このコラムは今回が一応の区切りとして最終回となるわけだが、ネタをセキュリティとしてみた。また専門でもないことで、とお叱りを受ける覚悟をしつつ、セキュリティ関連で筆者の人脈で思い浮かぶのは現在JPCERT/CCでご活躍の歌代和正氏か奈良先端大の山口英氏だ。歌代氏には、PGP、Perl関連の書籍や正規表現の本でお世話になった（というかご迷惑をかけた？）が、今回は山口氏にお話を伺えるかどうかお願いした。多忙を極めるなか、貴重な時間をいただいたことに感謝したい。
山口 英 氏
山口英氏は、現在、奈良先端科学技術大学院大学情報科学研究科 教授、内閣官房 情報セキュリティ補佐官という肩書きを持つ。筆者との直接の付き合いは、オライリー時代の『UNIX＆インターネットセキュリティ』という分厚い本だ。1000ページを超える本の監修・監訳をお願いしていた当時の話でもネタは尽きないのだが、まず、そのころセキュリティの話から始めたいと思う。ちなみに、オライリーの本といえば動物の表紙が有名だが、セキュリティ関係のタイトルは動物ではなく「物」（無生物）を使うという本社デザイナーの決めたルールが存在していた。上記の本の表紙はおもちゃの金庫だ。
「縛るだけ」ではセキュリティは成り立たない
当時、セキュリティといえば、UNIXやWindows NTなどのアカウント設定や管理について、ファイルやディレクトリのアクセス制限属性の立て方、セキュリティパッチの当て方、sendmailのcfファイルをどのように設定するのか、From欄詐称メールの見分け方、DNSのMXレコードや各種ディレクティブの書き方、ウィルス駆除ソフトの運用や管理ポリシーの議論などがメインだったように思う。セキュリティ対策のアルゴリズムや技術が主なトピックだったわけだが、もちろん当時でも、いまで言うコンプライアンスの議論も存在していた。
上記の10年前の書籍でも、あらゆる攻撃の手法や防御について解説されているだけでなく、「実際のセキュリティインシデントは、外部からの攻撃や侵入より内部からの攻撃や漏洩（悪意の有無にかかわらず）が原因であることがいちばん多い」という事実が述べられている。そして、セキュリティは業務内容、システムの目的や機能によって適用すべきポリシーが変わるもので、運用は難しいが企業や組織の権限を持つ側の理解と協力が必要であるとも。
しかし、考えようによっては当時はまだ「平和」だったと言える。深刻な被害などはあっても、技術やアーキテクチャの話で済んでいたとも言えるからだ。コンプライアンスに相当する概念は存在していたが、文字通り概念であり暗黙の了解が最低限のルールのような形で機能していたからこそ、技術論が先行できたのではないだろうか。翻って、現在、コンプライアンス、個人情報保護などの文脈で語られるのは、まず「～をしてはいけない」といった規制やNG項目がきてしまう。
今回、山口氏に話を聞くにあたって、開口一番の発言はこのことについてだった。
- 「我々がセキュリティとして取り組んでいたのはこんな状況にするためではない。なんでもNGにするのはセキュリティじゃない。」
セキュリティを守るためには、縛るだけではダメだといっているわけだ。表面的にとらえるなら、セキュリティ担当者、それも政府機関に関わる立場の人の発言とは思えないかもしれないが、ちょっと考えれば、これは正論であり、何ら反社会的なことを言っているわけではないことはすぐわかるだろう。ルールや最低限の規則は必要だが、それだけで秩序なりコンプライアンスを実現しようすると、禁止がさらなる別の禁止を呼び、なにもしないことがいちばんのセキュリティという結論に向かうだけだ。
なぜ、こうなってしまったのか。ひとつは、管理する側がそのほうが楽だから。そして、じつは管理される側もそのほうが楽だからだ。TPOで意思決定をしたり、そのつど事象を吟味して判断するよりは、禁止項目やベストプラクティスを整理して機械的に当てはめるほうが簡単だろう。文字通り機械的な作業でこなせる。また、ポリシーを運用する側も同様に、これは正しいか正しくないかを判断するより「答え」に沿った運用や行動のほうが簡単である。
