  |
はてなキーワード: イタチとは
https://togetter.com/li/1484323
これについてるブコメの奴らクソだな。
そもそも作者は電通との関与は否定していて、現状いきものがかりの楽曲以上のつながりは無いのに、勝手に「電通と関係してるはずだ！」ってキレてるのアホでしょ。それで作者を叩くのは正気じゃないわ。
それに5chかなんかのまとめを転載しててクソだし、明確に乗っかるべき事案ではないでしょ。あの作品が例の自殺と関係ある作品じゃないかったら最悪だろ。やってる事がニコニコのゲイビデオの言葉狩りしてる奴らと同レベルだわ。
そもそも電通と関わっていたとして叩くべきは電通自体であってワニの作者じゃねーだろ。
こいつらほんとに感情だけで動く能無だわ。
以前のワニの死を現実と同一視してる奴とかについてるブコメもやばかったし、これ馬鹿と言うか脳に異常があるやつらぞろぞろ出てくるのヤバいわ。
https://togetter.com/li/1430863#c7043076
そりゃ当然、ゴリ押しで入れると｢当人に何かしらのメリットがある｣または｢特定のデメリットを回避できる｣のどっちかだろ。両方かもだが……
巧妙な詐欺ってのはデカいノウハウ持った集団が行う組織犯罪なんだから、内容が偽物とバレても関係ないんだよ。
似たような手口さえ使えれば商品も、最悪まあ会社も取っ替えれば済むんだからな。
そういう意味では、ただ｢この商品は偽物です！！｣と言うだけじゃ意味がない。
特殊詐欺の対策法を伝えてもイタチごっこで終わるだけだし、実行犯は下部組織というだけの事も多いから捕まえるだけでも意味がない。
流れてる金の流れとか、トップの持つ人脈、そういう流れを追わないと意味ないぞ……まあ、こういう反抗が民間でもできるだけマシな世の中にはなってると思うが。
とはいえ……そういう諸々を警察がやるにしても、防諜や国政連携が杜撰な国じゃ国際組織犯罪に対抗できないから、結局は日本国内から締め出すしかないんだろうけどな。面倒な事だ。
今朝、人通りの少ない小道を散歩していると、二人の人間がこちらを見ていることに気づきました。嫌だなぁと思いながら歩き去ろうとすると、二人はニヤニヤと気味の悪い笑みを浮かべながら近づいてきました。私は怖くて声を出すこともできず、睨みつけて威嚇しましたが、二人はニヤニヤと笑うばかりでした。しばらく睨み合っていると、一人が突然私の背筋をさっと撫でました。私はびっくりして悲鳴をあげましたが、二人は私が嫌がっていることに気づいてすらいないようでした。私は身体中を撫で回され、初めは怖くてじっと耐えていましたが、耳の付け根を弄られながら「うちに来るか？」と囁かれた時、とっさに人間の手の甲を引っ掻いて逃げました。立ち去るとき、後ろから舌打ちの声が聞こえました。あのまま反撃をしなかったら私はどうなっていたんでしょうか？今でも思い返すだけで足が震えます。
これは私のような猫だけの問題ではありません。犬や、たぬきや、イタチにも同じような被害者がいます。人間は知らないと思いますが、私たちは生まれた時からこのような危険とともに生活しています。私たちの心の痛みを想像してください。
漫画村みたいにジャンプやマガジンの漫画が勝手に読める違法サイトなんだがここ最近周りで使ってる人が多くなってる。
今日だけでも大学で友達が進撃の巨人見てたし、電車でも隣の方はurlが星のロミでブラクロ見てるし...
例の方が逮捕されたその日では閉鎖されるんじゃなくてスワイプ機能が追加されたらしいw誰が運営してるんだろう？
ま、学生は使うなら漫画よりソシャゲにお金使いたいだろうしたとえ無くなったとこでラピエリなんか絶対なくなるわけじゃないし。これからどんな時代が来るのだろうか...
