公認情報セキュリティマネージャ（CISM)の認定証です。

勤務先に、Information System Audit and Control Association(ISACA) 認定のCertfied Information Security Manager（公認情報セキュリティマネージャ、CISM）の認定証が届きました。

CISMの認定を受けたのが、2003年12月、もう12年が経過しましたことになります。

認定を受けた当時は、外資系の記憶装置製造会社に勤務していました。その会社で、メインフレームの記憶装置を制御するソフトウェアとセキュリティの担当でした。

CISMの認定を得ている事が、その後の転職活動でも有効でありました。我々のように、複数の企業に就業経験のあるものは、何らかの資格か認定を得ていることが珍しくありません。

ISACAは、米国の獅篭(シカゴ）に本部が所在しています。日本国内では、東から順に東京、名古屋、大阪、福岡に支部が設置されています。

国内四支部は、それぞれ対等の立場でシカゴの国際本部に所属していますが、同時に「ISACA 日本支部協同推進機構」を組織、会員のために協同活動を行っています。

認定は、三年に一回更新され、新たに認定証が発行されます。写真は、その認定証です。

認定の更新にあたっては、能力維持にため、年最低20ポイント、3年間で120ポイントのCPE呼ばれる能力維持活動が義務付けられています。

国際本部は、無作為に監査対象を抽出、CPEの証明の提出を求めることがあります。筆者は、公認情報システム監査人（Certified Information Systems Auditor、CISA）の認定を得ていますが、それぞれの監査対象になるという光栄を有しています。

CISAとCISMの他に、公認ITガバナンス専門家（Certified in the Governance of Enterprise IT、CGEIT）の認定を受けていますが、監査対象になれば目出度く三冠達成ですが、御免被りたいです。

CISA、CISM、CGEITで、年間$330払い込む必要があります。幸い会社が負担してくれているので助かってますが、大学二年生高校三年生と二人の息子を抱えるので自腹だとすると、軽い負担でありません。

三年に一度送られてくる認定証。こうした認定者が社員にいることが、官庁の入札条件になっていることがあります。会社にとっても、自分にとても飯の種であることが間違いないので、こうした認定、認定証を大事にしています。

ISACA東京支部

ISACA

全国、全世界のシステム管理者諸君、総決起せよ！

諸君、本日7月25日は、システム管理者の日である。

ところで諸君、システム管理者とは、何ぞや。社内、組織内のシステムの管理を司り、運用を滞り無く遂行することが使命である。しかしならが、情報システムというものは、我儘極まりないこと際限なく、ユーザーも決して協力的と言えず、通常運用で当たり前、多少でも障害が発生すれば非難轟々、それでいて敬意を払われることもなく、評価も高いとは言えず、報われることもないのである。

休日、夜間の出勤当たり前、たまの休暇も貸与された携帯電話の音に怯え、急な呼び出しに備え晩酌もままならず、
その身の上、悲惨極まりないでは無いか。
その上、近年は重要情報の漏えいの責任まで負わされる、そんなシステム管理者諸君、決起せよ。

抑圧された耐え忍んできた、システム管理者諸君。現役、経験者、関係なくシステム管理で煮え湯を飲まされた我々は、今こそ結束し、総決起すべき時がきた。諸君、日頃の煮えたぎる怒りをもって総決起せよ。

システム管理者の日

システム管理者の日

今日は、「システム管理者の日」です。と言っても何のことなんだか、さっぱり分からんと言う方々ばかりでしょう。
そうなんですね。だからこそ、システム管理者なんですね。盆暮れ、正月、週末、夜中をひたすら業務に費やしても、報われるているのかも評価されているのかも良く分からず、しかしながら自らの技術力に関しては揺るぎない自身があるのが、システム管理者なんです。

システム管理者の日

System Administrator Appreciation Day

システム管理者の会

メインフレームとひたすら格闘しつつ、よる夜中の仕事に勤しんだ時代が思い出されます。


万国のシステム管理者よ団結せよ！

システム管理者の日

今日は、システム管理者の日なんですね。世間一般的には、全く知られていませんが。
まあ、これしょうが無いのですがね。

システム管理者の日

システム管理者というのは、一体に地味な役職だと思います。自分の経験上ですが。

世間の皆さん、システム管理者の皆さんに、ほんの僅かの感謝を。

あれから10年

本年もあと二日を残すのみとなりました。当Blogにとっては、更新が滞りがちな一年でありました。
来年は、更新頻度の改善に取り組みたいと思います。

ところこで、もうすぐ2010年になるわけですが、ということは2000年から10年が経過したいうことなりますね。
丁度1年前の今頃、日本のみならず世界中で大騒ぎだった出来事がありましたね。所謂「2000年問題対応」です。

