「セキュリティ脆弱性に対するサイバー犯罪については、もう心情的に白旗を上げてしまい、技術的には対策が打てたとしても、運用が追いつかない…」という指摘が秀逸すぎる話

テクノロジーカテゴリーの変更を依頼記事元:

440 usersがブックマークコメント

110

「セキュリティ脆弱性に対するサイバー犯罪については、もう心情的に白旗を上げてしまい、技術的には対策が打てたとしても、運用が追いつかない…」という指摘が秀逸すぎる話

ケビン松永 @Canary_Kun 大手SIerで15年間システム開発に従事し、現在は独立してIT コンサルをやってます... ケビン松永 @Canary_Kun 大手SIerで15年間システム開発に従事し、現在は独立してIT コンサルをやってます。零細法人経営者 | 意識高い系よりは尿酸値高い系 | 3児の父 | 大家クラスタ | 多重債務力167M、加重平均金利は197bp ケビン松永 @Canary_Kun 自分は情報安全確保支援士(登録セキスペ)も持っていて素人ではないんですが、セキュリティ脆弱性に対するサイバー犯罪については、もう心情的に白旗を上げてしまってます。技術的には対策が打てたとしても、運用が追いつかない…。そんな気持ちを連ツイします。 x.com/yuri_snowwhite… 2024-07-03 08:08:27 白”雪姫” @yuri_snowwhite 一応、セキュリティ担当としておおっぴらには言ってないことなんだけどたまにはきちんと言おうかな。今回のSSHの件然り、カドカワの情報漏洩

erya これな。KADOKAWA叩いても始まらないんだよ。総理大臣を防犯のため24時間防弾ガラスの中に入れますか？って話。悪いのはハッカー側でしかない。

2024/07/04 リンク

keidge 攻撃側が圧倒的有利かつ楽な状況。当然銀の弾丸などない。仕方ないのでガチガチに閉じれば、利用者から文句を言われる。従って、セキュリティ担当はどんどん消耗していく。

asagisann 気持ちは分かる一方で、支援士取った程度(セキュリティの世界で言うと普通免許取得レベル)で勝手に匙投げんなとも思う

tmatsuu SREがGoogleから降りてきて広まったように、GAFAレベルの企業がセキュリティに対してどういうアプローチをしているのかが詳らかにされればええんかな。まぁその一端がゼロトラストだったりするんだろうけども。

2024/07/06 リンク

h5dhn9k 塹壕は裏切らないけどねぇ……。多分、もっと革新が遅ければ対応のしようもあるのだろうけど……。保守、運用、改良、一貫性を同時に行うのは無理ですわ。生物でもウイルスとか細菌しか無理じゃない？　単細胞。

2024/07/05 リンク

lycolia 無数の依存ライブラリを真面目に全部アップデートしていくのは恐らく不可能だと思う。AWSやGitHubでも対応が後手になっているのは見かける

Akkiesoft わかりがありすぎた。セキュリティ対策のため緊急メンテで停止！あとでまたアクセスせえ！みたいなのが気軽にやれるようになればいいんだけどなあ。

differential わかる／むしろインシデント発生後の経営の動きの悪さは気になる。自己発生後の手順がなかったんだろうか。元弊社は元同僚からべそべそ泣きながら作ってて頻繁に見直してバージョンが凄いことになってるらし

ounce セキュリティは「何も起こさない」ことが仕事だが、何も起きなければ知識のない経営者からは単なる金食い虫だと思われるという問題がある。サッカーのゴールキーパーくらい守っている様子が可視化されないものか。

osakana110 社内で出来ることしつつ、サイバー保険に入ってリスク移転するしかない。インシデントあっても忙しすぎてセキュリティ企業は一見さんお断りが増えてるらしいし。損保ジャパンは保険に入れば仲介してくれるらしいし

kootaro 昔みたく漏れる前提でインターネットしないと／あたり前のインフラになり、みんな企業を信用し過ぎ／俺の個人情報ぐらいもれてもかまわんよ！（FANZA除く）

SHA-320 皆大企業のことだから想像しにくいのだと思う。新卒一人暮らしが防犯のためにガードマンを雇えるのか？みたいな話だと思ってる。

takeda25 「熊から逃げるときに、熊よりも速く走る必要はない。隣の友達より速く走ればいい」。業界内で最低レベルのセキュリティーにならないように気をつけたら被害に遭う確率は低くなると思うよ。

mouki0911 現場としての気持ちはわかるけど、経営者が金をかけるかどうかだけじゃないんか。しょうもない根回し会議に時間(=金)かけてないで、ITなくして事業成り立たないなら金かけよ？

ys0000 でもまあホントに白旗上げるわけにもいかんからな。ブルーグリーンデプロイや脆弱性スキャナによる全台定期診断、LB振り分けなど駆使して、即時アップデートが出来る環境をちょっとずつ進めていくしかないよね。

poipoi3 情報処理安全確保支援士って何？と思ってググったらセキスペ（情報セキュリティスペシャリスト）の後継の資格なのか、なんかわかりにくい名前になったのね

n_y_a_n_t_a 正解らしきものはあるけど対応はできないというジレンマ。対策をしないということは実は縦スクロールSTGの弾幕の中をバリアなしで突っ切っている状態かもしれないんだよな。

homarara なんかこのツィートだと、一部上場企業がシステム運用の専任部門じゃなくて個人頼みで回してるように読めるんだが。こんな悩みは中小企業向けでは？

omioni 一応洪水や工業製品の極低頻度の故障に対しては統計的手法で対応してたはずただセキュリティ分野だと保険料の話になりそうなのが･･･ https://www.denso.com/jp/ja/-/media/global/business/innovation/review/24/24-doc-15-paper-10.pdf