タヌキチは激怒した。
必ず、かの邪智暴虐の王、カポエイライオンオーを除かなければならぬと決意した。
タヌキチは駆け出した。
必ず、かの酒池肉林の王宮ピィアールへと向かわねばならぬと決心した。
タヌキチには道順がわからぬ。
けれども、タヌキチが道を尋ねた人々は、人一倍に親切であった。
タヌキチは苦悩した。
必ず、かの悪逆無道の王を倒すと決意したのに。
けれども、タヌキチは、強くなることには、人一倍に貪欲であった。
タヌキチは奔走した。
必ず、かの深山幽谷に住む伝説の武術家に教えを請わねばならぬと思案した。
タヌキチは、その武術家、サイキックマスターの居場所もわからぬ。
タヌキチは修行した。
必ず、艱難辛苦を耐えて強くならねばならぬと我慢した。
タヌキチの全身は、タヌキ血に塗れ、もはや時間の感覚もわからぬ。
けれども、師匠の指導に対しては、人一倍に努力したのであった。
タヌキチは疾走した。
まずは残忍酷薄の部下を倒さねばならぬと疾駆した。
強くなったタヌキチには、メスイタチの門番をはじめ、部下は誰もかなわぬ。
けれども、王は、人一倍に強いと言われていた。
タヌキチは対峙した。
タヌキチは、修行の際、何度サイキックマスターに蹴られたかわからぬ。
王が蹴れども蹴れども、その攻撃は、人一倍に敏捷なタヌキチには当たらなかった。
タヌキチは退治した。
王は二度と民衆を虐げられぬ。
けれども、人一倍に繊細なタヌキチの心中には、一抹の不安が残った。
タヌキチは失踪した。
以暴易暴のタヌキチが、過度に賞賛されてはならぬと熟慮したのだ。
けれども、その姿と蹴りの力強さ、美しさは、人一倍に記憶に残った。
人々は、名も知らぬ英雄をこう呼んだ。
ここ連日騒がれている7pay。
パスワードリセットリンク送付先のメールアドレスに対して設計上の問題で脆弱性が発覚して大変な事態に発展しています。
昨日の会見では社長のITリテラシ不足が露呈したり、サービス継続が表明されたりして、いわゆる「祭」の様相を呈しています。
また、会見内で「セキュリティー審査を実施した」と明言がされました。
https://www.asahi.com/articles/ASM745HHHM74ULFA01Y.html
セキュリティー審査を実施していたにも関わらず、何故今回の問題が見逃されたのか。
非常に稚拙な推測ですが個人的に考えられる可能性をまとめてみようかなと思います。
その名の通り、サービスローンチ前に実施する、脆弱性や問題がないかの審査の事・・・だと解釈しました。
一般的には脆弱性診断とかセキュリティ検査とも呼ばれています。私はこちらの呼び方の方がしっくりきます。
「実施した」とはいっても、どういった内容を実施したかはわかりません。
ただ、7payは「一般に公開する」「お金を扱うサービス」になるため、ガチガチな脆弱性診断を実施すべきでしょうし、実際に実施したのではないかと思います。
通常、脆弱性診断というと、以下のような項目があげられると思います。
抜け漏れあると思うけど、大体どこのセキュリティベンダーでも上記のような項目を診断しているんじゃないかなあと思います。
詳しくは各ベンダの診断内容のページを見てみると更に詳しく載っています。
LAC、CyberDefence、NRIセキュア、ブロードバンドセキュリティ、スプラウトなど。
ただ、今回の脆弱性診断が外部ベンダで実施されたのか、内部で実施されたのかはわかりません。
以下、推測をつらつら書いていきます。
脆弱性診断はモノによりますが、診断内容をマシマシにするとエラい額が掛かります。
Webサービス診断は見積もり方法が各社違ったり、ツールを使うか手動とするかによって金額も大きく変わってきます。
また、数量計算もベンダによってまちまちです。ページ単位であったり、画面遷移単位であったり、SPAであればAPI単位であったり、複合での計算だったりします。
お願いすれば見積もり時にステージング環境で動いているWebサービスをクロールして、各ページの評価を付けてくれるベンダもあります。
規模と見積もり内容にもよりますが、100～200万といったところでしょうか。
スマホアプリ診断は一本幾らという場合が多いような気がしますね。相場としては50万～100万程度でしょうか。
