2018.12.11 (Tue)

今年最後の常時SSL化レポートになります。今回で13回目ですね。詳細は、2018年12月版の上場企業の常時SSL化レポート でご覧下さい。前回が64.9%でしたから、今月は微増です。

20181211_sslreport201812
(前回64.9%から今回66.1%へと3ヶ月ぶりの1%台前半の伸び)

余りコレという大きな変化は見られません。勢いはここ3ヶ月に比べるとわずかに鈍化した気がしないでもないですが、まぁ確実に少しずつ少しずつ増えているので良しとしましょう。来年度に突入する前、つまり3月のレポートでは何とか70%は越えて貰いたいところです。

 

レポートページを改修しました

レポートのアーカイブが見にくかったり、毎回調査方法を書いてて冗長だったりと、決して見易いとは言えない状態だったので常時SSL化レポートの掲載TOPページを少し更新しました。

20181211_sslreport-archive
(アーカイブのインデックスを独立させた)

こんな感じでアーカイブの一覧を独立させましたので、過去分に興味ある方は宜しければどうぞ。また、レポートの作成手順も独立させました。常時SSL化レポートのTOPページこちらからどうぞ。

ふと思いましたが、気がつけばもう1年以上のデータが貯まりましたので、

  • 月の増加率の変遷
  • 月の各証明書割合の変遷
  • EV証明書対応企業の増え方

など時間軸に着目した変遷を捉えるグラフがあっても良いかも知れませんね。来年に検討してみたいと思います。見てみたいレポートがあれば宜しければ弊社問い合わせページからご連絡下さい。

という訳で今年最後の常時SSL化レポートでした。

常時SSL化レポートをご覧頂いてきた皆さん、本年はありがとうございました。来年も続ける予定ですので引き続き宜しくお願い致します。一次情報として使って頂くケースも増えてきたので、ここまできたらもう100%になるまでレポート続けるしかないですね。上場企業の皆さん、早く対応して下さい(笑)

 

年末恒例の1年振り返りエントリは年末までに上げる予定です。


2018.11.19 (Mon)

恒例の常時SSL化レポートをお送りします。詳細は、2018年11月版の上場企業の常時SSL化レポート でご覧下さい。今月は上場企業が大幅増、3640社分を調べました。

20181119_sslreport201811
(先月と変わらず1.8ポイントの増加)

10月はChrome70がリリースされましたが特に大きなは変化は見られませんでした。先月と同様に今月も対応サイトが 1.8ポイント 増加して全体で 64.9% となりました。

昨今は1%後半から2%台ぐらいの増加になってるでしょうか。このままのペースでいくと年が明けて2019年2月のレポートで70%を突破するぐらいですね。

100%になるのは一体いつになるのやら…。来年末で90%ぐらいいけば御の字かも知れません。

 

未だに新規上場企業が常時SSL対応していないケースがある

未だに新規上場なのに非対応という企業があります。非対応企業をDISることが主旨ではありませんので、具体的な企業名はあげませんけども。

10月中に新たに上場した19社(実質名前変えただけの再上場みたいな企業も含むので new commers はもう少し少ない)のうち3,4社のオフィシャルサイトは常時SSL化ができておらず、これには本当に首を傾げざるを得ません。

身元を誰にも確認して貰ってない誰かが上場企業を装って発信しているのに近い のですから。

ドメインが 上場会社名っぽい ので当該の上場企業の公式な情報 だろう という憶測が働くのを、上場企業として回避努力をしていないということです。それを誰も助言できてない可能性が高く、投資家にそう思われることに気づいてもいないかも知れません。

  • 上場しようという企業のWebに対する低意識
  • 上場に関係する主幹事証券会社・監査役・証券取引所の低意識
  • 当該企業の情報発信を支援する制作会社・コンサルの低意識

は否めないと思います。市場で株式が取引されることの意味を考えれば正直情けない…。大臣がPC触ったことない問題に通じるものがあります。

(まぁDV証明書だけで「装ってる」という疑いは論理的に払拭できないので、投資家のことを考えている姿勢を見せるなら全上場企業はEV証明書での常時SSL化を行うべきです)

20181119_shikiho
(四季報にも乗せるべき情報ではないかなと思ったりもします。情報発信の姿勢を表す指標なので)

ちなみ僕は常時SSL化非対応サイトを平然と公開している企業の株は買おうとすら思いません。今の御時世、Webへの意識が低い企業にまっとうな情報発信ができるとは到底思えないからです。

とはいってもじゃあEV証明書対応してる企業の株が買いなのかというと違うのですけどね(笑) スクリーニング指標として使えると個人的には思ってます。

 

ということで11月のレポートでした。来月もまたレポートします。


2018.11.05 (Mon)

突然ですが、来春にオフィスを引っ越します。

20181105_remotework
(Thanks! the photo on flickr by Ryan Morse / CC BY 2.0)

