明かされた「ＪＮＳＡセキュリティ十大ニュース」の謎、選考委員長大木榮二郎先生に聞く

日本を代表するセキュリティカンファレンスのひとつである Security Days が今春、「Security Days Spring 2021」として開催される。本稿では ScanNetSecurity 読者に特におすすめしたい講演を、5 つ厳選して紹介する。

研修・セミナー・カンファレンスセミナー・イベント

2021年3月1日（月） 09時00分 PR

工学院大学名誉教授 / 日本セキュリティ・マネジメント学会会長 / JNSA セキュリティ十大ニュース選考委員会委員長大木榮二郎氏

　「災い転じて」ではないが、さまざまな講演やイベントがオンライン化され、配信され、かつ講演動画が積極的にアーカイブされ公開されるようになったのは、with コロナ時代の肯定的な側面のひとつかもしれない。

　以前はわざわざ都心まで足を運ぶ必要があった高品質なカンファレンスや講演が、全国どこからでもパソコンやスマホを通じて視聴することができる。大きな講演会場の中で挙手して行っていた質疑応答も、オンラインカンファレンスツールのチャット機能を用いてできるケースも増えた。

　日本を代表するセキュリティカンファレンスのひとつである Security Days が今春、「Security Days Spring 2021」として開催される。本稿では ScanNetSecurity 読者に特におすすめしたい講演を、5 つ厳選して紹介する。

　講演の概要と、なぜそれがおすすめなのかの理由を紹介しつつ、Security Days がコロナ禍の時代にあって、他のカンファレンスと決定的に異なる点についても後述したいと思う。

●ジャーナリスティックな市民感覚

　「Security Days Spring 2021 講演 5 選」で今回紹介するのは、工学院大学名誉教授大木榮二郎氏の講演「JNSA 2020 セキュリティ十大ニュースの肝」だ。

　「JNSA セキュリティ十大ニュース」をご存知だろうか。独立行政法人情報処理推進機構（IPA）の「情報セキュリティ 10 大脅威」ではなく、漢数字の「十」大ニュースである。

　年 1 回年度末に発表され、昨年末 2020 年で実施 20 周年を迎えた。「脅威」ではなく「ニュース」であるところがポイントだ。ニュースだから、社会性のある、ジャーナリスティックなスタンスで選定される。ネガティブなニュースだけでなく、新しい技術など、明るい話題も積極的に採用される。また、単なる事実を列挙するのではなく、その事象に対する評価や、感情までもがコメントに覗くことがある。

　「JNSA セキュリティ十大ニュース」は毎年、その年の傾向を一行に要約したキャッチフレーズを記載している。印象的なキャッチフレーズがいくつもある。

　「情報流出も情報社会成熟への一里塚（2010）」

　「プロの攻撃にさらされるアマチュア防衛陣（2012）」

　などなど。

　十大ニュースの編纂クレジットには「セキュリティ十大ニュース選考委員会」とあるが、一体それはどんな組織で、十大ニュースはどのようなプロセスで決定されているのか。長い間不思議に思っていた。

　不思議はそれだけではない。もうひとつは、日本の情報セキュリティの業界団体 JNSA（特定非営利活動法人日本ネットワークセキュリティ協会）の名を冠していながら、業界に配慮した言わずもがなの正論を必ずしも吐かない点だ。大人の配慮ばかりしていたら「情報流出も情報社会成熟への一里塚」などという一文はなかなか出てこない。

　セキュリティ業界やそのユーザーだけではなく、一般のビジネスパーソンや市民、生活者の視点が感じられる。その証左が、第 1 回である「JNSA 2001 セキュリティ十大ニュース」の第一位に 2001 年 9 月 11 日にニューヨークなどで発生した「同時多発テロ」が挙げられていることだ。

　今回本誌は、Security Days Spring 2021 の大木教授の講演の事前取材の機会を得ることができた。これらの不思議や謎を、疑問としてすべて先生にぶつけることにした。

● JNSA の特別自治区

　「十大ニュース」は、特定非営利活動法人ネットワークリスクマネジメント協会（NRA）が発行していたセキュリティ啓発メールマガジン「啓・警・契」のコンテンツとして、大木教授らによって開始された。諸事情により NRA が解散すると、大木教授は知己であった JNSA の下村事務局長に相談、JNSA という場を借りて「JNSA セキュリティ十大ニュース」として継続が決まった。

　JNSA のコンテンツとして開始はしたものの、大木教授が JNSA に加入することが条件となった訳ではなかった。十大ニュースは一種の「自治区」として運営され続けた。業界団体っぽさがないわけである。

● 20 年変わらない選考課程

　十大ニュースの選考過程は以下の通りだ。

　毎年「JNSA セキュリティ十大ニュース」はクリスマス時期に発表される。さかのぼること約 1 ヶ月前、11 月下旬に会議を開催、委員長を含め 12 名の委員会メンバーが「今年の自分の十大ニュース」を持ち寄る。

　2020 年末に公表された「JNSA 2020 セキュリティ十大ニュース」の委員は以下の通り、わざわざ所属を付記する必要もない錚々たるメンバーばかり。

・セキュリティ十大ニュース選考委員会委員（五十音順、※JNSA 事務局長下村氏を除く）
織茂昌之氏、片山幸久氏、唐沢勇輔氏、岸田明氏、小屋晋吾氏、小山覚氏、杉浦昌氏、竹内和弘氏、丸山司郎氏、持田啓司氏、下村正洋氏

　各委員は付箋紙に「自分の十大ニュース」を書き出す。十大 × 12 名＝計 120 件のニュースが壁に貼り出される。重複を排除し、似たニュースのグルーピング行われると、最終的に 15 ～ 20 の候補が決定する。

　12 名の委員と委員長には、事務用の赤い丸いシールが渡される。シールの枚数は 10 枚。そのシールを、自分がこれと思う付箋に貼り付けて投票を行う。特に一押しと思うニュースには、最大 3 つまでシールを貼ることができる。最終的に貼られたシールの多い順が十大ニュースの順位となる。

　選ばれた 10 件のニュースについてディスカッションが行われる。そして、大木教授と下村事務局長を除く 10 名の委員に、それぞれニュースが 1 件ずつ割り当てられ、1,000 文字前後のコメントを、各委員が自分が担当したニュースについて執筆する。冒頭の 2,000 文字程度の総括文とキャッチフレーズは大木教授が執筆する。2020 年のキャッチフレーズは「コロナが見せつけた大変革時代の幕開け」だった。最後に「編集後記」として下村事務局長が一文を添える。

　選考のシステムは第 1 回実施時に、大木教授が仲間とともに考えた。この選考システムを含め、委員の人数や手順、原稿執筆分担のシステムは、第 1 回から枠組みが変わっていないというから驚きだ。20 年耐えるシステムを最初に構築したことになる。

●十大ニュースは敏腕コンサルタントからの日本社会へ向けた「年次報告書」

　大木教授は日本IBMのネットワークサービスで活躍後、メインフレームからサービス事業にシフトしつつあった時代にコンサル事業部へ異動、米国で研修を受けた後、セキュリティコンサルティングプラクティスを立ち上げ、目覚ましい成功を収めた。殺到したのは仕事の依頼だけでなく、講演などさまざまなオファーがあった。その中に、大学教員への就任のお願いがあったという。一度は断ったものの受諾しアカデミズムの門をくぐった。

　民間から大学へ移った大木教授の目に映じたのは、大学のさまざまな課題や改善余地だった。小さなところでは会議のやり方から改革に手をつけた大木教授は、大学でも次々と成果を出し、気がつけば工学院大学の常務理事になっていた。大学に入ってからもコンサルティング活動を行い結果を出したとも言えるかもしれない。

　最初に挙げた印象的なキャッチコピーは全て大木教授が毎回頭をひねって書いている。一番印象に残っているキャッチフレーズは、との問いに、期せずして 2012 年の「プロの攻撃にさらされるアマチュア防衛陣」を挙げた。考えさせられる言葉だ。

　「JNSA セキュリティ十大ニュース」とは、大木教授が日本社会というクライアントに対して、コンサルタントとして毎年提出しつづけてきた年次定例報告書と言えるかもしれない。大木氏の講演では、2010 年からの過去 10 年間の振り返りが行われる。この 10 年間は、APT 等の言葉が普及し、それまでの様相が根本から様変わりした時期と重なる。「情報セキュリティ」が「サイバーセキュリティ」になった 10 年である。