10年前の年越し、1999年末はIT業界のみならず、社会全体が2000年への年明けをある種の緊張をもって迎えたものでした。都内のホテルは、企業が予約を押さえてしまい、年越しをホテルで迎えようとした若きカップルや不倫組みがはじき出され、宿泊用具のレンタルが活況を呈し、大晦日元旦と徹夜待機組みの社員用の弁当の注文が殺到し、多くのサラリーマンが会社での年越しを余儀なくされた、あの大イベントから10年です。速いものですね。

私も当時在籍していたソフトウェアベンダの本社社屋で年越しを迎えました。まあ、泰山鳴動してなんとやらでしたが。今から思うと、あの騒ぎはなんだったのでしょうね。検証が必要な気もしないではないです。

2010年、どんな年になるかわかりませんが、兎にも角にも本年もありがとうございました。

システム管理者の日

本日、7月25日は’システム管理者の日’なのだそうです。情報システムが、日々安定稼動するように粛々と働き、システム管理者が一年に一度だけ関係者から感謝を受ける日ということらしいです。

システム管理者の日　By ウイキペディア

情報システム、ITというものは安定稼動して当たり前、何か事が起こると昼も夜も休みもなく、黙々と働く、システム管理者、年に一度くらいは感謝されてもいいかなと、思いました。

全国、全世界のシステム管理者の皆様、ご苦労様　　　

全日空のシステム障害

5月27日に全日空のシステムの大規模な障害が発生、予約・発券システムがダウン、定期便の運行が大混乱でした。

以下は、朝日新聞と読売新聞のWebからの引用です。

全日空障害、ダウン対策不発　サーバー切り替わらず
2007年05月28日15時56分
　２７日の全日空の国内線予約・発券システム障害は、システムの多重化策がとられていながら起きていたことが、わかった。システムの根幹部分であるホストコンピューター周辺機器の更新時の設定に問題があった可能性もあるとみられ、全日空が原因を調べている。
　予約・発券システムはホストコンピューターと、全国の空港の窓口や旅行会社の端末が専用のネットワークを通じて結ばれている。
　全日空によると、ホストコンピューターとやりとりされる情報は、ホストコンピューターの手前にある６台のサーバーでどの経路を通って処理するかを整理している。６台のうち何台かがダウンしても、残りで同じ対応ができる設計だった。
　ところが今回は、今月２４日までに順次更新されたサーバー３台が、ホスト側から出た情報をネットワーク側に送り出しても反応しないという誤った判断を下し、ホスト側に返していた可能性があるという。しかも３台が対応を続けたため、残りの３台に切り替わらなかった恐れがあると全日空はみている。
　この結果、ホストコンピューターには発信できない情報が大量にたまり、処理速度が大幅に低下。２７日の修復作業で３台を更新前のサーバーに戻し、たまっていたデータをはき出すと、処理能力は回復した。
　全日空とメーカーによる原因調査には時間がかかる見込みで、当面は予約・発券システムは元のサーバーで運用する。
　　　　　◇
　全日空のシステム障害から一夜明けた２８日、同社は航空機の機材繰りの関係などから鹿児島発大阪（伊丹）行きの初便が欠航した。午後にかけて９便が遅れる予定。システム自体は安定して動いているという。
全日空の国内便のコンピューターシステムに２７日未明、障害が発生、各空港で搭乗手続きなどが出来なくなり、羽田空港発着便を中心に全国で欠航や遅れが相次いだ。
　システムは午後３時半に復旧したが、ダイヤの乱れは終日続き、計１３０便が欠航。到着が１時間以上遅れた便も３０６便に上り、６万９３００人に影響が出た。
　障害が起きたのは、予約と搭乗手続き、手荷物預かりを管理しているシステム。各空港では、２７日の始発前から、窓口などにある端末の反応が極端に鈍くなった。全日空では、手作業で搭乗手続きなどを受け付けるとともに、午後１時半から午後６時までの羽田発便を全便欠航させ、間引き運航で対応した。
　最大の遅れは鹿児島―羽田便の４時間４５分。全日空のシステムを利用しているスカイネットアジア航空、北海道国際航空（エア・ドゥ）、アイベックスエアラインズにも、多数の便で遅れが出た。全日空では２８日も、午前８時発の鹿児島―大阪（伊丹）便が欠航するほか、午前７時台の岡山―羽田、高松―羽田便がともに２時間３５分遅れで運航するなど計９便に遅れが出る見通し。
(朝日新聞)
-----------------------------------------------------------------
　全日空では、今月１５日から２４日にかけ、羽田空港近くにあるホストコンピューターと各空港の端末とを結ぶ接続システムの更新作業を実施していた。この日のトラブルで、システムを更新前の状態に戻したところ復旧したといい、詳しい原因を調べている。
　全日空では、２００３年３月にも１５０便が欠航する大規模なコンピュータートラブルが起きている。
��2007年5月28日1時20分 読売新聞）