考えること／学ぶことからはじめよう
しかし、セキュリティの解説書やガイドラインには、ルールのあいまいな運用は厳禁であるとか安易な例外を認めないということが書いてあるじゃないか。あるいは、10年前は、インターネットといってもまだ一定のカテゴライズが可能な人々のものだったから、暗黙のルールや「文化」といった規範意識を共有できたかもしれないが、いまや子供から老人まで、過去の文化や背景を知らずただの道具としてネットを使い始めている。理想的な運用なんて現実的でない。多数のばらばらの運用において利便性が多少損なわれるのは不可避だ。こんな反論もあるだろう。
これらもまた正論だろう。セキュリティ問題は、個人や企業のPCや資産への被害だけでなくサイバーテロへの発展や、社会インフラとなったネットワークサービス全体への脅威になりつつある。これらへの対応は、緊急避難的な行為も含めた強制力を伴う制限や規則が必要だ。ステークホルダーが多岐にわたり数も膨大なので、ことは一筋縄ではいかない。このような状況については、山口氏は、
- 「ステークホルダーが多様だからこそ、それぞれの立場の人間が自分で考えることが重要。そして、あまり好きな表現ではないが大人としての判断をしよう。そのためには常に学ぶ姿勢が必要だ。学ぶことによって強い個人になれる。」
と語ってくれた。各論の議論で自分の立場や主張と違うからといって、極論を持ち出して反対するのは、説得や交渉の戦術としては重要だし否定はしない。偏った結論を回避するためのセーフティネットとしての意味もあるかもしれない。だが自分で考えるということは、自分側の都合だけを考えることではなく、一歩引いて全体を見る冷静な目も必要ということだ。それぞれの立場や考え方、意見も公平に判断できなければならない。これが「大人」の判断であり、それには常に「学ぶ」ことを怠ってはならないということだ。
ガイドラインや規則は、それ自体必要なものだが、それに依存しすぎて思考放棄になることがセキュリティの最大の危機とも述べてくれた。規則や常識も絶対的なものではない。時代とともに、とくに新しい技術とともに変わってくる。常に学ぶということはこれを忘れないことでもある。状況が変われば答えも自然と変わってくる。ごくあたりまえのことだ。
学ぶことをやめてはならない
今回の話の中で、氏がもうひとつ強調していた言葉がある。
だ。学ぶということはなにかを得るということだ。学ぶことだけではなく、物や情報、あるいは価値でもなんでもよいが、なにかを得るということには、なんらかのコスト、対価が必要だ。この言葉には、文字通り「タダより高いものはない」という教訓も含まれている。楽だから、タダだからと、それに甘んじて考えることを止めたり、学ぶことを止めたりすると、あとで楽をした分のコストを払わされる危険があるということだ。
話が途中から、セキュリティ問題からもっと大きな問題になってきているが、この問題はそれだけ行政や国家を抜きにした議論ができなくなっているからかもしれない。強い個人であり続けるためには、「No Free Lunch」という言葉も、そのレベルで考えるべきだ。
筆者自身は、さすがに「Big Brother」のようなことは誰も考えていないだろうと楽観視してしまいがちだが、山口氏は日ごろから業務として官僚や権力と接しているだけに、行き過ぎた規制や間違った法案に対して私なんかよりずっと危機感を持っているように見受けられた。
個々の議員や官僚にはそんな意思、意識はないかもしれないが、その国民に見合った政府にしかならない、という言葉があるとおり、個人の無意識のような意思が組織や国家の暗黙の思想やルールを作ることはありうると思う。極端な体制社会にはならないだろうとは思いつつ、そうならない意識を持ち続ける、学び続ける重要性は理解できたつもりだ。国民に見合った政府にしかならないならば、そういう政府にできる、ということでもあるからだ。
