セキュリティは買って終わりではない
ブルース・シュナイアーの「セキュリティは製品ではなくプロセスである」は、ひとつの道具を導入しただけでは安全が完成しないという意味である。守る対象や脅威が変わるなかで対処を続ける必要性を示している。
強力なソフトウェアを買ったとしても、設定を間違えれば情報が漏れるかもしれない。新しい脆弱性が見つかれば、以前は十分だった対策を見直す必要がある。
一方、この一句を「セキュリティ製品は無意味だ」と読むのは誤りである。本人の文章は製品にも保護する働きがあると認めたうえで、それだけでは足りないと説明している。
2000年4月『The Process of Security』
原典はブルース・シュナイアーが2000年4月に発表した論考『The Process of Security』である。本人のウェブサイトに署名と掲載時期が明記されており、原文を直接確認できる。
冒頭の議論に「Security is a process, not a product.」とあり、続けて製品にはある程度の保護があるが、製品の不完全さを前提にしたプロセスが必要だと述べる。
この言葉を後世の企業スローガンや匿名の格言として扱わない。また2000年のサイバー攻撃環境に関する記述を、2026年の被害状況を示す最新の統計として使わないようにする。
脆弱性が見つかることを前提にする
シュナイアーは技術的な製品に欠陥が生じることを前提とし、攻撃を完全に消せるという考えを戒めている。製品が複雑になれば、予期しない使われ方も増える場合がある。
製品を購入した時点の検査だけでは、後から発見される問題まで把握できない。点検、更新、設定の見直しを継続できるかが、運用上の大きな課題になる。
ただし脆弱性が存在することと、必ず被害が生じることは同じではない。危険の程度は利用環境や攻撃の条件によって変わるので、根拠に基づいた判断が必要だ。
リスクを減らすという目標
本文は安全を絶対的な状態として語るより、製品や修正プログラムに依存しすぎず、危険にさらされる可能性を減らすことを重視する。安全は一回の購入で決まる数字ではない。
どの情報が重要かを把握し、想定できる失敗に備え、問題が起きたときに対応できるなら、個別の技術の限界を補いやすくなる。
一方、すべての危険を同じ強さで扱うと費用が膨らむ。どんな被害を優先して防ぐのかという判断を含めて、プロセスを設計することが必要となる。
修正プログラムだけで安心しない
新しいパッチを適用することには重要な意味があるが、それだけで全ての安全対策が完了するわけではない。更新のタイミングや設定の間違いなど、運用上の条件も関係する。
また安全のための製品が、新しい問題を持ち込む可能性も考えなければならない。導入前の検討と、導入後に何が変わったかを調べる作業は両方必要だ。
ここでパッチを避けるべきだと読むのは逆効果である。問題が発見されるたびに適切に対応する姿勢が、製品中心の安心感より重要だという議論だ。
人間の仕事と責任
技術的な道具があっても、誰が異常を調べ、誰へ知らせ、いつ修正するかが決まっていなければ対応は難しい。役割と連絡方法が必要になる。
個人の不注意だけに責任を押しつけるのではなく、間違いが起きても大きな被害につながりにくい設計を考えたい。組織的な手順があれば、担当者の変更にも備えやすくなる。
これらは2000年の本人論考から考えられる現代的な応用である。シュナイアー本人が現在の特定の日本企業の対策を評価したというものではない。
便利なサービスを使うときの注意
クラウドや外部サービスを利用する場合にも、機能が多いことと設定が適切であることは同じではない。権限の範囲やアクセス方法を確認する作業が必要だ。
利用者が増えたり運営体制が変わったりしたら、以前の設定が合わなくなる場合がある。権限の棚卸しや不必要なアクセスを減らすことを考えたい。
ただし一般的な原則から特定サービスの安全性を断定しないことが重要だ。現行の機能や最新の脆弱性については、提供者の資料を別に確認する必要がある。
安全を学び続ける仕組み
事故を経験したとき、犯人探しだけで終われば次の事故を防げないことがある。何が見落とされたかを記録し、必要な手順を修正することが大切になる。
報告しやすい環境があると、小さな問題を早めに発見できる可能性がある。安全についての学びは、機械だけでなく働く人々の共同の仕事でもある。
プロセスという語は単に書類を増やすことを意味しない。実際に働き、検証でき、必要に応じて変えられる手順を持つことが重要なのである。
原典の文章に戻る
原典特定根拠：ブルース・シュナイアー本人サイト掲載の2000年4月論考『The Process of Security』冒頭に「Security is a process, not a product.」を確認した。直後には「Products provide some protection」とあり、製品の価値も限定的に認めている。
したがって「製品は不要」とする解釈や、あらゆるリスクをなくせるという保証は避けた。原著で扱う論点と現在の具体的なセキュリティ製品の評価は区別している。
シュナイアー本人の原文から検証できる。情報社会と思想を扱う記事は名言・思想にもある。