他の新聞、報道メディアの報道によると、ハードウェア/ソフトウェアの交換をしたところ、障害が発生したようです。事前のシステムテストは十分な時間をかけて実施したとのことですが、結果としてこのような障害が発生したのですから、抜け洩れがあった、十分でなかったということになります。
変更管理上の問題
①システムテスト(受入テスト)のシナリオ、精度が適切であったか
②テスト環境は適切であったか
③切替の手順は適切であったか
など、考えられますね。
問題管理上の課題
①原因の追求体制は適切か
②障害対応が適切であったか
③過去の障害対応の教訓は生かされたか
etc
システム管理上、そして再発防止のためにも、当該企業や関係ベンダーなどから、原因の発表など、機体したいものです。
　　

ソフトバンクモバイルのシステム障害

永らくご無沙汰しました。実は、諸般の事情があり、あえて当Blogの更新を控えていました。諸般の事情は何かというと、そこは明確に出来ないので、’諸般の事情’という表現しているということで、ご理解下さい。
ところで、携帯電話の番号ポータビリティ制度が始まりましたが、ソフトバンクモバイルのシステム障害が報道されています。本件に関して思うところを。

以下は、読売新聞の10月31日付社説からの引用です。

［ソフトバンク］「社内も混乱させた『極秘作戦』」
　携帯電話の料金を価格破壊しようとした志は買えるが、社内体制がお粗末だった。
　携帯電話会社を変えても、番号をそのまま引き継げる「番号持ち運び制度」が、開始早々、トラブルに見舞われている。
　業界３位のソフトバンクモバイルの事務処理システムが、多数の申し込みに対応できず、契約切り替え業務の停止に追い込まれた。
　窓口まで出向いたのに切り替えができず、週末の貴重な時間を無駄にした消費者も少なくない。ソフトバンクはシステムの拡充を急ぎ、顧客に迷惑をかけない社内体制を構築する必要がある。
　混乱のきっかけは、ソフトバンクが制度開始の前日に、「基本料が要るだけで自社間の通話とメールは通話料がゼロ」という「通話定額制」など、複数の新料金制度を発表したことだ。
　劇的な発表で宣伝効果を高めるため、この作戦は極秘とされた。代理店はおろかシステム担当など社内の大半も、計画を知らされていなかったという。
百貨店やスーパーは特売をする時に販売員を増強する。「画期的な低価格」と銘打って、新料金制度を導入する以上、ソフトバンクも計画の概要を、事前に担当者に伝え、それに応じた準備をさせておくべきだった。　以下略　

新料金体系の劇的効果を狙って、事前の準備が不十分であったというのが、この社説の論旨だと思いますが、私も同感です。
新しい料金体系、番号ポータビリティ制度。どちらも既存システムの大きな変更をもたらす制度改変です。事前の影響調査、システム変更管理、十分な受入れ試験などシステムとしての必要且つ十分な事前準備が必須ですね。しかし、システム担当も直前まで知らされていなかったようです。システム障害の原因が、いまだ不明というか明確ではないですが、ITマネジメント上の問題ははっきりと指摘できるように思われます。制度の変更に伴う、必要なシステム変更管理が適切に実施されなかったと推認されること、です。番号ポータビリティ制度に関しては、その発表から開始まで2年の期間があったので、この間はどうであったのしょうか？　また、新しい料金制度の企画段階で、システムへの影響と対応についての検討はなされたのでしょうか。マーケティング上の効果が優先され、システムのみならず顧客サービスや社内業務への影響が軽視されたのでは、という疑問が拭いきれません。今後も、本件に関す報道を注視するとともに、ソフトバンクモバイルが説明責任を十分に果たすことが期待されますね。

謹賀新年

新年明けましておめでとうございます。昨年、当Blogを開設以来、更新が滞りがちにも関わらず、多くの方に参照して頂きました。本年も旧年同様に当Blogを宜しくお願い申し上げます。
皆様のご多幸を祈念致します。

平成18年元旦
管理人

保証ということ

日本セキュリティ監査協会(JASA)で、保証型セキュリティ監査の促進を目的としたプロジェクトが進行中です。私も、メンバーの1人としてこのプロジェクトに参画しています。プロジェクトの発足後、間も無くして構造計算偽造問題が発覚し、プロジェクトの会合の席でも酒席でも、この話題がでないとことはありません。

