ネットワーク アーキテクチャ考 (38) – 「セキュリティ嫌い」の克服、そして実践者であり続けること
みなさま、テクノロジーに好き嫌いはありますか？私は結構好き嫌いがあり、シンプルな原則に則った技術に強く惹かれます。そして、セキュリティは実のところ、これまであまり好きではありませんでした。
セキュリティが好きでなかった理由
・古き佳きインターネットへの憧憬
インターネットの初期は、ステークホルダーが皆意識高く、互助精神があり、規制や権威を排して自由を重んじる思想がありました。（”The Internet is For Everyone” 「インターネットはみんなのもの」 RFC3271）
古き佳きインターネットコミュニティでは、「セキュリティはもちろん重要だけれども、セキュリティ確保のためだからといって、規制やガバナンスが直ちに正当化される訳ではない」、「技術のことは技術で解決しよう」、となります。
・イノヴェーションの阻害要因になる可能性
新たな技術提案してもすぐには受け入れられない、というのは世の常です。何かを提案すると、反対派や抵抗勢が必ず口にする質問は「それは、セキュリティ的には担保されるのでしょうか？」というものです。しかし新たな技術を採用すれば、新たなリスクが生じる可能性があるのは当然です。そもそも「担保される」って何ですか。そんな保証が自動的に付いてくる筈もなく、新たなリスク可能性も折り込むことも含めてイノヴェーションではないでしょうか。また、セキュリティ対策は、利便性やオープン性、自由度を阻害する場合があるため、管理側と現場で拮抗することもよくあります。
・マッチポンプ的？
リスクを説く —> 対策をしていただく —> そしてまた新たなリスクを説く・・・、というサイクルが若干マッチポンプ的に捉えられなくもない。。
アーキテクトがセキュリティをマスターする必要性
しかしながら、そんなことも言ってられなくなりました。
かつては広告やマネタイズのために議論されてきた「ネットワーク中立性の見直し」や「スプリンターネット（Splinter Net：ネットワークの分断）」ですが、ロシアによるウクライナ侵攻を契機に、国家間の対立のためにインターネットを分断する、ということが、かつて以上に余儀なくされるようになりました。そして、2022 年 7 月に米国のシンクタンクであるCFR（米外交問題評議会）のタスクフォースによる報告書「サイバースペースの現実に立ち向かう分断されたインターネットのための外交政策（Confronting Reality in Cyberspace Foreign Policy for a Fragmented Internet）」では、その「オープンで信頼性が高く、セキュアなグローバル・ネットワークというユートピア的ビジョンは達成されておらず、また今後も実現する見込みはない。今日、インターネットはより自由でなくなり、より断片化され、より安全ではなくなっている。」という厳しい声明 [*1] を出しました。セキュリティ確保のための規制や措置はもはや避けることができない、ということです。
もう一つの側面は、技術の「価値」です。最近はよく、技術そのものの価値ではなく、技術を使うことによってもたらされるアウトカム（outcome：結果や帰結）は何かということを意識しなければならない、と言われます。そのビジネスアウトカムを明確にしなければ、技術提案は意味がない、というのです。私はつい、これまでよりもよりシンプルに、速く、容量も大きく、機能や頑健性高く、などということばかりに価値を求めてしまうのですが、通常時はまだしも、政情不安のときや不況のときには、経営者にとっては、技術自体ではなく「ビジネス継続性」や「リスクマネジメント」のための方法論の方が、重要です。そしてそのために最も必要とされる技術はセキュリティです。
という訳で、最近セキュリティを頑張って勉強しました。（ただ頑張った、というだけでは説得力ないので、CISSP 資格を取得しました。）そして、セキュリティというものを見直し、これまで食わず嫌いのところもあったことを反省しました。大きく学んだのは次の 2 点です。
・セキュリティはアーキテクチャである
情報セキュリティの目的は「Confidentiality（機密性）、Integrity（完全性）、Availability（可用性）を実現すること」、と明確に定義されています。私はこの Blog の第一回目「序論」で、機能を規定するのはアルゴリズムやロジックであるが、特性（英語で – ilityという語尾がつくことが多い。Scalabilityとか、Flexibilityとか）を規定するのはアーキテクチャである、と書きました。Confidentiality、Integrity、Availability を実現するのは、まさにアーキテクチャであり、必要な特性が達成されていないとすれば、それはアーキテクチャに問題がある、ということになります。したがって、セキュリティをアーキテクチャに組み込み、実践するのは、アーキテクトの役割です。
・セキュリティはリスクマネジメントの方法論である
セキュリティをマスターするためには、技術だけではなく、関連する法・規制・フレームワークを知り、それらを参照して、状況に応じた遵守・適用の方法を考察する必要があります。これは、不確定性の高いリスクに、合理的に備えるためです。政情不安、経済不安の中、事業を継続するために、リスクマネジメントは必須の経営課題であり、アーキテクトは、この課題に応える必要があります。
実践者であり続けること
ただ、ここで気をつけないといけないことは、言葉にするのはとても簡単である一方、法・規制・フレームワークの遵守・運用と、現場におけるイノヴェーションのバランスはとても難しい、ということです。
言葉が虚しい例は枚挙にいとまがありませんが、例えば 2001 年の e-Japan 戦略。「我が国は、すべての国民が情報通信技術 （IT）を積極的に活用し、その恩恵を最大限に享受できる知識創発型社会の実現に向け、早急に 革命的 かつ 現実的 な対応を行わなければならない。市場原理に基づき民間が最大限に活力を発揮できる環境を整備し、5 年以内に世界最先端の IT 国家となることを目指す。」（出典：Wikipedia 「e-Japan」、太字は筆者）
しかし、言葉で「革命的かつ現実的」と書くのは簡単ですが、「革命的」と「現実的」って対極的概念であり、そのままでは両立できません。結果としてどうなったかというと、既存の慣習や権益に囚われ続け、5 年以内どころか 20 年以上たっても世界最先端の IT 国家にはなれていません。セキュリティのコンテクストでも「革新」と「保護」のせめぎ合いが生じ易いため、戦略を掲げたアーキテクトと実践者が乖離していると、こうなってしまいます。
アーキテクトは実践まで行ってアーキテクトである、ということを、肝に銘じたいと思います。
[*1] https://www.cfr.org/task-force-report/confronting-reality-in-cyberspace
Tags:
