  |
はてなキーワード: 因習とは
まぁ火事になったらちゃんと権利書やらは持って出てこいみたいな話とは真逆のことを言ってますし、本当に逆張りの馬鹿なんだよな
仮に今東京の資産を買う外国があったとしてこの困窮と病気が蔓延した社会できっちり払ってもらえる確証がねえ訳で
そんなもん
「やったー！権利書あげるね！で、お金は？」『あるにはあるんだけど、今病気しちゃって大変なんだよね〜支払いはちょっと待ってもらえる？』
になるに決まってんじゃん
そんなこの時期に資産売らせるって人権売らせんのと一緒の行為でしょ。コイツが日本の経済の何かしらの部分にいたって本気で言ってます〜？
まぁ東京への一極集中化はいつかどうにかしなきゃいけない課題だけど、地域的な利点もなんも見出せないまま各地を回ったってこびりついた思想と因習でネット環境すらまともになってないんだから、この時期にやっても周辺地域が慌てるだけじゃねえかなって
https://www.nicovideo.jp/watch/sm37128926
「差別撤廃の歴史を知らないから」差別しちゃうんだ、とかいうやつ
差別にランクを付けて、質が違う、苦しみが違う、みたいに言ってしまうやつ
みたいな
リベサヨにありがちなのが、この構造的差別に苦しめられたのだから、黒人の暴動は理解できるというやつ
そのくせ、日本にいると、「暴動は支持しないが理解できる」とか日和っちゃうやつ
「えせ同和」などと切断された活動もあるが、アイヌ関係も胡散臭い活動家が居る
昨今はLGBTもここに入ってきた
３は差別とされないことが多い
差別ではないんだから罵倒していいし、偏見で犯罪者予備軍にしても良い
そんなことを、憚りなく発言する「反差別」の人間もたくさん見た
「社会的」なのもそう
一部のバカが「区別」と呼ぶソレに正当性を付けて社会化したのが「社会的差別」だ
社会的な常識となったから、法律などで固定化したのが「構造的差別」だ
個々の事象は、罵倒であったり、排除であったり、偏見であったり、そういうもの
それらを「差別」と呼んでるだけだ
バカはさ、酷い差別じゃないと救済対象じゃないって真顔で言うんだよ
違うよ
「相手が血反吐を吐くほど苦しむようならやめてやろう、どうだおれは進歩的だろう？」みたいなバカだから差別するんだよ
今回のBLMは、黒人利権を強くして、白人の区別は悪い差別、黒人の差別は良い区別、みたいになるだけだぞ
本当にアホくさい
不況だ倒産だって言ってたのが最初だったかな？今日に至るまでずーっと不況のままだ。
就職難で苦しみ、年功序列も終身雇用も崩壊したけど「社会人として」とか言う因習はあちこちに残ったまま、企業は金は払わないけど黙って従えってスタンス。
給料は上の世代ほど上がらず、しかし税金は次々上がり、年金は持っていかれるけど支給年齢が引き上げられ、物価も上がっていくので家計は苦しくなる一方。
娯楽は配慮とか規制とかポリコレがやかましくてドンドン狭くなっていくし、やっぱりここも金の問題が付きまとう。
地方は廃墟が凄まじい勢いで増えて都市部への集中が洒落にならん。子供が少なくてもう次の世代がいない。
オウムが暴れたり、自爆テロが起きたり、凶悪殺人事件の数々、移民や外国人旅行者も増えて治安はどんどん悪くなってきた。
政治はいつだって悪いことしてる奴ばっかりに見えるし、周辺国もなんであんな好戦的な奴らばっかりなのさ。
びっくりするほど希望が無い。
増田を見ている皆さん、こんにちは。皆さんは1月18日から劇場公開されている『劇場版ハイスクール・フリート』を何回見ましたか？ 私はまだ4回しか見ていないのですが、きっと皆さんはそれ以上に『はいふり』を堪能しているのでしょうね！ 羨ましいことです。
さて、『ハイスクール・フリート』で多くのカプ厨を沸かせたシーンといえば、やはり「本屋晴風」でモモちゃん……もとい青木先生の薄い本を読んだときのシロちゃんとミケちゃんの反応の差が挙げられます（それにしてもナマモノ本を当人たちに見せるってなかなか肝が据わってますよね青木先生）。
青木先生の薄い本を読んだシロちゃんが真っ赤になる一方で、ミケちゃんは「シロちゃん、これって何してるの」などと尋ねており、明らかに内容を理解していない様子です。
しかし2人は同じ高校1年生のはずなのに、どうして青木先生の漫画の理解度に差が生じているのでしょうか。ミケちゃんが無知すぎるのでしょうか、それともシロちゃんが性知識豊富すぎるのでしょうか。
この増田では、いくつかの仮説を検討して結論を出したいと思います。
青木先生の薄い本の内容がエッチではあるがさして突飛でもない常識的なプレイだった場合、シロちゃんの性知識は年相応のものだがミケちゃんのそれはそうではない、という仮説が導かれます。
