プラグインアーキテクチャというのは考えたこともなかったため、とても勉強になりました。
また、JRubyはオリジナル以上のものになっていることに本当に感激しました。
【東京】JJUGナイトセミナ JRuby 作者 Charles Nutter 来日記念セミナー
https://jjug.doorkeeper.jp/events/34913
■Building Plugin-based Architecture in Java using JRuby (Sadayuki Furuhashiさん)
・messagepack
・プラグインアーキテクチャ
あるとシンプルに機能をたくさん追加できる。
デベロッパーコミュニティができる。
プラグイン事にテストができるため楽。
・疎結合化しないとモジュールできない。
・fluentd
ログの収集、転送、変換用のツール
ログの操作のためにスクリプトを作成するとサービス事にスクリプトを作成し、作成者がいなくなったときにメンテナンス不能になる。
fluentdはサービス間のHUBになり、シンプルなアーキテクチャで操作できるようになる。
・embulk
fluentdと違ってバルクデータのバッチ処理に特化したツール。
データの推測(文字コードや区切り文字、フォーマット等)、並列処理に向いている。
あらゆる機能をプラグインマーケットで提供している。
機能種別ごとにプラグインは階層構造を持っていて、実装したい機能に応じて組み合わせて利用する。
・バージョン違いによるコンフリクトが発生した。
これを防ぐために複数のバージョンを同時にインストールすることができ、必要なモジュールのプラグインを利用するように設定ファイルに記載する。
■How Invokedynamic Makes JRuby Fast (Charles Nutterさん)
2015年12月8日火曜日
2015年11月14日土曜日
JavaOne報告会2015 メモ
JavaOne報告会2015
https://jjug.doorkeeper.jp/events/33374
Opening & JavaOne 2015 over all
・今年のJavaOneは大きなトピックスは少なかった。
セッション中心とkidsプログラムが大きなイベントだった。
kidsイベントは500～600人の小学4～6年生がJavaは当然、WEBやIoTの開発を行った。
子供だが当然のようにプログラムの読み書きができているのが印象だった。
・Rukutenがキーノートで講演を行ったのは日本人からすると大きなトピックス。
来年はもっと増やしたい。
・OpenJDKのcommittersが前年比136％になり、注目度の高さがわかる。
・Java SEは来年v9になるように、ME、EEすべて予定通りに進んでいる。
・JCPんぽ法人会員に加入すると15ドルだったが免除になった。
Impressions of JavaOne & Java trends
・JavaOneはOracleのイベントだが、厳格なイベントというよりも学芸間に近い。
Javaの20年の歴史をモチーフにしたタイムトラベルする寸劇が面白かった。
・Oracleはsunと違ってタンタンと予定通りにことを運ぶ会社であるため、激しい面白さはなかった。
しかし、安心感に近い面白さがあった。
・OracleがJavaを重要視しているのは間違いない。
Javaコミュニティが主導するイメージがある。
一方でビジネスとして儲けていない印象がある。
・Javaが出てこないセッションもあった。
Javaの開発よりもDevOpsのようにシステムとして運用まで含めた時代になっている。
クラウドの技術やサーバ技術を知らないと開発者として優秀でない時代がきた。
・来年のJavaOneはJava9のリリースになるため、とても期待のイベント。
Java SE Update
■Java9の全体
・java9に実装内容は2015月12日に決まり、来年9月にリリース予定。
・追加内容はモジュール追加(projext jigsaw)
・jshell:CUIでjavaの実行が可能になる。
・Java.DoC.Next：java doc が進化して使いやすくなる。
・Milling Projecr Coin：仕様が大きく変わるため影響が大きい。
・re-engineering：Diamond nestが増えても早くなる。前は増えるたびに指数関数的に時間がかかっていたが、これからは増えてもほとんど変わらない。
・非互換性
"_"の1文字命名禁止
6つの非推奨メソッドが削除
JDK内部のAPIのカプセル化 削除ではないのでほぼ影響ないと思われる。
JDK/JREのランタイムの仕様変更
※これらの変更はすべてprojext jigsawの影響。
■projext jigsaw
・jigsawの考え方は開発を簡単にするものではなく、関係性を可視化してわかりやすくするもの。
・JAR Hell
コンパイル時に依存関係が1つでもミスがあるとエラーが出るようになる。
内部APIを安全に変更できるようにするため。
各コンテナのカプセルをできるように。
依存関係を見えるようにするため。現状では依存関係の可視化が不可能な状態は良くない。今後GUIの可視化ツールが開発されることを希望。
・JDK(API)のModule
Java baseがすべてのAPIの起点になっている。
・Module jar
コンパイル時に依存関係の表示が必要になるが、後方互換性があるので今まで通りの方法も可能。
しかし、新しい方が保守性が高いため変えた方がよい。また、10以降も後方互換性を保つかは不明。
・自分の作ったモジュールを実行バイナリを作成できるようになる。
そのため、今までのようにjava+実行jarと指定する必要がなくなったので簡単に実行バイナリの移動ができるようになる。
Java SE 講演から
・ゴールドマンサックスもOSSを行っている。
・eclipse Collections by Example
・GS Collections
2004年から開発しているフレームワーク。
GS Collections Kataという研修もある。ライブラリを1つ1つ使うことによってイメージライブラリを覚えるようなもの。
・ゴールドマンサックスはeclipseのストラテジになることになっている。
そしてeclipseのコレクションとなる。
ゴールドマンサックスとしてはコントリビュートする準備がある。
・Java8 Streamsの拡張と効率化のイメージ。
稼働条件がJava5以上となっているため、低いバージョンでないといけないシステムでも利用可能。
Java ME & IoT
・今年初めてキーノートでMEのデモがなかった。
・Java MEが8(8.1)→2になった。
・Linuxの対応になった。
・SSLv3がなくなった。
・SE ebedded → ほぼ死す。
今後はjisawでやれということみたい。
Java EE Update
※本日の内容はドラフト。変更される可能性あり。
・Java9は2017年上半期にリリース予定
・servlet4.0
http/2対応を行う。
・JAX-RS2.1
並列処理、非同期クライアントに対応。
・JMS2.0
MDBのシンプル化
・JPA2.2
Java SE 8対応
@NamedQueryんぼRepeatableアノテーション対応
スクロール機能の標準化
・WlidFly Swarm
SpringBootの背景：機能が豊富でpom.xmlの組み合わせ方法が難しいため、推奨組み合わせを作って簡単に。
そこからより使いたいものだけを記述しモジュールを取ってくるようになった。
・MVC1.0
JSFはcomponentベースだったがMVCはactionベースとして作成している。
見通しのよさと簡便さ、RESTとの親和性を重視している。
また、サーバサイドのフロントエンドは変更が激しいためMVCを望んだ。
validationはbean validation(JSR349)ベースとなる。
viewの仕様としてサポートするのはJSPとFaceletがあるが、MVC1.0としてはviewの在り方として規定しない。
mvcのスコープの拡張として@RedirectScopedを導入。
フレームワークではなくAPI。
・JSON-p1.1
Java EE 7になるまでJSONを標準で処理できなかったため要求が強くあったため導入された。
ポインターによるJSON操作ができるようになる。
RFC7386準拠
JSONマージ処理が追加。nullの値があるときのマージも可能。
リバースパッチが可能
JSONに対する低レベル操作API
JSON-Bのドラフト2。
Speaker Panel: How to be a speaker at JavaOne?
・スピーカーになっても交通費、旅費が出ないため、高い。
しかしそれ以上にコミュニティの活性化や知識・技術の向上があってよかった。
・1人でjavaOneに行くのが不安な人は他人のスピーカーに相乗り登録していくものあり。(1セッション3人まで)
・JaveOneは独特の雰囲気があって面白くないセッションは始まってすぐに聴講者がいなくなる。
一番押しのデモまでは見てくれて面白いと感じてもらえれば最後まで見てくれるのでつかみが大事。
・英語が通用するか心配する人が多いが気にすることない。文法や発音が下手でも何とか通じる。
・JavaOneCCC等で登壇する人はJavaOneに参加しても問題ない。
アメリカとの開発、技術力の差はない。
・事例系は受かりやすい。
・アメリカではセッション中に突然くるので結構焦る。
事前に質問には答えませんと言って起き、twitterとか答えますとか逃げるのがよい。
・コミュニティの経歴を提出するので、JavaOneCCCの幹事をやったことがあるとかよい。
・締め切りまじかはほとんど落ちる。早めに出すのがコツ。
・動画が求められる。
動画の内容が日本語でも行けるかも？？
アブストラクトが英語なら大丈夫かも？？
・登壇者はチケットがただになる。
転職メールがくる。
・スピーカールームがありとても豪華。
FOCUS JAPAN 2015 メモ
FOCUS JAPAN 2015
http://focusjapan.jp/
国債犯罪組織との闘いから判明した真実
https://reg31.smp.ne.jp/regist/is?SMPFORM=lcqh-ncthp-9af792e68e1a4fae55471024c396736a&id=3
■攻撃手法
・アメリカでは医療データの収集が流行している。
医者はお金を持っているため金銭目的。また、銀行よりもセキュリティレベルが低いため狙われやすくなっている。
技術の進歩で近い将来銀行への直接攻撃も想定される。
『目に見えない経済』というレポートを参考にしてほしい。
・ラムサスウェアが欧米で流行した。
取引してもデータ回収ができないケースが多い。
・感染キャンペーンをやり世界のハッカーが同時に攻撃を開始するようなこともあった。
このとき利用される技術は事前検証で成功率の高かったものを採用されている。
あまりの規模の大きさに世界のセキュリティ関連の企業、団体が協力して捜査しても犯人特定がほぼできなかった。
■利益
・近年の金銭入手方法はダークウェブを利用したビットコイン。ある意味、過去のスイス銀行よりも匿名性が高い。
・サイバー犯罪での収益は(アメリカクラッカー集団）数十億から数百億ドルと言われている。
■攻撃アルゴリズムの進化
・ドメイン生成アルゴリズムが多くのクラッカーの投資によって作られた。
常に新しいドメイン生成し続けてマルウェアは最新のドメインを利用する。
・ビーボーン
回避能力の向上したマルウェアが発見された。以下のようなものが発見されている。
アンチウイルスのプロセスをKILL。
ウイルススキャンした場合に自分を例外に登録するまたは自分をKILL。
感染したPCにアンチウイルスをインストールされるときにユーザーからはインストールされたように見せかけ実際は動いていない。
1日に35回以上姿を変えるマルウェア。パッチ適応の速度が間に合わない。
押収できたマルウェアの検証では約500万パターンに変化することが分かった。
■防御側の進化
・シンクホール
特定のボットネットに関する情報収集するために研究者によって使用されるマシン。
これを利用しマルウェアの送り先を研究チームにリダイレクトもさせて収集する。
・攻撃されている対象は欧米が多いが、攻撃元はイラン、ペルー等の後進国だった。
・US-CERTに攻撃を受けた場合の修復ツールが公開されているため使用してほしい。各メーカー・ベンダーと情報を共有して常に改善を行っている。
・セキュリティ業界の一連の課題はどうやってみんなが真剣に考えるようになるか。
基調講演・特別講演
・FOCUS JAPANは6年目となり2500人ものセキュリティの専門家、研究者が集結する日本最大級のいイベントになった。
・現在情報共有が必須の時代になっている。
そのため、他社への攻撃は自分の企業への攻撃だと認識して本気で対策を考えたりすることのできるホワイトのコミュニティが必要でFOCUS JAPANはその1つになりたい。
・パートナーも多く参加し、大手メーカーが多い。
・Intel セキュリティもMcAfeeも参加者との対話で成長していきたい。
聴講者もどんどんコミュニケーションをとってスキル向上、知識の習得を行ってほしい。
・現在のシステム開発ではセキュリティは後付けになっているケースが多い。
しかし本来はセキュリティは経営リスクであるため、実行可能なセキュリティマネジメントにしないといけない。
・攻撃の内部から外部からと多方面性、多様性、規模、個人性は他の業界にはない特徴。
・NCCIS：米国サイバーセキュリティ＆通信統合センター
ISSO：情報共有＆分析組織
NCCISはUS-CERTとICS-CERTの2つ組織がある。
US-CERT：連邦政府からの要請でインシデントに対応する。
ICS-CERT：重要インフラ、主要インフラのCERTの運用をサポートや他のCERTと連携を行う。
・サイバー基準とCSIRT
サイバー攻撃がないように保つ
サイバー攻撃が発生したときの『初動対応』
・日本と米国の協力
・経済産業省やNISTとNCCISと連携して犯罪の取り締まりを行っている。
情報の共有・協力
互いの重要インフラのセキュリティ維持
・経営者にどうレポートするとリスクを認識してもらうことができるか考えて情報共有してほしい。
経営者の認識の甘さは日本でも米国でもそれほど差がない。
最新脅威動向と将来の標的
https://reg31.smp.ne.jp/regist/is?SMPFORM=lcqh-ncthp-9af792e68e1a4fae55471024c396736a&id=14
■今までの経緯
・20年前はエンターテイメントとしてサイバー攻撃を行っていた。
そのため、金曜日の夜から攻撃が開始されることがほとんどだった。
しかし、だんだんエスカレーションして犯罪行為になった。
犯罪行為を行うメンバーは特定の会社や政府に感情で攻撃していた。
そのため、メンバーは限られ小さいコミュニティだった。
次の段階として組織犯罪になりビジネスとなった。
組織犯罪グループは高度なスキルを持たずリソースだけで攻撃するケースが多かった。現在の中国に似ている。
そして現在ではサイバー戦争となって国家が行うようになった。
ここまでくると高度の知識やスキルを保有しており強く意思を持ってやっているため、防ぐことが非常に困難となっている。
・コンピュータユーザーは2010年20億→30億に、攻撃者は940万人→4270万人に増え、インシデントも非常に多くなっている。
2013年→2015年でデータは4.4ZB→8.8ZBにデバイス数は50億→163億個になっている
そのため、攻撃対象がものすごく増えている。
本年の動向としては毎秒6件のペースで脅威が増えている。
・新しいマルウェアは2015年Q1,2はで前年比で12％増えている。
Zooには4億3300万のサンプル含まれている。
新たな脅威としてランサムウェアが今年に入って増えている。
トリプトキーというランサムウェアがあり、これは正しいキーでも複合できないケースがあり、身代金の支払い損になるケースもある。プログラム作成者でも複合できない。
現在、すべてのセキュリティスペシャリストでも有効な解決方法を持っていない。アンチウイルスも有効性に欠ける。
あえて言えば、ちゃんとバックアップを取っておくこと。
・脅威インテリジェンスを準備すること。
サイバー脅威アライアンスを抑えておくが重要。
■2016年の重要領域
・ユーザーは2019年には40億人、デバイスは2020年に2000億個に、データは2020年に44ZB、トラフィックは72.4EB→168EBになると予想されている。
ネットワークの向上はより早く脅威を分析して見つける技術が必要になる。
