TA

BL

EO

FCO

N

T

E

N

T

S

エンジニアとマネージャーの 2 つの視点を持つプロフェッショナルがセキュリティ人材育成や多様性について語る

エミリー・コーラン インタビュー… ………………………………………………………… 3
社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 5 月号…………………………………… 8●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. https://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2023. All rights reserved.

2

エンジニアとマネージャーの 2 つの視点を持つプロフェッショナルがセキュリティ人材育成や多様性について語る

エミリー・コーラン インタビュー
Amélie E. Koran

インタビュー・サポート + 通訳＝エル・ケンタロウ
取材 + 文＝谷崎朋子
編集 = 斉藤健一

DEFCON の Goon としてセキュリティコミュニティを支え、webjedi（ウェブジェダイ）の通称で多くの人に尊敬、親しまれるエミリー・コーラン（Amélie E. Koran）氏。民間企業から政府機関まで幅広いキャリアを持つ同氏は、ゴリゴリのエンジニアという一面と、IT 政策立案や人材育成・採用などを手がけるマネジメントの一面を併せ持つ人物で、多様性の促進にも積極的に取り組んでいる。現在は Electronic Artsの外部テクノロジーリレーションズや大西洋評議会の非常勤シニアフェローなどを務める同氏に、変わりゆくセキュリティ業界の採用事情や今求められる資質、多様性の現状などについて伺った。
た後、セキュリティ方面に進み、その後は公共サー
独学と現場での経験を力に道を切り開く

ビスやホワイトハウスなど政府機関で IT およびセキュリティ施策立案やガバナンス構築、人材育成

谷崎（以下などに携わるなど、多方面で活躍されています。

）：webjedi、素敵な通称ですね。

エミリー・コーラン（以下経緯を教えてください。

）：スター・ウォーズのファンなので（笑）。学生の頃に Web サイ

高校生だった 80 年代は、電子掲示板に入り浸トを立ち上げるとき、運営者が自分たちのことをり、ハッキングされたゲームで遊んでいて、コンWeb マスターと呼称しているのを知って、それピューターに興味があったことから、カーネギー

なら Web ジェダイの方がかっこいいなと思って。

メロン大学に入学してコンピューター・エンジ気付けば 30 年近く使い続けています。

ニアリングを専攻しました。ですから、将来はそんな長いキャリアを持つエミリーさんです

コンピューター開発などゴリゴリの技術系の職にが、IT エンジニアとしてキャリアをスタートさせ就くと漠然と想像していました。しかし、コン

エミリー・コーラン（Amélie E. Koran）
インシデントレスポンスやデジタルフォレンジックなどの技術分野から、情報システムのアーキテクチャ構築・ポリシー策定、さらにはビジネスプロセスやリーダーシップの改善など、幅広い分野のスキルを有し、そのキャリアは 20 年以上にわたる。官民を問わず、さまざまな組織においてDevSecOps 環境を推進してきた。
米国内務省 チーフ・エンタープライズ・セキュリティ・アーキテクト、
米国財務省 マネージャー（セキュリティ・アーキテクチャー & サービス）、米国保健福祉省（HHS）監察総監室 副 CIO 兼 CTO、Splunk 社 シニア・テクノロジー・アドボケイトなどを歴任。現在は、大西洋評議会（シンクタンク）フェロー、Electronic Arts 社（ビデオゲームメーカー）外部技術パー
トナーシップ担当ディレクターを務める。
セキュリティ・カンファレンスなどでの講演なども多く、氏の個人サイトである webjedi.net には講演動画のリンクなどが多数掲載されている。
3

ピューターやネットワークの仕組みを学び、学費いつ頃からですか。

を稼ぐためにアルバイトをしていた Information2010 年 に 内 務 省 の セ キ ュ リ テ ィ・ ア ー キ テ

Network Institute ※ 1 でセキュリティ分野に触れクトに着任してからは、各所の IT 政策やセキュるうちに、セキュリティや HCI（ヒューマン・コリティ体制の構築などに関わるようになりましンピューター・インタラクション） ※ 2 といったた。行政管理予算局では IT 政策のアナリストとし応用分野に興味を持つようになりました。ですが、て、e 政府政策の分析、法制の立案を務め、それ当時はそうした応用分野を教える学部がなく、そがきっかけで 2014 年にホワイトハウスの IT 政策れであればと専攻を社会科学に切り替えて、IT やのアナリストとして採用されました。2014 年はセキュリティは独学するという形で異なる分野のHeartbleed や ShellShock の脆弱性が問題となっ習得に努めました。卒業後は IT 系の会社に就職し、た年ですが、本来の業務ではないにもかかわらず、システムエンジニアやシステムアドミニストレーインシデント対応チームの支援に駆り出されたのターとしてしばらく働いていました。

