セキュリティ・キャンプミニとは
上位存在であるセキュリティキャンプ全国大会により多くの学生にチャレンジしてもらえるように、2日間で比較的易しい？内容の情報セキュリティの実習を体験する取り組み。
主催はIPAです。
追記；後から知りましたが、テーマは全国大会相当のものを選んで行っているようです。
自分は25年度の広島回に参加しました。
参加後の報告もこちらで見ることができます。
（専門講座の ２日目 のみ）
一日目(公開講座)
25年 10月24日(金)
この日は公開講座と呼ばれる類のもので、現地参加50名、オンライン参加200名のハイブリッド形式での開催でした。
私は次の日の専門講座も受ける予定だったので、東京駅構内のカフェで視聴をしました。
Wifiが届き、コンセントも使えるカフェが駅内に一つだけ存在するのでそこまで行って受けました。
13:00開始ということ、12時40分ごろに着き、準備をしました。
講義のテーマは
・サイバー犯罪とその現実的な防御策
・生成AIとセキュリティ業務の自動化
・証券口座乗っ取りの事例の紹介。
の三部構成。
どれも 便利になった社会は、そのまま新しい攻撃面も増やしている ということを伝えていました。
学び
・ サイバー攻撃は、もう大企業だけの災害ではない
当たり前のことではありますが、セキュリティ対策が手薄になり易い中小企業が狙われがちという傾向が続いているようです。
その中でも、サプライチェーン攻撃の増加が目立っているとの話がありました。
そして、侵入経路としてテレワーク対応で導入されたVPN機器やルーターの脆弱性がつかれているということも講義で知りました。
・「守り切る」より、「突破されても崩れない」が重要
講義では、VPNやRDPはあくまで入口の門番でしかない、という点が強く紹介されていました。
・ネットワークを切り分ける
・アクセス権を絞る
などして、重要な情報に簡単に届かせない工夫が有効であるということが強調されていました。
そのためには、内部設計にも防御を織り込むという発想が必要になります。
これは「セキュリティ・バイ・デザイン」にもつながる話なので、実際、BCPだけでなくERPのような基幹システムにも、最初からセキュリティを組み込み、設計を行っていることもあるようです。
・ログがないことは、無事だった証拠にはならない
要は後から 追える 状態にしておく”ことが重要という話です。
セキュリティの視点ではこのような対策も有効であることを学ぶことができました。
・ 生成AIはセキュリティ業務を変える。
生成AIとAIエージェントによるセキュリティ業務自動化の講義も興味深かったです。
AIエージェントにより 自律化 がされた開発ができつつある現代において、AIの限界を知れたのは非常に興味深かった。
ハルシネーションを完全になくすのは難しいため、フォレンジックのように正確さが求められる場面で運用するにはまだ問題が残っているとのことです。
だからこそ、RAGのように正しい資料やデータを参照させながら回答させる仕組みが作られているというわけですね。
AIはイメージもできるみたいです
・ 開発の現場も、AIに実装させる前提に近づいている
Vibe Coding、Claude Code、Codex などの仕様駆動開発について、
このあたりの話を聞くこともできました。
開発の現場そのものも少しずつ変わってきているのがよく分かりました。
具体的には、人間が自然言語で指示し、AIがコードを書く。
あるいは、人間は仕様書を整え、実装はAIに寄せていく。
これまで、人がしていた「書く」仕事の一部がＡＩに移り、人は設計するという役割に移っているという感じになっていると感じました。
講義終了後、
$すぐに新幹線に乗って広島を目指しました。$
21時ごろについて、そのままホテルで休みました。
二日目
8:40 受付開始なのですが、
ここで会場を広島市立大学の本キャンパスと勘違いするという痛恨のミスを犯し、30分ほど遅刻してしまった。
事前の宣誓書には「最初に行われる倫理講座に出席しないと受講を認めない」と明記されていたため、すぐに本部に連絡しました。
運営の方々の粋な計らいにより、なんとか参加できることに。
この時の温かい対応には、深く感謝しております。
サイバーセキュリティと職業倫理
1日目に引き続き、倫理に関する講義を受けました。
特に印象的だったのは「カップルのSNSを勝手に覗く行為はプライバシー侵害になりそうで、実際にはならない」ということ。法律と感覚のズレを実感しました。
