セキュリティはなぜ破られるのか 10年間使える「セキュリティの考え方」
８８冊目
いたるところで聞くようになりましたよね。セキュリティ。
「10年使える」とあって「いつ発売したのだろうか」と後ろを見てみれば2006年発売とあり、「今年しか使えないのでは？」と、とんちみたいなこと思ったりしましたけど、本書はセキュリティに対して普遍的な「考え方」について書かれてあるため心配いらないようです。
ただ初心者向けの内容なので、セキュリティを本格的に学びたいと思う人からは物足りないかもしれません。まぁでも後ろの参考文献リスト（もっと勉強したい人のために）が提示してくれているので、これを手にとって次の本に向かうのもいいかもしれませんね。
（今回もネタバレありとありますが、個人的に気になっていたころを書いていこうと思います）
－－－－（ネタバレあり）－－－－－
基本的用語の確認
忘れないように（僕が忘れたときのために）、ここに知った用語を書いていこうと思います。
セキュリティ：「安全に仕事や生活をするための、いろんな取組みやしくみ」（引用）
リスク：安全を脅かす3つの要素（資産、脅威、脆弱性）。
資産：守るべき技術、お金…など「守りたいもの」（実体のない資産もある）
脅威：脅威は3つに分けられる。物理的脅威（泥棒など）、技術的脅威（コンピュータウイルス）、人的脅威（うっかりデータ削除など）。
脆弱性：リスクの顕在化させるための要素。「流行り風邪にかかる可能性がある（資産）」→「最近、風邪が流行っているらしい（脅威）」からの「ストレスで寝不足だ（脆弱性）」や「栄養バランスが悪い食事をしている（脆弱性）」←これ
ペリーメータライン：ここから先は破らせないぞ、という目安。分かりやすい例は「お城の周りにあるお堀」や、今でいう「警備員が立つ門」や「受付」もそれ。この考え方をした仕組みをペリーメータモデルと呼ぶ。
ファイヤウォール：「悪いものは入れないで、価値のあるものは出さない」ようにする、文字通り防火壁。
プロトコル：コミュニケーション（情報交換）するためのルールのこと。（対人なら「はっきり声に出そう」とか「傷つけることは言わないように」とか「忙しそうだったら後にしよう」など、そういった基本的な決まり全般）
IP：インターネットプロトコル、これで「インターネット上の（情報交換するための）ルール」という意味になる。
IPアドレス：パスポートみたいなもの。これを求められるということは「当人を識別するため」であって、「○○だね。よし、インターネットへ行くの許可するよ～」という意味になる。
多段防御：今まで「会社内」で共有していたペリーメータラインを「会社内」の内でさらに幾層も作って守る方法。それぞれのラインを「訪問客でもおｋ」「一般社員レベル」「経営層のレベル」など分けて守る。
資産のセル化：会社の技術職や営業部（もっといえば班ごとに）それぞれ独立した情報を共有するという方法。イメージするなら「営業部に言ってもわからないからこの技術は喋らない」とか、そういった守り方。
ブルートフォースアタック：パスワード開けるときに「全部試してみよう」というそれ、総当たり方法という意味。
アルゴリズム：暗号を作る根っこのルールのこと。「英語の文字を○つずらそう」など知られたら暗号がすべて解かれてしまうもの。
バイオメトリクス：体の一部を「カギ」として考える手段。
セキュリティという言葉について
セキュリティというのはこのパソコン内の話だけはなく、いわば「僕が家のカギをかける」というのもセキュリティといえるらしいです。
言われてみれば（家のセキュリティとか聞くように）「なるほどたしかに」と思うんですけれども、そのパソコン以外の「セキュリティ」は「パソコンのセキュリティ」から取られたものだと思っていたので「（パソコンのセキュリティが普及しただけで別に前々からある言葉と知って）へぇ」と思いましたね。
セキュリティは常に高めるべきものらしいので、パソコンに限らず高めて行きたいと思います。まぁ脅威と脆弱性の対策高めても資産を高めなければ意味ないんですが（白目）。
リスクマネージメント
「セキュリティは高めるもの」と書きましたが、やみくもの高めすぎるのもよろしくないらしいです。とはいうもの、たとえば20万を守るために100万の金庫を買ったとかなると「ん？」となるわけですよ。上にある3つの要素（資産、脅威、脆弱性）を踏まえた上でちょうどいいセキュリティをしなくちゃいけないわけです。
こう書いてみると、家計簿みたいですよね。限られた収入でやりくりする母親みたいな……まぁ赤字となったら笑えないことになりますけど。
識別と認証と権限管理
ファイアーウォールのくだりで、「どうやって入ってくるものを識別するか？」という問題がありました。
そのシステムというのですか、本人だとわかる流れが良くできているなと思ったんですよね。
まず識別と認証は別々で考えるべきという前提があります。
それで識別というの「その人がどんな人か自己申告させる」ことです。この自己申告が大事なところで「うそを言っているか」とかそんなのを見ます。
そして認証、その人だと分かる「確かな情報」を手にその人をどんな人か見分けます（自己申告も踏まえて）。免許書やパスポート、IPもこれにあたるんでしょう。
かくして許可されたなら通される、というわけです。（今思ったんですけど、受付なんかそういう識別や認証する仕事なのかも）そして通されて「やったー」ではなく、さらにその先には権限管理というものがあります。
これは「この素性が分かった人にどこまで情報を与えるか？」という問題になります。たとえば友達なら自室まで通しますが、近所の人なら玄関まで、なにやら怪しい勧誘ならチェーンであける程度だったりしますよね？ そういうことです。
よって識別「誰なのか言ってください」から認証「証明できるものをください」がら「ではここまで情報を許可しましょう（権限管理）」という流れになります。なるほど理にかなってる…というわけです。俗にいう、面倒な手続なのでしょう。
バイオメトリクス
指紋認証から、ほかいろいろな認証方法が確立しつつあるらしいです。個人的に指紋認証が最強のセキュリティだと思っていたわけですから「指紋認証は指をなくしてしまったときを考えると脆弱性がある」と軽く論破されてて「せやな」としか言えませんでした。
思えば五体満足であるからこそそういう認証はできるわけで、仮にその認証に使ってた一部がなくなった場合、もうどうしようもない感じがします。（ある意味、身体にリスクを抱えるわけですよね）
認証部位としていけそうなのはやはり頭……でしょうかね？ 唾液や目やら、うーん、そういったものなら……もう、いっそ脳内にチップ埋め込むあれでいいんじゃないでしょうか（SF脳）
完璧なセキュリティなど存在しない
ここまで「かもしれない」でセキュリティを考えていたというのに、唯一「絶対」と断言して言ったことがこれです。僕の中でプログラマは正確なイメージだから、こう断言された「絶対」がより一層強い言葉に思えました。
いろいろセキュリティを見てきて、究極的なセキュリティを求めるなら「人間性を捨てよ」という事はなんとなく分かってきましたが、それでもなんとかうまくいくシステムが開発されるものだと思っている部分があったんですよね。
だから最後に行き着く脆弱性は人間だというのが、なんだか物語のオチみたいでおもしろかったです。
【まとめ】
セキュリティに対して多少知れたかな？ というような気がしますね。この本に書かれていたのも「これだけで満足しないで、いろいろ知れよ」ということなので、これからなんとかセキュリティ高めねばです。
ときに、この本には章終わりに各まとめがあるんですよね。それが分かりやすく端的に情報が書かれてあってとてもよかったです。6章各2ページなのだから計12ページほどなのですが、それ読んだら内容全部網羅したといってもいいほどですよ、むしろあれだけでいいレベル（褒め言葉）。