おしべとめしべも知らずに艦長が務まるのかという疑問はあるでしょうが、別に航洋艦は女郎宿でも何でもないわけで、船の動かし方についてよく知っていてさえいれば子供ができる仕組みについては理解していなくても問題ないということなのでしょう。
ミケちゃんはあえて理解した上で無知を装ってシロちゃんに質問することで天下の大通りで羞恥プレイを楽しんでいるという解釈ももちろんありえます。
「漫画の中だと、わたしたちここまで進んでるんだね……現実には、まだ××もやってないのにね。ね、シロちゃん、ちょっと△△してみよっか？」
みたいな感じでシロちゃんに仲良しすることを誘った挙げ句に家族しそうですよね。好意をストレートに伝えてきそうというか。なのでこの説も惜しくはありますが却下です。
そもそもモモちゃんが描いていた内容には特に性的な描写はなく、いたって普通の恋愛漫画に過ぎないのだが、恋する乙女シロちゃんが過剰に興奮してしまった……という仮説です。
正直シロちゃんはかっこいい表情でシロちゃんに迫るミケちゃんのイラストを見てドギマギしちゃうレベルのシャイガールだと思うので、青木先生がちょっと気合の入った全年齢ミケシロイチャラブシーンを描いただけでも真っ赤になってしまうのはもう火を見るより明らかです。
この場合、ミケちゃんも別に性知識が極端に乏しいとかではなく、特殊な生育環境ゆえにポッキーゲームを知らなかったとか壁ドンの意味がわからなかったとか、そういうレベルの無知だった可能性があるのではないでしょうか。
このレベルの無知ならありえる話じゃないかと個人的には思います。
青木先生の描かれたシチュエーションもといプレイがあまりにも特殊であった場合、あるいは同じ業界の人にしかわからないような隠語やメタファーが散りばめられていた場合、平均的な性知識しか持っていなければ内容を理解できない、という可能性は十分にありえることでしょう。
もしもミケちゃんが保健の授業をちゃんと聞いていたにもかかわらず青木先生の薄い本で描かれているものを理解できなかったとするならば、その内容は極めて特殊な性癖にリーチした内容のものである可能性があります。
ではそれをどうしてシロちゃんが知っていたのか？ という問いに対し、「それはシロちゃんがムッツリだから」と答えるのがこの仮説です。
ムッツリであるシロちゃんは日頃から特殊な性癖や隠語に親しんでおり、それゆえに青木先生の描かれる特殊な内容の薄い本を完璧に理解することができてしまったのでしょう。
しかしシロちゃんがムッツリだとするならば頬を赤らめながら熟読するはずで、正視に耐えないとばかりに目を逸らしているあたり別にムッツリではないのではないかという疑念が湧いてきます。
そうであるならば、いったいどうやって彼女は特殊な性知識を得たのでしょうか。その疑問への答えとして、次の説が提出されます。
劇場版でのシロちゃんの回想シーンで、ご幼少のみぎりに部屋に入ったところ真冬姉さんがホラーを鑑賞していたため、怖くて一人で寝られなくなってしまったというエピソードが語られます。
姉の見ていたホラー映画をうっかり見てしまうことがあるのなら、姉の持っていたエロ本をうっかり読んでしまうこともあるのではないでしょうか。
しかし、真冬さんはTVアニメや漫画『はいふり』の描写では尻！ 胸！ という感じのなんというか非常にわかりやすい即物的な性癖の持ち主であり、そこまで特殊な性癖をこじらせているようには見えません。
この件について友人と熱く討論をしていたところ出てきた説です。
劇場版などでかなりのSっ気の持ち主であることが衆目に晒された宗谷三姉妹の長女宗谷真霜さんですが、彼女が実は割とディープな腐女子であり、その蔵書をうっかりシロちゃんに見られてしまったと考えれば、色々なことの説明がつきます。
漫画版を見る限りでは、彼女の私生活はかなりだらしなく、シロちゃんはしばしば彼女の部屋に立ち入っています。そのような関係の姉妹ですから、うっかり秘蔵の薄いブックを目にすることもままあったのではないでしょうか。
そして真霜さんの蔵書によって植え付けられた一般の方があまりご存知ないような営みについての知識を持っていたからこそ、おそらくは真霜さんの同好の士であろう青木先生のミケシロナマモノ本に反応することができた、と考えれば辻褄が合います。
個人的には宗谷真霜さん腐女子説に一番説得力を感じるのですが、はてなの皆さんはいかがでしょうか。
他にも、「モカちゃんに上下関係を叩き込まれた説」「ココちゃんにブルーレイを見せられた説」「クロちゃんが夜這いしてる説」「ミーちゃんにダンケダンケされた説」「リンちゃんに下剋上された説」「タマちゃんに撃ち抜かれた説」「メイちゃんに魚雷発射された説」「サトちゃんにピロピロされた説」「まゆちゃんにどん底に堕とされた説」「まりこおじさんの薙刀が一閃説」「実はシロちゃんもマッチの女説」「みなみさんの保健体育実習説」「古庄薫は夜の教官説」「真雪母さんが4人目に向けて活動中説」「宗谷家に伝わる因習説」など様々な説がありますが、蓋然性が低いことからここでは採用しませんでした。