リモートメインではオフィスほぼ不要かなと

リモートワークをメイン(週1,2回オフィスに集まる程度)になって半年強が経ちましたが、生産性・コミュニケーションいずれも特に問題なく仕事は今まで通り回っています。

そうすると自然と強まるのは「オフィスもったいないよな」という考えです。リモートメインにして暫くたった頃に、

もはやリモートワーク主体となり、オフィスを実質半分しか使ってなくても生み出す価値に影響がないとなれば、 そのキャッシュアウトの価値を問うても良いでしょう。

なんて書いたこともありました。(完全専有型オフィスではなく、曜日専有型オフィスが欲しい)

基本的に弊社メンバーは今全員で3人だからってのもありますが、リモート日に僕の出張や外出が重なればオフィスは留守な時間帯が多くなるし、リモート日は半分は電気を落としてますし、ビデオ会議が増えて来客が減ったりしてますし、ようは面積あたりの使用率が劇的に落ちてるんですよね。

現オフィスで常時空いてる会議スペースをセミナー会場として使う案もあったのですが、諸々の案件が平行稼働しているのを理由にその優先度をあげられていない状況で、もったいない精神が勝ってオフィスほぼ不要じゃん!ってことになりました。

 

将来はオフィスなくしてバーチャル?

現状そもそもそんなに広くないですが、次の引っ越しで今から半分ぐらいにする予定。2016年の出来事で半分にしてての今の広さですから、一番広かった時から4分の1か3分の1ぐらいになりますか。

で、思い至ればすぐ行動ということで、今入居しているビルには退去の告知をして物件探しを進めています。申し出るタイミングの関係で実際の引っ越しは恐らく来年3月頃。

だんだんと有名なこの本っぽいスタイルに近づきつつ、

更に未来の働き方を追求する足がかりになると良いですね。

20181105_exp
(アバター出社をするeXp Realtyという米国不動産企業)

仕事場としてのオフィスは特に持たず遠隔地でも旅先でも関係なく業務を回してて。バーチャルな世界にオフィスを持って、皆そこに集まってる。そんな未来があったりするのかも。(Oculus Go + Oculus Rooms を使ってガチの仕事会議をしてみた感想)

という訳で引っ越します〜というお話でした。引っ越し終わったらまたエントリします。よかったら遊びに来てくださいね。


2018.10.20 (Sat)

毎月恒例、常時SSL化レポートをお送りします。詳細は、2018年10月版の上場企業の常時SSL化レポート のページからご覧下さい。

今月はというか9月は時期的な理由もあり、企業統合やホールディングス体制移行に伴う上場廃止など上場企業数が減る傾向にありました。前月に対して9社少ない3627社が対象となります。

20181020_sslreport201810
(平常運転という感じの着実な微増です)

今月で63.1%が対応企業となりました。勢いが減っているということはありませんので喜ばしい限りですね。贅沢言うともっと勢いよく増えて欲しいですが。まぁ勢いが弱まっていないことを素直に喜びましょう。

約1年前の初調査の時には47.3%でしたから、そこから15%強増えたと思えば大したものです。500,600社は対応したということですからね。

 

常時SSL化判定の洗練

最近、業界関係者の方も本レポートを参考にしてくださっていたり、セミナーや啓蒙資料等々で一次資料として引用頂いているケースもあるそうで大変有り難い限りです。

ここで少し判定の正確性と弊社スタンスについて書いておきたいと思います。

本レポートは毎月出しています。上場企業のURL一覧から証明書情報を取得したり、常時SSL化対応の有効性をチェックしています。が、全てプログラムで自動実行です。人間が毎月3600社目視するってな事はありえませんので、今流行りの言葉でいうとコレもRPAなのでしょう。

で、その判定ロジックはどれほど厳密で正確なのか?

実は「常時SSL化対応している」と判断する基準は、誰が作っても同じ…とはなりません。なぜなら判定が微妙なケースが非常に多いからです。例えば、

「証明書の設置はしているけど中間証明書の設置方法が間違っていて証明書チェーンが切れている」

といったケースですね。これを皆さんならどう判定するでしょうか?

今、弊社の判断基準では「常時SSL化に対応している」です。これに違和感を覚えるかたもおられるかも知れません。学術系の方とか。でも、中間証明書チェーンが切れていても Chrome 等のブラウザが対応サイトとして表示してくれるんですよね。厳密に突っ込み入れるとすれば「誤り」なんですが。

20181020_sclient
(opensslのs_clientで厳密に見ればブラウザで常時SSL化対応サイトとされていても untrusted なことがある)

これ以外にも色んな例があります。その判断全てに弊社の考えが注入されていて、別の会社が判断すれば異なる結果になる可能性もあります。がまぁ、よっぽどおかしな判断をしない限りは誤差の範囲ですけど。弊社がどういう判断をしているかは毎月レポートの冒頭に書いていますのでご覧下さい。

で、その弊社判断ですが、少しずつ洗練させていきたいとは思ってます。そこで今回、ロジックに少し手を加えました。2018年10月レポート にも書いていますが、

  • 301,302を返すサイトもリダイレクトループしない限り先を辿って調査するようにした
  • 証明書の設定はされているがページがエラー表示の場合は非対応とした