①建物の設計/構造計算　→　②建築確認申請　→　③審査機関(民間/自治体)による審査

①の段階での不正や不備(リスク)を③の審査で低減する、というのがこのシステムの要諦だと思います。しかし、初めから想定された①のリスクを③でコントロールできず、システム全体の信頼性が大きく揺らいでいます。では、このシステムは不要なのでしょうか。それは断然否だと、私は思います。一戸建てであろうとマンションであろうと、建築の専門家でない一般の消費者が設計図や構造計算書を見て、耐震強度を自らチェックするなど不可能です。そこで、審査機関(民間/自治体)による審査を通過したことで信頼/信用する、言わば代行のシステムは必要であろうと思います。今回は、その代行システムが全く機能しなかったという深刻な問題が露呈した訳です。
では、システム(制度)が必要だとして、どこを改善改革すべきでしょうか。元々、①のリスクは想定済です。そのリスクを③で回避しようと図り、機能しなかった訳ですから、改善改革ポイントは③でしょうね。そこで、私案であうが、

1
審査機関(民間/自治体)は、被審査者が初回の審査の場合、構造計算書の強い審査を行う。再計算も辞さない強さが必要でしょう。

2
被審査者の申請が一定回数、例えば10回に達した場合は、再度強い審査を行う。

3
強い再審査を回避するために、所定の回数に達する直前に審査機関を変更することも予想される。そこで、審査機関(民間/自治体)は無作為抽出による強い審査を行う。

所定審査回数とランダムの審査を組み合わせることで、被審査者への牽制効果を期待できます。これで、リスクをゼロにすることはできません。また、この私案の前提として、審査機関(民間/自治体)に一定の力量を要求することになります。審査機関(民間/自治体)の淘汰も必要です。審査業務量が増えることに審査機関(民間/自治体)は抵抗するでしょう。しかし、失われた信頼を取り戻すには、かなりの改革が必要です。

JASAの保証型情報セキュリティ監査促進プロジェクトで、「保証」を与えることの難しさ、責任の重さを感じています。まあ、びびっているとも言えるかもしれません。これは、他のメンバーも多かれ少なかれ同様だと思います。その上で、なんとか保証型情報セキュリティ監査を広がっていけばと念じています。

ヤフー、オークションに不正検知システム導入

以下、朝日新聞からの引用です

ヤフー、オークションに不正検知システム導入へ
2005年11月14日20時55分

　インターネット・オークション（競売）での詐欺などのトラブルの急増を受け、最大手のヤフーは１４日、不正利用を自動的に検知するシステムを１２月から導入すると発表した。売り手と買い手との間のトラブルには原則として介入しない立場だったが、不正取り締まりに積極的に協力する方針に転換する。業界では初めての試みで、他社にも広がりそうだ。

　新システムは、過去の問題取引をデータベースに蓄積することで、似たような取引を早期に発見して被害を防ぐ仕組み。例えば、出品の実績がなかった利用者が突然ノートパソコンを大量に出品した場合などは、詐欺につながる可能性が高いパターンとして検知され、ヤフーが利用停止などの措置をとる。

　ネット競売市場は１兆円規模に膨らんでいるが、警察庁によると、０５年上半期のネット詐欺の検挙件数は６７２件で、既に昨年１年間の件数を上回っている。競売を使った犯罪が多く、昨年１１月には、商品も仕入れ資金もないのにカーナビなどの出品を登録し続け、全国の約１２００人から計約１億６７００万円をだまし取った事件が摘発されている。

　異常な取引を検知して被害の拡大を防ぐ仕組みは、クレジットカードでは一般的だ。偽造・盗難キャッシュカード犯罪の増加を受け、ＡＴＭ（現金自動出入機）システムでも同様の仕組みが広がっている。

以前に、このblogの記事にしましたが、クレジットカード会社では、カード会員に購買動向、カード使用動向を分析して、不審なカードの使用を検知する仕組みがあります。クレジットカード会社の方に聞いたところ、100%の確率では勿論ないですが、顧客の被害を防止するのに役立っているそうです。
たしかに、殆ど出品実績のないのに突然、パソコンを大量出品すれば怪しい可能性が高いですね。ただし、高いということで絶対ではありません。本当に突然に大量の出品をしたのかもしれません。その場合、Yahooは収益を逸したことになります。しかし、詐欺の被害を未然に防ぐという観点からみれば、大きな前進です。このYahooの決定は、詐欺被害を完全に防ぐわけではありませんが、消費者保護の施策として評価していいと思います。