なお、増田はミケモカ前提のミケシロと宗谷真霜×古庄薫を応援しています。いやだってモカちゃんはどう見てもシロちゃんをナチュラルに見下してるしシロちゃんもシロちゃんでミケちゃんとモカちゃんがいちゃつくのを眺めながら「まあ正妻さんですから仕方ないですね」みたいな一歩引いた二号さんの表情をしてたじゃないですかそんなんだから正妻戦争で敗北するんですよわかってるんですかシロちゃん！ リンちゃんにも岬さん呼びでマウント取られてるの理解してるんですかシロちゃん！ 仕方ないからシロちゃんのことは大親友で心の友であるわた納沙幸子さんに面倒を見てもらうといいと思います。
結論は表題の通り。もうこのシステム長く続かねーぞオラ。しょうもないむ省は新しいシステム考えろや。
インターネットを見ればネット広告代理店が今日も男女の分断をはやし立てて、馬鹿な独身男女が互いの悪口を言っていがみ合ってる。
既婚の男女は（僕は地方中小都市にいるのでその範囲内で言えば）、「結婚したら恋愛できないなんて信じられない！！！僕（私）はもっとドキドキしていたい！」・・・と
職場、サークル、合コンなどなどで今日もセックスの相手探し。体感で言えば、働いてる既婚男女の4割は現行不倫しているor過去にしていた感じだと思うな。
とはいえ、不倫は不貞だと司法は判断し、裁判で不利な証拠になる。
自由恋愛主義者が結婚後も恋愛し続けたいというのは、筋が通っている。なぜなら、「社会に恋愛こそ至上の価値」と刷り込まれる90年代を過ごした人間の成れの果てとしては、筋が通る。
そもそも結婚や婚姻とは何なのかといえば、国が体を為すための、戸籍・財産分与・所有を一家で所有する。ただそれだけのシステムである。それを文学や漫画、アニメがロマンチックに騒ぎ立てているだけだ。
生殖の話もあるけど、別に結婚してなくても子供は生まれるし、セックスもできるのであとで新しい方法を教える。
もうさ、この国家維持システム終わってない？？？？夫婦別性だとか、結婚後の自由恋愛の保障、50歳の３人に１人は独身とかさ。
20年後には「そんな時代もあったね」と笑って話してる制度じゃねーのこれ？？？結婚とか婚姻が過去の因習になってるパティーンだ！
おいそこのお前？お前はどうだ？結婚できると思うか？わがままで理想が高い、同年齢の異性とさ。
俺？俺か？俺は異類婚姻したいお！ロップイヤータンかわいいお！絶対に俺より早く死ぬけど。
で、そこで俺は思ったわけよ！！？！！？「若いうちに自分のクローン育てたい」ってさ！
精子はここにあるから、その辺のブス不細工で低賃金の増田女の卵子でも買ってきて、ズッキューン！培養装置にドォーーーーン！！！おぎゃぁおぎゃぁよ！
虐待の問題とかで僕は心を痛めるんだけど、ひとり親家庭で自分の分身たるクローンなら虐待する気にならないと思う。
大して素晴らしくない家庭で育った僕は頓にそう思う。
で、自分の分身に教育という形で金を掛けるわけよ！！！ポケモンよ!モンスターファームよ！！！！
これには２パターンあると思う。
まあITエンジニアじゃなくても、政治力やラッキーパンチだけで不当に立派なポジションに付く人間は保身力ばかり高くなり、その立派な椅子にしがみつく。なぜか安倍一味とか衰退著しい大企業の経営陣が脳裏をよぎったがまあいいや。
まともでありながらもこれに該当するのは、能力が高くてそれに見合ったポジションを手に入れ、さらに責任ある立場であり、責任感もある、そういう人材。今までこういったタイプはあんまりみたことがないけど、いるにはいるけど、レアだと思う。引き抜きでも無い限りこういう人材はとれない。
この職種の人材は流動的であるべきで、企業も転職を許容し、常に新陳代謝を促していったほうがいいと思う。そうしないと日本のSIerのようにビジネスも技術も全てがレガシーになる。
会社によって転職回数がフィルターとして存在するところも大きい会社ほど存在したりする。
でもやっぱ時代錯誤なんだよなあ、そんな考え方は。そしてそんな因習的な大企業さんは案の定衰退の一途をたどっている。
さてさて、今週は面接(する側)だけど、一人は転職をあんまりしてこなかったせいか、技術が偏ってる。
もうひとりは転職回数多いだけあってか、いろいろ経験してる様子。
僕らは気にしないけど、転職回数多い人材を敬遠してる会社のおかげで、こういう人材が確保できる確率があがるのはラッキー。
メタブタワー、読みました。
1) “ド直球な評価”としてはアリ
もちろん、個人の内心や言動について第三者が縛る理由は基本的にはない、という意味ではアリです。