の2点を変更しました。前者は対応サイト増、後者は対応サイト減のインパクトとなります。余り頻繁に変更するとレポートの意味も薄れてしまうので、段階的に洗練させていくつもりです。洗練の軸に据えるのは「人が見た時に常時SSL化対応したサイトと言えるかどうか」です。

 

レポートより判定ロジックの話が長くなりました。来月で丁度12回目。年内に7割対応ぐらいいって欲しかったのですが難しそうです。またレポートします。


2018.10.04 (Thu)

つい先月のこと、AWSの担当の方からパートナーになりませんかと連絡を頂きました。その後、諸々の手続きを経まして、弊社フィードテイラーは、正式に AWS パートナーネットワーク(APN) のパートナーとして認定されました。

20181004_apn
(既に500社ほどの国内企業がパートナー企業として認定されている)

APNにはコンサルティングパートナーとテクノロジーパートナーの2つあります。

前者はAWSを使った顧客向けシステム構築・運用を生業とされる企業、後者はAWS上に自社サービスを展開している企業という違いがあります。今回弊社が認定頂いたのは、後者の テクノロジーパートナー のほう。

弊社はWordPressを始めとするCMSを静的化するサービス espar を昨年6月より提供させて頂いているのですが、自社開発した静的化エンジンはAWS上に構築しています。EC2,ELB,IAM,ACM,S3は勿論、ECSやEFSなど比較的新しいAWSテクノロジも積極的に取り込んで自社サービスを構築しています。

20181004_esp
(国内AWSテクノロジーパートナーのプロダクトポータルサイトにも登録して頂いた)

さて、そんな espar 事業ですが、 CMSサイトを静的化することが一番楽で合理的なのだ という認識が広まるに従って、関心を寄せて頂く方がポツリポツリと増えてきている感触を得ています。

お客様向けで専用に、静的ホスティング環境を構築させて頂く事もあったりで、お客様向けの環境をAWSで構築する役割を担うこともあります。ですので、今後はAPNのメンバーとしてより一層、自社サービスの提供・お客様環境構築支援の両面から、AWSの広がりに少しでも貢献できればと思います。

今後ともフィードテイラーを宜しくお願い致します。


2018.09.30 (Sun)

2018年は異常なまでの自然災害の年です。

豪雨、地震、台風。これまで大阪市内に住んでて余り深刻な事態には直面してなかったのですが、人生初めての直下での地震(大阪市北区の震度6)に恐怖し、暴風雨に身体を飛ばされかけて(台風21号上陸時に打ち合わせ外出)命の危険を感じ、これを機に今まで以上に災害時に備える意識を高めました。

元々、備蓄やら避難用品等は揃えていたのですが今一度一式を確認して、足りないものを補充。特に今回、停電時にどうするか…という視点で追加購入したものが Anker 社のPowerHouseと、正規オプションのソーラーパネル PowerPort Solar 60 です。

2つ併せて7万円と結構なお買い物です。5万円のPowerHouseだけで良さそうなものですが、新しいモノ珍しいモノが好きなのと、万が一停電が長期化して PowerHouse の蓄電量だけで足りなくなったらどうしよう?電気補充したいな…と思ったのが購入動機です。

以下、その視点での使用感。

PowerPort Solar 60 を使ってみた

土日ぐらいしか時間が作れず9月下旬の日曜日、雲ひとつ無い快晴…とはいきませんでしたが、夕方まで結構な日差しがさす中で実験してみました。

20180930_powersolarpowerhouse
(災害による停電時にベランダで太陽光発電による充電を行う想定)

災害時に自宅で停電生活を過ごす事になった…という利用シーンを想定していたので、こんな感じでベランダに設置して、時折位置を変えながら朝9時ぐらいから5,6時間ぐらいでしょうか。パネルに陽を当て続けました。

結果、PowerHouseに補充できた電力は3%。これを多いと見るか少ないと見るかは、得た電力を何に使うかという目的によりそうです。(不良品ではないと思う、多分)

PowerHouseは元々容量が大きい(公称でスマホフル充電を40回!)ので3%といってもそこそこの量です。iPhoneXでも普通に一回フル充電可能でまだ余ります。停電長期化の際に天気良ければ夫婦2人分のスマホはフル充電できる…と思えば、PowerHouseの電気を使い切ったとしても全く電気がないよりはマシなので安心感がありますね。

実験当日は快晴!とまではいかない天気だったので(最高29度の晴れのち曇り)、終日快晴ならもっと充電できるかも知れません。

あと、太陽の軌道を意識して設置の仕方を工夫すればもっと蓄電できる気もします。建物の中では、思いのほか太陽の移動と共に影が移動してしまい、油断してるとソーラーパネルに陽があたってないってことになりかねません。最適な設置場所を考えておく必要はありそうです。(ここでDIY?)

