背景
Udemyなどでマイクロサービスの学習などをしているうちに、
たまたま同じ講師の方がゼロトラストの講座をしていたので、何となく気になってポチってみたところ、自分の案件で必ず必須になってくる設計思想だと感じたというのが始まりだ。
元々はわたしはセキュリティに関して、全く関心がなかったし、
なんならあまり認知ができていなかった
今まで単体で機能していた独立し合っていたシステム同士が、これからは容易に繋がっていくことになる。
その際に今までになかったセキュリティ上の問題が必ず出てくる。
今までのセキュリティ対策の設計思想だけでは守れなくなってきている。
しかしDDDなどを学習してきた方々には、一部流用できるような思想があるように感じた。
断り
最初に断りを入れておくと、今回はゼロトラストの説明には触れない。
以下のゼロトラストイベントに参加してきて得た、大事な思想にのみフォーカスを当てる。
生存者バイアスとラテラル思考
まずはイベントの中で出てきた意外な事例。
皆さんは以下の図を見たことがあるだろうか？多分一度は見たことある人が割といるかと思います。
この図の戦闘機は、第二次世界大戦時で活躍した戦闘機・軍用飛行機ですが、
帰還した戦闘機の損傷部分の傾向を分析した結果として、赤い部分は特に損傷が激しかったようです。
軍は出来るだけ敵側の射撃によって撃ち落とされないようにするため、
帰還した航空機の装甲で損傷が激しい部位(図の赤い部分です)を補強しました。
そこを補強することにコストを費やしてしまったわけです。
しかしながら、これ戦術的発想に陥ってしまっています。
そこをそれ以上専門性を高めても費用対効果がないのです。
ちょっと前提を外して発想を変えてみてください。
目的は【出来るだけ敵側の射撃によって撃ち落とされないようにする】です。
上図の赤い部分を強化するという解になってしまった場合には、
無意識のうちに
【帰還した航空機の損傷部位だけ観察する】
という前提バイアスが働いてしまっています。
この前提バイアスを一度壊して、
帰還できていない戦闘機のどこに脆弱性があって帰還できなかったのか？
を考えなくてはいけません。
これは実はラテラルシンキングを使っています。
アジャイルプロセスで１回のイテレーションが回し終わったら、前提スコープの再調整をするフェーズがあります。
できるスクラムマスターは、この時に実は皆さんラテラルシンキングを使っています。
こうして出てきた別の解として、
無事に帰還できた戦闘機の損傷が激しかった部分よりも、
帰還した飛行機の損傷が少ない部位＝当たったら墜落の危険がある箇所
ではなかろうか？
なぜなら帰還した戦闘機は赤い部分が損傷しても無事に帰還できているからだ。
と仮説を立てられるので、
帰還した飛行機の被弾していない部位を強化する
という別の解を戦術として選ぶわけです。
一度前提のバイアスのスコープを外すことで、意図的に戦略の視座を手に入れています。
その上で、
・より目的を低コストで実現でき、かつ
・アウトカムのデカい戦術はどれか？
を考えるわけです。
だから、帰還できた戦闘機の損傷の激しい部分の装甲を強くしても、
全く品質改善、脆弱性対策にはつながっていないわけです。
これがイベントでも解説されていました。
自分なりの仮説
恐らくですが、優秀なハッカーとかはもう無意識のレベルで、
この水平思考を使いこなし、
「こんな強むがこのシステムの売りであるなら、その裏側にこんな脆弱性があるはずだ」
という仮説思考とセットで様々な攻撃を繰り返しながら、
どんどんその仮説の精度を上げて、攻撃の質を向上させていると思われます。
ゼロトラストの適用領域
ゼロトラストだって銀の弾丸ではないです。コスト上の問題だってあります。
システム化対象スコープのすべての範囲をゼロトラストにするなんていうのは、
上記の戦闘機の例でいうと、戦闘機のすべての範囲の装甲を高めているようなもので、
あまりにもコストがかかってしまう。
上記の戦闘機の例のように、ゼロトラストを行うにあたっても
戦略的視座をもってして
【選択と集中】 を意識しなくてはいけない。
そのためにも脅威モデリングを通してのセキュリティ観点のコンテキストマップを作成、
および継続的に更新しつづけるDDDとまるで同じような活動をすることで、
「どこが最も脆弱性対策しないといけない領域かな？」と考える。
その領域の中で特に重要なコアな領域＝ゼロトラストを適用すべき範囲
を継続的に炙りだしていくことになる。
戦略的DDDと一緒で、
コアドメインに値するゼロトラスト領域部分と そうではない領域との間には、
必ず信頼境界が貼られて差別化がされていないといけない。
補足事項
この時に使っている思考やスキルセットは以下のとおりである。
戦略的DDDのような信頼コンテキストマップ作成
これは継続的脅威モデリングとのセットである。
ラテラルシンキング
どこにゼロトラストを用いると目的を費用対効果高く達成できるのか？
を仮説思考と組み合わせて考える。