本当にダメなものにはダメとだけ言うべきだ、というモラルについても、一考の価値があると思います。
個人的には、問題の作品と展示については、もっと多くの言葉が費やされるべきだろう、とは思いますが。
2)「風習」について
「風習」という語は、ふだんは「因習」「悪習」「蛮習」などの類語と比較された上で、
より中立的な意味を持たせるために選ばれる語なので、「考えすぎ」と思われるのも無理からぬことと思います。
（とはいえ、あの説明を一応納得していただけたようで良かった）
もちろん、より一般的な「手法」などがあの箇所で使われていれば、ツイート全体が否定されなかった、
とまでは思いません。
「かの国」の「プロパガンダ」というのも、（少なくとも現時点では）
韓国、あるいは朝鮮半島の国家全体へ憎悪を向ける人が共通で用いる符丁、と言うべきですし、
なによりツイートの全体的なトーンが批判者の反応を引き出してると見るべきだからです。
敵愾心についてですが、
たとえば、阪神ファンやヤクルトファンが巨人に対して向ける敵愾心、くらいのものなら、
（個人的にはあまり好きではないけどいちおう）健康的な感情の範疇だと思うし、
その延長上にある、「日韓戦がやたら盛り上がる」といったものも、「悪い事」とまでは言えないと思います。
（マウンドに国旗を立てるとかは、ずいぶんはしたないことをするじゃないか、と思うけど）
ただしそれは、共有する価値観によって下支えされた上で、試合（観戦）へのモチベーションを高める、
現在の日本の一部論者が韓国に対して（お互い様、という見方もできますが、
不法（とされる）振る舞いの原因を相手の民族性に求めて、根源的で解決不可能な不信であり対立である、
と主張し、奴らに対しては嘲笑以外の対応はありえない、といった風の「敵愾心」の煽り方は、
人道的にも生存戦略的にもきわめて危険であり、「悪い事」と言うべきだ、
というのが私の意見です。
3)現代アート云々について
『「もっとアートに親しんでほしい」的なイベント』というのは、
改まってはなかなか言われないけど（地元広報誌とかでは言われてるのかな）
もちろん前提になっていると思うのですが（来場者は大事だ）、
そういう場で「表現の不自由展・その後」が扱われることについて、
（企画性質上「親しみやすい」ものなんて集まりっこないから）どうなの？
ということですよね。
それについては、あいちトリエンナーレは国内トップクラスの規模の国際芸術祭ですし、
社会的であったり耽美的であったり難解であったり親しみやすかったりする展示が集まる中で、
というのは、まず真っ当なことのように思います。
そこに、近年一定の注目を集めた「表現の不自由展」を呼ぶ、というのは、
きわめてストレートな案というか、どちらかと言うと手堅い、
見方によっては平凡とさえ言われかねないキュレーションなのではないかと思います。
（「他にこういう展示／作品を扱えば良かったじゃないか」という案で百家争鳴してほしいくらいです）
もちろん実現に至る関係者の苦労は並大抵のものではないと思いますし、
ここ数十年で最大の日韓関係の緊張だとか、ガソリン放火事件という最悪の事件が偶然重なったとはいえ、
ほとんど抵抗する間もなく公開中止に追い込まれた、という現状については、
「失敗（ただし志のある）」と言うべきだろうと私は思います。
さいわい会期はまだまだ残っているので、挽回の余地は（再開、あるいは拡張）ありますし、
ある意味では、政治家（河村市長など）が責任追及の声を挙げているという状況も、
批判のかたちをとりつつ、企画意図の説明を含む主催者側の意見を改めて広く周知するという点で、
4)「展覧会の将来を悲観してみせる」について
rag_enさんのおっしゃるとおり、「あくまで期待したのは過去の貞元氏」という解釈のほうが、
一展示のそのまた一部を論じていたところから、
とつぜん芸術祭全体の価値を断じる、という乱暴な話題の転換ぶりに、
「これは芸術祭全体の失敗であり、今後の発展は期待できないし、開催されても価値はない」
というニュアンスを、過剰に嗅ぎ取ってしまったものだと思います。
また、ドクメンタという半世紀以上も続いている有名な芸術祭を引き合いに出していることから、
反転して「あいちトリエンナーレにはそんな価値も継続性も無いよ」と断じる含意を感じ取ったために、
「気に入らないからって勝手に潰すな」という反発が生じました。
この点に関しては、具体的な「潰せ」とか「無くなれ」という言葉を迂回しながら暗示的に表現する手法、
という印象を拭いきれません。
瀬戸内芸術祭を並べているあたり、そんな含意を意図したものではなかったのかも、とも思いますが。
「自分が望むようなものであれば応援したい」というのは「独善的で無礼」だ、ということについてですが、
rag_enさんの仰るような「自分の好みのアニメなら応援するわ」というのと同一視できるものではありません。
