情報セキュリティの敗北史 #42
Labels
Status: Released
Released post
Comments
github-actions
bot
added
Status: Released
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
1950年ぐらいのセキュリティの歴史の話から始まって、1970年には「大規模なソフトウェアシステムにおいては、エラーや異常が完全にないことを検証するのは事実上不可能」という話があったのが面白い。
あと1970年にＰＲＯＳ（Provably Secure Operating System：証明可能な安全性を持つＯＳ）という形式的証明みたいなことやってたのも面白い。
科学では反証可能性で担保するが、セキュリティではそうなってない。
あるシステムは安全ではないと言うことはできるが、あるシステムは安全であると言うことは難しい(バグがないシステムは存在しない)。セキュリティでは、完璧に安全というものはないため、セキュリティの専門家でも反証可能性がない。
つまり何か絶対の正しさを持ったものはないので、セキュリティを実現する絶対的なものはない。
そのためリスク評価といった間接的な指標を使って意思決定している。(リスクが低い = セキュリティが高いだろうと)
ここを理解するのには経済学の逆インセンティブ、心理学的なものが重要という話よかった。
セキュリティは特定の問題を扱っても解決はできないので、システム全体の問題として見る必要がある。
セキュリティの技術的な部分は確かに技術だけど、セキュリティ対策という全体感で見ると必ずしも技術が得意じゃない人の方がリスク評価からの対策が上手いとかは普通にありそうだなーと思った。
これは、いわゆるセキュリティ対策を何から始めたらいいかわからない問題とも繋がっていそう。
何か絶対のものがあるわけじゃないので、これ対策しておけば良いわけじゃなくて、やるべきことは無限に出てきてしまう。
(やり方もボトムアップ、トップダウンどちらもある)
これを全部並べるとコストがリスクを上回って、本でも出てきたように逆インセンティブの問題が発生して対策を諦めてしまう。
これの考え方としてリスクマネジメント的な優先度を、リスク評価から決定していくのが良くある方法。
この絶対的なものじゃなくて、相対的なもの/間接的なものとしてセキュリティを評価していく話は実際そうだなーと思って読んでて面白かった。(9章)
売上高の「0.5%以上」、人の「0.5%以上」をセキュリティの予算とするという話もこういった間接的な評価から決めているのだと思う。
よかった章
が特によかったなー
フルディスクロージャーからレスポンシブル・ディスクロージャへの変化とか
The text was updated successfully, but these errors were encountered: