新モスマン: February 2007

Feb 20, 2007

Create

When you walk, you stride

I glide

when you leap, you land

I soar

When you rap, you rhyme

I express

When you act, you pretend

I become

You want to be great

I want to create

いつか何かを"Create"できる人になれますように

Feb 19, 2007

EV SSL + IE7

より取得が難しいEV SSL証明書。MSやベリサインといった企業が推進している。

普通のSSL証明書より取得手続きは面倒、しかしその分EV SSL証明書がついているサイトはブラウザーのアドレスバーが緑になるという特典（？）がつく。こんな感じ↓

Windows Vista Ultimate + IE7

今のところ対応しているブラウザーはIE7とOperaのみ。Operaはアドレスバーの色が変わるわけではない。またIE7もWindows XPでは機能しない。という訳で今後の対応に期待するところである。実際の例を見たい人はIE7で以下のサイトにアクセス。

・https://av.paypal.com
・https://www.overstock.com/cgi-bin/d2.cgi?PAGE=MYAC...

Windows XP + IE7（手元の環境ではアドレスバーの色変わらず。IE7なのにねぇ。）

しかしこのEV SSLというものは非常に危険な存在である。「今までのSSLサーバ証明書の発行プロセスで厳密な確認をおろそかに利便性を追求した会社があったがためにEV SSLが必要」という説明はつまり「既存のSSLサーバ証明書では実存性の証明は不十分」と認めちゃったということじゃないのか。今まで企業に「フィッシング対策としてSSLサーバ証明書の導入を！これで安全です！」と勧めていた人たちがどういうロジックで「ごめん、やっぱり危ないかもしれないからEV SSLも買って」という説明をするのか聞いてみたい気がする。
こういう「やっぱり・・・でした」が続くとコンピューターセキュリティ全般に対して不信感を抱かれても文句を言えない。日進月歩の世界といえど。

ベリサインやコモド、ジオトラストなどが中心に日本電子認証協議会というのを作って、これから普及啓発を進めていくようだ。
http://hosting-pro.jp/seminar.html

経過を見守りたいと思います。

Powershell使っていて不満な点

grepがない、cutがない、wgetがないなどなどUnixマシンで使い慣れているコマンドがない（or使いにくい）のは不便。自分で書けば？と突っ込まれそうだけど。
Community Extensionなどでどんどん改善されると思われるので、今は待つしかない。

地味につらいのはCtrl+A, Ctrl+L, Ctrl+Eといったbash, zshであたりまえのキーボードショートカットが使えないこと。powershellのUIはcmd.exeと同じなので、F7でヒストリーを一覧表示、上矢印で履歴をひとつ戻る程度しかできない。

あとやっぱり遅い。powershellのプロンプトで入力可能になるまでに10秒以上待たされるのは厳しい。

以上2007/2現在の不満に思う点。

湯沢岩原でスキー

この週末は温泉とスキーに行ってきました。二日目にはなんと雨がふって滑走不可。地球温暖化を実感。

Feb 17, 2007

CPEについて考える

CISSP取得時も今も、CPE関連の情報が不足している気がする。取得後そろそろ2年を迎えようとしているのでCPEを申請してみた。
自分なりに感じるポイントは以下の通り。

・グループAクレジットを頑張って稼ぐ

グループAクレジット
CBK10ドメインに直結する活動
グループBクレジット
CBK10ドメインと直接の関連はない活動。講演や管理職研修などCISSPの価値を高めると考えられるもの

グループAが最低80以上ないと継続が認められない。

・バランスよく
必須ではないが、10ドメインのうち6つ以上の分野でCPEを申請することがのぞましいとある。

・早めに動く
3年の期限切れ直前にバタバタやると監査に引っかかる可能性があがる気がする。自分が監査する立場なら、確実に駆け込みでCPEを登録した人を重点的に監査する。早めに120CPE取得してしまおう。

・頑張り過ぎない
120 CPEというと遠い道のりのように聞こえるが、セキュリティの分野で仕事をしている人であれば、さほど意識しなくてもAクレジットを稼げると思う。上の「早めに動く」と矛盾するが取得直後からいろいろと心配してCPE取得を心がける必要はない。ましてCPEが取れるセミナーに無理していく必要はないと思う。

・証拠は残す
申請後1年間は監査が行われる可能性があるらしい。証拠（受講票など？）は捨てないでとっておこう。

・仕上げはギリギリに
たとえば今のCPEクレジットが118だったとする。8 CPE取得可能なセミナー行ったら、そのCPEの登録は3年のサイクルの最後の半年に行う。そうすることで余分にとった6 CPEが翌サイクルに繰り越せる。

・考えすぎない
　(ISC)²JapanのCPE取得の方法のページは明らかに記述が古い。セミナーのDVDを見た前提で18 CPEも取得できるのは、まぁよいとして、なぜ特定少数の雑誌の定期購読でCPE獲得が可能なのか私には理解できない。　