「単一の作品を個人の好みで選び取る」のは、誰にも非難し得ない基本的な自由ですが、
「自分の選んだもの以外の価値を否定する」というのは、選び取るよりも丁寧に行われるべきものですし、
「芸術祭の内容を自分の許容範囲のものだけにしろ、それができない芸術祭なら価値はない」と解釈しうる言明は、
（「いかれた協賛メディアを排除して〜」のようなきつい偏見がついたものであれば特に）
自分の興味や許容範囲を芸術祭に押し付けていいのは、正規に専任された芸術監督だけですし、
芸術監督にしたって、すべてを「自分の好み」だけで決めるわけではなかろうと思います（たぶん）。
むしろ進んで不都合なノイズを引き受け、その反響をきちんと整理する体制を整えることこそ、
（特に今回のようなテーマを掲げた）国際芸術祭に求められる態度ではないかと考えます。
（それほど理想通りにはいってないけど、少なくとも真っ当に試みはしている、
と私は見ています。いまのところ。）
ここ連日騒がれている7pay。
パスワードリセットリンク送付先のメールアドレスに対して設計上の問題で脆弱性が発覚して大変な事態に発展しています。
昨日の会見では社長のITリテラシ不足が露呈したり、サービス継続が表明されたりして、いわゆる「祭」の様相を呈しています。
また、会見内で「セキュリティー審査を実施した」と明言がされました。
https://www.asahi.com/articles/ASM745HHHM74ULFA01Y.html
セキュリティー審査を実施していたにも関わらず、何故今回の問題が見逃されたのか。
非常に稚拙な推測ですが個人的に考えられる可能性をまとめてみようかなと思います。
その名の通り、サービスローンチ前に実施する、脆弱性や問題がないかの審査の事・・・だと解釈しました。
一般的には脆弱性診断とかセキュリティ検査とも呼ばれています。私はこちらの呼び方の方がしっくりきます。
「実施した」とはいっても、どういった内容を実施したかはわかりません。
ただ、7payは「一般に公開する」「お金を扱うサービス」になるため、ガチガチな脆弱性診断を実施すべきでしょうし、実際に実施したのではないかと思います。
通常、脆弱性診断というと、以下のような項目があげられると思います。
抜け漏れあると思うけど、大体どこのセキュリティベンダーでも上記のような項目を診断しているんじゃないかなあと思います。
詳しくは各ベンダの診断内容のページを見てみると更に詳しく載っています。
LAC、CyberDefence、NRIセキュア、ブロードバンドセキュリティ、スプラウトなど。
ただ、今回の脆弱性診断が外部ベンダで実施されたのか、内部で実施されたのかはわかりません。
以下、推測をつらつら書いていきます。
脆弱性診断はモノによりますが、診断内容をマシマシにするとエラい額が掛かります。
Webサービス診断は見積もり方法が各社違ったり、ツールを使うか手動とするかによって金額も大きく変わってきます。
また、数量計算もベンダによってまちまちです。ページ単位であったり、画面遷移単位であったり、SPAであればAPI単位であったり、複合での計算だったりします。
お願いすれば見積もり時にステージング環境で動いているWebサービスをクロールして、各ページの評価を付けてくれるベンダもあります。
規模と見積もり内容にもよりますが、100～200万といったところでしょうか。
スマホアプリ診断は一本幾らという場合が多いような気がしますね。相場としては50万～100万程度でしょうか。
プラットフォーム診断も内容によるとは思いますが、大体100万くらいかなあと思います。
これ以外にWebSocketを使っていたり、別のサービスと連携していたりするとその辺りの通信も含まれてくるのでまた金額は上がる可能性もあります。
Webサービス200万、スマホアプリ(iOS、Android)100万*2、プラットフォーム100万とすると、500万円掛かるわけですね。
脆弱性診断をするだけでこれだけのお金が吹っ飛んでしまうわけです。
そしてこれをそのまま発注するかと言われると、多分しないでしょう。
セキュリティはお金が掛かる割にリターンが少なく、目に見える結果が必ず出てくるとも限りません。
経営層は中々首を縦には振らないでしょう。
会見でも明らかになったことですが、社長のITリテラシはあまり高そうにありません。
こうなると脆弱性診断の稟議を通すのは中々容易ではなかった可能性もありそうです。
また7月1日に間に合わせたようなところもあるっぽい(?)ので、開発側に資金を全振りしていた可能性もあり、診断に費用を掛けられなかったのかもしれません。
いずれにせよ、全く実施しないのはまずいし重要そうな部分だけピックアップして実施しましょうという話にはなるでしょう。