20180930_powerhouse
(太陽からのエネルギーを貯めて頑張っているPowerHouse)

AC/DC期待なら燃料系発電機

AC/DC電源も使えるのがPowerHouseの良さでもありますが、その電力源として「PowerPort Sola による発電 → PowerHouse に蓄電」を期待するのは、さすがに酷というものですね。

PowerHouseには普通にコンセントを刺してサーキュレータや扇風機、小型の冷蔵庫やノートパソコンへの給電にも使えますが、半日程度のソーラ発電で貯めた電力量で数時間ももつものではないです。そもそも使い方が違うという…。4,5時間でPowerHouseが満タンになります!ってミラクルなら話は違いますけどね。

それを期待するならガソリンやガスによる発電機です。どの程度リスクヘッジするか…は家庭や生活習慣にもよりますが、頻繁にアウトドアで電気系使うことがあるよ〜的なご家庭では発電機の1つや2つ(?)、災害対策用にあっても良いかなとは思います。

燃料の保管がちょっと…という場合は、思い切って3万円上乗せして PowerHouse をもう1台ゲット(まさかの!)という選択肢も悪くないでしょう。超小型だし場所は取りませんので。ですが、ウチはそこまではやらないことにしました。PowerHouseが家に2台てw

20180930_powersolarpowerhouse_onwall
(朝早い時間から陽があたってたので壁貼りを試みた様子。その後、すぐ剥がれるw 貼るのは無理があった)

スマホ充電ならモバイルバッテリを沢山買って備える

で、PowerPort Solar は MustBuy なのか。

これは自分的には否です。正直そこまでは思わないな〜と。2万円と結構なお値段もしますし。

スマホやタブレットへの充電が目的なら、大容量なモバイルバッテリを5,6個買い足して満タン保管が良いです。いざ避難って時に単品持ち出せますし、普段使いに流用もできますから。

PowerPort Solar、モノとしては良いと思います。しっかりした作りですし、畳んだら持ち運べる用の取っ手もついてますし、別にPowerHouse本体がなくても単体でUSB機器に繋いでソーラー充電もできますし。あと、ポータブルに太陽光発電パネルを持ってるという所有感も満たせますね(笑)。いわゆるガジェット好きなら PowerHouse のついでに買ってしまっていいんじゃないでしょうか。他には、電源系の備えはもう色々やり尽くして他にも更にやっておきたい…みたいな人にも良いかも。

動作不良っぽいことは多分ないです。発電量が少ないとしたら多分僕の使い方が悪い。

20180930_powerhouse_onfloor
(油断してると影に入るのでベランダでの設置は高さを考える必要あり)

ということで PowerPort Solar の簡単な使用感でした。ちなみに PowerPort Solar 関係なしに PowerHouse は、置いてるだけでも結構格好いいし(安っぽくない)、思ったより小型軽量だし、安心感半端ないので一家に一台ぐらいの勢いであっても良いかなーと思います。


2018.09.19 (Wed)

少し遅くなりましたが 2018年9月版の上場企業の常時SSL化レポート をお送りします。

毎月だいたい上場企業数が増えていくのですが、今月は3社上場(投資信託入れたら4銘柄上場)で3社が上場廃止で変わらず。3636社が対象になります。

20180919_sslreport201809
(ついに上場企業の6割が常時SSL化しました)

先月が59.9%でまぁほぼ6割といっても良かったのですが、今月正式に6割突破です。おめでとうございます!パチパチパチ!(誰に?w)

という訳で2018年9月10日時点で61.3%です。調査を始めた2017年12月は5割を切って47%でしたから、そこから考えればこの8ヶ月で比較的伸びたほうではないでしょうか。10月にリリース予定のchrome70では、

20180919_chrome70
(10月に出るchrome70では非対応サイトが赤く表示される)

こんな感じで非対応サイトが「安全ではない」と赤字表示されるようになりますので、非対応サイトのオーナーさんも、制作会社さんでお客様サイトがまだ対応していない場合も、急いで対応したほうが良いですね。

来月(10月)や再来月(11月)のレポートでは対応サイトまた急増すると思います。

 

証明書の会社とのご縁が増えていく

最近もまた、国内で著名な証明書会社様にお声がけ頂きまして、ディスカッションする機会を得ました。弊社は Let’s Encrypt を推奨している立場なので EV 証明書以外でどうこう…というのは余り無いのですが、常時SSL化が広まってほしいという根っこの部分では同じ思いですので、何かご一緒できるといいですね。

驚いたことに証明書の紹介セミナーをする際に、弊社のレポートを資料内で使っておられるとのことでした。一応、出典として弊社名も記して頂いているのだそう。

いやはや嬉しい限りですね。広く現状を知って貰うのがそもそもの目的だったですから。

レポートのたぐいは第三者に使われてなんぼのもん。調査開始時に思っていた目標の一つは達成です。独自の調査で一次情報を提供しているからこその体験ですね。

国内の民間セキュリティ意識の一指標として認知されていくと良いなぁ。今後も継続してまいります。

 