プラットフォーム診断も内容によるとは思いますが、大体100万くらいかなあと思います。
これ以外にWebSocketを使っていたり、別のサービスと連携していたりするとその辺りの通信も含まれてくるのでまた金額は上がる可能性もあります。
Webサービス200万、スマホアプリ(iOS、Android)100万*2、プラットフォーム100万とすると、500万円掛かるわけですね。
脆弱性診断をするだけでこれだけのお金が吹っ飛んでしまうわけです。
そしてこれをそのまま発注するかと言われると、多分しないでしょう。
セキュリティはお金が掛かる割にリターンが少なく、目に見える結果が必ず出てくるとも限りません。
経営層は中々首を縦には振らないでしょう。
会見でも明らかになったことですが、社長のITリテラシはあまり高そうにありません。
こうなると脆弱性診断の稟議を通すのは中々容易ではなかった可能性もありそうです。
また7月1日に間に合わせたようなところもあるっぽい(?)ので、開発側に資金を全振りしていた可能性もあり、診断に費用を掛けられなかったのかもしれません。
いずれにせよ、全く実施しないのはまずいし重要そうな部分だけピックアップして実施しましょうという話にはなるでしょう。
削れるものをあげていってみましょう。
例えば、iOS用スマホアプリは実施しなくても良いかもしれません。iOS上で動くアプリは確かサンドボックス構造になっているはずで、ローカルに何かしらのデータを持っていても外部からのアクセスは基本不可であるためです。確か。
そもそもスマホアプリ自体不要かもしれません。7payのサービスへのアクセス用インターフェイスとしてのアプリしか提供していないのであれば、取り扱うデータはほとんどないと考えられるためです。そのため、スマホアプリAndroidのみ、もしくは両方実施しなくても大きな問題は発生しないのではないかと思います。
・・・この辺り私の勘違いというか、「最優先でやるべきだろjk」といった考えがあれば指摘ください。
プラットフォームも、ベンダによりますが実施しなくとも良いとも思います。
ベンダの説明でも、主にポートスキャンをして、空いているポートに対してtelnetで色々したりするといった説明がなされたと思います。
Webサービスなら443と、空いていても80くらいしか外部には公開していないので、これは実施しないという選択をしても不思議ではないと思います。
サーバのコンフィグも、DocumentRootがおかしいとか致命的な設定ミスをしていない限りは見てもらう必要はないでしょう。
そもそも構築手順等はノウハウもあるでしょうし、わざわざ見てもらう必要性はほとんどないわけです。
ワイドショーでは「不正は海外IPからで、国外からのアクセスを許可していた」事が取り上げられていましたが、例えプラットフォーム診断をしていても、この辺りは指摘されなかった可能性があります。
実施していればもしかしたら備考レベルでの注意や、口頭で「国内のみに留めておいた方がいいかも」といったことは伝えられたかもしれませんが、「利便性」という観点から実行されることはなかったんじゃないかなと思います。
Webサービスですが、ログイン・ログアウト処理は必須でしょう。また、新規登録、情報変更、退会処理も重要です。
パスワードリセットはどうでしょうか。正直これも重要です。なので、ベンダに依頼するにあたってはここも診断対象としていたはずです。
ところで今回の件では協力会社について様々な憶測が飛んでいますが、NRI説が結構人気みたいです。
ただ、NRIにはNRIセキュアというセキュリティに特化した子会社が存在しています。
もし脆弱性診断をするとなった場合、そこを使わないという手はあまり考えられません。そもそも発注時にそれを見越して診断費も開発の見積もりに含まれているのではないかと思います。
ただし、セブン側が「脆弱性診断はこちら側で発注します」と言っていれば話は別です。
NRIセキュアは診断費用が高いらしいので、コストダウンするために別ベンダに診断部分のみ発注する可能性はあります。
別のベンダに発注したことで、抜け落ちた可能性はゼロではないかもしれません。