2014年～2015年では脆弱性の34％はadobe flash、18％がIEで圧倒的に多い。次に16％がwindows OSのkernel。
2014年は珍しくwindows OS kernelを狙い撃ちにされていた。
・従業員による攻撃。企業防衛によってシステムへの直接攻撃しにくくなっている。一方で自宅で仕事する人はそこまで準備ができていないため、自宅にいる社員を狙っている。
また、androidを企業的に使っているとものすごく危険。重要な脆弱性が放置されっぱなしになっている。
・2016年はラムサスウェアがさらに増えることが予想される。お金になるため。
・また、ウェアラブル端末のkernelを狙った攻撃が増える。ウェアラブル端末そのものを攻撃というよりも踏み台として利用される。
ウェアラブル端末の継続的なセキュリティアップデートや対策をどうやるか誰も考えていないことが問題。
・自動車への攻撃も増える。
すでに2015年でも数件確認され、ジープを完全に乗っ取り道路を爆走させ悲惨な事故を起こした。
メーカーはこの問題を考えており、セキュリティの高いコーディングを行っているが、クラッカーの数が多すぎるため、対応しきれないと考えている。もっと抜本的な対応が必要。
・サイバースパイが増える。
サイバースパイは正当なクラウドサービスを狙い、確立した(正当な)方法でログインして情報を収集する。
・Torネットワークの利用も増えていく。ネットワーク内にサーバーをホスティングして完全な匿名性を得ることになる。
・主要インフラ、重要インフラの担当の48％が3年以内に人命を失うことに攻撃が行われることを予想している。
また、重要インフラへの直接的な攻撃が行われなかったとしてもクラッカーはいつ脆弱性をあらわにするかと監視対象になっているケースある。
IIJ Technical WEEK 2015 メモ
メモ
2015年セキュリティ動向
http://www.iij.ad.jp/company/development/tech/techweek/pdf/151112_1.pdf
■DDOS攻撃
・過去に使っていたが、現在使用されていないIPv4のアドレスを利用して攻撃に使われている事例が何件もある。
・DrDOS攻撃が非常に大きくなっている。
DrDOS攻撃：一般家庭のルータを踏み台にして小さいパケットをたくさん生成して攻撃する事例が増えている。
メーカーやプロバイダのISPの対応で国内としては減少したが国外では非常に多く利用されている。
攻撃先は様々。
利用されている国は、アメリカ、中国、ブラジルが比較的多め。
・DD4BC
昨年、DOS攻撃によってサービスを停止させて脅迫を行う。身代金として匿名性の高いbitcoinを利用。
攻撃は10G～40Gbps規模。
模倣犯が増えている。
・protonmail事件
100Gbpsを超えるDDOS攻撃。
身代金を請求し支払ったが解決しなかった。金で解決しない事件が増えていることがわかる。
■PUA
・マイナンバー制度に合わせた個人情報保護法の改正
5000件条項の廃止。
慎重なパーソナルデータの利用が求められる。
第三者機関の監査を推奨。
パーソナルデータのデータを推奨する一方で厳格な対応が求められる。
・Ingress等位置情報を利用するサービスで営業社員の位置情報が送信されて会社情報がゲーム会社に送信されるようなケースが多くなり、こうしを分けるのが難しくなっている。
・PUA：本アプリと別にアプリを一緒にインストールされたり、設定が変更される。
これを利用して攻撃する例も増えている。
・PCにプリインストールされた第三者(PC販売メーカーではない)ソフトウェアに脆弱性が出るパターンがあった。
・PUAはウイルス対策ソフトで削除されない。
ユーザーが承認してインストールしている。
開発者が意図して入れているためメーカーの責任でインストールされている。
・PUAを利用した攻撃に関しては、セキュリティの専門家が発見するよりも利用者が不便さを感じて発見されるケースが多数ある。
個人ブログ等で不便さや批判をセキュリティの専門家が見て、調べる流れとなっており、情報がセキュリティ会社や団体に来ないことが問題。
■標的型攻撃
・正規のキャンペーンに紛れての標的型攻撃が行われている。
・今年は特に医療分野での攻撃が多かった。
年金機構への攻撃もこの系列の可能性あり。
・標的型攻撃には対策ガイドラインや教育がなされているが事件は増える一方。
■新技術
・VDIを利用して、インターフェース、OS、ハードを切り離す。
対策や調査開始のスピードアップが期待できる。
・SDNを導入する。
ネットワークの監視、攻撃の対策をすべてコントローラに集中させることができる。
・機械学習の導入。
ネットワークのパケットをすべてとらえてマルウェアの発生予兆をとらえる。
また、ユーザの行動も覚えさせることで普段と違うパケットを見つけることで攻撃予兆をとらえる。
Hardening Projectから学ぶインシデント対応の勘所
http://www.iij.ad.jp/company/development/tech/techweek/pdf/151112_2.pdf
■イベント内容
・Hardening Project：防御に特化した実践的なセキュリティの競技イベント
守ることと回復が中心で、元々は技術のみだったがマネジメントや顧客とのコミュニケーションも対象となった。
参加者は学生からインフラ、開発者、管理職、ITに関係ない人もいる。
1か月前にチームが発表されてチームビルディングから開始となる。
架空のECサイトを守る。攻撃者は運営。
必要に応じて、メーカーやベンダーからの情報収集する技術も問われる。
・1日目：hardning：8時間耐久演習
2日目：softning:フィードバック等の演習
その他：WASNight：参加者、不参加者、運営の懇親会。まったくの別日程で行い、関係を深めてもらう。
■イベントから学んだこと
・セキュリティインシデント対応は準備がすべて。(セキュリティだけではないかもしれないが)
準備していないものは基本的にできない。
・準備
堅牢化した結果、自分たちも何もできない構成になっていたりする。
安易に設定変更したり、止めてはいけない。
セキュリティサービスを過信して疑わない対応することはいけない。
攻撃者が悪であることは間違いないが、システムの管理・運営者として攻撃者に責任転嫁してはいけない。
「脆弱性のあるサイトはいやだ」はユーザの本音。脆弱性のあるサイトで買い物をしたいくないはず、そのためサービスを止めることはあり。
■他の国内イベント
・国内には演習や訓練が行えるイベントが少ないことが悩み。
・mini harding project ：有志が始めた初心者向け演習。
■その他
・標的型攻撃があった場合whoisに記載されている情報元に連絡が来る。(メールが多い？)
警察やセキュリティベンダー等が標的型攻撃者で利用されているサーバ等のパケットを監視している。
2015年セキュリティ動向
http://www.iij.ad.jp/company/development/tech/techweek/pdf/151112_1.pdf
■DDOS攻撃
・過去に使っていたが、現在使用されていないIPv4のアドレスを利用して攻撃に使われている事例が何件もある。
・DrDOS攻撃が非常に大きくなっている。
DrDOS攻撃：一般家庭のルータを踏み台にして小さいパケットをたくさん生成して攻撃する事例が増えている。
メーカーやプロバイダのISPの対応で国内としては減少したが国外では非常に多く利用されている。
攻撃先は様々。
利用されている国は、アメリカ、中国、ブラジルが比較的多め。
・DD4BC
昨年、DOS攻撃によってサービスを停止させて脅迫を行う。身代金として匿名性の高いbitcoinを利用。
攻撃は10G～40Gbps規模。
模倣犯が増えている。
・protonmail事件
100Gbpsを超えるDDOS攻撃。
身代金を請求し支払ったが解決しなかった。金で解決しない事件が増えていることがわかる。
■PUA
・マイナンバー制度に合わせた個人情報保護法の改正
5000件条項の廃止。
慎重なパーソナルデータの利用が求められる。
第三者機関の監査を推奨。
パーソナルデータのデータを推奨する一方で厳格な対応が求められる。
・Ingress等位置情報を利用するサービスで営業社員の位置情報が送信されて会社情報がゲーム会社に送信されるようなケースが多くなり、こうしを分けるのが難しくなっている。
・PUA：本アプリと別にアプリを一緒にインストールされたり、設定が変更される。
これを利用して攻撃する例も増えている。
・PCにプリインストールされた第三者(PC販売メーカーではない)ソフトウェアに脆弱性が出るパターンがあった。
・PUAはウイルス対策ソフトで削除されない。
ユーザーが承認してインストールしている。
開発者が意図して入れているためメーカーの責任でインストールされている。
・PUAを利用した攻撃に関しては、セキュリティの専門家が発見するよりも利用者が不便さを感じて発見されるケースが多数ある。
個人ブログ等で不便さや批判をセキュリティの専門家が見て、調べる流れとなっており、情報がセキュリティ会社や団体に来ないことが問題。
■標的型攻撃
・正規のキャンペーンに紛れての標的型攻撃が行われている。
・今年は特に医療分野での攻撃が多かった。
年金機構への攻撃もこの系列の可能性あり。
・標的型攻撃には対策ガイドラインや教育がなされているが事件は増える一方。
■新技術
・VDIを利用して、インターフェース、OS、ハードを切り離す。
対策や調査開始のスピードアップが期待できる。
・SDNを導入する。
ネットワークの監視、攻撃の対策をすべてコントローラに集中させることができる。
・機械学習の導入。
ネットワークのパケットをすべてとらえてマルウェアの発生予兆をとらえる。
また、ユーザの行動も覚えさせることで普段と違うパケットを見つけることで攻撃予兆をとらえる。
Hardening Projectから学ぶインシデント対応の勘所
http://www.iij.ad.jp/company/development/tech/techweek/pdf/151112_2.pdf
■イベント内容
・Hardening Project：防御に特化した実践的なセキュリティの競技イベント
守ることと回復が中心で、元々は技術のみだったがマネジメントや顧客とのコミュニケーションも対象となった。
参加者は学生からインフラ、開発者、管理職、ITに関係ない人もいる。
1か月前にチームが発表されてチームビルディングから開始となる。
架空のECサイトを守る。攻撃者は運営。
必要に応じて、メーカーやベンダーからの情報収集する技術も問われる。
・1日目：hardning：8時間耐久演習
2日目：softning:フィードバック等の演習
その他：WASNight：参加者、不参加者、運営の懇親会。まったくの別日程で行い、関係を深めてもらう。
■イベントから学んだこと
・セキュリティインシデント対応は準備がすべて。(セキュリティだけではないかもしれないが)
準備していないものは基本的にできない。
・準備
堅牢化した結果、自分たちも何もできない構成になっていたりする。
安易に設定変更したり、止めてはいけない。
セキュリティサービスを過信して疑わない対応することはいけない。
攻撃者が悪であることは間違いないが、システムの管理・運営者として攻撃者に責任転嫁してはいけない。
「脆弱性のあるサイトはいやだ」はユーザの本音。脆弱性のあるサイトで買い物をしたいくないはず、そのためサービスを止めることはあり。
■他の国内イベント
・国内には演習や訓練が行えるイベントが少ないことが悩み。
・mini harding project ：有志が始めた初心者向け演習。
■その他
・標的型攻撃があった場合whoisに記載されている情報元に連絡が来る。(メールが多い？)
警察やセキュリティベンダー等が標的型攻撃者で利用されているサーバ等のパケットを監視している。
2015年11月6日金曜日
クラウドの最新技術で技術力アップ! - Azure 最新情報セミナー メモ
クラウドの最新技術で技術力アップ! - Azure 最新情報セミナー
資料
http://aka.ms/cloudcamp.docs
メモ
■インフラストラクチャー編:仮想マシン・ネットワーク・ストレージ・コンテナー
・新しい発表が６つ。アップデートがたくさん。
・データセンターが３つ増える。クラウド事業者で最も一番データセンターを持っている。
・今までGシリーズが一番大きいサイドだったがNシリーズができた。
NシリーズはNVIDIA。GPUサポート。VDIや３Dのサービス展開がしやすくなった。
・事前購入サービスで最大６３％安くなる。
・Azure Power shell 1.0が発表
・Office 365 expressroute
帯域保障されたネットワーク。海外のネットワークベンダーだけでなく国内ベンダーもサポート。
ただしすべてのサービスで対応しているわけではない。
・ASite Recovery が Always-on と統合された。
今まではクラウドからクラウドへのフェールオーバーのみだったが、オンプレミスからクラウドへのフェールオーバーできるようになった。
・Azure Automation
runbook(スクリプトのこと)を作っておくことでワークフローをGUIで制御できる機能を追加。
オンプレミスも実行可能。ポートはAzuerへの443が空いていればよい。反対はいらない。エージェントを入れるだけでよい。
Linuxも対応し、エージェントを提供開始。
・監査ログを自動で保存しているため、新たにスクリプトを作成して管理する必要なし。
・Azure Backup
Azureはwindows、Linux両方。
オンプレミスはSQLサーバ、Hyper-V VM、windows
・Azure File Service
ACLがサポートされていないた現時点ではADで管理できない。
今後AD対応予定。
・Azure Security Center
Azureで利用しているサービスでセキュリティの健康状態を診断。
脆弱性発見や攻撃の状況を発見する。
・Azure AD Domain Services
ドメインコントローラになるわけではなく、ドメインコントローラのマスタになって構成管理ができる。
そのため、今まで使っていなかった人が導入する人向け。
今後ドメインコントローラを代わりになる機能を構築予定。
・Azure AD
facebook、amazon、google等のソーシャルIDをAzure上のアプリサービスと連携させるための機能を追加。
・RBACで細かく権限制御できるようになった。(ファイル単位でできる)
・RedhatがAzure上で利用可能になると先日発表された。まだ、詳細不明。
■データ プラットフォーム編:IoT、データベース、サーチ、ビッグ データ
・MicrosoftのIoTはラムダアーキテクチャに向けて力を入れている。そしてすべてPaaSで提供する。
・MariaDBが本日からサポート開始になった。もちろん、Clusterも。
・PaaSを利用時の注意として一過性の障害が頻繁にあるためリトライを必ず入れること。
・SQL Database Index Adisor
チューニング方法のアドバイスを教えてくれる。
・動的セキュリティマスク機能が追加。
個人情報等を一部伏字にできる。
・SQL DatabaseでAzure AD認証できるようになった。
今まではユーザ認証のみだった。
・Always Encrypted
暗号化したままでバックアップや処理ができるようになった。
・Databaseの監視(監査)機能追加。PaaSだったため今までできなかった。
・エラステックでーベースクエリ
複数のDBに対してクエリできるようになった。
・SQL data warehouse
ペタバイトのデータを対応した。
CPUとデータ領域が分かれているため、夜間等で使用しないため停止することができる。
管理画面内で時間単位の金額が見れるため、意思決定がしやすくなった。
並列化はリニアに速度が上がらないケースが多いが、Azureはリニアに早くなることが多数の検証結果で分かっている。
・DocumentDB
小さいデータをjsonで保存して高速に実行する。
・Search
インフラを構築しないで全文検索を容易にできるようになっている。
indexとしてストレージを持っていて、アプリケーションからはAPIを利用するだけ。
最近は機械学習を利用して検索を高速する場合があるが、Searchを利用した方が早いケースが多い。
・Data Lake
分析用のフルマネージドのサービス
あらゆるサイズ、形式、鮮度のデータが対象。
基本的にはHadoopと同じ用だと思えばよい。