削れるものをあげていってみましょう。
例えば、iOS用スマホアプリは実施しなくても良いかもしれません。iOS上で動くアプリは確かサンドボックス構造になっているはずで、ローカルに何かしらのデータを持っていても外部からのアクセスは基本不可であるためです。確か。
そもそもスマホアプリ自体不要かもしれません。7payのサービスへのアクセス用インターフェイスとしてのアプリしか提供していないのであれば、取り扱うデータはほとんどないと考えられるためです。そのため、スマホアプリAndroidのみ、もしくは両方実施しなくても大きな問題は発生しないのではないかと思います。
・・・この辺り私の勘違いというか、「最優先でやるべきだろjk」といった考えがあれば指摘ください。
プラットフォームも、ベンダによりますが実施しなくとも良いとも思います。
ベンダの説明でも、主にポートスキャンをして、空いているポートに対してtelnetで色々したりするといった説明がなされたと思います。
Webサービスなら443と、空いていても80くらいしか外部には公開していないので、これは実施しないという選択をしても不思議ではないと思います。
サーバのコンフィグも、DocumentRootがおかしいとか致命的な設定ミスをしていない限りは見てもらう必要はないでしょう。
そもそも構築手順等はノウハウもあるでしょうし、わざわざ見てもらう必要性はほとんどないわけです。
ワイドショーでは「不正は海外IPからで、国外からのアクセスを許可していた」事が取り上げられていましたが、例えプラットフォーム診断をしていても、この辺りは指摘されなかった可能性があります。
実施していればもしかしたら備考レベルでの注意や、口頭で「国内のみに留めておいた方がいいかも」といったことは伝えられたかもしれませんが、「利便性」という観点から実行されることはなかったんじゃないかなと思います。
Webサービスですが、ログイン・ログアウト処理は必須でしょう。また、新規登録、情報変更、退会処理も重要です。
パスワードリセットはどうでしょうか。正直これも重要です。なので、ベンダに依頼するにあたってはここも診断対象としていたはずです。
ところで今回の件では協力会社について様々な憶測が飛んでいますが、NRI説が結構人気みたいです。
ただ、NRIにはNRIセキュアというセキュリティに特化した子会社が存在しています。
もし脆弱性診断をするとなった場合、そこを使わないという手はあまり考えられません。そもそも発注時にそれを見越して診断費も開発の見積もりに含まれているのではないかと思います。
ただし、セブン側が「脆弱性診断はこちら側で発注します」と言っていれば話は別です。
NRIセキュアは診断費用が高いらしいので、コストダウンするために別ベンダに診断部分のみ発注する可能性はあります。
別のベンダに発注したことで、抜け落ちた可能性はゼロではないかもしれません。
また、NRIセキュアが実施する場合においても、「ここは抑えておいた方が良い」という機能毎やページ毎にランク付けした資料をセブン側に提出することと思われますが、どこを実施してどこを削るかの最終的な判断はセブンに委ねられます。
考えられる事としてはパスワードリセットの処理を診断対象外としたことですが・・・そうする理由もわからないので、うーん・・・。
ただ、こうして対象を削りまくることで100万程度、もしくはそれ以下まで診断費用を抑えることができます。
使ったことはありませんが、SecurityBlanket 365というサービスは自動での定期診断が可能なようです。
ライセンスやどういった動き方をするのかはいまいちわかりませんが、ベンダに逐次依頼する脆弱性診断よりかは安く済むはずです。
ただ、自動診断となると設計上の不備やそれに伴う問題は検出できないはずです。
ツールの手が届く範囲での、XSSやPoC、ヘッダの有無など、ごく一般的な脆弱性診断になると考えられます。
でも手軽そうで安価っぽいなので、これで済ませていても不思議ではないです。
脆弱性診断ツールはOSSのものもあればベンダが販売していたり、SaaSで提供しているものもあります。
OSSならOWASP ZAPやw3afがWebサービスの診断が可能です。また、phpcs-security-auditなど、ソースコードを解析し脆弱な箇所がないかを診断するものもあります。
ちなみにWebサービスに対する診断を「DAST」、ソースコードに対する診断を「SAST」と言ったりします。
有償のものとなると、DASTは先程のSecurityBlanket、AppScan、Nessus、Vex、VAddyが挙げられると思います。
SASTになると、RIPS TECH、Contrast Securityなどでしょうか。