あと、「この講座で得た知識は悪用すれば犯罪になる」という言葉を聞いて、改めて気が引き締まりました。
TLSプロトコルの仕組みを学ぼう
TLS （Transport Layer Security） とは、インターネット通信を安全に保つための仕組みです。
WebサイトのHTTPS通信やLINE・Discord・Zoomなど、私たちが日常的に使うサービスのほぼすべてで使われています。
TLS通信は、次の 3つの安全性 を保証しています。
| 要素 | 意味 |
|---|---|
| 秘密性 | 第三者に通信内容を盗聴されない |
| 完全性 | 通信内容が改ざんされていない |
| 認証 | 通信相手が本物であることの確認 |
これらが欠けると、盗聴・改ざん・なりすましのリスクが一気に高まります。
暗号の種類と役割
TLSでは目的に応じて複数の暗号技術を組み合わせています。
- 共通鍵暗号（AES-GCM など） ― データの暗号化と改ざん防止
- 公開鍵暗号（ECDHE など） ― 共通鍵を安全にやり取りするための鍵交換
- デジタル署名（RSA-PSS など） ― 相手の本人確認と完全性の保証
暗号化方式には大きく2種類あります。
-
ブロック暗号
データを固定サイズのブロックに分けて暗号化。
一部が漏れても他のデータは守られます（前方・後方秘匿性）。
かつて使われていたCBCモードは脆弱性が見つかり、TLS 1.3では廃止されています。 -
ストリーム暗号
データの長さに合わせて鍵を生成して暗号化。
軽量で鍵の使い回しが発生しないため安全です。
TLS 1.3では、「暗号化」と「改ざん検知」を同時に行う AEAD（認証付き暗号） が必須となり、AES-GCMやChaCha20-Poly1305が採用されています。
実習(ハンズオン)では2人組で暗号の復号に取り組みました。
大学の講義でやった内容だったのでちょうど良い復習になりました。
余談ですが、会場内のWi-Fiに繋がらなくてチューターに助けを求めたところ、自分の使っているMacがUK配列キーボードだったせいで面倒なことに……
講義の最後には、関連書籍やネットワーク系の勉強会 JANOG の紹介もありました。
JANOGは気になるので調べてみようと思います。
設計・開発・テストにおけるセキュリティの実践
開発スタイルの変化
| 時代 | スタイル | 特徴 |
|---|---|---|
| 2000年代 | ウォーターフォール型 | 計画通りに順番に開発。変更が難しい |
| 2020年代 | アジャイル型 | 小さく素早くリリース。柔軟に変更できる |
| 近未来 | AI自動生成 | 便利な反面、AIが脆弱なコードを生成するリスクも |
AIがコードを書く時代になっても、セキュリティの最終確認は人間が責任を持つ必要があるとの教えを受けました。
キーワード
-
Shift-Left（シフトレフト）
開発の終盤に欠陥が見つかると修正コストが跳ね上がります。
そのため、設計・実装の早い段階からセキュリティを意識させることで、コストとリリース時間を大幅に削減できるようにする取り組みがなされています。 -
DevSecOps
開発（Dev）・セキュリティ（Sec）・運用（Ops）が協力し合いながら、テストを自動化しつつ安全なシステムを素早く作る取り組み。
ツールを導入するだけでなく、チーム全体の文化と考え方を変えることが重要になっています。 -
リスクベースアプローチ
「自社で最も守るべき情報は何か」を見極め、優先順位をつけて継続的に改善していく姿勢が最後は大切だということです。
テストの基本ルール
情報漏洩を防ぐため、テストに 本物の顧客データを使うのは厳禁 です。
データのマスキングや合成データの生成ツールを活用して、適切なテストデータを準備します。
また、エラーハンドリングのテストは手動と自動ツール（OWASP ZAP など）を組み合わせて行います。
ハンズオンでは、AIの力も借りてコードの脆弱性を調査しました。
時間が足りず原因の特定まではできませんでしたが、ログの分析方法や狙われやすい脆弱性の箇所の特徴を実際に見られたのが面白かったです。
感想
唯一の首都圏からの参戦ということで、普段は関わることが少ない広島の学生の方々とお話をすることができ、とても刺激を受けました。
課外活動などで開発経験のある方が多く、自分がこれからどんなことを学べば、開発に応用が利くのかについて少し見えた（ような気がした）のがよい収穫でした。
二日間ありがとうございました！