U-SQLという新しいSQLを提供。
ものすごく。現在発表では安い1GB1か月4.08円
1秒に100万トランザクション対応。
1週間保存。
■開発者向けプラットフォーム編:Visual Studio Online、App Services
・visual studio code
windowsだけでなく、MACやLinuxでも利用できる高機能ソースコードエディタ
・visual studio
visual studio codeだけではすべての開発プロセスを満たすことができないため、やはり統合開発環境が必要。
ランタイムがwindowsだけでなくMAC、Linuxにも提供。
cordobaというフレームワークを利用して同じソースコードでwindows、iOS、androidで利用できるアプリの作成ができる。
・Azure Web Apps
Azureにデプロイしたアプリのデバッグが可能。
管理ポータルに行かずにどのようなアプリがあるか確認も可能。
・Visual Studio Oline
WEBでの開発。
チームファンデーション開発を無料で5ユーザまで可能。製品版を購入している人は何人でも利用可能。
CIにも対応。
・WEB APPS
webアプリケーションを実行する
・logic aaps
ビジネスプロセスとワークフローを提供する。
・mobile apps
モバイル向けのアプリケーションを影響する。
2015年2月15日日曜日
【参加】ClubDB2 第194回
今回は、DB2のV10.5のFP4と5の新機能のお話でした。
とても有意義なお話だったのに参加人数が少なくてとてももったいなかったです。
そして、参加できなかった人は資料が良かったいのでもったいなかったです。
ClubDB2 第194回
DB2 最新情報あれこれ
メモ
DB2 BLU の拡張
pureScale Lite
BLUシャドーテーブル
DB2 BLU ON WINDOWS
NetezzaとDB２ BLUの使い分け
とても有意義なお話だったのに参加人数が少なくてとてももったいなかったです。
そして、参加できなかった人は資料が良かったいのでもったいなかったです。
ClubDB2 第194回
DB2 最新情報あれこれ
メモ
DB2 BLU の拡張
- カラム型のテーブルと通常のテーブルを混在したデータベースを作ることができるようになった。
- 圧縮機能の向上によってIOが少なり、メモリ消費量も少なくなった。
- Netezzaのゾーンマッピングを取り込み、各データ領域の最大値・最小値を保持し、不要なデータに触れることがなくなっただめ高速化した。
- 集計系DBを構築するならBLUを利用することで圧倒的に構築スピードが上がった。特にチューニングが必要なくなったのが大きい。
pureScale Lite
- FP4からpureScale Liteが導入された。今までのRDMAから一般的に使いやすいTCP/IPベースでpureScaleを実現できるようになった。CF2台、メンバー2台から2台のサーバにそれぞれCFとメンバーを起動させた構成できるようになった。
- データのLoadはLiteの方が早く、updateは通常の方が早い。selectはほぼ変わらない。
BLUシャドーテーブル
- OLTPでinsertされたデータをBLUのカラムテーブルに自動でコピーすることのできる機能。
- 従来オプションだったレプリケーションの機能をDB2内にバンドルされた。この機能を利用してシャドーテーブルを更新している。
- OLTPのトランザクションがある状態でシャドーテーブルに分析クエリーを実行すると1msくらい遅くなった。(power7 3.7GHz×8core、8億件(90GB))
- 分析クエリーがある状態でトランザクションがあるとき、分析クエリーが10並列くらいまでは処理が失敗しないがそれ以上だと処理数が多すぎて耐えられなくなる。
- トランザクションで入ったデータがシャドーテーブルにコピーされるまで約3秒程度。
- バッチ処理でデータをinsertする場合は、通常のテーブルに入れてからシャドーコピー。
- レプリケーション技術を使っているためLoadを使っているテーブルはシャドーコピーできない。
DB2 BLU ON WINDOWS
- 今までAIXとLinuxだけだったが、FIX5からWindows Serverでも利用できるようになった。
NetezzaとDB２ BLUの使い分け
- データサイズと同時ユーザ実行数とLoadの優先度
- データサイズが大きい場合はNetezza。スモールスタートの場合はDB2 BLU。同時ユーザ実行数が多い場合はNetezzaでは耐えられないためDB2 BLU。Loadの要件が厳しい場合はNetezza。
2015年2月10日火曜日
GoAzure 2015 のセッション資料と動画が公開
とても楽しかった GoAzure 2015 のセッション資料と動画が公開されました。
https://msdn.microsoft.com/ja-jp/dn893528
どれも面白いので是非気になるタイトルのものを見ていただき、Azureの知識を増やしていきましょう。
https://msdn.microsoft.com/ja-jp/dn893528
どれも面白いので是非気になるタイトルのものを見ていただき、Azureの知識を増やしていきましょう。
2015年2月2日月曜日
【参加】サイバーセキュリティ月刊 キックオフ・シンポジウム
2月といえば、情報セキュリティ月刊です！
そのキックオフに行ってきました。
情報セキュリティ月刊は2月1日から3月16日までです。
この間に情報セキュリティに関する様々なイベントが開かれます。
詳細はこちら
http://www.nisc.go.jp/security-site/month/
メモ
サイバーセキュリティ月刊 キックオフ・シンポジウム
「費用」から「投資」へ -経営の活力を支えるサイバーセキュリティ-
http://www.nisc.go.jp/security-site/files/symposium_150201.pdf
挨拶
・東京五輪オリンピックでのサイバー攻撃はなんとかオリンピックの20億件を超えることが想定される。攻撃を防ぐことによって日本の強さを見せなくてはいけない。情報セキュリティは国だけでは行えない。民間と国が協力して対応したい。
・サイバーセキュリティ基本法では、情報セキュリティは投資にしなくてはいけないこと、人材育成をすることを記載されている。
■サイバーセキュリティ基本法とこれからの日本
・最初は愉快犯→金銭目的→政治目的→今はそれらが混ざっている状態。
防御への投資が必要なほど攻撃が大きくなった。
・初めての攻撃がいつかは正確にはわかっていない。
1990年代に攻撃が確認されるようになり、2000年になってから攻撃が検挙に増えるようになった。
→情報セキュリティの指令塔が必要であると考えるようになった。
・サイバーセキュリティ戦略本部はIT戦略本部から分離したもの。
もともとは法的機関はIT戦略本部だった。今はサイバーセキュリティ戦略本部が法的機関。
IT戦略本部とNSCをつなぐ存在がサイバーセキュリティ戦略本部。
サイバー・インシデントの特性
・実行者の特定が難しい。また、コンテンツが本物なのか偽物なのかもわからない。
現在は攻撃側が有利な環境になっている。
・被害が潜在的(ステルス性)がある。ウイする感染、不正アクセスなどによる情報の盗聴あるいは乗っ取りにんも痕跡が残されないので被害者も気が付かない。
・インシデントから攻撃までの連続性・協会性・偶発的インシデント、いたずら、営利目的、攻撃、テロ、武力攻撃の準備までが、連続的に発生してしまう。
また、国をまたぐことが多いため、法的機関が
・防御が難しい理由
一点突破対全面防御
法的覚悟対合法の範囲内
ゲリラ軍対正規軍(縦割り)
ゆるやかな国際連携対国内機関
多数の予備軍対少数精鋭部隊
一部の国家は暗黙の援助対国際的秩序の遵守
・防御側で重要なのは情報共有
攻撃があった場合は一般化せず一部のメンバーで共有し対策を行う。
・アメリカのサイバーセキュリティ機関NCFTA
日本でもNCFTが設立した。
■日本経済の変化とサイバーセキュリティ
・経営環境
少子化・高齢化：国内市場の縮小と変化、女性の活用や国際的な展開が必要
売上を確保するためにはグローバル化が必須になる。
世界中に日本人が存在し、日本に多数の外国人がいるようになるため同等性するか。
経営におけるダイバーシティ、経営と監督の分離が必須になると思われる。
物から情報へ。物があまり、雑賀、情報的価値の方が重要になる。
時間資本主義になる。時間が足りなくて何もできない人が増える。
・環境への適応
A型(情報を会社が統合し人事は分散される)とI型(人事で統合し情報は分散)。今後の日本はどっちになるか？ハイブリッドになる可能性もあるがどういう状態かわかっていない。
企業が情報システムであることを理解していない企業が多い。
情報セキュリティの面から見た経営、組織分散が必要
・need to know
必要な人にしか情報を出さないで不要な人には知らせない。アメリカでは当たり前だが日本ではまだまだ。
アメリカでは仕事あって誰をアサインするかを考えるが日本は逆
イージス艦の情報漏えい事件：アメリカは人によって教える内容が違う。日本人にも同じような方法だがDB化して共有した。
昔はチームでアドレスが一つだったが最近は個人がアドレスを持つようになった。
若者の上司との飲み会を嫌うようになり個人ベースの社会になっている
防災の反省として、自助・共助・控除の3本の矢が必要とされたが共助が一番「どっちつかず」になりがち
・need to share
アメリカはインテリジェンス・コミュニティでは9.11で多くの予兆を感知しながら防ぐことができなかった。
部門や組織を超えた情報共有をどうするか難しい
・need to knowとneed to shareの両立の状態は不明。議論を重ねてきたが世界が見えない。
・アメリカはトップダウン、日本はボトムアップだが、形を変えなくてはいけない。
海外でのインシデント対応
ローテーション人事ではドッグイヤーに対応できない
人的雇用年数＞企業の寿命
アメリカの強欲主義は崩壊を始めている。日本の人主義は
・特定情報保護法は
秘密の法的保護ということを一般論で提起し、量刑についてバランスをとった
従来欠落していた国家の秘密というが概念を明確にした。指定や解除の法律など「セキュリティ・マネジメント」面にまで踏み込んだ
これからは民間が特定情報保護を学習が必要
特定管理秘密という＠法的な根拠薄弱な存在」を解消し、明示的・限定的に保護することにした。
・差異化としての品質と管理システム
ものを売るはやりやすかったがサービスを売るのは難しい。
アレンとヤーゴの「金融は人類に何をもたらしたか」における藤野の監訳者解説
トヨタはジャストインタイムを広めたが資格制度にしなかった。これは情報・サービスの流出になってしまった。
・会計的理解：費用は多数年度・収益に直接関与しない、投資は長期的・収益につながり償却対資本。
・セキュリティは費用か投資か
日本のサービス業界は効率で売ってきた。セキュリティはおまけだった。
セキュリティだけのサービスを売ることもできた。
セキュリティ的に安全じゃないサービスは使われなくなる。
遅れているのは供給サイドのトップで利益を生ませる意識が必要
イベントにはセキュリティが不可欠との理解が広まれば「利益の一部はセキュリティのおかげ」という理解が必要
・インターネットはレジリエンス(resilience)を実現する手段として最適だがセキュリティの発想は希薄だった。
起きるのは仕方ないに意識を変化させ起きても問題内容な体制が必要(セキュリティ経営)。
セキュリティは単年度で成立するものではなく長期的な戦略が必要。
■サイバーセキュリティに影響を与える経営の視点
・経営から情報セキュリティ
情報システムをどのように事業に活用するかは重要な経営課題。
セキュリティは情報システム活用のための重要機能
情報セキュリティだけ切り取って議論することに問題がある(可能なのか)
経営にとって重要なのはどのような情報システムを造るかということであってセキュリティはどうするではない
情報セキュリティを軽んじているシステムは事故を起こす。
・統合化がポイント。今までISOはそれぞれの分野で作っていたが、同じ構造化をした。
マネジメントレベルは個々に見ていたのでは他のマネジメントに強く影響するようになった。
・攻めるための基盤としての守り
変化する社会状況下では現状維持するにも投資が必要な時代になっている。
目指す状況を実現するための対応の重要性を認識していればコストも投資も同じこと
現状から見れば投資
未来から見れば費用
どういう状態になりたいという姿を組織でイメージできているか？
その状態の計画はあるか？(今年末はどういう状態？来年末にはどういう状態？・・・)
経営者は、経営効率を考える。情報システム担当者は情報セキュリティの投資効果(費用の必要性)を経営の言葉で説明することが重要。
経営者が安全を学習するように、安全を作る側も経営の勉強が必要。
情報システムに関する経営でのリスクの把握が重要
・ISO31000のリスクの定義(リスクの最先端の考えたにそっている)
リスクとは、目的に対する不確かさの影響
影響とは期待されていることから良い方向および悪い方向に逸脱すること
諸目的はたとえば財務。安全衛生・環境に関する到達目的など、さまざまな側面をもち、戦略・組織全体・プロジェクト・製品・プロセスなどさまざまなレベルで設定されえる。
不確かさとは、事象、その結果、その起こりやすさに関する情報、理解、知識が部分的にでも欠落している状態。
リスクは内外の環境によって変化する。
経営が目指すリスクは、ポジティブとネガティブのバランスとる。
・安全は現場の問題であるという意識が強い。この意識のままだと「悪のサイクル」になってしまう。
問題が発生した場合に社長による記者会見は部下の代替ではなく、自分の責任であることを理解しないといけない。
・リスクマネジメントは管理ではなくマネジメントである。
今までのリスクマネジメントは点を取られることへの対応
安全も全体最適化の中で考えることが重要
・リスクマネジメントにおける経営者の課題
業務ミッションと経営方針の明確化、経営最適化のためのリスクリテラシーの向上
再発防止ではなく、未然防止を行い教育する。
■企業における被害状況
・近年のセキュリティインシデントは
リスト型アカウントハッキング
基盤となるソフトウェアの脆弱性
情報漏えい
情報漏えい7つがリスト型アカウントハッキング。
OpenSSLに纏わる3つのインシデントが大きな話題となった。
・正規アカウントを悪党など対象が幅広く検出や対策が難しい攻撃が増えている。
・3大情報漏えいは、管理ミス、操作ミス、紛失・置き忘れ
・個人情報漏えい業種は、公務、金融、教育等。
個人情報漏えい原因は、ヒューマンエラー。件数は不正アクセスが多い。
個人情報漏えい経路は、件数では紙が一番多く、人数ではインターネット。
・費用から投資へ
被害を金額にするチャレンジをJNSAで実施した。
情報セキュリティサービスの売買についても金額化した。
■パネルディスカッション
・経営者の企業のIT投資は守りに偏っている。
資本金一兆円以上の企業だけを抜き出すとほとんどが攻めになっている。
小さい企業ほど守りにばかり投資している。
・情報セキュリティを情報システム部門に任せている企業が6割以上。
一兆円規模以上の企業は経営者の関与率が高い。
・人材不足はどの企業でも不足している。企業規模によらない。
一方、情報セキュリティ人材育成計画がある企業が多い。大手ほど多い。
経営が情報セキュリティに関与していない企業ほど人材育成計画がないことが多い。
・富士ゼロックスでは情報セキュリティ報告書を作成している。
規定→ガイドライン→マニュアルという形で啓蒙活動を進めている。
fujixrox
・ガイドラインの作成は情報システム部門、リスクマネジメント部門、品質保証部で担っている。
品質保証部門が入っていることが、独自性があると感じている。
IT利活用
・20世紀のITは業務省力化だったが21世紀は今までできなかったことをできるようにすること。
情報システムを使わないと稼げない時代になっている。
世界全体がステークフォルダという認識を持たないといけない。
情報システムはインフラになっているので、どうインフラを使い倒すかでビジネスチャンスが変わってくる。
・情報セキュリティの被害を考えるにあたって必要な知識は、何が起きるか「情報システムの知識」、社会的なインパクトをわかる人。
・セキュリティインシデントは発生確率を出す必要がある。
社会での会社の位置づけからのものの見方によって考えるのがよい。
情報セキュリティは会社の評価指標であることを理解しないといけない。