上記のようなツールを用いて、セブン内で脆弱性診断を実施することでセキュリティの知見を高めたり、内部で完結させるための動きを取っていたかもしれません。
こういった動きは結構色んな組織で見受けられます。外部の手を借りずに診断ができれば、関係者間の調整も楽ですし、それと比べると費用も安く済みますからね。
ただし、社内のエンジニアに任せる事になるため、片手間になってしまう可能性があります。
また、ツールの使用方法についてのノウハウは溜まるかもしれませんが、それとセキュリティの知見が溜まるかどうかは別の問題としてあると思います。
・・・とは言ってもセブンにはCSIRT部隊がちゃんとあるんですよね。
https://www.nca.gr.jp/member/7icsirt.html
『7&i CSIRT は、7&i グループの CSIRT として設置され、グループ企業に対してサービスを提供しています。』と記載があります。
また、『7&i CSIRT は、7&i HLDGS. の組織内に専任要員を以て設置され、インシデント発生時の対応だけでなく、インシデント発生の未然防止にも注力しています。
グループ企業の情報システム部門と連携し、7&i グループ内で発生するインシデントに対する未然防止のための調査・分析とリスク情報の共有、ならびにインシデント対応活動を行なっています。』
という記載もあるため、今回の7payも、7&i CSIRTが動いてセキュリティ関連のチェックをしていたのではないかと思います。「情報システム部門」とはありますが。
組織図上にはありませんが、デジタル推進戦略本部の下か、リスクマネジメント委員会、情報管理委員会のどこかに所属しているんじゃないかと思われます。
日本CSIRT協議会にも名を連ねているわけですし、CSIRTメンバーは専任要因ともありますし、セキュリティ関連の技術知識は十二分にあると思うんですよね。
なので、内部でツールを使って実施していたからといって、こんな重大な不備を見逃すというのはちょっと考え辛いなあ・・・と思います。
会見内で言われた二段階認証も検討事項に上がらなかったのかなあ・・・と。
で、これを書いている最中に気付いたのですが以下のようなリリースが出ていたんですね。
https://www.7pay.co.jp/news/news_20190705_01.pdf
これを見ると内部のCSIRTが機能していなかったか、力不足と判断されたかどちらかになるのかな・・・と。
実際はどうだかわかりませんけど・・・。
これも有り得る話かなあ・・・と。
開発やベンダやCSIRT部隊が情報共有したとしても、POが忘れていたとか、伝えたつもりが曖昧な表現で伝わっていなかったとか・・・。
ベンダが実施して指摘事項として伝えていたけど、いつの間にやら抜け落ちていてそのままサービスイン・・・というのもシナリオとしては考えられますね。
7payは社内的にも一大プロジェクトだったはずで、スケジュールも決まっている場合、余計なことを物申すと手戻りや対応に時間を取られることになります。
そういった事を許さない空気が出来上がっていると、まあ中々上には上がってきづらいです。
これも十分にありえる話ですかね。ないといいんですけど。
どうしても『審査』という言葉に引っかかっています。『検査』ならまだわかるんですが。
そこで思ったのですが、情報セキュリティ基本方針と個人情報保護方針を元にしたチェックリストのようなものがセブン内にあって、それを埋めた・・・みたいなことを「セキュリティー審査」と言っていたりするのかなと思ってしまったんですね。
でもこれはセブンペイの社長が個人情報保護管理責任者ということで、ISMSやPMS等で慣れ親しんだ単語である『審査』を使っただけかもしれません。
そもそもそれで終わらせるなんて事ないでしょう。セブン程の企業が・・・。
大穴ですね。いやこれはないと思いますよ。あったら大問題じゃないですか・・・。
というわけで、なんとなく「こうだったりして・・・」みたいな事をつらつら書いてみました。
そういえばomni7で以下のお知らせが上がっていましたね。
https://www.omni7.jp/general/static/info190705
『定期的にパスワードを変更いただきますようお願い申し上げます。』とのことです。CSIRTはもしかしたらもう機能していないのかもしれないですね。
もしくはわかりやすい対策を提示しろと言われたのかもしれません。それなら仕方ないんですけど。
以上。
一部typoとか指摘事項を修正しました(役不足→力不足 etc)。
ついでに時間経ってるけど追記します。もう誰も見ないでしょうけど。
