明かされた「ＪＮＳＡセキュリティ十大ニュース」の謎、選考委員長大木榮二郎先生に聞く

　「災い転じて」ではないが、さまざまな講演やイベントがオンライン化され、配信され、かつ講演動画が積極的にアーカイブされ公開されるようになったのは、with コロナ時代の肯定的な側面のひとつかもしれない。

　以前はわざわざ都心まで足を運ぶ必要があった高品質なカンファレンスや講演が、全国どこからでもパソコンやスマホを通じて視聴することができる。大きな講演会場の中で挙手して行っていた質疑応答も、オンラインカンファレンスツールのチャット機能を用いてできるケースも増えた。

　日本を代表するセキュリティカンファレンスのひとつである Security Days が今春、「Security Days Spring 2021」として開催される。本稿では ScanNetSecurity 読者に特におすすめしたい講演を、5 つ厳選して紹介する。

　講演の概要と、なぜそれがおすすめなのかの理由を紹介しつつ、Security Days がコロナ禍の時代にあって、他のカンファレンスと決定的に異なる点についても後述したいと思う。

●ジャーナリスティックな市民感覚

　「Security Days Spring 2021 講演 5 選」で今回紹介するのは、工学院大学名誉教授大木榮二郎氏の講演「JNSA 2020 セキュリティ十大ニュースの肝」だ。

　「JNSA セキュリティ十大ニュース」をご存知だろうか。独立行政法人情報処理推進機構（IPA）の「情報セキュリティ 10 大脅威」ではなく、漢数字の「十」大ニュースである。

　年 1 回年度末に発表され、昨年末 2020 年で実施 20 周年を迎えた。「脅威」ではなく「ニュース」であるところがポイントだ。ニュースだから、社会性のある、ジャーナリスティックなスタンスで選定される。ネガティブなニュースだけでなく、新しい技術など、明るい話題も積極的に採用される。また、単なる事実を列挙するのではなく、その事象に対する評価や、感情までもがコメントに覗くことがある。

　「JNSA セキュリティ十大ニュース」は毎年、その年の傾向を一行に要約したキャッチフレーズを記載している。印象的なキャッチフレーズがいくつもある。

　「情報流出も情報社会成熟への一里塚（2010）」

　「プロの攻撃にさらされるアマチュア防衛陣（2012）」

　などなど。

　十大ニュースの編纂クレジットには「セキュリティ十大ニュース選考委員会」とあるが、一体それはどんな組織で、十大ニュースはどのようなプロセスで決定されているのか。長い間不思議に思っていた。

　不思議はそれだけではない。もうひとつは、日本の情報セキュリティの業界団体 JNSA（特定非営利活動法人日本ネットワークセキュリティ協会）の名を冠していながら、業界に配慮した言わずもがなの正論を必ずしも吐かない点だ。大人の配慮ばかりしていたら「情報流出も情報社会成熟への一里塚」などという一文はなかなか出てこない。

　セキュリティ業界やそのユーザーだけではなく、一般のビジネスパーソンや市民、生活者の視点が感じられる。その証左が、第 1 回である「JNSA 2001 セキュリティ十大ニュース」の第一位に 2001 年 9 月 11 日にニューヨークなどで発生した「同時多発テロ」が挙げられていることだ。

　今回本誌は、Security Days Spring 2021 の大木教授の講演の事前取材の機会を得ることができた。これらの不思議や謎を、疑問としてすべて先生にぶつけることにした。

● JNSA の特別自治区

　「十大ニュース」は、特定非営利活動法人ネットワークリスクマネジメント協会（NRA）が発行していたセキュリティ啓発メールマガジン「啓・警・契」のコンテンツとして、大木教授らによって開始された。諸事情により NRA が解散すると、大木教授は知己であった JNSA の下村事務局長に相談、JNSA という場を借りて「JNSA セキュリティ十大ニュース」として継続が決まった。

　JNSA のコンテンツとして開始はしたものの、大木教授が JNSA に加入することが条件となった訳ではなかった。十大ニュースは一種の「自治区」として運営され続けた。業界団体っぽさがないわけである。

● 20 年変わらない選考課程

　十大ニュースの選考過程は以下の通りだ。

　毎年「JNSA セキュリティ十大ニュース」はクリスマス時期に発表される。さかのぼること約 1 ヶ月前、11 月下旬に会議を開催、委員長を含め 12 名の委員会メンバーが「今年の自分の十大ニュース」を持ち寄る。

　2020 年末に公表された「JNSA 2020 セキュリティ十大ニュース」の委員は以下の通り、わざわざ所属を付記する必要もない錚々たるメンバーばかり。

・セキュリティ十大ニュース選考委員会委員（五十音順、※JNSA 事務局長下村氏を除く）
織茂昌之氏、片山幸久氏、唐沢勇輔氏、岸田明氏、小屋晋吾氏、小山覚氏、杉浦昌氏、竹内和弘氏、丸山司郎氏、持田啓司氏、下村正洋氏