また、情報セキュリティは大人の礼儀と感じている。
・攻めのIT企業の銘柄を5月に発表。(経済産業省と証券取引所で調査)
情報セキュリティが評価指標の1つに入っている。基盤という位置づけ。
・過去の統計が役に立たない。しかし、現場からは評価結果を出す必要がある。(数字)
また、現場の情報が必要なため、会社全員の人とのコミュニケーション力がないといけない。
・安全第1というが安全だからって利益は出ていない。
車業界で安全第1というのは50年かかった。IT業界はまだ10年しか立っていない。
だからと言ってはじめないという選択肢はないため、もっと言い続ける必要があると感じている。
しかし日本では残り5年で東京オリンピックがあるため急激な成長が求められている。
・日本の製品は安全で品質が高いと世界から見られている。
また、イノベーション力もあると言われている。
・3.11で海外からの意見は、暴動や混乱が起きないことがすごい。一方で原子力発電所の事故は日本だけはないと思っていたことに対する失望。
企業へのインパクトも一緒で社会からの評価から高い企業ほどインパクトが大きい。
そして、評価を維持するための費用は投資と考えることがよいと思う。
そのキックオフに行ってきました。
情報セキュリティ月刊は2月1日から3月16日までです。
この間に情報セキュリティに関する様々なイベントが開かれます。
詳細はこちら
http://www.nisc.go.jp/security-site/month/
メモ
サイバーセキュリティ月刊 キックオフ・シンポジウム
「費用」から「投資」へ -経営の活力を支えるサイバーセキュリティ-
http://www.nisc.go.jp/security-site/files/symposium_150201.pdf
挨拶
・東京五輪オリンピックでのサイバー攻撃はなんとかオリンピックの20億件を超えることが想定される。攻撃を防ぐことによって日本の強さを見せなくてはいけない。情報セキュリティは国だけでは行えない。民間と国が協力して対応したい。
・サイバーセキュリティ基本法では、情報セキュリティは投資にしなくてはいけないこと、人材育成をすることを記載されている。
■サイバーセキュリティ基本法とこれからの日本
・最初は愉快犯→金銭目的→政治目的→今はそれらが混ざっている状態。
防御への投資が必要なほど攻撃が大きくなった。
・初めての攻撃がいつかは正確にはわかっていない。
1990年代に攻撃が確認されるようになり、2000年になってから攻撃が検挙に増えるようになった。
→情報セキュリティの指令塔が必要であると考えるようになった。
・サイバーセキュリティ戦略本部はIT戦略本部から分離したもの。
もともとは法的機関はIT戦略本部だった。今はサイバーセキュリティ戦略本部が法的機関。
IT戦略本部とNSCをつなぐ存在がサイバーセキュリティ戦略本部。
サイバー・インシデントの特性
・実行者の特定が難しい。また、コンテンツが本物なのか偽物なのかもわからない。
現在は攻撃側が有利な環境になっている。
・被害が潜在的(ステルス性)がある。ウイする感染、不正アクセスなどによる情報の盗聴あるいは乗っ取りにんも痕跡が残されないので被害者も気が付かない。
・インシデントから攻撃までの連続性・協会性・偶発的インシデント、いたずら、営利目的、攻撃、テロ、武力攻撃の準備までが、連続的に発生してしまう。
また、国をまたぐことが多いため、法的機関が
・防御が難しい理由
一点突破対全面防御
法的覚悟対合法の範囲内
ゲリラ軍対正規軍(縦割り)
ゆるやかな国際連携対国内機関
多数の予備軍対少数精鋭部隊
一部の国家は暗黙の援助対国際的秩序の遵守
・防御側で重要なのは情報共有
攻撃があった場合は一般化せず一部のメンバーで共有し対策を行う。
・アメリカのサイバーセキュリティ機関NCFTA
日本でもNCFTが設立した。
■日本経済の変化とサイバーセキュリティ
・経営環境
少子化・高齢化：国内市場の縮小と変化、女性の活用や国際的な展開が必要
売上を確保するためにはグローバル化が必須になる。
世界中に日本人が存在し、日本に多数の外国人がいるようになるため同等性するか。
経営におけるダイバーシティ、経営と監督の分離が必須になると思われる。
物から情報へ。物があまり、雑賀、情報的価値の方が重要になる。
時間資本主義になる。時間が足りなくて何もできない人が増える。
・環境への適応
A型(情報を会社が統合し人事は分散される)とI型(人事で統合し情報は分散)。今後の日本はどっちになるか？ハイブリッドになる可能性もあるがどういう状態かわかっていない。
企業が情報システムであることを理解していない企業が多い。
情報セキュリティの面から見た経営、組織分散が必要
・need to know
必要な人にしか情報を出さないで不要な人には知らせない。アメリカでは当たり前だが日本ではまだまだ。
アメリカでは仕事あって誰をアサインするかを考えるが日本は逆
イージス艦の情報漏えい事件：アメリカは人によって教える内容が違う。日本人にも同じような方法だがDB化して共有した。
昔はチームでアドレスが一つだったが最近は個人がアドレスを持つようになった。
若者の上司との飲み会を嫌うようになり個人ベースの社会になっている
防災の反省として、自助・共助・控除の3本の矢が必要とされたが共助が一番「どっちつかず」になりがち
・need to share
アメリカはインテリジェンス・コミュニティでは9.11で多くの予兆を感知しながら防ぐことができなかった。
部門や組織を超えた情報共有をどうするか難しい
・need to knowとneed to shareの両立の状態は不明。議論を重ねてきたが世界が見えない。
・アメリカはトップダウン、日本はボトムアップだが、形を変えなくてはいけない。
海外でのインシデント対応
ローテーション人事ではドッグイヤーに対応できない
人的雇用年数＞企業の寿命
アメリカの強欲主義は崩壊を始めている。日本の人主義は
・特定情報保護法は
秘密の法的保護ということを一般論で提起し、量刑についてバランスをとった
従来欠落していた国家の秘密というが概念を明確にした。指定や解除の法律など「セキュリティ・マネジメント」面にまで踏み込んだ
これからは民間が特定情報保護を学習が必要
特定管理秘密という＠法的な根拠薄弱な存在」を解消し、明示的・限定的に保護することにした。
・差異化としての品質と管理システム
ものを売るはやりやすかったがサービスを売るのは難しい。
アレンとヤーゴの「金融は人類に何をもたらしたか」における藤野の監訳者解説
トヨタはジャストインタイムを広めたが資格制度にしなかった。これは情報・サービスの流出になってしまった。
・会計的理解：費用は多数年度・収益に直接関与しない、投資は長期的・収益につながり償却対資本。
・セキュリティは費用か投資か
日本のサービス業界は効率で売ってきた。セキュリティはおまけだった。
セキュリティだけのサービスを売ることもできた。
セキュリティ的に安全じゃないサービスは使われなくなる。
遅れているのは供給サイドのトップで利益を生ませる意識が必要
イベントにはセキュリティが不可欠との理解が広まれば「利益の一部はセキュリティのおかげ」という理解が必要
・インターネットはレジリエンス(resilience)を実現する手段として最適だがセキュリティの発想は希薄だった。
起きるのは仕方ないに意識を変化させ起きても問題内容な体制が必要(セキュリティ経営)。
セキュリティは単年度で成立するものではなく長期的な戦略が必要。
■サイバーセキュリティに影響を与える経営の視点
・経営から情報セキュリティ
情報システムをどのように事業に活用するかは重要な経営課題。
セキュリティは情報システム活用のための重要機能
情報セキュリティだけ切り取って議論することに問題がある(可能なのか)
経営にとって重要なのはどのような情報システムを造るかということであってセキュリティはどうするではない
情報セキュリティを軽んじているシステムは事故を起こす。
・統合化がポイント。今までISOはそれぞれの分野で作っていたが、同じ構造化をした。
マネジメントレベルは個々に見ていたのでは他のマネジメントに強く影響するようになった。
・攻めるための基盤としての守り
変化する社会状況下では現状維持するにも投資が必要な時代になっている。
目指す状況を実現するための対応の重要性を認識していればコストも投資も同じこと
現状から見れば投資
未来から見れば費用
どういう状態になりたいという姿を組織でイメージできているか？
その状態の計画はあるか？(今年末はどういう状態？来年末にはどういう状態？・・・)
経営者は、経営効率を考える。情報システム担当者は情報セキュリティの投資効果(費用の必要性)を経営の言葉で説明することが重要。
経営者が安全を学習するように、安全を作る側も経営の勉強が必要。
情報システムに関する経営でのリスクの把握が重要
・ISO31000のリスクの定義(リスクの最先端の考えたにそっている)
リスクとは、目的に対する不確かさの影響
影響とは期待されていることから良い方向および悪い方向に逸脱すること
諸目的はたとえば財務。安全衛生・環境に関する到達目的など、さまざまな側面をもち、戦略・組織全体・プロジェクト・製品・プロセスなどさまざまなレベルで設定されえる。
不確かさとは、事象、その結果、その起こりやすさに関する情報、理解、知識が部分的にでも欠落している状態。
リスクは内外の環境によって変化する。
経営が目指すリスクは、ポジティブとネガティブのバランスとる。
・安全は現場の問題であるという意識が強い。この意識のままだと「悪のサイクル」になってしまう。
問題が発生した場合に社長による記者会見は部下の代替ではなく、自分の責任であることを理解しないといけない。
・リスクマネジメントは管理ではなくマネジメントである。
今までのリスクマネジメントは点を取られることへの対応
安全も全体最適化の中で考えることが重要
・リスクマネジメントにおける経営者の課題
業務ミッションと経営方針の明確化、経営最適化のためのリスクリテラシーの向上
再発防止ではなく、未然防止を行い教育する。
■企業における被害状況
・近年のセキュリティインシデントは
リスト型アカウントハッキング
基盤となるソフトウェアの脆弱性
情報漏えい
情報漏えい7つがリスト型アカウントハッキング。
OpenSSLに纏わる3つのインシデントが大きな話題となった。
・正規アカウントを悪党など対象が幅広く検出や対策が難しい攻撃が増えている。
・3大情報漏えいは、管理ミス、操作ミス、紛失・置き忘れ
・個人情報漏えい業種は、公務、金融、教育等。
個人情報漏えい原因は、ヒューマンエラー。件数は不正アクセスが多い。
個人情報漏えい経路は、件数では紙が一番多く、人数ではインターネット。
・費用から投資へ
被害を金額にするチャレンジをJNSAで実施した。
情報セキュリティサービスの売買についても金額化した。
■パネルディスカッション
・経営者の企業のIT投資は守りに偏っている。
資本金一兆円以上の企業だけを抜き出すとほとんどが攻めになっている。
小さい企業ほど守りにばかり投資している。
・情報セキュリティを情報システム部門に任せている企業が6割以上。
一兆円規模以上の企業は経営者の関与率が高い。
・人材不足はどの企業でも不足している。企業規模によらない。
一方、情報セキュリティ人材育成計画がある企業が多い。大手ほど多い。
経営が情報セキュリティに関与していない企業ほど人材育成計画がないことが多い。
・富士ゼロックスでは情報セキュリティ報告書を作成している。
規定→ガイドライン→マニュアルという形で啓蒙活動を進めている。
fujixrox
・ガイドラインの作成は情報システム部門、リスクマネジメント部門、品質保証部で担っている。
品質保証部門が入っていることが、独自性があると感じている。
IT利活用
・20世紀のITは業務省力化だったが21世紀は今までできなかったことをできるようにすること。
情報システムを使わないと稼げない時代になっている。
世界全体がステークフォルダという認識を持たないといけない。
情報システムはインフラになっているので、どうインフラを使い倒すかでビジネスチャンスが変わってくる。
・情報セキュリティの被害を考えるにあたって必要な知識は、何が起きるか「情報システムの知識」、社会的なインパクトをわかる人。
・セキュリティインシデントは発生確率を出す必要がある。
社会での会社の位置づけからのものの見方によって考えるのがよい。
情報セキュリティは会社の評価指標であることを理解しないといけない。
また、情報セキュリティは大人の礼儀と感じている。
・攻めのIT企業の銘柄を5月に発表。(経済産業省と証券取引所で調査)
情報セキュリティが評価指標の1つに入っている。基盤という位置づけ。
・過去の統計が役に立たない。しかし、現場からは評価結果を出す必要がある。(数字)
また、現場の情報が必要なため、会社全員の人とのコミュニケーション力がないといけない。
・安全第1というが安全だからって利益は出ていない。
車業界で安全第1というのは50年かかった。IT業界はまだ10年しか立っていない。
だからと言ってはじめないという選択肢はないため、もっと言い続ける必要があると感じている。
しかし日本では残り5年で東京オリンピックがあるため急激な成長が求められている。
・日本の製品は安全で品質が高いと世界から見られている。
また、イノベーション力もあると言われている。
・3.11で海外からの意見は、暴動や混乱が起きないことがすごい。一方で原子力発電所の事故は日本だけはないと思っていたことに対する失望。
企業へのインパクトも一緒で社会からの評価から高い企業ほどインパクトが大きい。
そして、評価を維持するための費用は投資と考えることがよいと思う。
2015年1月31日土曜日
【参加】MVP Community Camp 2015
いつも思いますが、MVPの方の話をお聞きすると向上心がわいてきます。
これからもMicrosoft関連の学習をして将来はMVPを目指したいと思う今日この頃です。
以下、メモ
MVP Community Camp 2015
http://mvp.microsoft.com/ja-jp/comcamp.aspx
■改めてLightSwitchでWeb開発&Office 365開発
・ライセンス認証はADとフォームによるID・パスワード認証の2種類がある。
おすすめはAzure ADを利用した認証。管理が容易。
■Windows Server Technical Preview Hyper-Vの新機能
・SLAT必須など古いコンピュータでは稼働できない
・Windows server 2012 R2のVMをTechnical PreviewへはVMのバージョンせずに移動できる。VMのバージョンアップをしなければそのまま戻すこともできる。もちろん、同居も可能。
VMのバージョンアップをするとパフォーマンスが向上する。
・プロダクションチェックポイント
Disk上に完全な整合性を保ったまま、バックアップからもどしたようにリストアできる。
・NICを動的に追加、削除ができるようになった。
また、仮想MACアドレスの指定も可能になった。
・メモリのホットアドの追加、削減が可能になった。
・OpenGL4.4、OpenCL1.1、DirectX11をサポート。
■PaaS指向で クラウドデザインパターンを実装！その本音と建前
・PaaSはどこまで自分で面倒を見るのかものによって違うので注意。
・クラウドを前提して考えるのではなく業務とアプリケーションの状態によって、構築方法を選ばないといけない。
・コスト下げた分、リスクが上昇し、リスクが問題になったときのコストが増えている。
・保守を行っていくとシステムは複雑化する。システムは意図的に作り替えるという覚悟が必要。
・メインフレームの完全性からクラウドの壊れてもほっとく(復元性がある)時代に変化している。
・スケールアウトが可能なインフラを作ったものの、運用体制を変えなかったため、運用コストが高くなった。
メンテナンス性の高いプログラムはハイスキルが必要だがメンバーが育っていない。
・非機能要件が難しくなってきた。ページによって違ったり、システムによって違ったりする。
非同期のアプリケーション、自動化された運用性、システムを切り離せるようにする。
・CQRSパターン＝参照は早くして、更新は非同期というデザインパターン
デザインパターンを決めるのはどのタイミングで誰が決めるのか？
→ないし、いない。
さらにメンテナンス性が高く、オフショアを利用しなくてはいけない。
・Azureは壊れる前に予防保守をしている。
・クラウドデザインパターンを考える時間が非常に長くなっているため、業務ロジックを使う時間はほぼ無くなった。
・キャッシュ化したのに早くならない。
性能がでない原因を追究しないとだめ。