ちゃんと読んでいただけましたか？全文通して私の主張が「監査をしっかりやれば防げた」という意味と捉えられているのでしょうか。そんなに分かりづらい文章を書いた覚えもないのですが・・・。
一番上でも記載していますが、私は今回の7payの「セキュリティ審査」は、「脆弱性や問題がないかの審査の事」、つまり「脆弱性診断」を指していると仮定して本エントリを書いています。
そういう意味で、ここで私が指している「審査」と貴方が指している「監査」は似て非なるものです。字面は少し似ていますがね。
監査は貴方の記載する通り「ある事象・対象に関し、遵守すべき法令や社内規程などの規準に照らして、業務や成果物がそれらに則っているかどうかの証拠を収集し、その証拠に基づいて、監査対象の有効性を利害関係者に合理的に保証すること」です。
貴方の言う「監査」に近いことは「セキュリティー審査自体が、情報セキュリティ基本方針と個人情報保護方針に沿った内容かどうかを確かめただけだった」の見出し部分で触れていますが、それで終わらせているわ Permalink | 記事への反応(2) | 05:48
昔、横溝正史が原作の映画やドラマがよくやっていたので、自分も見ていた。
そこで描かれるのは陰湿な田舎社会で、かつてはこんな恐ろしい世界があったんだなぁと思っていた。
わたしは都会出身だったので、自分の周りと比較して、古臭い因習の世界はもうなくなったと思っていた。横溝正史の作品自体、そういう因習を乗り越える作りになっていたと思う。
しかし、インターネットによって可視化された「普通の人」の社会は、横溝正史が描いていた世界とさほど変わらない不寛容が渦巻いているのではないか。
あのとき素朴に信じられた「このような世界を私たちは乗り越えたのだ」という実感は、願望に近いフィクションだったのだと、今なら思ってしまう。
ここに書く話は私の今の考えの殴り書きだ。
読み難いと思うが、一個人の暇潰しに付き合っていただけたら幸いです。
今の政治に期待しちゃいけない、ってのはみんな感じている事だと思う。
誰が悪い、こんな事したから悪いという議論はいつだってバラエティやらニュースやらで取り上げられているけど、そもそも「政治家」になる方法からしておかしいと感じるのは私だけだろうか？
政治家になる為には一回の出馬で約1000万円の資金が必要だそうだ。
この大金をたった一回の出馬に注ぎ込むには相当な覚悟と志が必要だろう。
しかし、お金を用意出来ても今度は投票して貰えるだけの人脈がないと当選は出来ない。
その間行われた選挙の度に様々な地域にいる友人に「選挙に行った？」と世間話程度に聞いてみた。
すると、選挙に行った子から「行ったけど親の言う通りの人に入れた」と言う話を聞き驚いた。
詳しく聞いてみると、その子の家では祖父母が応援している党の立候補者以外に票を入れてはならないという。
「そんな事はおかしい。あなたの票をあなた以外が好きにしていい訳ない」
そう言ったが、その子は「バレたら何をされるか分からないから」とそれきり口を閉ざしてしまった。
平成の世でも「古い因習」で他者から票を入れることを強制されていたのだ。
世の中には本当は他の人に入れたいのに、地域で迫害されるかもしれないから……と望まない票を入れることを迫られている人も居るのだと初めて知った。
話を戻すが、こういった古い因習が残っている日本で1000万円も掛けて庶民が立候補出来るだろうか？
どれだけ高い志があっても、お金があっても、票が入らなければ当選は出来ない。
一念発起して、大金をはたいて無所属で立候補してもほぼ確実に落選するのが日本だと思う。
企業と繋がりが深い人、お金持ちの人、党に所属する人、テレビやスポーツなどの有名人だと思う。
これらの人は裕福な人だろう。幼い頃から貧乏を知らず裕福な人もいるだろう。
数年前、とある出馬者がツイッターで炎上していた。内容は給付型奨学金について。
詳細は検索すれば出てくるので割愛するが、その発言を見る限り「裕福な人には貧乏な人の状況が分からない」と取れる。
そんな発言をする人ですら、お金と人脈があるから当選した議員になることが出来た。
全ての議員を調べたわけではないので憶測だが、今の日本の議員は殆どが裕福な人なのではないだろうか？
だから貧乏な人が求めている事の斜め上を行く施策を行うのだろう。
現在の溜めた負債を更に未来へと負担させて、その後のことは知りませんなんて政治を続けてばかりだ。
違う。
高齢サービスの充実と言う甘い汁を与える事で、高齢者が自らの子孫の票を集めてくるのだ。
それを利用しない手はないだろう。
この因習を断ち切る術を私は持たない。
もし、これを読んでくれた方の中で周りの言うままに票を入れている人が居たのならば、どうかあなたの票はあなたの思う人へと投じて欲しい。
しかし、こんな政治では日本は政治家の死と共に倒れてしまうだろう。