　各委員は付箋紙に「自分の十大ニュース」を書き出す。十大 × 12 名＝計 120 件のニュースが壁に貼り出される。重複を排除し、似たニュースのグルーピング行われると、最終的に 15 ～ 20 の候補が決定する。

　12 名の委員と委員長には、事務用の赤い丸いシールが渡される。シールの枚数は 10 枚。そのシールを、自分がこれと思う付箋に貼り付けて投票を行う。特に一押しと思うニュースには、最大 3 つまでシールを貼ることができる。最終的に貼られたシールの多い順が十大ニュースの順位となる。

　選ばれた 10 件のニュースについてディスカッションが行われる。そして、大木教授と下村事務局長を除く 10 名の委員に、それぞれニュースが 1 件ずつ割り当てられ、1,000 文字前後のコメントを、各委員が自分が担当したニュースについて執筆する。冒頭の 2,000 文字程度の総括文とキャッチフレーズは大木教授が執筆する。2020 年のキャッチフレーズは「コロナが見せつけた大変革時代の幕開け」だった。最後に「編集後記」として下村事務局長が一文を添える。

　選考のシステムは第 1 回実施時に、大木教授が仲間とともに考えた。この選考システムを含め、委員の人数や手順、原稿執筆分担のシステムは、第 1 回から枠組みが変わっていないというから驚きだ。20 年耐えるシステムを最初に構築したことになる。

●十大ニュースは敏腕コンサルタントからの日本社会へ向けた「年次報告書」

　大木教授は日本IBMのネットワークサービスで活躍後、メインフレームからサービス事業にシフトしつつあった時代にコンサル事業部へ異動、米国で研修を受けた後、セキュリティコンサルティングプラクティスを立ち上げ、目覚ましい成功を収めた。殺到したのは仕事の依頼だけでなく、講演などさまざまなオファーがあった。その中に、大学教員への就任のお願いがあったという。一度は断ったものの受諾しアカデミズムの門をくぐった。

　民間から大学へ移った大木教授の目に映じたのは、大学のさまざまな課題や改善余地だった。小さなところでは会議のやり方から改革に手をつけた大木教授は、大学でも次々と成果を出し、気がつけば工学院大学の常務理事になっていた。大学に入ってからもコンサルティング活動を行い結果を出したとも言えるかもしれない。

　最初に挙げた印象的なキャッチコピーは全て大木教授が毎回頭をひねって書いている。一番印象に残っているキャッチフレーズは、との問いに、期せずして 2012 年の「プロの攻撃にさらされるアマチュア防衛陣」を挙げた。考えさせられる言葉だ。

　「JNSA セキュリティ十大ニュース」とは、大木教授が日本社会というクライアントに対して、コンサルタントとして毎年提出しつづけてきた年次定例報告書と言えるかもしれない。大木氏の講演では、2010 年からの過去 10 年間の振り返りが行われる。この 10 年間は、APT 等の言葉が普及し、それまでの様相が根本から様変わりした時期と重なる。「情報セキュリティ」が「サイバーセキュリティ」になった 10 年である。

　多くの企業が年度末を控える現在、大木教授と一緒に激動のセキュリティの 10 年をふりかえることは、そして 2021 年の十大ニュースが何になるのか、さらにこれから 10 年はどうなるのかに思いを馳せることは、情報システム部門やセキュリティ部門の担当者にとって、単に今期の年次報告書の作成や、来期計画、あるいは稟議資料等を作成するうえで参考になる以上の大きな意味がある。セキュリティ担当者こそ目先のことだけでなく大きな未来への視点を持つべきだから。

3月5日(金) 12:15-12:55
「JNSA 2020 セキュリティ十大ニュースの肝」
工学院大学名誉教授 / 日本セキュリティ・マネジメント学会会長 / JNSA セキュリティ十大ニュース選考委員会委員長
大木榮二郎氏

　Security Days に関して最後に付け加えるのは、開催事務局が、バーチャルだけではなくフィジカルでの開催を行い続ける点だ。理由は複数あるだろうが、人と生で出会って話をすることがカンファレンスの本質であるという考え方が理由のひとつだろう。もちろん充分な感染対策を行ったうえで。

　Security Days Spring 2021 は、大阪・名古屋・福岡・東京で開催され、東京開催は 3 月 3 日 (水) から 3 月 5 日 (金) までの 3 日間である。完全バーチャル開催されたイベントでは、事前に撮影され流麗に編集されたビデオが流される公演もあり（質が向上していることは疑いないとしても）一抹の寂しさを感じるのも事実である。しかし Security Days は、思い立ったら、会場である東京駅の目の前の KITTE に直接行くことができる。

　決して現地でのフィジカル参加を強引に推奨するわけではない。だが、もしテレワークの合間の出社日に重なる日があるなら、予定を調整してみるのはいかがだろうか。