を覚えています。

90 年代だと、セキュリティ専門の職種を設けセキュリティ分野のどのようなところに魅力をている企業は存在しないか、あっても少なかった感じますか。

記憶があります。

常に変化があるところです。アメリカではよく、2000 年代前半くらいまでは、明確に定義・分

IT 業務は給与が良く、現状維持していればいいか類されていませんでした。ですから、2003 年にメら楽な仕事と思われています。実際がどうかはとリーランド州の電力会社にセキュリティアナリスもかく、日々変化のない業務では現状に満足してトとして就職できたことは大きな一歩となりまし

しまい、それ以上の努力をしなくなりがちです。

た。実は以前からサイドビジネスでサウンドトラッですが、セキュリティは違います。攻撃される可

ク専門サイトを運用していたのですが、そのとき能性のある欠陥はないか、常に目を光らせて対策にスパム検知や IDS/IPS、マルウェア対策についてを考える。何かに挑戦し続けるところに魅力があ勉強しており、知識を実践で役立てることができ、るように思います。

とてもうれしく思いました。しかも、入社後すぐ給与が良いという意味では、セキュリティ関係に大西洋ハリケーン・イザベルに加えて、米国北の職種はとても高給取りのイメージがあります。

東部から中西部にかけた大停電が発生。人の生死スキルセットとして希少価値が高かった頃はそが関わる状況下で、大学で学んだ災害復旧や事業うだったかもしれません。ですが、今はセキュリ復旧計画、脅威モデリングなどの知識を総動員しティを授業で教える大学が増え、認定試験の数もながら奔走したのは、大きな経験値となりました。

増えました。そうした背景もあり、給与は一般的な IT 職と変わらないというのが実態です。

Mandiant では IT マネージャーを務められましたね。

いま組織が求めるセキュリティ人材像とMandiant では、フォレンジックやインシデン組織のこれからト対応などで数多くの経験を積むことができました。退職後は世界銀行に情報セキュリティ・エンジニアとして採用されたのですが、2008 年夏に最近はそうした一般的なセキュリティ職に就く大規模なサイバー攻撃を受けて、インシデント人材が求められているのでしょうか。

対応の現場に行ったところ Mandiant のチームとそう感じています。いまの企業は技術やスキルばったり出会いました（笑）。

に秀でた人よりも、職業としてセキュリティ業務をこなせる人材を多く欲しいと考えています。そ政府機関での仕事に携わるようになったのは、※ 1 Information Network Institute：セキュリティ分野の修士号をとれる米国初の教育機関として、カーネギーメロン大学が 1989 年に設立。
※ 2 HCI：コンピュータと人間の関わり方やインターフェイスについての学問領域。計算機科学や行動科学、認知科学、インダストリアルデザインなど複数の研究分野にまたがる応用学問。

4

米国東部のメリーランド州フレデリックに暮らすエミリー・コーラン氏。インタビューはオンラインで行われた

うしたこともあり、いまのセキュリティ業界は、はマーケティングです。こんな凄いスキルを持っ履歴書の資格欄がやたら華やかな人たちと、時代た人がわが社にいるんだと宣伝したいのです。そ的に認定資格も何もないながら現場でスキルを磨れに対して現場では、広く浅く知識やスキルをいてきたハッカーが混在している状況です。

持った、何でもこなしてくれるジェネラリストを求めています。実際、緊急時のインシデント対応

最近の DEFCON も、そうした傾向が見られる

では、臨機応変に動いて何でもそつなく対応できようになりましたね。
そうですよね。ShmooCon ※ 3 も、本質は変わっるのは、ジェネラリストの方です。
政府機関などの人事採用にも関わることがあるていませんが、参加者の雰囲気は確実に変わった立場としては、どんな人材が欲しいですか。