・データをユーザーがどう使う、どれくらい使うパターンによってキャッシュのパターンが違う。
・コマンドキューで分散処理化してもバッチ処理が遅くなった。
・PaaS Dでリトライパターンを導入。
ライブラリが未対応だった・・・テストしないと気が付かないけど、テスト難しい。
・クラウド時代は制約が大きくなった。そのため、設計者・プログラマにハイスキルが必要になった。
■インフラアーキテクチャ実践（仮題) Grasysの紹介
・インフラエンジニアの仕事は以下に分解できる。
bootstrap
provisioning
configration
clustreing
monitoring
operation
deployment
・必要な作業を分類して、作るツールを体系化。
・bootstrapに入れるのがよい。
・要件定義のことを考えないと運用コストが上がってしまう。
・基本はオーケストレーションで対応。
・google cloud platform
DNSを返さずにロードなランサーがregionへ分散可能
nvmeというインターフェースで75万IOPS
同じリュージョン内のネットワークは6Gbpsくらい
各国に入ってから独自網に入るみたいで安定している。
■software architecture とは
・ソフトウェア開発は人が無策で挑むには難しすぎる。また、機能特性と品質特性が必要。
(人間工学品質特性)
・アーキテクチャは非機能要件に強く影響している。
同じ機能を満たしていても別の構造になることがあり、違う品質特性になる。
・アーキテクチャ設計のゴールがどこかわからない。
また、行き方がわからない。(総合的技術力でカバーできる場合がある)
・品質はものによって重みづけが違い、管理していく。
さらに関係者によって重みづけが違う。
・品質特性を左右するもの
エンドユーザーの要求
ビジネス・組織の要求
開発サイドのステークフォルダ
ステークフォルダの力関係
・すべてのステークフォルダごとに異なる要求と重みづけの品質特性のバランスを取り、高い技術力を持ってゴールを定め、設計のゴールに向けて進めることのできる人。
・コードからviewとviewポイントを導き出すのは無理
・コードを書くために必要な設計書がアーキテクチャ記述(書かされた設計書は違う)
・アーキテクチャ事態を表した文書はない。アーキテクチャ記述の集合がアーキテクチャとして考える。
・品質特性・プライオリティの設計
・それに基づいた関心毎の分離の繰り返し
・プログラミング言語・パラダイムへの理解と知識
・各実装に対する理解と知識とインデックス
・思考停止ではなく、一人ひとりの要求を理解する必要がある。
・何かの品質特性が0ではそもそもそのシステムの価値がなくなることが多い。
・さまざまな手段・技術のメリット、デメリットを整理し、品質特性に合わせる。
■ブラウザとセキュリティ 安全なWEBのために
http://www.slideshare.net/hebikuzure/browser-andsecurity2015
これからもMicrosoft関連の学習をして将来はMVPを目指したいと思う今日この頃です。
以下、メモ
MVP Community Camp 2015
http://mvp.microsoft.com/ja-jp/comcamp.aspx
■改めてLightSwitchでWeb開発&Office 365開発
・ライセンス認証はADとフォームによるID・パスワード認証の2種類がある。
おすすめはAzure ADを利用した認証。管理が容易。
■Windows Server Technical Preview Hyper-Vの新機能
・SLAT必須など古いコンピュータでは稼働できない
・Windows server 2012 R2のVMをTechnical PreviewへはVMのバージョンせずに移動できる。VMのバージョンアップをしなければそのまま戻すこともできる。もちろん、同居も可能。
VMのバージョンアップをするとパフォーマンスが向上する。
・プロダクションチェックポイント
Disk上に完全な整合性を保ったまま、バックアップからもどしたようにリストアできる。
・NICを動的に追加、削除ができるようになった。
また、仮想MACアドレスの指定も可能になった。
・メモリのホットアドの追加、削減が可能になった。
・OpenGL4.4、OpenCL1.1、DirectX11をサポート。
■PaaS指向で クラウドデザインパターンを実装！その本音と建前
・PaaSはどこまで自分で面倒を見るのかものによって違うので注意。
・クラウドを前提して考えるのではなく業務とアプリケーションの状態によって、構築方法を選ばないといけない。
・コスト下げた分、リスクが上昇し、リスクが問題になったときのコストが増えている。
・保守を行っていくとシステムは複雑化する。システムは意図的に作り替えるという覚悟が必要。
・メインフレームの完全性からクラウドの壊れてもほっとく(復元性がある)時代に変化している。
・スケールアウトが可能なインフラを作ったものの、運用体制を変えなかったため、運用コストが高くなった。
メンテナンス性の高いプログラムはハイスキルが必要だがメンバーが育っていない。
・非機能要件が難しくなってきた。ページによって違ったり、システムによって違ったりする。
非同期のアプリケーション、自動化された運用性、システムを切り離せるようにする。
・CQRSパターン＝参照は早くして、更新は非同期というデザインパターン
デザインパターンを決めるのはどのタイミングで誰が決めるのか？
→ないし、いない。
さらにメンテナンス性が高く、オフショアを利用しなくてはいけない。
・Azureは壊れる前に予防保守をしている。
・クラウドデザインパターンを考える時間が非常に長くなっているため、業務ロジックを使う時間はほぼ無くなった。
・キャッシュ化したのに早くならない。
性能がでない原因を追究しないとだめ。
・データをユーザーがどう使う、どれくらい使うパターンによってキャッシュのパターンが違う。
・コマンドキューで分散処理化してもバッチ処理が遅くなった。
・PaaS Dでリトライパターンを導入。
ライブラリが未対応だった・・・テストしないと気が付かないけど、テスト難しい。
・クラウド時代は制約が大きくなった。そのため、設計者・プログラマにハイスキルが必要になった。
■インフラアーキテクチャ実践（仮題) Grasysの紹介
・インフラエンジニアの仕事は以下に分解できる。
bootstrap
provisioning
configration
clustreing
monitoring
operation
deployment
・必要な作業を分類して、作るツールを体系化。
・bootstrapに入れるのがよい。
・要件定義のことを考えないと運用コストが上がってしまう。
・基本はオーケストレーションで対応。
・google cloud platform
DNSを返さずにロードなランサーがregionへ分散可能
nvmeというインターフェースで75万IOPS
同じリュージョン内のネットワークは6Gbpsくらい
各国に入ってから独自網に入るみたいで安定している。
■software architecture とは
・ソフトウェア開発は人が無策で挑むには難しすぎる。また、機能特性と品質特性が必要。
(人間工学品質特性)
・アーキテクチャは非機能要件に強く影響している。
同じ機能を満たしていても別の構造になることがあり、違う品質特性になる。
・アーキテクチャ設計のゴールがどこかわからない。
また、行き方がわからない。(総合的技術力でカバーできる場合がある)
・品質はものによって重みづけが違い、管理していく。
さらに関係者によって重みづけが違う。
・品質特性を左右するもの
エンドユーザーの要求
ビジネス・組織の要求
開発サイドのステークフォルダ
ステークフォルダの力関係
・すべてのステークフォルダごとに異なる要求と重みづけの品質特性のバランスを取り、高い技術力を持ってゴールを定め、設計のゴールに向けて進めることのできる人。
・コードからviewとviewポイントを導き出すのは無理
・コードを書くために必要な設計書がアーキテクチャ記述(書かされた設計書は違う)
・アーキテクチャ事態を表した文書はない。アーキテクチャ記述の集合がアーキテクチャとして考える。
・品質特性・プライオリティの設計
・それに基づいた関心毎の分離の繰り返し
・プログラミング言語・パラダイムへの理解と知識
・各実装に対する理解と知識とインデックス
・思考停止ではなく、一人ひとりの要求を理解する必要がある。
・何かの品質特性が0ではそもそもそのシステムの価値がなくなることが多い。
・さまざまな手段・技術のメリット、デメリットを整理し、品質特性に合わせる。
■ブラウザとセキュリティ 安全なWEBのために
http://www.slideshare.net/hebikuzure/browser-andsecurity2015
2015年1月30日金曜日
【参加】ITpro Active製品選択支援セミナー アプリケーションパフォーマンス管理～攻めの運用でビジネスに貢献する～
アプリケーションのパフォーマンスというよりはパフォーマンス全般の監視、管理、改善に関する内容が入っていました。
パフォーマンスの難しさは昔から感じていましたが、改めて話を聞くと多くの知識が必要だと感じました。そのためにも関係者で協力して対応しないといけないと感じました。
昔、ある人が『がんばって性能を確保するより、ハードにお金をかければいいんだ』という話を聞きました。
その言葉は正しいですが、それは設計が正しいなどの前提があるのだと感じました。
以下、メモ。
ITpro Active製品選択支援セミナー
アプリケーションパフォーマンス管理～攻めの運用でビジネスに貢献する～
日程：2015年1月30日(金) 13:00～17:20
会場：ソラシティホールEAST](ソラシティカンファレンスセンター)
主催：ITpro Active
A-1 アプリケーションパフォーマンスを最大化するためのインフラ／運用管理とは
・2000年まではシステムをしっかりと作ることが求められ、～2005年に経営戦略との連携が求められるようになった。～2010年はビジネス的効果を求められる。近年は変革が求められる。
・経営者が求めるIT戦略のテーマ
売上増大への直接的な貢献
業務コスト削減
顧客サービスの向上
・IT動向の重要指数はIT基盤の統合・再構築
IT基盤が足を引っ張り、目的が実現できないことが問題になっている企業が多い。
・基盤への投資意欲は、スマートデバイス、ネットワーク(特に無線)、クラウドに集中している。
・基盤関連のコンサルティングを実施するとスマートデバイス、ネットワーク、クラウド、IT基盤が必ずテーマになる。
・今までは情報システム部門の目的を達成するためのIT基盤であったが、近年は業務部門の目的を達成するためのIT基盤になっている。
・UXの向上によってROIの改善効果があることがITRの調査で分かっている。(Webサイトの場合)
社内システムでもUX向上によって生産性が倍以上の効果が出る。
UXの向上でシステム利用率は3倍になる。
・UXは作ってみて使ってみないとわからないため、プロトタイプを作ってPDCAサイクルを回すしかない。
・UX中心設計／開発／運用の方法論、ITインフラ、評価・フィードバックが必要。
A-2 Splunkを示すEnterpise APM ～APM Big Data を提供するdynaTrace～
・近年はWEBサービスが広まり、ユーザーニーズが向上している。
特にレスポンスに対する要求が強い。
・ログの種類が多くなりトラブル時やレスポンス悪化時にどれを見れば良いのかわからなくなっている。
→ログ全体を可視化できるツールが必要。
・dynaTraceは各サーバにエージェントを導入し、該当サーバを利用した際にユニークIDを振ってログを出力し、次のサーバに渡す。
その後、管理サーバに送り、レポート化する。
・dynaTraceであれば、すべてのユーザ、すべてのサーバの情報を取得しているため、一気通貫でログの関連付けができ、どこにボトルネックがあるわかりました。
・dynaTraceは他製品よりもサーバへの負荷が圧倒的に低い。
・dynaTraceの実績はグローバルで1000社程度、国内で40社。
・dynaTraceのライセンス体系はインストールしたエージェント数によって決まる。
・splunkはログの可視化のためのツールだが、実際はログ取得によって不正操作がないかセキュリティのために使うことも多い。
・splunkを利用し、ログデータから現在の発注された商品の現状を見せることができるようになった。
・サポートがよい企業を体験するとロイヤル顧客になる。
・見たいデータを瞬時に探すことができる。
・2月はどこのサイトでも最も売り上げが落ちるためキャンペーンを実施する。
キャンペーンの効果が出ているかリアルタイムで把握し、必要に応じた対応をしたい。
・ログを可視化することでパフォーマンス劣化の予兆を事前に設置して顧客の満足度を向上できるようにしている。
・splunkは世界100か国で利用され、国内で1500社。
・splunkのライセンスはログ容量で決まる。
A-3 のためのアプリケーション可視化・最適化・高速化
～クラウドを含めたアプリケーション・ネットワークのパフォーマンス向上～
・製造業等は海外に拠点を持っていることが多く、WANの高速化の要求がある。
・WAN高速化製品はリバーベッドとCiscoの2強。
・安全性、柔軟性、信頼性、高いパフォーマンスがユーザのネットワークに対する要求。
・SteelHeadはWANの高速化、SteelCentralはネットワークの可視化ができる。
・SteelHeadはバイトキャッシュを採用している。重複排除している。
さらに、拡張TCPを利用して高速化している。
・akamaiとriverbedで連携しインターネットのルートを最適化して、WAN高速化の限界を超えている。
・今後、クラウドの適応範囲を増やし、高速なクラウド利用環境を目指す。
A-4 Mobile App が主役の時代のAPM：CA Mobile App Analytics & CA APM9.7
・モバイルアプリケーションは利用しているアプリケーションが多い割に逆に使わなくなってしまうアプリケーションも多い。
・課題
アプリケーションレビューの評価が低く、SNSなどでネガティブな情報が拡散されてしまう。
アプリケーションの品質を保つことができない。利用環境が多様でありすべてをテストすることができないため、ユーザからの報告ないと気が付かない。
ユーザに十分な体感を与えることができていない。
・CA MAAをアプリに入れてユーザがインストールするとユーザのスマートフォンから利用状況、クラッシュ情報をサーバに送る。
WebはAPMで監視し、ネイティブとハイブリッドはMAAで監視する。
・収集したデータから、インストールの状況、アンインストール状況、利用状況(利用時間、利用回数)、クラッシュ情報のレポートが作成できる。
クラッシュレポートはクラッシュの種類の分析もでき、アプリ開発のインプットとしてテスト改善につなげることができる。
・MAAは昨年にリリースされたばかりの新商品。CAが自社で開発した製品。
A-5 アプリケーション性能を管理するのに必要なこと
・性能という言葉は人によって使い方が違うため、要件を決めるときに言葉の整理が必要。
また、必ず検証できるものだけで整理しないといけない。
・オンラインアプリはレスポンスタイム(処理時間と応答時間)とスループット
・バッチアプリは処理時間と処理可能データ量。
・性能を考えるうえでの原則
ボトルネックを改善せよ
何事も計測すべし
仮説検証を繰り返せ
・性能チェックはどういうライフサイクルで使っていくかが重要。
ツールだけでは要因特定は難しいため、ツールを使って要因を探す。
・性能を決定する要因
外的要因(同時アクセス数)
内的要因(データ量)
ミドルウェア特性(処理内容、システムリソースの利用方法)
アプリロジック(処理内容、システムリソースの利用方法)
ミドルウェア特性とアプリロジックは作るときに考えること。痛い目にあいやすい。
外的要因と内的要因は保守の中で発生する。予兆があるため見逃さないようにする。
・性能改善の技術は以下の4つしかない。
圧縮、キャッシュ、分散、計算量の減少。
・分散はステートレスとステートフルの場合とある。
・システムのライフサイクル(要件定義から廃棄まで)の各工程で性能を意識する必要がある。特に運用設計の性能監視を忘れがち。
・性能は個人やチームの責任ではなく、プロジェクト全体の問題であるため、関係者で協力しあって目標達成に向けて対応することが必要。
パフォーマンスの難しさは昔から感じていましたが、改めて話を聞くと多くの知識が必要だと感じました。そのためにも関係者で協力して対応しないといけないと感じました。
