DeNA・楽天・LINEとセキュリティについて語る夜」というイベントが開催されたのでその時のメモです。楽天のサイバーセキュリティの取り組み。今回は技術一辺倒というよりは、各社がどうやってセキュリティを担保するために取り組んでいるかという発表だったが、興味深い内容が多かったように思う。DeNAさんのようにゲームで世界配信したり、配車アプリなどを提供していると多種多様な情報が得られるだろうし、セキュリティと一口に言ってもインフラやアプリケーションの脆弱性もあれば、個人情報の取り扱いに関するポリシーなども関わってくる。その上で、DeNAさんはポリシーを定義してPDCAをまわしながら、世の中と事業にあわせてポリシーをアップデートしていっているというのは、適切でいて、且つ安心できるポリシーになるだろうと思う。ガチガチに定義しただけで、実運用の伴わない、体外的なアピールのようなポリシーは運用者も指示者も疲弊して、事業にもそぐわないのおで誰もハッピーにならないのかもしれない。人数がいて、知識や新しい動向のキャッチアップの得意な人が向いているのかもなーと思ったし、運用に則したポリシーであれば皆協力的かもしれない。次に、楽天さんの発表者の方はセキュリティエンジニアのスペシャリスト中のスペシャリストと言った方だった。2002年に楽天のセキュリティエンジニア第一号として入社して、ずっとセキュリティに関する取り組みを行っているようで、外には公開できない内容を惜しげもなく発表されていた。ホワイトハッカーとはまさにこんな方を言うのだろうなと思いながら聞きつつ、楽天はセキュリティに関して日本でもトップクラスの取り組みをしているというのがわかったし、個人的には一番おもしろい話だった。最後はLINEさんの取り組みの話で、どちらかというと組織構成の話が主だっていた。複数形式のサービスを提供しているだけあって、かなり幅広く、組織的に取り組まれているというのがよくわかった。ジュニア、ミドル、シニアというような、知識レベル(もしくは年齢)層?で担当が別れていて、海外のトレンドを追ったり、分析をしたりしていて、大きい会社ならではのガッツリした取り組みをされている様子。各部門に専門の担当者がいるようだったので、その辺は層が手厚そうだった。セキュリティと言った際に、自分が何のレイヤーを指しているのか、今まであまり意識的に話していなかったように思っていて、おおよそ脆弱性のことくらいしか話していなかったと思う。セキュリティを考えた場合、事業そのものが保有している情報だったり、保有する方法だったり、保有する範囲だったり、広告やキャンペーンを売ったり、そもそも事業が対外的に定義している情報だったり、考えられることは山程ある。取り組みをする場合は、セキュリティのなんの部分かを意識しつつ、自社に必要なルールや運用の落とし込みを改めて考える良い機会になった。