　多くの企業が年度末を控える現在、大木教授と一緒に激動のセキュリティの 10 年をふりかえることは、そして 2021 年の十大ニュースが何になるのか、さらにこれから 10 年はどうなるのかに思いを馳せることは、情報システム部門やセキュリティ部門の担当者にとって、単に今期の年次報告書の作成や、来期計画、あるいは稟議資料等を作成するうえで参考になる以上の大きな意味がある。セキュリティ担当者こそ目先のことだけでなく大きな未来への視点を持つべきだから。

3月5日(金) 12:15-12:55
「JNSA 2020 セキュリティ十大ニュースの肝」
工学院大学名誉教授 / 日本セキュリティ・マネジメント学会会長 / JNSA セキュリティ十大ニュース選考委員会委員長
大木榮二郎氏

　Security Days に関して最後に付け加えるのは、開催事務局が、バーチャルだけではなくフィジカルでの開催を行い続ける点だ。理由は複数あるだろうが、人と生で出会って話をすることがカンファレンスの本質であるという考え方が理由のひとつだろう。もちろん充分な感染対策を行ったうえで。

　Security Days Spring 2021 は、大阪・名古屋・福岡・東京で開催され、東京開催は 3 月 3 日 (水) から 3 月 5 日 (金) までの 3 日間である。完全バーチャル開催されたイベントでは、事前に撮影され流麗に編集されたビデオが流される公演もあり（質が向上していることは疑いないとしても）一抹の寂しさを感じるのも事実である。しかし Security Days は、思い立ったら、会場である東京駅の目の前の KITTE に直接行くことができる。