昔、ある人が『がんばって性能を確保するより、ハードにお金をかければいいんだ』という話を聞きました。
その言葉は正しいですが、それは設計が正しいなどの前提があるのだと感じました。
以下、メモ。
ITpro Active製品選択支援セミナー
アプリケーションパフォーマンス管理～攻めの運用でビジネスに貢献する～
日程：2015年1月30日(金) 13:00～17:20
会場：ソラシティホールEAST](ソラシティカンファレンスセンター)
主催：ITpro Active
A-1 アプリケーションパフォーマンスを最大化するためのインフラ／運用管理とは
・2000年まではシステムをしっかりと作ることが求められ、～2005年に経営戦略との連携が求められるようになった。～2010年はビジネス的効果を求められる。近年は変革が求められる。
・経営者が求めるIT戦略のテーマ
売上増大への直接的な貢献
業務コスト削減
顧客サービスの向上
・IT動向の重要指数はIT基盤の統合・再構築
IT基盤が足を引っ張り、目的が実現できないことが問題になっている企業が多い。
・基盤への投資意欲は、スマートデバイス、ネットワーク(特に無線)、クラウドに集中している。
・基盤関連のコンサルティングを実施するとスマートデバイス、ネットワーク、クラウド、IT基盤が必ずテーマになる。
・今までは情報システム部門の目的を達成するためのIT基盤であったが、近年は業務部門の目的を達成するためのIT基盤になっている。
・UXの向上によってROIの改善効果があることがITRの調査で分かっている。(Webサイトの場合)
社内システムでもUX向上によって生産性が倍以上の効果が出る。
UXの向上でシステム利用率は3倍になる。
・UXは作ってみて使ってみないとわからないため、プロトタイプを作ってPDCAサイクルを回すしかない。
・UX中心設計／開発／運用の方法論、ITインフラ、評価・フィードバックが必要。
A-2 Splunkを示すEnterpise APM ～APM Big Data を提供するdynaTrace～
・近年はWEBサービスが広まり、ユーザーニーズが向上している。
特にレスポンスに対する要求が強い。
・ログの種類が多くなりトラブル時やレスポンス悪化時にどれを見れば良いのかわからなくなっている。
→ログ全体を可視化できるツールが必要。
・dynaTraceは各サーバにエージェントを導入し、該当サーバを利用した際にユニークIDを振ってログを出力し、次のサーバに渡す。
その後、管理サーバに送り、レポート化する。
・dynaTraceであれば、すべてのユーザ、すべてのサーバの情報を取得しているため、一気通貫でログの関連付けができ、どこにボトルネックがあるわかりました。
・dynaTraceは他製品よりもサーバへの負荷が圧倒的に低い。
・dynaTraceの実績はグローバルで1000社程度、国内で40社。
・dynaTraceのライセンス体系はインストールしたエージェント数によって決まる。
・splunkはログの可視化のためのツールだが、実際はログ取得によって不正操作がないかセキュリティのために使うことも多い。
・splunkを利用し、ログデータから現在の発注された商品の現状を見せることができるようになった。
・サポートがよい企業を体験するとロイヤル顧客になる。
・見たいデータを瞬時に探すことができる。
・2月はどこのサイトでも最も売り上げが落ちるためキャンペーンを実施する。
キャンペーンの効果が出ているかリアルタイムで把握し、必要に応じた対応をしたい。
・ログを可視化することでパフォーマンス劣化の予兆を事前に設置して顧客の満足度を向上できるようにしている。
・splunkは世界100か国で利用され、国内で1500社。
・splunkのライセンスはログ容量で決まる。
A-3 のためのアプリケーション可視化・最適化・高速化
～クラウドを含めたアプリケーション・ネットワークのパフォーマンス向上～
・製造業等は海外に拠点を持っていることが多く、WANの高速化の要求がある。
・WAN高速化製品はリバーベッドとCiscoの2強。
・安全性、柔軟性、信頼性、高いパフォーマンスがユーザのネットワークに対する要求。
・SteelHeadはWANの高速化、SteelCentralはネットワークの可視化ができる。
・SteelHeadはバイトキャッシュを採用している。重複排除している。
さらに、拡張TCPを利用して高速化している。
・akamaiとriverbedで連携しインターネットのルートを最適化して、WAN高速化の限界を超えている。
・今後、クラウドの適応範囲を増やし、高速なクラウド利用環境を目指す。
A-4 Mobile App が主役の時代のAPM：CA Mobile App Analytics & CA APM9.7
・モバイルアプリケーションは利用しているアプリケーションが多い割に逆に使わなくなってしまうアプリケーションも多い。
・課題
アプリケーションレビューの評価が低く、SNSなどでネガティブな情報が拡散されてしまう。
アプリケーションの品質を保つことができない。利用環境が多様でありすべてをテストすることができないため、ユーザからの報告ないと気が付かない。
ユーザに十分な体感を与えることができていない。
・CA MAAをアプリに入れてユーザがインストールするとユーザのスマートフォンから利用状況、クラッシュ情報をサーバに送る。
WebはAPMで監視し、ネイティブとハイブリッドはMAAで監視する。
・収集したデータから、インストールの状況、アンインストール状況、利用状況(利用時間、利用回数)、クラッシュ情報のレポートが作成できる。
クラッシュレポートはクラッシュの種類の分析もでき、アプリ開発のインプットとしてテスト改善につなげることができる。
・MAAは昨年にリリースされたばかりの新商品。CAが自社で開発した製品。
A-5 アプリケーション性能を管理するのに必要なこと
・性能という言葉は人によって使い方が違うため、要件を決めるときに言葉の整理が必要。
また、必ず検証できるものだけで整理しないといけない。
・オンラインアプリはレスポンスタイム(処理時間と応答時間)とスループット
・バッチアプリは処理時間と処理可能データ量。
・性能を考えるうえでの原則
ボトルネックを改善せよ
何事も計測すべし
仮説検証を繰り返せ
・性能チェックはどういうライフサイクルで使っていくかが重要。
ツールだけでは要因特定は難しいため、ツールを使って要因を探す。
・性能を決定する要因
外的要因(同時アクセス数)
内的要因(データ量)
ミドルウェア特性(処理内容、システムリソースの利用方法)
アプリロジック(処理内容、システムリソースの利用方法)
ミドルウェア特性とアプリロジックは作るときに考えること。痛い目にあいやすい。
外的要因と内的要因は保守の中で発生する。予兆があるため見逃さないようにする。
・性能改善の技術は以下の4つしかない。
圧縮、キャッシュ、分散、計算量の減少。
・分散はステートレスとステートフルの場合とある。
・システムのライフサイクル(要件定義から廃棄まで)の各工程で性能を意識する必要がある。特に運用設計の性能監視を忘れがち。
・性能は個人やチームの責任ではなく、プロジェクト全体の問題であるため、関係者で協力しあって目標達成に向けて対応することが必要。
2015年1月19日月曜日
【参加】第5回PPMAセミナー ITプロジェクトにおけるコスト管理の進め方
コスト管理に特化した内容と思い参加しましたが、定量的プロジェクトマネジメントについての内容が多かった。
しかし、プロジェクトにおけるコスト管理の前提として定量的プロジェクトマネジメントは必要なのだと理解できた。
今回は経理に特化したプロジェクトとの関係の説明があったが、現実的には1つのプロジェクトはIT資産管理プロセスや文書管理プロセス等、様々なプロセスと連携する必要があるため、どうやってそういった情報をプロジェクトマネジメントと組み合わせていくか考える必要があることを改めて感じた。
しかし、プロジェクトにおけるコスト管理の前提として定量的プロジェクトマネジメントは必要なのだと理解できた。
今回は経理に特化したプロジェクトとの関係の説明があったが、現実的には1つのプロジェクトはIT資産管理プロセスや文書管理プロセス等、様々なプロセスと連携する必要があるため、どうやってそういった情報をプロジェクトマネジメントと組み合わせていくか考える必要があることを改めて感じた。
第5回 PPMAセミナー ITプロジェクトにおけるコスト管理の進め方
■目次
- ＩＴプロジェクトでは何故コストコントロールが上手くいかないか？
- 次世代の定量的プロジェクト管理ツール「EPM Base」について
- 「さくら会計」におけるＩＴプロジェクトの原価管理について
1.ＩＴプロジェクトでは何故コストコントロールが上手くいかないか？
・製造業が発達している日本の中で、改善サイクルがITは遅れている。
・ホームページを中心に依頼を受ける体制になっている。
・経営者は細かいことは聞きたくないというのが基本。
・遅延の前兆をとらえることができず、いきなり遅延になる印象。
・進捗会議を何のためにどういうことをしたいのか明確になっていない。
・プロジェクトの状態の情報を表すデータがない。
・計測性があって、再現性があるから有効なコントロールができる。
・日本人はデータに基づいて、サイクルを回して検証を重ねることで仮説の精度を上げていくことが得意。
→プロジェクトでも同じアプローチをしよう。
・ITのプロジェクトは1回性があるため、2段構えで標準を作る必要がある。
WBSを積み上げて×単価(各人のコストを積み重ねる)
プロジェクトの過去の実績をためて標準の単価を導きだす。
まとめ
・プロジェクトマネジメントを定量的に実施することで以下の目標を達成する。
①経営者に対してプロジェクトの進捗状況を根拠ありで説明できるようにする。
②プロジェクトをモニタリングすることで改善プロセスに入れる。
・プロジェクトで収集しないといけないデータは非常に多いため、運用負荷を下げるための工夫が必要。
・運用負荷を下げるためにツールを入れることが多いが、全体的なプロジェクトマネジメントの考え方を整備したうえで補助的な位置づけとしてツール導入するとよい。
2．次世代の定量的プロジェクト管理ツール「EPM Base」について
・大きいプロジェクトであればあるほど、失敗のリスクが高い。
→小さいプロジェクトに機能・アプリケーションごとに分割して開発する。
→プロジェクトの状況把握が困難。品質がバラバラ。問題解決の判断が遅延しやすい。
・定量的プロジェクトマネジメントのよいところはベンチマークができる。
・ISO/IEC29155-1に準拠
・PMBOKに準拠した定量的プロジェクト管理
・複数プロジェクトの横断的管理
・グラフによる視覚的＆リアルタイム把握
・累積プロジェクトデータの統計解析
・インポート/エクスポート機能グラフのファイル出力(Excel、MS、Prohect、csv、PDF、word、PowerPoint)
・コストマネジメントは月次では対処が遅れる。
日々のモニタリング、管理、改善が必要。
まとめ
・EPM-Xの後継であるEPM Baseは以下のような特徴がある。
①定量的プロジェクトマネジメントを行うに当たり、EPM Baseのようなツールは非常に有効。
②ISO/IEC29155-1、PMBOKに準拠し、EVMを取り入れている。定量的プロジェクトマネジメントだけでなく通常のプロジェクトマネジメントの際にも十分利用できる機能が備わっている。
③現在、開発現場で利用されているさまざまなツールとの連携がでできるようになっている。
また、データ収集に当たりより省力化が求められるため、自動化できるような機能が備わっている。
④企業内で多数のプロジェクトで利用することによってベンチマークに使える。
また、プログラムマネジメントをする場合に複数の進行中プロジェクトの比較もできる。
また、プログラムマネジメントをする場合に複数の進行中プロジェクトの比較もできる。
3．「さくら会計」におけるＩＴプロジェクトの原価管理について
ファッズ株式会社とは
・中小企業～大企業の業務パッケージ開発
企画/設計/実績/品質評価と、製品開発の全行程に対応が可能
業務ソリューションにおけるUI設計、画面・帳票デザインの制作が得意
・ソフトウェア開発支援及び受託開発
Windowsアプリケーション開発(ワークスアプリケーションのCOMPANYシリーズ等)
Webソリューション開発
・ソフトウェア・サービス開発事業
中小企業向け業務パッケージ「さくら会計」の開発・販売
さくら会計とは
・経理財務プロフェッショナル向けになっている。
近年のトレンドの簡単とは反して経理担当向けに専門家が利用しやすいように作っている
・UIを自由にカスタマイズしやすいように作っている。
・マルチユーザー利用可能で権限管理できる
・他のシステム・製品とインポート・エクスポートしやすいように作っている。
・EPM Baseとの連携が可能。
・多言語、多通貨、多基準、多地域に対応している。
メモ
・経理は率先して情報を出すことができなかった。
・会計側にプロジェクトの情報がないため、会計上困ることや誤った報告をしてしまっているケースが多い。
・プロジェクトの予算と実績の比較をリアルタイムでできていない。
・原価計算を行うことで経営者からプロジェクトの問題点を見ることができる。
まとめ
・さくら会計というソフトウェアはともかく、経理・総務部といった部門の業務簡略化とプロジェクトマネジメントのコスト管理を関連付けることの重要性を理解した。
①経理・総務部の業務省力化
②CEOやCFOという立場の人間がリアルタイムにシステム開発の健全性を理解することができる。
・さくら会計というソフトウェアはともかく、経理・総務部といった部門の業務簡略化とプロジェクトマネジメントのコスト管理を関連付けることの重要性を理解した。
①経理・総務部の業務省力化
②CEOやCFOという立場の人間がリアルタイムにシステム開発の健全性を理解することができる。
2014年12月17日水曜日
日本型企業が目指すエンタープライズアジャイルの世界 ～開発現場の苦労話を聞き、成功への道をイメージしよう～
日本ではアジャイルってなかなか広まらないです。
システムによって効率的な開発手法は違うと思います。
開発手法を使い分けることのできるハイスキルな人材が必要だと思っています。
メモ
日本型企業が目指すエンタープライズアジャイルの世界 ～開発現場の苦労話を聞き、成功への道をイメージしよう～
http://sec.ipa.go.jp/seminar/20141217.html
・アジャイル開発の目的はお客様の満足を最優先する。
システムを構築することが目的ではない。
・短い間隔で継続的に動くソフトウェアをリリースする。
・お客様と開発者が強調してプロジェクトを成功に導く。
・仕様の不確実性に対応するための手法。
動作するシステムにフィードバックを得て改善する。
・一方ウォーターフォールは1サイクルで効率/品質よく作る手法。
要件の変化に弱く、変化時のマネジメントが難しい。
・近年はビジネスとシステムを一緒に作っていく手法。
・開発領域はウォーターフォールの苦手な領域が増えている。
・IT環境は急激に変化しているので、有効活用していきたい。
東京海上日動あんしん生命システム構築におけるエンタープライズアジャイル事例紹介
・どこでどのようなテストが行われているのか
・他部門の協力が本当に大事。プロジェクトで制御できないプロジェクト外のメンバーが協力してもらわないとプロジェクトが進まなくなってしまう。
・アジャイル開発は『守破離』
まずはやってみるからスタートし、改善をしていく。
・実績
リリース：35回
振り返り：49回
・要件定義で作るものをある程度決めておく。
予算は少し多めにとって、要件変更に対応した。
「企業システムにおける意志決定とITサービス運営について」ユーザ企業との協業によるエンタープライズアジャイルの支援～東京商工リサーチの事例～
・ITサービスをいかに回し、事業の価値を見出すことが重要。
アジャイルはそれなりできていればよい。厳密性は重要ではない。
・保守とは別に3か月に一回定期リリースでUIの改善を行う。
・上記とは別に新機能を追加時は、ウォーターフォールで開発を実施。データの種類・量に変更が入る場合は、ウォーターフォールの方がよい。
・リリース準備でユーザにバージョンアップ内容の説明等を実施。
・定期改善は経営者の意思決定を定期的に行うことができるようになった。
・ユーザ企業内にプロダクトオーナーが存在し、ステークホルダーの説得・調整をしてもらわないと進まない。
・組織内のステークホルダーや顧客/利用者のニーズの優先順位を一番理解しているのは誰か？