銀行も同じような仕組みを導入とのこと。確かに、突然まとまった金額が必要であった時、常のお金の動きと違うのでATMから払い戻しが出来ない、という事態も考えられますが、その時は窓口で対応すれば良いことですからね。
利便性を犠牲にしますが、この仕組みを預金者の選択制にしても良いと思います。利便性を犠牲にしても良い人と、そうでない人。預金者がリスクを選択する方法も考慮の余地ありと思います。

銀行の合併

以下は読売新聞からの引用です

　

東京三菱銀行とＵＦＪ銀行は１１日、予定通り来年１月１日に合併してコンピューターシステムを統合しても、重大な問題は起こらないとの最終判断を固めた。来週中にも金融庁に説明する見通しだ。

　東京三菱銀とＵＦＪ銀は、システム統合に万全を期すため、合併を当初予定していた１０月１日から３か月延期した。

��2005年11月12日3時17分 読売新聞）

これで、合併銀行が2006年1月1日にスタートすることが正式に決定しますね。単にシステムの統合の難しさだけでなく、異なる企業文化を如何に融合させるか、大きな課題ですね。そして、その企業文化に影響される情報セキュリティの融合も、また難しい宿題であろうと思います。

とある銀行のシステム関係者から銀行の合併での頭痛の種は、預金通帳だという話を聞いたことがります。A銀行とB銀行が合併した場合、一時期において3種類の通帳が出回ることになります。

旧A銀行の通帳
旧B銀行の通帳
合併銀行の通帳

預金者の中には、通帳の記帳をせずにいる人もいますから、新銀行の通帳に一本化されるまでには、結構時間を食うし、旧通帳のサービスを停止の時期の選択も課題のようです。

今回の合併、滞りなく行われることを期待します。私も給与振込みはUFJ銀行なもので。

シンクライアント

以下は、日本経済新聞からの引用です

日立、情報漏えい対策を施したＰＣ導入を容易に

　日立製作所は29日、情報漏えい対策を施したパソコン「セキュリティＰＣ」をシステム構築無しで導入できる「ＦＬＯＲＡ　Ｓｅ２１０リモートアクセスパック」を30日に発売すると発表した。セキュリティＰＣはハードディスクを持たないなど盗難や紛失に備えたＰＣで、単体では動作せずサーバーなどに接続して使用する。導入には認証・暗号化サーバーの設置やシステム構築が必要だったが、同機能をＡＳＰ（ソフトの期間貸し）方式で提供することで導入時の作業が不要となった。

　ＵＳＢ認証キーを付けた販売価格は20万7900円。サービス利用料は１ユーザーの場合で初期費用が１台あたり１万500円、月額5250円としている。

これは、7年程前であったでしょうか、シンクライアントの発想と同じですね。動機が情報セキュリティとTCO削減と違いはありますが。
日の目をみなかったシンクライアントが、装いも新たに再登場といったところでしょうか。

(久々の投稿でありました。ｍ(＿ ＿;)ｍ )

ある企業買収

ニュースとしては旬を過ぎているのですが、サンマイクロシステムがストレージ装置大手のストレージ・テクノロジー社を買収することが発表されました。

米サン、記憶装置のストレージを4400億円で買収

このニュースを耳にした時、一瞬の驚きと感慨と感傷が一度に訪れました。何故にか？　私自身がかつて日本ストレージ・テクノロジーの社員だったからです。また、ストレージ・テクノロジーはストレージ大手とは言っても、EMC等とは異なりメインフレーム向けが主力であり、サンマイクロシステムはCEOのスコット・マクネリーが、「いまだに過去の遺物であるメーンフレームを使っている人がいる」と言って憚らない人物だからです。

息吹き返すメインフレーム、“恐竜”IBMの復活に慌てるライバルたち

メインフレームを生きた化石、滅び行く恐竜というサンマイクロシステムは、ストレージ・テクノロジー社のメインフレーム部門はどうする気なのか？　日立か富士通とかに売却するのか？　はたまたIBMへの売却もありか？　いずれにしても、このままとは行かないだろうな。
かつての同僚はどうするのかな。ストレージ・テクノロジー社製品ユーザの知人も吃驚すると同時にメインフレーム部門がどうなるか、大変に気にされていました。
驚きと感慨と感傷と複雑な気持ちでした。

米国の企業買収は、事業の再編成のためには、不用部門の売却をも伴います。かつて在籍した企業の買収、このまま関連ニュースに耳を傍立たせる日が暫く続きそうです。