以上、9月のレポートでした。


2018.08.14 (Tue)

毎月恒例となりました。上場企業の常時SSL化レポート、2018年8月版をお送りいたします。7月下旬のchrome68の影響で確実に増えています。

20180814_sslreport201808
(ついに6割の域に)

対応率がついに6割目前。というか、もう6割対応済みサイトですと言っても良いですねコレは。6割はもう少し先かな…と思っていたのですが想像より早かったです。

10月のchrome70が出る前後ではまた更に増えるのでしょうね。今や常時SSL化しない理由は何もありませんので、この勢いで増えていって貰いたいなーと思います。

 

目指すは常時SSL化100%

本レポート、Let’s Encrypt のスポンサー、自社の espar というCMS静的化製品。弊社は、これらすべての常時SSL化推進活動の先に 上場企業の常時SSL化対応率100% という目標を勝手に置いています。

先月のレポートでも書いた通り新規上場企業は毎月のようにチェックしてますが、未だに常時SSL化対応しないまま新規上場している会社がちょいちょいあるんですよね。まだまだ啓蒙が足りません。個人的には、この会社の株だけは買わないでおこうと思ってしまいますね。ウチは身元を明らかにしませんと宣言してるようなものですから。

上場企業が全てEV証明書による常時SSL化が理想と考えていますが、こっちはなかなか難しいでしょうね。証明書関連のベンダー様も巻き込みながら、引き続き啓蒙をしていきたいと思います。

 

以上、8月のレポートでした。また9月もレポート致します。


2018.08.10 (Fri)

弊社では、昨年末から毎月のように上場企業約3600社の常時SSL化対応状況を調査しています。一つ一つ目視するってのはさすがに非現実的なので、当然ながら自動化してまして…

20180810_sslcheck.png
(自動実行している様子。Go言語で内製したもの)

こんな感じで調査プログラムを毎月実行しています。実装言語はGoogleのGo言語。

上場企業約3600社分のURLを渡してやると

  • 使用している証明書の種類は何か(DV/OV/EV)
  • 認証局情報等を含む証明書の詳細情報あ

などの情報がだいたい30分ぐらいで返ってくるようになってます。で、突然なのですが、この常時SSL化対応調査プログラムのソースコード公開することにしました。

20180810_github
(名前は厳密にはcertcheckかも知れないけど作り始めた時の名前そのまま。ライセンスはGPLv3)

リポジトリはこちら

GitHub - feedtailor/SSLCheck: SSLCheck is a simple command line tool to verify ssl certificate written in golang.

最初のひな形を僕がGo言語で書いて、それを@t0shiyaがブラッシュアップした非常にシンプルなプログラムです。実質1ファイルですしね。弊社で作る上場会社レポートではもちろん、先日リリースのあったJIPDECさんとの共同調査でも基本的に同じものを使っています。

 

オープンソースによるアウトプット

先日、GitHubのGo言語リポジトリのGoUsersのWikiに弊社もエントリさせて貰いました。

が、ふとGo言語的なアウトプット余りしてないな〜ということに気が付きまして。今回は、そんなGo言語アウトプットの一環でもあります。

常時SSL化対応を啓蒙しているポジションなので、色んなURL一覧を持ってる企業さんがこれを使って同じようにレポート出してくれたら良いなーとか思ってます。常時SSL化の促進に寄与できたら良いですね。

今から2年前、アプリ開発を内製でやっていた頃、こんなエントリを書いたことがありました。

「インターネット」とか「ネット」とかでマルっと表現される全てのものにどこかしらオープンソースの恩恵を受けている所は必ずあって、多くのベンチャーよろしく弊社も何かしら貢献したいと考えてきました。()弊社の github グループを作りました。ソースを公開していきます)

社内資産であったiOS用ライブラリをオープンソース化した時に書いたものでしたが、アプリ開発部門を内部に持たないようになってから、オープンソースな取り組みが余りできてなかったんですよね。

何かしら…という思いは常にあってもどかしかったんですが、規模にこだわらなければネタは社内に色々あることが分かったので、今回公開することにした次第です。Go言語なモノに限らずオープンソースなスタンスでこれからもアウトプットしていきたいと思います。

 

という訳で常時SSL化に絡むオープンソース化についてでした〜。

あ、ちなみに弊社は今、Go言語ファーストでやってます。この種の社内ツール類もほぼGoで書くのが基本にしてて、プロダクトやサービスも含めてGo言語をフル活用させて貰っている昨今です。

Go言語を採用した経緯は2年近く前に WP Guard(espar) の開発にGo言語を選んだ理由 なんてエントリを書いてますので宜しければ御覧下さい。Go言語、良いですね。


2018.08.08 (Wed)

(所要時間:約2〜3分)

パブリックコメントとは、行政機関が国民に広く意見を求める仕組みのこと。よく耳にする言葉で存在は知っていましたが、自分には無縁なものでした。日々の忙しさを言い訳に行政に無関心ではいけないのですけどね。

