が、あっ！おれだ！といって、1等のiPadをゲットしていました。
当たるんだねぇ。。。。