基本的にいない。様々な部署に散らばっている。
組織間の連携をどのように意思決定プロセスを行うかが重要。意思決定プロセスの中でステークホルダーにプロダクトオーナーの役割をはたしてもらう。
・バッファの管理はユーザ側で実施してもらわないといけない。
アジャイル開発の現状と課題について
エンタープライズアジャイル、海外動向と日本の現状
・世界的にエンタープライズアジャイルが注目され、特化したシンポジウムなどが行われている。
・2001年にアジャイルマニフェストができた。様々な手法をまとめてそう呼ぶようになった。リーンソフトウェアが入り、技術的な話からビジネス担当にもわかるようになった。
・2011年にリーンスタートアップが提唱されビジネスのサイクルと開発のサイクルが合わさった。
・世界最大のアジャイルカンファレンス2014
参加者のほとんどが高齢者
聞くよりも話すことが参加の目的になっている。
・エンタープライズアジャイルに以下が関係しているがまだ語られていない。
大企業
チームから組織へ
組織変革
ITを超えてアジャイルを採用
管理職の役割
人事査定
オフショアやアウトソーシング
・2大エンタープライズアジャイルフレームワーク
SAFe
DAD
・SAFe
リーダーシップの集団での開発。また、経営層の思いを実現する集団。
システム思考で見る
アジャイルマニフェストを順守すること
lmplement プロダクトデベロップメントフロー
知的生産活動のモチベーション
リーンソフトウェア開発＝アジャイル開発
リーン＝現場で考える人々
・DAD
経営層の考えていることをアジャイルの手法の適応だけでは実現できない。DADはそれらをつなげるフレームワーク
ゴール思考で作られている
DADにはフェーズがある。
モデリングなしのアジャイル開発は危険
・ユーザ企業にエンジニアが少なくベンダーに構築を依頼するという社会構造がアジャイル導入を阻害している。
・マネジメントの意識が変わらないとアジャイルの適応は難しい
・政府のような受発注形態では難しい。
システムによって効率的な開発手法は違うと思います。
開発手法を使い分けることのできるハイスキルな人材が必要だと思っています。
メモ
日本型企業が目指すエンタープライズアジャイルの世界 ～開発現場の苦労話を聞き、成功への道をイメージしよう～
http://sec.ipa.go.jp/seminar/20141217.html
・アジャイル開発の目的はお客様の満足を最優先する。
システムを構築することが目的ではない。
・短い間隔で継続的に動くソフトウェアをリリースする。
・お客様と開発者が強調してプロジェクトを成功に導く。
・仕様の不確実性に対応するための手法。
動作するシステムにフィードバックを得て改善する。
・一方ウォーターフォールは1サイクルで効率/品質よく作る手法。
要件の変化に弱く、変化時のマネジメントが難しい。
・近年はビジネスとシステムを一緒に作っていく手法。
・開発領域はウォーターフォールの苦手な領域が増えている。
・IT環境は急激に変化しているので、有効活用していきたい。
東京海上日動あんしん生命システム構築におけるエンタープライズアジャイル事例紹介
・どこでどのようなテストが行われているのか
・他部門の協力が本当に大事。プロジェクトで制御できないプロジェクト外のメンバーが協力してもらわないとプロジェクトが進まなくなってしまう。
・アジャイル開発は『守破離』
まずはやってみるからスタートし、改善をしていく。
・実績
リリース：35回
振り返り：49回
・要件定義で作るものをある程度決めておく。
予算は少し多めにとって、要件変更に対応した。
「企業システムにおける意志決定とITサービス運営について」ユーザ企業との協業によるエンタープライズアジャイルの支援～東京商工リサーチの事例～
・ITサービスをいかに回し、事業の価値を見出すことが重要。
アジャイルはそれなりできていればよい。厳密性は重要ではない。
・保守とは別に3か月に一回定期リリースでUIの改善を行う。
・上記とは別に新機能を追加時は、ウォーターフォールで開発を実施。データの種類・量に変更が入る場合は、ウォーターフォールの方がよい。
・リリース準備でユーザにバージョンアップ内容の説明等を実施。
・定期改善は経営者の意思決定を定期的に行うことができるようになった。
・ユーザ企業内にプロダクトオーナーが存在し、ステークホルダーの説得・調整をしてもらわないと進まない。
・組織内のステークホルダーや顧客/利用者のニーズの優先順位を一番理解しているのは誰か？
基本的にいない。様々な部署に散らばっている。
組織間の連携をどのように意思決定プロセスを行うかが重要。意思決定プロセスの中でステークホルダーにプロダクトオーナーの役割をはたしてもらう。
・バッファの管理はユーザ側で実施してもらわないといけない。
アジャイル開発の現状と課題について
エンタープライズアジャイル、海外動向と日本の現状
・世界的にエンタープライズアジャイルが注目され、特化したシンポジウムなどが行われている。
・2001年にアジャイルマニフェストができた。様々な手法をまとめてそう呼ぶようになった。リーンソフトウェアが入り、技術的な話からビジネス担当にもわかるようになった。
・2011年にリーンスタートアップが提唱されビジネスのサイクルと開発のサイクルが合わさった。
・世界最大のアジャイルカンファレンス2014
参加者のほとんどが高齢者
聞くよりも話すことが参加の目的になっている。
・エンタープライズアジャイルに以下が関係しているがまだ語られていない。
大企業
チームから組織へ
組織変革
ITを超えてアジャイルを採用
管理職の役割
人事査定
オフショアやアウトソーシング
・2大エンタープライズアジャイルフレームワーク
SAFe
DAD
・SAFe
リーダーシップの集団での開発。また、経営層の思いを実現する集団。
システム思考で見る
アジャイルマニフェストを順守すること
lmplement プロダクトデベロップメントフロー
知的生産活動のモチベーション
リーンソフトウェア開発＝アジャイル開発
リーン＝現場で考える人々
・DAD
経営層の考えていることをアジャイルの手法の適応だけでは実現できない。DADはそれらをつなげるフレームワーク
ゴール思考で作られている
DADにはフェーズがある。
モデリングなしのアジャイル開発は危険
・ユーザ企業にエンジニアが少なくベンダーに構築を依頼するという社会構造がアジャイル導入を阻害している。
・マネジメントの意識が変わらないとアジャイルの適応は難しい
・政府のような受発注形態では難しい。
2014年12月12日金曜日
【参加】オープンソースカンファレンス.Enterprise
オープンソースカンファレンスには参加したことありますが、Enterpriseは初めてです。
展示は普通のオープンソースカンファレンスと差はありませんでしたが、セミナーがEnterprise向けになっていました。
OSSは企業においてコストダウン、品質向上のために避けてもよいですが、導入した方がよりよくなります。
一方でOSSを利用するにはそれなりのスキルが必要です。
今回のような場所に参加することで情報収集だけでなくスキルアップにも十分使えます。
講師の方々は皆さんハイレベルの人たちばかりなので是非、名刺交換を行い色々聞いてみましょう。
以下、メモ。
オープンソースカンファレンス.Enterprise
Zabbixの障害アラートをOTRSで自動運用管理
担当：株式会社アイオーアーキテクト
講師：櫻井 耕造（代表取締役）
・OTRSとはITIL準拠の運用管理OSS。コールセンターなどでも利用されている。
・AGPLv3
・OSS版とEnterprise版の区分はない。
・アドオンは有償のものが配布されている。
一般的には、最初OSSのみで導入が進むにつれて少しずつアドオンを追加していく。
・OTRS AG(ドイツ) 2001年から開発開始
・運用画面はGUIで作成できる。
・zabbixやhimonesと連携できる。
・CMDBBuild CIも運用OSSとして優秀。
Zabbix 2.4の新機能とZabbix Enterpriseサービスのご紹介
担当：Zabbix Japan
講師：寺島 広大（Zabbix Japan 代表）
・ラトビアで2005年4月に作られた
・日本支社Zbbix Japanがある。日本法人へのサポートはすべてここで行っている。
・パートナーが30法人ある。
・2.2からなくなったもの
ノード管理の機能がなくなった。アップデートすると機能が停止する。(設定のみ残る)
・カスタムヘッダーでのWEB監視
・SSL証明書を利用した以下の監視に対応
SSL証明書の有効性チェック
SSLクライアントと証明書を利用した監視
・SNMP Bulkリクエストに対応していない機器の監視
一部のネットワーク監視
WindowsのSNMPエージェントの監視
・ユーザーからの要望によってパラメータなどを一部修正
・2.0、2.2→2.4はZabbixがバージョンアップをサポートしているため簡単にできる。データベースの再構築も問題ない。
アップグレード後、再起動のみ。
・1.8より前のバージョンのものは今までと同様のアップデート方法になる。
・半年ごとのリリース
半年ごとのポインリリース(7か月のサポート) ※今まで1年半ごとのリリースであったため、ユーザー要望の反映が遅かった。しかし、今回のリリースサイクルになることで
3バージョンごとのLTSリリース(5年サポート)
・2.4のりイースが3か月遅れたため、2.6はリリースしない。
次は2015年5月にバージョン3.0をリリース予定。
・Zabbix 1.8は2014年11月にサポートが終了しているため、早めのバージョンアップをしてほしい。セキュリティアップデートもしない。
業務で使えるオープンソースアプリケーション一挙紹介（文書管理、問合せ管理、人事給与勤怠、e-ラーニング、CRM）
担当：OSSコンソーシアム
講師：寺田 雄一（オープンソース活用研究所）、杉本 琢磨（株式会社イージフ）ほか
・liferay
企業向けポータルに特化している。
WEBサイト＝ページ単位で開発
ポートレット(機能)単位で開発
境界は曖昧。
・ポータルのスタンダードであるポートレットを準拠している
・企業で必要な機能はほとんど持っている。
・大規模利用も踏まえて、スケーラビリティに優れている。
・Alfresco
オープンソースの世界初のECM製品
コンテンツ管理システムのスタンダードであるCMIS準拠
・NemakiWare
CMIS準拠
NoSQL
文書管理に特化している。文書管理機能だけほしい場合に有効。
・CmisSync
ECMの問題点
・ファイル登録が煩雑だと利用されない。
→自分のフォルダをECMに動機するシステム。
・OTRS
・iDempiere
もともと海外でつくられていたため、多言語対応できているERP製品。
SAPの置き換えは厳しい。
オービック等の簡易ERPの入れ替えが主な選択肢となっている。
多通貨対応
多会計基準対応 同時に複数の会計基準を採用することができる。
展示は普通のオープンソースカンファレンスと差はありませんでしたが、セミナーがEnterprise向けになっていました。
OSSは企業においてコストダウン、品質向上のために避けてもよいですが、導入した方がよりよくなります。
一方でOSSを利用するにはそれなりのスキルが必要です。
今回のような場所に参加することで情報収集だけでなくスキルアップにも十分使えます。
講師の方々は皆さんハイレベルの人たちばかりなので是非、名刺交換を行い色々聞いてみましょう。
以下、メモ。
オープンソースカンファレンス.Enterprise
Zabbixの障害アラートをOTRSで自動運用管理
担当：株式会社アイオーアーキテクト
講師：櫻井 耕造（代表取締役）
・OTRSとはITIL準拠の運用管理OSS。コールセンターなどでも利用されている。
・AGPLv3
・OSS版とEnterprise版の区分はない。
・アドオンは有償のものが配布されている。
一般的には、最初OSSのみで導入が進むにつれて少しずつアドオンを追加していく。
・OTRS AG(ドイツ) 2001年から開発開始
・運用画面はGUIで作成できる。
・zabbixやhimonesと連携できる。
・CMDBBuild CIも運用OSSとして優秀。
Zabbix 2.4の新機能とZabbix Enterpriseサービスのご紹介
担当：Zabbix Japan
講師：寺島 広大（Zabbix Japan 代表）
・ラトビアで2005年4月に作られた
・日本支社Zbbix Japanがある。日本法人へのサポートはすべてここで行っている。
・パートナーが30法人ある。
・2.2からなくなったもの
ノード管理の機能がなくなった。アップデートすると機能が停止する。(設定のみ残る)
・カスタムヘッダーでのWEB監視
・SSL証明書を利用した以下の監視に対応
SSL証明書の有効性チェック
SSLクライアントと証明書を利用した監視
・SNMP Bulkリクエストに対応していない機器の監視
一部のネットワーク監視
WindowsのSNMPエージェントの監視
・ユーザーからの要望によってパラメータなどを一部修正
・2.0、2.2→2.4はZabbixがバージョンアップをサポートしているため簡単にできる。データベースの再構築も問題ない。
アップグレード後、再起動のみ。
・1.8より前のバージョンのものは今までと同様のアップデート方法になる。
・半年ごとのリリース
半年ごとのポインリリース(7か月のサポート) ※今まで1年半ごとのリリースであったため、ユーザー要望の反映が遅かった。しかし、今回のリリースサイクルになることで
3バージョンごとのLTSリリース(5年サポート)
・2.4のりイースが3か月遅れたため、2.6はリリースしない。
次は2015年5月にバージョン3.0をリリース予定。
・Zabbix 1.8は2014年11月にサポートが終了しているため、早めのバージョンアップをしてほしい。セキュリティアップデートもしない。
業務で使えるオープンソースアプリケーション一挙紹介（文書管理、問合せ管理、人事給与勤怠、e-ラーニング、CRM）
担当：OSSコンソーシアム
講師：寺田 雄一（オープンソース活用研究所）、杉本 琢磨（株式会社イージフ）ほか
・liferay
企業向けポータルに特化している。
WEBサイト＝ページ単位で開発
ポートレット(機能)単位で開発
境界は曖昧。
・ポータルのスタンダードであるポートレットを準拠している
・企業で必要な機能はほとんど持っている。
・大規模利用も踏まえて、スケーラビリティに優れている。
・Alfresco
オープンソースの世界初のECM製品
コンテンツ管理システムのスタンダードであるCMIS準拠
・NemakiWare
CMIS準拠
NoSQL
文書管理に特化している。文書管理機能だけほしい場合に有効。
・CmisSync
ECMの問題点
・ファイル登録が煩雑だと利用されない。
→自分のフォルダをECMに動機するシステム。
・OTRS
・iDempiere
もともと海外でつくられていたため、多言語対応できているERP製品。
SAPの置き換えは厳しい。
オービック等の簡易ERPの入れ替えが主な選択肢となっている。
多通貨対応
多会計基準対応 同時に複数の会計基準を採用することができる。
2014年11月19日水曜日
Modeling Forum 2014
モデリングの世界動向を知ることができて本当に良かった。
モデリングの世界は日本は純粋に遅れているなと思ったのと。学術界と産業界ですごいギャップがあることがわかった。
学術界の提案するモデリングができると理想だが、しかし現在の日本産業界でそれを実施できる人材とリソースがない。
人材は育てるしかない。リソースは省力化する方法(ツール化、ルール化する)を対応するしかないと思った。
Modeling Forum 2014
http://www.umtp-japan.org/modules/activity2/index.php?id=235
以下メモ
■システムエンジニアリングとSysML～システムをモデルで考える～
・システムズエンジニアリングとは
システムを成功裏に実現するための複数の分野にまたがるアプローチおよび手段
コンセプトから廃棄まで
複数の分野＝コミュニケーションの重要性
一つの分野でも失敗したら全体が失敗したことになるため、コミュニケーション・マネジメントが重要になる。
・頭の中にあるものを外に出すということは自分の考えを図で整理する。
見える化するためコミュニケーションが取れる。
「見える化する」「構造化する」はどのように表現するかが重要
・INCODE
MBSEの最新情報を提供
・正しい要求＋正しいインターフェース＝正しいコンポーネントを導く
・正しい要求←整合性→要求のモデル