が、最近お付き合いさせて頂いてるJIPDECさん(PマークISMSの関係者なら知らない人はいないでしょう。正式名称は一般財団法人日本情報経済社会推進協会)の方に、セキュリティに関して意見する機会があると紹介頂きまして、これも何かの縁かもと人生初のパブリックコメントを出してみました。

対象はこれ。

総務省|「地方公共団体における情報セキュリティポリシーに関するガイドライン(案)」等に対する意見募集

20180809_soumupubliccomment

自治体の情報セキュリティはこうしていこうよっていうガイドラインですね。PCの扱いとかネットワークとかサーバとかメールとか、そのへんのルール集です。見直しを定期的に行ってるみたい。

個人的にいつも思うんですが、行政の方って専門家じゃないからセキュリティ系ベンダーに恐怖心煽られるだけ煽られて製品かわされてると思うんですよね。強迫観念訴求型ビジネスに事実上の公金注入になってる可能性が高い。よくよく考えたら不要で、恐らく結構な税金の無駄遣いをしてる。

そのへんの持論を展開しました。ベンダー批判は趣旨じゃないので、ガイドラインとしてこうするのが一番税金の無駄遣いにならないよって感じですけど。

が、所定の方法で送っては見たものの何の反応もなく今に至ります。長すぎたのかも(笑) で、折角書いたので、自分が総務省にどんなコメントをしたのか公開してみようと思いました。長いですが本エントリ最後に全文掲載します。

意見の趣旨は、大きく

  • 行政機関でメール添付ファイルの扱いを全面禁止した方が良い(その理由)
  • 行政機関の情報発信用Webサイトは全て静的化した方が良い(その理由)

の2点。

後者は、その主張を弊社は espar という自社事業として発信してるので、宣伝色がなるべく入らないように書いたつもりです。参考情報として過去のブログエントリのURLも書きましたけど。(募集要項に参考情報あれば添付するよう記載があった)

だだだーと思うままに書いてみて、募集要項で指定されてるタイトルで指定のメアドに Gmail から送信しました。

20180809_application
(誰が書いたかの身元も明らかにする。法人代表として書いたので公開情報そのまま記載)

メールサーバからエラーが返ってきている訳ではないので多分受信箱には入ってるのでしょう。関係者の誰かの目にとまると良いですね。ひょっとしたら e-Gov とかに載ったりするのかも知れませんが、そもそも受理されたか不明なのでよく分かりません。

まぁ何はどうあれ、今回自分の考えも改めて整理できたのでいい機会でした。ご紹介頂いたJIPDECさんに感謝です。

ちなみに、e-Govのサイトにはパブリックコメントのページもあって、行政分野や所管府庁から意見募集要項を絞り込めたりして、色んなことで行政が意見を求めていることが分かります。

まぁ数十・数百ページに及ぶPDF資料を読み込むのは大変ですが、メールで手軽に送れたりするので自分の興味ある分野でパブリックコメント書いてみるのは如何でしょうか。自分の意見が取り入れられるかどうかは別にして、思考の整理にはなっていいと思います。

 

という訳で総務省にパブリックコメントだしたよーという話でした。以下、僕が提出した全文です。

地方公共団体における情報セキュリティポリシーに関するガイドライン(案)等に対する意見

掲題の通り、先般公開された「地方公共団体における情報セキュリティポリシーに関するガイドライン(案)」に対するコメントを以下に記します。ご査収の程を宜しくお願い申し上げます。

 

■ 提出者情報

(略)

 

■ ガイドライン全般について

貴省も地方自治体も、セキュリティベンダーやセキュリティコンサルタントに言われままに各種防衛施策を積み上げてきた結果、肥大化してしまったことが読み取れるガイドラインでした。

お言葉ではありますが、「セキュリティインシデントからどう身を守るか」に執着し過ぎており、「セキュリティインシデントをどう根絶するか」という思考が持てていないように感じます。以下にガイドラインに度々言及されている電子メールとWebサイトについて当方の意見を記します。

 

■ 行政機関におけるメールの添付ファイル使用全面禁止の提案

ページ ii-31 の (14)-⑥をはじめ各所に添付ファイルについての言及がありますが、昨今の標的型メールを例に出すまでもなく、情報漏えい事件や不正アクセス事故の多くがメールに添付されたファイルに端を発していることに着目する必要があります。なぜ、行政業務におけるメール利用で、ファイルを添付することを前提にする必要があるのでしょうか。メール添付を行わずとも情報の授受は行える筈ですから、セキュリティインシデントの根源となるメール添付ファイルの扱いは送受信の両方で全面禁止すべきと考えます。

 

□ 受信

添付ファイルを使用せずとも、メールの本文に内容を記載する、Webサイトで入力フォームを用意するなどで100%代替が可能です。また国民や都道府県民が情報を行政側にファイルを送るに際しても宅ふぁいる便やfilestorage等のファイルダウンロードを促すURLによる伝達が可能です。