　決して現地でのフィジカル参加を強引に推奨するわけではない。だが、もしテレワークの合間の出社日に重なる日があるなら、予定を調整してみるのはいかがだろうか。

《ScanNetSecurity》

ソース・関連リンク

日本ネットワークセキュリティ協会

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

明かされた「ＪＮＳＡセキュリティ十大ニュース」の謎、選考委員長大木榮二郎先生に聞く

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

クレムリンへ DDoS攻撃露技術者流刑

サイバー攻撃に乗じ雇い主を脅迫セキュリティアナリスト逮捕

今日もどこかで情報漏えい第11回「2023年4月の情報漏えい」誤送信三度あることは四度あるほか

ヤバいデモで会場沸かす～ SMS で 2FA 迂回する「Smishsmash」

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

クレムリンへ DDoS攻撃 露技術者 流刑

サイバー攻撃に乗じ雇い主を脅迫 セキュリティアナリスト逮捕

今日もどこかで情報漏えい 第11回「2023年4月の情報漏えい」誤送信 三度あることは四度ある ほか

ヤバいデモで会場沸かす ～ SMS で 2FA 迂回する「Smishsmash」

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

みずほ信託銀行がフィッシングメールに注意喚起

Starlette にディレクトリトラバーサルの脆弱性

ESS REC Agent Server Edition for Linux 等にディレクトリトラバーサルの脆弱性

Proofpoint Blog 第25回「2023年 中小企業を標的とするAPT攻撃分析：サプライチェーンへの攻撃インフラとなる中小企業」

Wacom Tablet Driver インストーラー (macOS) にファイルアクセス時のリンク解釈が不適切な脆弱性

キヤノン製スモールオフィス向け複合機、レーザービームプリンターおよびインクジェットプリンターに複数の脆弱性

インシデント・事故 記事一覧へ

送付を希望しない相手に通知文書を2度にわたり誤送付、「市からの補償」名目で私金を渡す不適切な事務も発覚

モンテディオ山形で誤送信、送信先リストを「宛先に追加」ではなく「メールに添付」

屋根に柏崎刈羽原子力発電所6号機に関する書類80枚載せ自家用車発進し紛失 ～ 市長「極めてむなしい。」

溶岩ドーム情報配信システムの登録者情報96名分が流出

国土交通省から流出したと考えられるデータをダークネット上で確認 無料公開に切り替え

申込者のマイナンバーカードに別人の決済サービスが紐付く

調査・レポート・白書・ガイドライン 記事一覧へ

中 露 北のサイバー攻撃主体を紹介、公安調査庁 サイバー脅威概況2023

ランサムウェア攻撃の 93％がバックアップストレージを標的に

IPA「内部不正防止ガイドライン」第5版改訂ポイント NTTデータ経営研解説

「セキュリティは制限や制約ではなく変革を支えるもの」日経デジタル人材 新卒研修資料

AI は脅威インテリジェンスを生成できるか、NEC技術者検証

日経225企業の6割がDMARC導入、調査開始から27%増加 ～ TwoFive調査

研修・セミナー・カンファレンス 記事一覧へ

NTTデータ先端技術が DMARC、BIMI 対応ウェビナー開催 ～ TwoFive 桐原氏講演

東京都が中小企業のセキュリティ対策支援 セミナーやワークショップ 専門家派遣

ヤバいデモで会場沸かす ～ SMS で 2FA 迂回する「Smishsmash」

テーマは「次の30年」 Interop Tokyo 2023、幕張メッセで 6/14-16 開催

サイバーセキュリティ対策のための統一基準 ガイドライン(案)に明記されたDMARC対応、その導入の実際～日本プルーフポイント講演レポート

今年は対面形式限定、11/8, 9「CODE BLUE 2023」開催

製品・サービス・業界動向 記事一覧へ

6月4日まで「個人情報を考える週間」丹野委員長コメント

脆弱性診断自動化ツール「AeyeScan」アップデート、類似判定精度を向上

GMOイエラエ、フィンテック企業の OSINT サービス事例 ～ パスワード運用ルール見直し ほか

AeyeScan blog 第2回「AIプログラミング編」

長野県警から感謝状と盾を受領、GMOイエラエがIoTフォレンジック技術で捜査協力

カスペルスキー、鹿児島大 静岡大と共同でGIGAスクール版セキュリティ啓発教材開発

おしらせ 記事一覧へ

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

Scan PREMIUM 創刊24周年記念キャンペーン実施中

ScanNetSecurity 創刊24周年御礼の辞（上野宣）

【当選確率3倍】2022年 CrowdStrike カレンダープレゼント

創刊23周年記念イベント「ハッカージャーナリスト誕生譚」オンライン公開インタビュー 11/18 開催

クレムリンへ DDoS攻撃露技術者流刑

サイバー攻撃に乗じ雇い主を脅迫セキュリティアナリスト逮捕

今日もどこかで情報漏えい第11回「2023年4月の情報漏えい」誤送信三度あることは四度あるほか

ヤバいデモで会場沸かす～ SMS で 2FA 迂回する「Smishsmash」

脆弱性と脅威記事一覧へ

Proofpoint Blog 第25回「2023年中小企業を標的とするAPT攻撃分析：サプライチェーンへの攻撃インフラとなる中小企業」

インシデント・事故記事一覧へ

屋根に柏崎刈羽原子力発電所6号機に関する書類80枚載せ自家用車発進し紛失～市長「極めてむなしい。」

国土交通省から流出したと考えられるデータをダークネット上で確認無料公開に切り替え

調査・レポート・白書・ガイドライン記事一覧へ

中露北のサイバー攻撃主体を紹介、公安調査庁サイバー脅威概況2023

「セキュリティは制限や制約ではなく変革を支えるもの」日経デジタル人材新卒研修資料

日経225企業の6割がDMARC導入、調査開始から27%増加～ TwoFive調査

研修・セミナー・カンファレンス記事一覧へ

NTTデータ先端技術が DMARC、BIMI 対応ウェビナー開催～ TwoFive 桐原氏講演

東京都が中小企業のセキュリティ対策支援セミナーやワークショップ専門家派遣

ヤバいデモで会場沸かす～ SMS で 2FA 迂回する「Smishsmash」

サイバーセキュリティ対策のための統一基準ガイドライン(案)に明記されたDMARC対応、その導入の実際～日本プルーフポイント講演レポート

製品・サービス・業界動向記事一覧へ

GMOイエラエ、フィンテック企業の OSINT サービス事例～パスワード運用ルール見直しほか

カスペルスキー、鹿児島大静岡大と共同でGIGAスクール版セキュリティ啓発教材開発

おしらせ記事一覧へ

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