SECCON2016決勝大会～経営との共存へ

ビジネスカンファレンス、ワークショップが充実

SECCON実行委員長　竹迫 良範 氏

　1月28日（土）～29日（日）の2日間、東京電機大学（足立区）で日本における最大規模のCTF（※）大会「SECCON 2016決勝大会」（SECCON実行委員会／特定非営利活動法人日本ネットワークセキュリティ協会）が開催された。

　5年目を迎えた今大会の特徴は決勝大会前日の27日（金）にビジネスカンファレンスを設けたこと、会期中にさまざまなカンファレンス、ワークショップを充実させたことにある。これは「ホワイトハッカーが社会の特殊な存在ではなく、一般人や経営者などとも共存する」という強力なメッセージと言える。

世界99カ国、累計4,956名から選ばれたチーム

　SECCON2016決勝大会には、世界99カ国、累計4,956名の中から予選や連携大会を勝ち抜いた24チームが顔を揃えた。横浜・大阪・京都・福岡で開催した地方予選や日本国内の連携大会を勝ち抜いた日本の学生8チームと、インターネットから世界各国、誰でも参加できるオンライン予選を勝ち抜いた14チーム、そして海外の連携大会で優勝した2チームである。国別内訳は、日本9チーム他、韓国4チーム、台湾3チーム、中国・アメリカ・ボーランドが各2チーム、ロシア1チーム、スイスとフランスの混合1チームである。

死闘を征したのは３年連続で韓国チームである

　2日間にわたる死闘を征し優勝、経済産業大臣賞に輝いたのは韓国チーム「CyKor」（3,433点＝攻撃ポイント900点＋防御ポイント2,533点）である。韓国チームの優勝は2014年、15年に続いて3年連続である。第2位は同じく韓国チーム「PwnPineappleApplePwn」（2,234点＝攻撃ポイント900点＋防御ポイント1,334点）、第3位は中国チーム「eee」（1,899点＝攻撃ポイント1,000点＋899点）であった。

　韓国「CyKor」は高麗大学校の学生チームで、中国「eee」は中国インターネット3大巨人「BAT」（バイドゥ・アリババ・テンセント）の一角を占めるテンセントで働く社員チームである。日本チームは最高位が第５位「binja」で今年も入賞を逃した。また米国・カーネギーメロン大学の名門チーム「PPP」も今回は第７位に沈んだ。しかし、入賞を逃したチームも、攻撃・防御とも非常にレベルの高い闘いを展開した。その模様を、竹迫良範SECCON実行委員長は、表彰式後の論評で「神々の闘い」と評した。

セキュリティと経営という一番旬なテーマで

　27日（金）4コマ、28日（土）3コマ行われたカンファレンスはどれも充実していた。その中で特に注目したいのは、27日のビジネスカンファレンス「どうしてこんなにセキュリティをやらないといけないことになってしまったのか？」である。丸山司郎氏（（株）ベネッセインフォシェル　代表取締役社長）と河野省二氏（（株）ディアイティ　クラウドセキュリティ研究所　所長）の対談で行われ、途中で竹迫良範氏（SECCON実行委員長）と園田道夫氏（SECCON実行委員事務局長）が飛び入り参加した。

企業は大きく変わらなければいけない時期に

　丸山氏は経営者の立場から「時代が変わった、潮目が変わった」と語り、その根拠に、昨年経済産業省が『サイバーセキュリティ経営ガイドライン』を作成したことを挙げた。そして、この変化は「ちょうど日本企業が公害問題を脱し、環境問題へと歩み始めた時と似ている」と述べ、「企業は大きく変わらなければいけない時期に来ている」と結んだ。

やり過ぎはエンジニアも経営者も幸福にしない

　一方、河野氏は経営コンサルタントの立場から、セキュリティをガラスに見立て、「企業はどこまでガラスを強化する必要があるのか」という疑問を投げかけた。そして、「やり過ぎは、セキュリティエンジニアにとっても、経営者にとっても、幸福をもたらさないのでないか」と語った。

　また、日本でも昨今流行りつつある「サイバーセキュリティ保険」に言及、示唆に富む次のような外国事例を紹介した。
　「海外のセキュリティ報告書に、事故で20億円の損失を出した会社の例がありました。日本では、ここで話は終わりですが、その報告には、保険で16億9千万円が補填できたと書かれてありました。さらに、同社のリスク費用は5千万円なので、今回はCISO（企業内情報セキュリティ）チームの勝利と書かれてあったのです」

　河野氏は、最後に、セキュリティに関しては、競合他社の失敗を喜ぶのではなく、業種、業界を越えた日本全体の情報共有も必要と語った。

　「セキュリティと経営」は今一番旬なテーマである。ともすると対立関係にあると思われていた両者の関係に昨年頃から変化が生じ始めている。この変化は世界的な傾向である。　
　昨年の第4回「CODE BLUE（※）」（10月20日‐21日）では、カールステン・ノール氏（ベルリンのSecurity Research Labsの主任研究員など、電気工学博士）は“How much security is too much ?”という演題で「セキュリティの適量」について講演した。そして、ノール氏はセキュリティと経営の歩み寄りを提案「イノベーション・フレンドリーなセキュリティは存在する」と締めくくっている。

3月5日に「サイバーコロッセオ×SECCON」

　SECCON実行委員会の動きは2020年オリンピックに向けて加速している。来月3月5日には、2020年東京オリンピック・パラリンピック競技大会開催に向けた総務省のセキュリティ演習事業「サイバーコロッセオ」とコラボした「サイバーコロッセオ×SECCON」を秋葉原で開催することが決まった。

【金木　亮憲】

※【CTF】
旗取り合戦競技（Capture The Flag）のことで、セキュリティ技術を争うコンテストの総称。IT技術に関する総合的な問題解決力を磨く上での最適な競技と言われる。
※【CODE BLUE】
日本発の「情報セキュリティ国際会議」のこと。昨年の大会には世界から約700人のハッカーが参集した。