と思います。

やはり自ら成長できる人が好ましいです。私のそうした新しい流れは喜ばしいことでしょう

場合、持っているスキルセットがこちらの条件にか。それとも少し残念に感じますか。
より多様なバックグラウンドの人がセキュリ

対して 7 割や 8 割くらいであったとしても、学習ティ分野に関心を寄せることは良いことです。た

意欲が高いと面接時に感じた人は積極的に採用しだ気になるのは、参加者の目的が一昔前と比べてています。学びに対して貪欲な人は、未経験で把純粋ではないと感じることでしょうか。別にハッ握しきれないタスクであっても一生懸命調べて対カーがピュアというわけではありませんが（笑）、応しようと努力します。いずれはロックスターの技術が好きで新しいことを学びたいと思ってやっような尖った人材に成長する可能性だってありまてくる人よりも、金稼ぎの手段として参加する人す。給料が入ればいいと思っている人や、経歴やが増えているのは少し残念です。

知識で嘘をつく人は、確実に見抜きます。インシデント発生時に何もできないだろう存在は、組織今の組織では、尖ったスキルを持ったトップガを脆弱な状態に陥れるだけなので。

ンやロックスターのような人材は求められていな教育やトレーニングはどうしているのでしょうか。

いのでしょうか。
数年前の ShmooCon でも、その題材で講演を今は Hack in the Box のようなセキュリティ関しました。米国では実のところ、トップガンを雇連のトレーニングサービスが多く提供されているいたい組織は多いのです。ただし、その主な理由ので、スキルアップの方法はいくらでも見つかり※ 3 ShmooCon：2005 年からワシントン DC で開催されている、Shmoo グループ主催のハッカーカンファレンス。

5

ます。問題は、日々アップデートされるセキュリ生の頃は、1 学年に女性が 3 人いただけでもすごティの最新事情に学習教材が追いつかないことでいことでした。ですが今は、テクノロジーやセす。特にインシデントの現場では、わからないこキュリティのカンファレンスに行くと、ここ 5 年とであっても状況を判断して柔軟に対応し、問題だけでも女性は確実に増えています。DEFCON や解決へと導く力が求められます。その人の潜在能

ShmooCon、BSides Las Vegas は男女比率がほぼ力や資質にも寄るところがありますが、いずれに1:1 になってきました。人種や文化的マイノリティ

せよ誰かに教わったからできるようになるというについても、米国では Blacks In Cybersecurity とものではありません。

いったコミュニティが立ち上がっており、非常に喜ばしいことです。

人材教育を外部サービスに頼り切ることができないのは、セキュリティならではなのかもしれま

少し反論になってしまいますが、米国でネッせん。組織としてはどうでしょうか。たとえば最トワーク機器の開発企業が主催するイベントに参近、新しい取り組みとして DevSecOps を採用す

加したときには、アフリカ系の参加者がとても多る組織が増えています。とはいえ、うまくいかなかったことを記憶しています。一方、セキュリティいケースも多いそうです。系のカンファレンスでは、そこまでの多様性は見

DevSecOps の良いところは、現状を見直してられず、その要因は何だろうと疑問に感じたこと改善するフェーズがあることです。日々の運用にもあります。今よりもセキュリティ業界で多様性忙殺される中で、いったん立ち止まって振り返り、を広げるためには、何ができると思いますか。

プロセスを見直すという作業は大切です。ただ、とても難しい質問です。1 つ言えるのは、多様これができていない組織は多いと思います。うま性を向上させるのは経営層の判断と世代の価値観く回すには、組織文化の変革も必要でしょう。新ということです。先のネットワーク機器の開発企しいアプローチの重要性を組織側がきちんと意識業では、上層部の人間が多様性を意識してイベンしなければ、サイクルを回すことはできません。トに招集した可能性も考えられます。また、組織特に大きな組織だと、新しいアプローチを取り内の若い世代に新たな価値観が浸透しているとも入れたはずが、気付けば古いルールと不完全に悪推測できます。一昔前と違い、若い世代は多様性融合してしまい、ローカルルールが誕生。統制がに触れる機会が多く、偏見や抵抗感もあまりあり効かなくなってしまうとか。