また、NRIセキュアが実施する場合においても、「ここは抑えておいた方が良い」という機能毎やページ毎にランク付けした資料をセブン側に提出することと思われますが、どこを実施してどこを削るかの最終的な判断はセブンに委ねられます。
考えられる事としてはパスワードリセットの処理を診断対象外としたことですが・・・そうする理由もわからないので、うーん・・・。
ただ、こうして対象を削りまくることで100万程度、もしくはそれ以下まで診断費用を抑えることができます。
使ったことはありませんが、SecurityBlanket 365というサービスは自動での定期診断が可能なようです。
ライセンスやどういった動き方をするのかはいまいちわかりませんが、ベンダに逐次依頼する脆弱性診断よりかは安く済むはずです。
ただ、自動診断となると設計上の不備やそれに伴う問題は検出できないはずです。
ツールの手が届く範囲での、XSSやPoC、ヘッダの有無など、ごく一般的な脆弱性診断になると考えられます。
でも手軽そうで安価っぽいなので、これで済ませていても不思議ではないです。
脆弱性診断ツールはOSSのものもあればベンダが販売していたり、SaaSで提供しているものもあります。
OSSならOWASP ZAPやw3afがWebサービスの診断が可能です。また、phpcs-security-auditなど、ソースコードを解析し脆弱な箇所がないかを診断するものもあります。
ちなみにWebサービスに対する診断を「DAST」、ソースコードに対する診断を「SAST」と言ったりします。
有償のものとなると、DASTは先程のSecurityBlanket、AppScan、Nessus、Vex、VAddyが挙げられると思います。
SASTになると、RIPS TECH、Contrast Securityなどでしょうか。
上記のようなツールを用いて、セブン内で脆弱性診断を実施することでセキュリティの知見を高めたり、内部で完結させるための動きを取っていたかもしれません。
こういった動きは結構色んな組織で見受けられます。外部の手を借りずに診断ができれば、関係者間の調整も楽ですし、それと比べると費用も安く済みますからね。
ただし、社内のエンジニアに任せる事になるため、片手間になってしまう可能性があります。
また、ツールの使用方法についてのノウハウは溜まるかもしれませんが、それとセキュリティの知見が溜まるかどうかは別の問題としてあると思います。
・・・とは言ってもセブンにはCSIRT部隊がちゃんとあるんですよね。
https://www.nca.gr.jp/member/7icsirt.html
『7&i CSIRT は、7&i グループの CSIRT として設置され、グループ企業に対してサービスを提供しています。』と記載があります。
また、『7&i CSIRT は、7&i HLDGS. の組織内に専任要員を以て設置され、インシデント発生時の対応だけでなく、インシデント発生の未然防止にも注力しています。
グループ企業の情報システム部門と連携し、7&i グループ内で発生するインシデントに対する未然防止のための調査・分析とリスク情報の共有、ならびにインシデント対応活動を行なっています。』
という記載もあるため、今回の7payも、7&i CSIRTが動いてセキュリティ関連のチェックをしていたのではないかと思います。「情報システム部門」とはありますが。
組織図上にはありませんが、デジタル推進戦略本部の下か、リスクマネジメント委員会、情報管理委員会のどこかに所属しているんじゃないかと思われます。
日本CSIRT協議会にも名を連ねているわけですし、CSIRTメンバーは専任要因ともありますし、セキュリティ関連の技術知識は十二分にあると思うんですよね。
なので、内部でツールを使って実施していたからといって、こんな重大な不備を見逃すというのはちょっと考え辛いなあ・・・と思います。
会見内で言われた二段階認証も検討事項に上がらなかったのかなあ・・・と。
で、これを書いている最中に気付いたのですが以下のようなリリースが出ていたんですね。