そうした安価な代替手段があるにも関わらず、依然として任意のメール添付ファイルを受け付けているからこそ、ウィルスの感染、バックドア設置、不正アクセス等のリスクが生まれ、その防衛に高額なウィルス対策やMTU・ファイアウォール・IDS/IPSを導入することになります。それは正しい税金の使い方でしょうか。(運用をする為の職員の人件費、外部委託費も含む)

「添付ファイルを禁止しても行政業務が回るようにできないか?」という視点で行政業務を見直すべきと考えます。

行政側のメール受け取りスタンスとして典型例とお見受けしたので、本パブリックコメントの受付方法についても言及します。意見募集要領の s14520915301.doc ファイルの「3.意見提出方法」には

件名には「地方公共団体における情報セキュリティポリシーに関するガイドライン(案)等に対する意見」と記載してください。また、 意見の内容はメール本文に直接書き込むか、添付ファイル(Microsoft Word 2013で開くことができるファイル形式)として提出してください。

とあります。これは「地方公共団体における情報セキュリティポリシーに関するガイドライン(案)等に対する意見」というタイトルをつけたメールであれば、添付したファイルを貴省が開くに違いないという推測を第三者にさせているようなものであり、お言葉ですが貴省が自らセキュリティリスク発生の入り口を作っているようなものです。だからこそ、ネットワーク分離や仮想デスクトップ環境等の各種防衛システムを導入しているものと想像しますが、本来、「添付ファイルは一切受け付けません」とすれば、本パブリックコメントの電子メール受付におけるセキュリティインシデント発生リスクは限りなくゼロになる筈です。

本例に見られるように、行政側でメールを受信する姿勢如何で、セキュリティインシデントについて、(1)発生しうるものと受容して防衛に税金を投ずるのか (2)そもそも根絶を追求するのか、が変わってくると考えます。そもそもリスクを根絶できるのであれば、発生する可能性を受容して防衛することに投ずる税金や職員の時間は格段に削減できる筈です。

少々本筋とは外れますが、メールではなく意見入力用の問い合わせフォームを用意すればなお良いと考えます。入力内容をデータベース等に集約するための転記作業の工数削減になる筈ですし、転記担当者の無駄な労働削減分を別の価値創出の時間に当てられるに違いありません。本来、第三者からの意見を集約するには収集後の業務円滑化を見据えWebのフォームを使って収集すべきです。

国や地方自治体は、本当にメールの添付ファイルを受け付ける必要があるのか?を考えるべきであると思います。

 

□ 送信

ファイルを誰かに送る方法には、メールに添付するという方法を使わずとも、Google社のGSuiteやDropboxなどファイルを安全に保管した上で、権限を有する人物にのみ渡す手段が既に沢山あります。メールの送信時にファイルを添付する手法に頼る必要は全くありません。(外資系のサービスを国や地方自治体が使う是非はありますが、それを言うならそもそもWindowsそのものも使用をやめるべきです。)

メールに添付してファイル送信することを避けることで、機密情報を含むメールを職員が誤送信するリスクもゼロ化できるメリットがあります。本来ファイルを誰かに渡す場合、

  • ファイル共有システム等に機密情報を職員が登録する
  • 当該のファイルにのみ一時的にアクセスできる権限をファイルを渡すべき人物に付与する(期間限定、認証付き)
  • ファイルを渡すべき人物にその旨をメールのテキスト本文で伝える
  • ファイルを受け取るべき人物は当該のシステムから期限内に別途教わった認証を通りファイルをダウンロード入手する

という手順がリスクを限りなくゼロにできる正しい方法であると考えます。

以上、添付ファイル使用の禁止についての提案を述べました。添付ファイルは全てのセキュリティインシデントの起点といっても過言ではありません。そして昨今では、添付ファイルに頼らずとも情報の授受ができる環境が整っています。使い慣れた添付ファイルという手段を使う「楽さ」はありますが、その手段を使い続けることによる事故を防ぐために余計な時間と税金を投入することが果たして国民や都道府県民の為になるのかを考えて頂きたいと思います。

貴省や各地方自治体が全面的にメール添付を廃止することで行政におけるセキュリティインシデントの多くが防げる筈です。

 

 

■ DDoS攻撃対策やWebサイトの改ざん対策について

国や地方自治体が提供するWebサイトを、悪意ある第三者から守るための仕組みにも無駄な時間と税金をかけすぎであると考えます。ガイドラインにも言及がありますが、高額なファイアウォール・WAF・MTU等が本当に必要かどうか吟味すべきであると思います。DDoS攻撃やWebサイトの改ざんの技術的な原理を理解していれば、それらを防止する高額なものは基本的に不要だからです(または安心の為に極めて安価なものに抑えることができる)