　Webサイトによると(ISC)²サーベイへの協力はBクレジットと書いてあるが、実際にはAクレジットがついていたりする。　また、たとえばブログにセキュリティについて書いた場合は"publish a security article"に入るのか？あるいは映画"ファイヤーウォール"を見に行ったら2 CPEもらえるのかｗなど疑問は尽きない。　

疑問は尽きないが、気にしてはいけない。気にしたら負けだ。とりあえず登録して監査に引っかかったらそこで考えよう。「そういう考え方はセキュリティのプロとして如何なものか？」という謗りは甘んじて受けるが、もともと(ISC)²のオペレーションはとってもアメリカン(≒あまあま、ガタガタ）なので、私一人が言ったところでどうなるものでもない。

最後は愚痴っぽくなったけど、私のCPEポートフォリオを以下に紹介して終わりたい。

日経ネットワーク　1年定期購読：　5クレジット
定期購読Trusted CPEクレジット付与対象雑誌というのは厳密に決まっているので以下URL参照
https://www.isc2.org/japan/trustedCPE_mag.html

CISSP フォーラム参加: 4 CPE
ISC2 Japanが主催するCISSP取得者のためのイベント。だいたい年に1回は開催されている感じ。偉い人のお話はだいたい1回につき2時間程度。というわけでこのイベントについて4CPE申請した。

セミナー参加： 70 CPE
仕事の都合上この半年はセキュリティ系のセミナーに参加することが非常に多く、これだけで合計したら70CPEに達した。かなり稀なケースだと思う。

試験官：　8 CPE
CISSP試験の試験官を務めると自動的に付与される。試験時間だけで6時間、準備や後片付けがあるので完全に1日拘束される仕事。それで8CPEはつらい。

本に寄稿： 10 CPE
たまたま本にセキュリティ記事を寄稿する機会があったので、その分を"published a security article"として申請。

アンケート回答： 5 CPE
"CISSP Job Analysis 2005 Online Survey"など不定期にアンケート調査が行われている。拘束時間に対するCPE取得の効率は高い。

東京大学CCR情報セキュリティコミュニティ入会： 18 CPE
会費は年間1万円だが、入会するとシンポジウムの講演内容の入ったDVDが送られてくる。
このDVDを見たという前提で18CPEが付与される。

参考：
https://www.isc2.org/download/CISSP%20Recertification%20Guidelines.pdf

https://www.isc2.org/japan/keep.html

Feb 16, 2007

2007-02-16

サラリーマン

今週は仕事の中身はさておき、毎日スーツという生活がつらかった。

会議が終わったあとの遅い昼食を上司と一緒に大手町の地下街の鄙びたとんかつ屋でとる。

「あぁ、おれもとうとうサラリーマンかぁ」

・・・嘆いてはみるものの、知らなかった世界をいろいろ体験できるのは良いことである。

スマートフォン

相変わらずSmartPhone欲しい熱はおさまらないのだが、現時点では決定打がない。

とりあえず今の時点で

Nokia E61

予約までしていたが結局キャンセル。やはりi-modeメールが使えないのが痛い。SIMカードロックの呪いのない世界を見てみたかった気もする。アメリカではアメリカのSIMカード使えるなんてかなり画期的。Nokiaには国産メーカをけん制する意味でも頑張って欲しい。NokiaはE61以外の端末でシェアを拡大しそう。

Windows Mobile勢

w-zero3含め現行の機種はまだまだ成長段階という印象を受ける。MSの幹部が「2007年にはWindows Mobile搭載機を10機種以上ラインアップしたい」と発言しており、今年は端末が次々現れると期待していたのだが2月も半ばに差し掛かっているのに新機種の話聞かず。どこのHWメーカーが作ってるんだろう？国内でのWindows Mobileの成否はSharpがどれだけ魅力的な端末を作れるかにかかってると

思う。

ITmedia +D モバイル：2007年にはWindows Mobile搭載機を10機種以上ラインアップしたい──マイクロソフト (1/2)

http://plusd.itmedia.co.jp/mobile/articles/0612/20/news028.html

iPhone

Jobsのプレゼンを見る限り、発売4ヶ月前にしてかなりクオリティ高そう。期待できる。

アジアは2008年以降って発表されたけど、孫正義は絶対にそんなに待てないだろうな。

「3G化してSoftbankから2007年12月発売」と予想しておこう。

Apple - iPhone

http://www.apple.com/iphone/internet/

平蔵は良いこというなぁ

いつも彼らにアドバイスするのは「いつでも辞めてやるという覚悟を持て」ということだ。そうすれば臆病にならず、正論を語れるからだ。

　ただ、実は最大の抵抗勢力は自分自身のなかにある。大きな会社にいる人ほど将来の地位や高い年収が見えてしまい、それが「自分自身の既得権益」となる。最後はこれをどうするかが問題だ。大きな視野を持って、広い世界を見てほしい。「辞めてもいいからこれをやりたい」という気概のある人物は食いっぱぐれることはないはずだ。

<<

「自分のなかの『抵抗勢力』と戦え」竹中平蔵・前総務相

http://it.nikkei.co.jp/trend/special/interview.aspx?n=MMITbe001016012007