ません。マイノリティの人たちも、インターネッ

既存のルールやベストプラクティス、業界標トを通じて仲間を見つけやすくなっており、小さ準を頑なに守ろうとする人がいますよね。特にセい集落のようなコミュニティを作りながら声を上キュリティ業界に多い（笑）。新しいルールへ移げ始めています。そんな彼らが企業に就職するこ行する過程で古いルールと融合することはあるととで、組織内で理解が深まり、多様性のある組織思います。ポイントは、それを必ずしも悪と決め文化が育まれていきます。

つけるのではなく、なぜ融合することになったのそうした取り組みを阻むいちばんの課題は何でか、その経緯を理解することです。何も理解しなしょうか。

いままに新しいものを取り入れ続けてしまうと、いちばん大きいのは、個人による偏見です。こプロセスの負荷が上がって組織の運用負債になっれは政府機関など旧体制の組織では特に顕著でてしまいます。

す。これまで接したことがない若い世代や、自分たちと似たような家族構成ではない人たち、育った環境や文化が異なる人たちに対して偏見が強多様性を育むにはく、組織の人間としてふさわしくないと拒否してしまいます。これは旧体制の人たちに限ったこと

セキュリティ業界における多様性について、米ではなく、ニューロダイバーシティ ※ 4 を推進す

国ではどれくらい進んでいるのでしょうか。
IT やテクノロジー関連の職種において、男性るような人たちにも存在する偏見です。セキュリ優位であることは変わりがありません。私が学部

ティのコミュニティには、非常に優秀だけど嗜好
6

品としてマリファナを嗜む人もいて、それだけで的に相手を責めず、何か施策やルールを考えると不採用になることもあります。

きは自分たちと違う人たちの存在も忘れないでね、米国では現在、18 州＋特別区で大麻の使用がとソフトに伝えることです。伝えたいことは、い合法化されています。まさにお国柄を表していまたって普通のことです。ですが、そんな “ 普通 ”

すね。

が偏見を払拭するのに役立つと私は信じています。

セキュリティコミュニティの素晴らしいところ声を上げることの大切さを実感します。多様は、それなりの役職に就いている人たちが弾かれ性に関するカンファレンスで、エミリーさんが、た人たちの身元保証人として名乗り出てくれるこSelf-advocacy（自分自身の権利を弁護）についてとです。もちろん、誰でも保証するわけではあり講演されている動画 ※ 5 を拝見し、いろいろと考ません。優秀な人材に正しくチャンスが巡ってくえさせられました。

るよう手を差し伸べて、偏見や思い込みを取り除

1 人で声を上げるのが不安であれば、自分と同くために尽力してくれる人たちがたくさんいます。

じような考えや関心を持った人を 1 人でもいいの中には、声を上げたことによって悪い意味で注目で見つけるところから始めてみてください。仲間が集まることに不安を覚える人もいると思います。

を見つけたら、話をしましょう。そんな会話を聞例えば何かのカンファレンスでふと周りを見回いて参加したいとやってくる人もいるでしょう。

したとき、私のような人が誰もいなかったとしまもしかして他の仲間を紹介してくれるかもしれます。そのとき私であれば、声なき人たちの代表とせん。こうやって仲間の輪をゆっくり広げていっして声を上げます。というのも、ここで私が何もてください。焦らなくても大丈夫です。ハッカー

言わなければ、その会場にいる人たちはマイノリのように、周りをじっくり観察しながら、目標にティの声を聞く最初で最後のチャンスを逃すことたどり着く方法を練ればいいと思います。

になるかもしれないからです。重要なのは、攻撃貴重なお話をありがとうございました。

※ 4 ニューロダイバーシティ：ADHD や ADS などはヒトゲノムの差異であって、ジェンダーや人種、性的指向と同様に社会的カテゴリや個性の 1 つとして捉えるべきという考え方。
※ 5 Are we there yet? Getting There Is Only Half the Trip
https://www.youtube.com/watch?v=dlqxqZExupM