https://www.7pay.co.jp/news/news_20190705_01.pdf
これを見ると内部のCSIRTが機能していなかったか、力不足と判断されたかどちらかになるのかな・・・と。
実際はどうだかわかりませんけど・・・。
これも有り得る話かなあ・・・と。
開発やベンダやCSIRT部隊が情報共有したとしても、POが忘れていたとか、伝えたつもりが曖昧な表現で伝わっていなかったとか・・・。
ベンダが実施して指摘事項として伝えていたけど、いつの間にやら抜け落ちていてそのままサービスイン・・・というのもシナリオとしては考えられますね。
7payは社内的にも一大プロジェクトだったはずで、スケジュールも決まっている場合、余計なことを物申すと手戻りや対応に時間を取られることになります。
そういった事を許さない空気が出来上がっていると、まあ中々上には上がってきづらいです。
これも十分にありえる話ですかね。ないといいんですけど。
どうしても『審査』という言葉に引っかかっています。『検査』ならまだわかるんですが。
そこで思ったのですが、情報セキュリティ基本方針と個人情報保護方針を元にしたチェックリストのようなものがセブン内にあって、それを埋めた・・・みたいなことを「セキュリティー審査」と言っていたりするのかなと思ってしまったんですね。
でもこれはセブンペイの社長が個人情報保護管理責任者ということで、ISMSやPMS等で慣れ親しんだ単語である『審査』を使っただけかもしれません。
そもそもそれで終わらせるなんて事ないでしょう。セブン程の企業が・・・。
大穴ですね。いやこれはないと思いますよ。あったら大問題じゃないですか・・・。
というわけで、なんとなく「こうだったりして・・・」みたいな事をつらつら書いてみました。
そういえばomni7で以下のお知らせが上がっていましたね。
https://www.omni7.jp/general/static/info190705
『定期的にパスワードを変更いただきますようお願い申し上げます。』とのことです。CSIRTはもしかしたらもう機能していないのかもしれないですね。
もしくはわかりやすい対策を提示しろと言われたのかもしれません。それなら仕方ないんですけど。
以上。
一部typoとか指摘事項を修正しました(役不足→力不足 etc)。
ついでに時間経ってるけど追記します。もう誰も見ないでしょうけど。
ちゃんと読んでいただけましたか？全文通して私の主張が「監査をしっかりやれば防げた」という意味と捉えられているのでしょうか。そんなに分かりづらい文章を書いた覚えもないのですが・・・。
一番上でも記載していますが、私は今回の7payの「セキュリティ審査」は、「脆弱性や問題がないかの審査の事」、つまり「脆弱性診断」を指していると仮定して本エントリを書いています。
そういう意味で、ここで私が指している「審査」と貴方が指している「監査」は似て非なるものです。字面は少し似ていますがね。
監査は貴方の記載する通り「ある事象・対象に関し、遵守すべき法令や社内規程などの規準に照らして、業務や成果物がそれらに則っているかどうかの証拠を収集し、その証拠に基づいて、監査対象の有効性を利害関係者に合理的に保証すること」です。
貴方の言う「監査」に近いことは「セキュリティー審査自体が、情報セキュリティ基本方針と個人情報保護方針に沿った内容かどうかを確かめただけだった」の見出し部分で触れていますが、それで終わらせているわ Permalink | 記事への反応(2) | 05:48
今回はパッキン交換だけで水漏れが収まったようだけど、ある程度使用年数が経っていると他の箇所も同様に劣化しているからイタチごっこのように何度も修理になるこが多い。んで、その度に金がかかって結局費用が嵩んでしまう。
だから水栓交換という提案は悪くないし、むしろそちらの方が親切だと個人的には思う。
見積の出張料金だが、取らない業者の方が大半だと思う。自治体指定業者ということで商売っ気がない会社だったのかもしれない。次回からは見積無料のところに頼め。
訪問前に出張料がかかるとの説明がなかったら不誠実なので文句は言っていいと思う（絶対にトラブルになるので、普通は事前に言ってると思うが）。