□ 行政が対外的に発信するWebサイトは全て「静的化」する 情報提供を目的としたWebサイトを静的化して公開することを前提にすることを提案します。

Webサイトの改ざんをはじめとする、昨今のサーバ側セキュリティインシデントの発生理由は、プログラムやデータベース等が動作するシステムを「そのまま」インターネットの世界に「晒す」ことにあります。アクセスの度にプログラムが動作するシステムを「晒す」ことにより、誰もが当該システムにアクセスできるようになり、結果、悪意ある第三者がしかける攻撃で「システムが想定しない形でプログラムが動作」して事故発生となります。

それを守るとうたうのが高額なファイアウォール・WAF・MTUですが、そもそも「システムが想定しない形でプログラムが動作する」ことのないシステムにできれば、それらは不要な筈です。それを実現する唯一の方法が、Webサイトを「静的化(htmlファイル化)」して、公開用途に限定した別の公開サーバにページ群を配備することです。

  1. 発信すべき情報(コンテンツ)を管理するシステムを職員が操作する
  2. 当該システムのページを更新の度に都度静的化(html化)する
  3. 2.で生成したファイルを公開用途の為だけに用意した公開サーバに転送する

という形態です。3.にある公開用途に別途用意するサーバには、

  • 80/443番ポート(http/https通信)のみアクセスを許可 (余談ながらhttpは即時httpsに転送。サイトは常時SSL化を前提)
  • サーバ内にはプログラムやデータベースを存在させない

という設定を施すことで、理論上第三者攻撃は一切成立しなくなります。不正アクセスも改ざんも原理的に起こりません。なぜなら、「システムが想定しない形でプログラムが動作」するということが理論上起こり得ないサーバになるからです。

一方、上記1.のコンテンツを管理するシステムは

  • IP制限
  • Basic認証
  • クライアント証明書確認
  • ホスト名には別名を付与

などの設定を組みわせる事により、悪意ある第三者がコンテンツ管理システムにたどり着くことすらできない状態にすることができます。こうしてWebサイトを静的化することと、公開用サーバを別途用意する事によって、国や地方自治体が情報発信するサイトは、改ざんされることも不正に侵入されることも理論的に発生しえない状態を作ることができます。

 

□ 「静的化」はDDoS攻撃にも有効

DDoS攻撃にあった時に障害が発生する理由は、プログラムやデータベースが動作するシステム(1つの処理に時間がかかる)が大量のアクセスに処理が追いつかなくなる為に発生します。

しかしWebサイトを静的化していれば、公開用途のサーバが処理に追いつけなくなることは原理的にありません。(通信帯域がパンクする問題が先に発生します。これはまた別の問題です)

(A) システムをそのまま晒す場合 : アクセスを受ける → プログラムが動作する → データベースが動作する → プログラムが整形する → 応答する (B) 静的化する場合 : アクセスを受ける → 予め静的化されたファイルで応答する

後者の(B)のほうが圧倒的な量のアクセスをさばくことができる為、スペックが低いサーバでも相当数のアクセスに耐えることができ、サーバ費用の削減にも繋がります。

 

□ 「静的化」はサーバダウン時の復旧にも有効

サーバダウン時の復旧が即時にできないのは、プログラムやデータベースが動作するシステムをそのまま晒しているからです。Webサイトを静的化していれば、障害時に用意する別の公開用サーバにファイル群をコピーするだけでサイトは復旧できます。10分も要さず数分で、有事の際でもサイトを元の状態に戻すことが可能になります。高負荷時の為に高額なロードバランサーを導入したり、高額なサーバを用意する必要はありませんので費用削減にもなります。

本件については、当方がブログで記述していたことがございますので宜しければご参照下さい

 

Zenlogicの障害から学ぶべきこと

https://blog.feedtailor.jp/2018/07/10/zenlogictrouble/

行政や生活インフラ系の企業や組織のサイトは、今すぐ静的化と回線上流の見直し検討をして欲しい

https://blog.feedtailor.jp/2018/06/19/osakaearthquake/

 

以上、国や地方自治体の情報公開を目的としたサイトを静的化すべきであることについて書きました。Webサイトもメールと同様、当然と思い込んでいるWebサイトの構成やあり方で発生する問題を防ぐ為に、余計な手間やお金をかけざるを得なくなっているケースが多々あります。Webサイトについても、当たり前を疑い、「守る」ことに執着するのではなく「根絶する」という視点を持って頂きたいです。

 

 

以上、長文ですが国や地方自治体の、メール・Webの2点についてガイドラインに対する意見を述べました。貴重な税金を、セキュリティベンダーやコンサルタントに言われるがまま積み上げてしまった対策に浪費して欲しくないです。

セキュリティインシデントの原因や根源を技術的な広い視点で見れば、それらの発生リスクを限りなくゼロに近づけることができるだけでなく、時間もお金も節約することが可能です。技術を理解し、最も合理的かつコストパフォーマンスの高い施策を広げて下さい。納税する個人として、また法人の代表として切に願います。国や地方自治体におかれましては、「臭いものに蓋をする」セキュリティ対策思考ではなく、業務フローも勘案した「臭いものを根絶する」セキュリティ思考を持って頂きたいと思います。

以上