7

社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 5 月号
文＝ SHIELD Security Research Centerして考えられ、ChatGPT に対して肯定的な日本とChatGPT の利用拡大に伴うの連携を強化することで規制派の国に対して牽制課題と対策についてする意味合いがあるとみられている。同氏は、自民党のデジタル社会推進本部の会合にも出席し、【概要】

日本関連データの優先度引き上げや機微データのOpenAI 社が開発した ChatGPT の利用が国内で国内保全のための仕組み検討などを提案したほか、広まっている。同社の CEO は 4 月に AI の活用や日本に事業拠点を設ける意向を明らかにした。

課題の克服について意見交換するため来日し、日日本では、以前より AI を活用した働き方改革が本に関連する仕組みの拡充や事業拠点の設立につ求められていた背景もあり、会合をきっかけに各いて政府と会談を行った。国内の状況とは対照的省庁での ChatGPT 活用検討が加速している。中央に、欧州では個人データ収集への疑念を理由に規省庁で最も早く活用方針を明らかにした農林水産制の動きが強まっている。組織は、こうした新技省では、同省が運用する電子申請システムの利用術を利用するうえで注意すべき事項について検討

マニュアル改訂に活用する見込みであり、4 月中し、運用ポリシーや利用ガイドラインなどを定め、には導入を開始するという。

リスクを最小化する必要がある。

このように、おおむね肯定的な取り入れ方をしている日本とは対照的に、欧州では ChatGPT 規【内容】制の波紋が広がっており、イタリアのデータ保護OpenAI 社の開発した ChatGPT は、与えられた指当局は 3 月 31 日に同国での提供を制限するよう示に従って回答するよう訓練されている。人間に近OpenAI 社に命じた。近隣国の中でも、ドイツ、い自然な受け答えが可能であり、4 月の時点で 100フランス、アイルランドなどが利活用に懸念を示万人を超える国内の利用者がいるという。同社のしている。こうした規制の理由として、イタリア

CEO であるサム・アルトマン氏は AI の活用や課題ののデータ保護当局は利用者への年齢確認がなかっ克服について意見交換するため、4 月 10 日に来日し、たことや、学習のための個人データ収集・保存を岸田文雄首相と官邸で会談を行った。

正当化する法的根拠がないことを挙げている。

ChatGPT に関連する同氏の国外訪問としては本再委託に関する考え方などの Q&A やガイドライン件が初であり、日本の利用者が米国・インドに続も公開される予定であり、それらを確認しながらく 3 番目に多いとされていること、他国と比較し並行して体制を準備する必要があると考える。表に示すように、各国で ChatGPT を使用するうて早い段階で政府が導入を表明したことが要因と項番項目

表 ChatGPT を使用するうえで懸念されている事項
詳細1

年齢確認の欠如

子供の保護の観点から、利用者の年齢確認などが行われていないこと

2

不当な情報収集利用者に同意を得ずに情報が収集されてしまうおそれがあること

3

情報操作の可能性 提示される情報がサービス提供側によって操作されるおそれがあること

4

透明性の欠如

提示された情報の参照元やアルゴリズムが利用者に公開されていないこと
8

えでの懸念について議論が行われている。このうが、今後適用分野が広がるにつれて機微な情報がち項 1 については OpenAI 社が公式ブログで利用含まれるおそれもあるため、入力される情報の扱者の年齢制限について明記したほか、年齢確認のいについては注意する必要がある。次に、項 3、4仕組みを検討していることを明らかにした。項 2については、出力される情報が必ずしも正しいと～ 4 については ChatGPT の仕組みがブラックボッは限らないことを周知し、必要に応じてファクトクスである以上、外部の組織が安全性を検証するチェックを行う必要がある。
各省庁での利用、適用分野が広まるにつれて全ことは難しく、利用者側の留意が必要である。
日本政府が ChatGPT を取り入れるにあたって、体の統制が難しくなっていくため、あらかじめ組

このうち最も重要視されているのは、項 2 の不織全体としてアカウント運用ポリシーや利用ガイ当な情報収集である。現状ではマニュアル改訂業ドラインなどの整備を行い、必要に応じて適用分務などオープンな情報への適用が予定されている野を制限することが望ましい。

【情報源】
https://www3.nhk.or.jp/news/html/20230414/k10014039071000.html

9