実際に要求をモデルという形で絵にした場合、整合性が取れないことが多い。
・Cyber Physical system
ドイツのモデリング機関
システムライフサイクル全体のモデルリングを検討中。
それぞれのフェーズに応じて適切なデジタルモデルを持つ
・デジタルモデルは実システムとの整合性を保ち正しい情報を持っていないといけない。保守しきれないことが多い。
・Industry4.0では、サプレイチェーン生産の効率化にデジタルモデルをどのように活用するかがポイントになっている。2030年の実施を目指す。
・企業・組織にMBSEを導入するには時間がかかる。
・NASAは2009年から7年のロードマップですべてのドキュメント整備を行う。
・従来の文書ベースのSE活動→デジタル化→MBSE
・オペレータと対象システムはどのように相互作用を起こすのか。オペレータによる操作とコントローラによる制御の間に矛盾が生じないようにシステム構築する必要がある。
・価値駆動型システムエンジニアリング(system of systemsより)
・2025年のSEのビジョンは人と社会ニーズ、政策と事業によって変わる。
・進化を続け、多様性のある人に能力を高めることができるツールを利用し、革新し、競争圧力に対応することができる人によるエンジニアリングが必要＝人材育成
・システムは変化し付けることを前提にモデルにしないといけない。
・モデルは再利用できるはず。むしろできるように作らないのは無駄なモデリングをしている。
・モデルを用いて抽象度を上げることにより革新に導く。
・SysMLとは構造、振る舞い、要求、パラメトリック制約(数式等)
・アーキテクチャの考え方
↓operational view ： システムの使い方・動かし方
↓functional ： システムの要求される機能
↓physical ： 機能を実現するハードウェア、ソフトウェア
■分析・学習とモデリング
○アルゴリズムと分析
相関ルールが存在する Xが起きるとYが起きる
レアケースは除外する
支持度と確信度が一定以上のものを対象とする
テキストマニングでは単語を集合と考え、文章を1つのアイテムと考える。
モデリングの世界は日本は純粋に遅れているなと思ったのと。学術界と産業界ですごいギャップがあることがわかった。
学術界の提案するモデリングができると理想だが、しかし現在の日本産業界でそれを実施できる人材とリソースがない。
人材は育てるしかない。リソースは省力化する方法(ツール化、ルール化する)を対応するしかないと思った。
Modeling Forum 2014
http://www.umtp-japan.org/modules/activity2/index.php?id=235
以下メモ
■システムエンジニアリングとSysML～システムをモデルで考える～
・システムズエンジニアリングとは
システムを成功裏に実現するための複数の分野にまたがるアプローチおよび手段
コンセプトから廃棄まで
複数の分野＝コミュニケーションの重要性
一つの分野でも失敗したら全体が失敗したことになるため、コミュニケーション・マネジメントが重要になる。
・頭の中にあるものを外に出すということは自分の考えを図で整理する。
見える化するためコミュニケーションが取れる。
「見える化する」「構造化する」はどのように表現するかが重要
・INCODE
MBSEの最新情報を提供
・正しい要求＋正しいインターフェース＝正しいコンポーネントを導く
・正しい要求←整合性→要求のモデル
実際に要求をモデルという形で絵にした場合、整合性が取れないことが多い。
・Cyber Physical system
ドイツのモデリング機関
システムライフサイクル全体のモデルリングを検討中。
それぞれのフェーズに応じて適切なデジタルモデルを持つ
・デジタルモデルは実システムとの整合性を保ち正しい情報を持っていないといけない。保守しきれないことが多い。
・Industry4.0では、サプレイチェーン生産の効率化にデジタルモデルをどのように活用するかがポイントになっている。2030年の実施を目指す。
・企業・組織にMBSEを導入するには時間がかかる。
・NASAは2009年から7年のロードマップですべてのドキュメント整備を行う。
・従来の文書ベースのSE活動→デジタル化→MBSE
・オペレータと対象システムはどのように相互作用を起こすのか。オペレータによる操作とコントローラによる制御の間に矛盾が生じないようにシステム構築する必要がある。
・価値駆動型システムエンジニアリング(system of systemsより)
・2025年のSEのビジョンは人と社会ニーズ、政策と事業によって変わる。
・進化を続け、多様性のある人に能力を高めることができるツールを利用し、革新し、競争圧力に対応することができる人によるエンジニアリングが必要＝人材育成
・システムは変化し付けることを前提にモデルにしないといけない。
・モデルは再利用できるはず。むしろできるように作らないのは無駄なモデリングをしている。
・モデルを用いて抽象度を上げることにより革新に導く。
・SysMLとは構造、振る舞い、要求、パラメトリック制約(数式等)
・アーキテクチャの考え方
↓operational view ： システムの使い方・動かし方
↓functional ： システムの要求される機能
↓physical ： 機能を実現するハードウェア、ソフトウェア
■分析・学習とモデリング
○アルゴリズムと分析
相関ルールが存在する Xが起きるとYが起きる
レアケースは除外する
支持度と確信度が一定以上のものを対象とする
テキストマニングでは単語を集合と考え、文章を1つのアイテムと考える。
2014年11月17日月曜日
【参加】Architect Jump-Start Seminar ～今こそ考えるエンタープライズ向けアプリケーションのライフサイクル管理～
本セミナーはアプリケーションアーキテクト入門者用セミナーでした。
しかし、アジャイルの実現方法やALMの考え方など学ぶことが多かった。
以下メモ
○クラウド時代のアプリケーション ライフサイクルを考える
日本マイクロソフト株式会社 板倉真由美
・ALM：複雑で可視化しにくいアプリケーション・ソフトウェアの製造工程を標準化し共通するにより納期や品質の管理を可能にし、生産性を向上させることが目的
歴史は4，50年。職人芸ではなく誰でも近いレベルにしたい。
・アジャイル開発はクイックにユーザーの要求を以下に達成するか。
・クラウドを東証一部上場起動4000社のうちIaaSを導入済と回答したのは19.4％。2013年から8.3％
・新しいアプリの80％はクラウド上で開発されると予想している。
・クラウドのメリット
災害対策のデータバックアップ
フレキシブルな開発・テスト環境
モダンアプリケーション勤番
既存インフラ拡張
マルチOSサポート
基盤セキュリティ向上
・クラウド時代のALM
12か月でAzureの環境は大きく機能追加・向上した。
・クラウドでインフラをビジネスの変化に素早く対応
しかし、アプリケーションは早くなっていない。
・デイバリーサイクルは3週間で、3か月で新製品を提供する。
開発が早くなっただけでなく、開発のサイクルを回すことが大事。
・ビジネス要求をタイムリーに反映できるITがビジネスの差ベル化を推進するため、アプリケーションのスピードが求められる。
・DEVOPS：日々の業務、問題への視点、期間のプレッシャーの評価軸で考えても評価の仕方が違うため、目的が同じでもなかなか手を組むことができなかった。
・共通のゴールを持ち、お互いが見ることができ、追跡ができる成果物を共有し、なんでも自動でできるように必要。
・DEVPOSを実現するために人ではなく極力テクノロジーで解決する。
・テストの自動化は3回以上やると効果がある。
・ツールでは自動化できない部分は人で解決が必要。
例：課題の抽出、問題判別等
・Docker：非常に軽量。開発環境で成功したものをスイッチするだけで本番化できるようになるのが理想。
○TFS スクラム開発とリリース管理を使えば Rapid Release を行える!
～ Online Service Gate® クラウド サービスの開発事例
ソフトバンクテクノロジー株式会社 古賀 慎一 様
・Rapid Release：早くリリースすること
・Online Service Gate：クラウドサービス利用をするためのセキュリティゲートウェイ
・Office365と連携している。Office365が3か月でバージョンアップしているため、ついていかないといけない。
モバイルファースト、IoT
・今まではウォーターフォール
MS Projectでガントチャート、イナズマ線で進捗管理していた。
・ウォーターフォールは、
すでにやったことがある開発には強いが、初めてには弱い
見積もりから大きくぶれる
スピードを上げるにはマネージャにもメンバーにも負荷がかかる
・TFS、ソースバージョン管理だけだったが＋タスク管理、工程管理にした。
Microsoftが世界標準で提供しているので。
・スクラム開発を導入。
狙いは、多少の手戻り・未経験開発でもスケジュール・調整を簡単に、開発サイクル早くしたい、メンバー・マネージャの負荷を下げたい
・スクラムでは、バックログでやることを決める。おおよその見積もりをする。
週の初めにやるタスクを決めて全員で見積もり、週の最後に進捗確認。
1週間で大きく遅延が発生しているタスクは大きな問題が発生している。
全員で見積もるので、見積もりの精度が高い。
・TFSを使いながらスクラム開発を導入
最初はソース管理のみ
ウォーターフォールでタスク管理を導入しTFSに慣れてもらう
徐々にスクラムに切り替えていく
デイリーミーティング、見積もりポーカー
・タスクボード・バーンダウンでの確認で進捗・達成感を感じてもらう。
・毎週リリースルールにすると運用担当に無理が出る。
運用現場を状況を理解しながら、ルールを設定する。
・チームワークのためのコミュニケーション
デイリーミーティング：終わっていないタスクの問題に対応
・スクリプト計画で全員見積もる
全員で同時に見積もり結果を提示。違う場合に理由を認識する。
週次で振り返り・改善する。
・TFSの基本的な使い方から外れなければ、基本的な枠積みが崩れないように利用する。
特に目的・使い方を理解してない機能は利用しない。理解したものから利用していく。
・デプロイ・テストの課題。
最初は進捗の遅れなどが出たが、慣れてくるとバーンダウンするようになった。
見える化することでアラートに気が付き、全員が納得して対応ができる。
・早く開発して早くリリースするには、開発が早くなってもリリースする運用で遅くなってします。
・TFSでソースコードをビルドし、ビルドされたものはRelease Management Agentで配置する。開発者は承認フローを作るだけ。
・事前にビルド定義(どのソースコードをどこに出力する)、リリースパス(どういうワークフロー)、リリーステンプレート(リリースパスの設定と配置処理内容の決定)
・パッケージバージョンの確認→ステージング環境にデプロイ(PowerShellでAzureStagingに配置)→スワップでして動作確認する(スワップはPowerShellで、検証は自動)
・ダブルチェックに開発エンジニア複数名数時間アサインする必要がなくなった。
・開発・検証環境に何度でも同じリリースができるようになった。
・古典的アジャイル推進派・抵抗勢力がいる。
アジャイルは一部の天才しかできない・ドキュメントを作らない：等の誤解がある。
・ツールを使い慣れるまで時間がかかる。
・全員参加は時間かかりすぎでは？
・スクラム未経験者にはロードマップやWBSがないと進捗が分からない。
・CMMIテンプレートでは最初の見積もり時間実績時間がある。
スクラムテンプレートでは残り時間のみしか入力できない。
・ルールの明文化・意図の共有
TFSはすぐ使えるが教育には時間を十分にかけないとなんとなくやってしまう人が増えてしまう。
・どこまでやるか見極めが必要。
マニュアルとすべてやろうとすると疲弊する。無理をしないでやれることだけやること。
・リリース管理で理想的な承認フローはできない。
ちゃんと上長や運用を巻き込むこと。
しかし、アジャイルの実現方法やALMの考え方など学ぶことが多かった。
以下メモ
○クラウド時代のアプリケーション ライフサイクルを考える
日本マイクロソフト株式会社 板倉真由美
・ALM：複雑で可視化しにくいアプリケーション・ソフトウェアの製造工程を標準化し共通するにより納期や品質の管理を可能にし、生産性を向上させることが目的
歴史は4，50年。職人芸ではなく誰でも近いレベルにしたい。
・アジャイル開発はクイックにユーザーの要求を以下に達成するか。
・クラウドを東証一部上場起動4000社のうちIaaSを導入済と回答したのは19.4％。2013年から8.3％
・新しいアプリの80％はクラウド上で開発されると予想している。
・クラウドのメリット
災害対策のデータバックアップ
フレキシブルな開発・テスト環境
モダンアプリケーション勤番
既存インフラ拡張
マルチOSサポート
基盤セキュリティ向上
・クラウド時代のALM
12か月でAzureの環境は大きく機能追加・向上した。
・クラウドでインフラをビジネスの変化に素早く対応
しかし、アプリケーションは早くなっていない。
・デイバリーサイクルは3週間で、3か月で新製品を提供する。
開発が早くなっただけでなく、開発のサイクルを回すことが大事。
・ビジネス要求をタイムリーに反映できるITがビジネスの差ベル化を推進するため、アプリケーションのスピードが求められる。
・DEVOPS：日々の業務、問題への視点、期間のプレッシャーの評価軸で考えても評価の仕方が違うため、目的が同じでもなかなか手を組むことができなかった。
・共通のゴールを持ち、お互いが見ることができ、追跡ができる成果物を共有し、なんでも自動でできるように必要。
・DEVPOSを実現するために人ではなく極力テクノロジーで解決する。
・テストの自動化は3回以上やると効果がある。
・ツールでは自動化できない部分は人で解決が必要。
例：課題の抽出、問題判別等
・Docker：非常に軽量。開発環境で成功したものをスイッチするだけで本番化できるようになるのが理想。
○TFS スクラム開発とリリース管理を使えば Rapid Release を行える!
～ Online Service Gate® クラウド サービスの開発事例
ソフトバンクテクノロジー株式会社 古賀 慎一 様
・Rapid Release：早くリリースすること
・Online Service Gate：クラウドサービス利用をするためのセキュリティゲートウェイ
・Office365と連携している。Office365が3か月でバージョンアップしているため、ついていかないといけない。
モバイルファースト、IoT
・今まではウォーターフォール
MS Projectでガントチャート、イナズマ線で進捗管理していた。
・ウォーターフォールは、
すでにやったことがある開発には強いが、初めてには弱い
見積もりから大きくぶれる
スピードを上げるにはマネージャにもメンバーにも負荷がかかる
・TFS、ソースバージョン管理だけだったが＋タスク管理、工程管理にした。
Microsoftが世界標準で提供しているので。
・スクラム開発を導入。
狙いは、多少の手戻り・未経験開発でもスケジュール・調整を簡単に、開発サイクル早くしたい、メンバー・マネージャの負荷を下げたい
・スクラムでは、バックログでやることを決める。おおよその見積もりをする。
週の初めにやるタスクを決めて全員で見積もり、週の最後に進捗確認。
1週間で大きく遅延が発生しているタスクは大きな問題が発生している。
全員で見積もるので、見積もりの精度が高い。
・TFSを使いながらスクラム開発を導入
最初はソース管理のみ
ウォーターフォールでタスク管理を導入しTFSに慣れてもらう
徐々にスクラムに切り替えていく
デイリーミーティング、見積もりポーカー
・タスクボード・バーンダウンでの確認で進捗・達成感を感じてもらう。
・毎週リリースルールにすると運用担当に無理が出る。
運用現場を状況を理解しながら、ルールを設定する。
・チームワークのためのコミュニケーション
デイリーミーティング：終わっていないタスクの問題に対応
・スクリプト計画で全員見積もる
全員で同時に見積もり結果を提示。違う場合に理由を認識する。
週次で振り返り・改善する。
・TFSの基本的な使い方から外れなければ、基本的な枠積みが崩れないように利用する。
特に目的・使い方を理解してない機能は利用しない。理解したものから利用していく。
・デプロイ・テストの課題。
最初は進捗の遅れなどが出たが、慣れてくるとバーンダウンするようになった。
見える化することでアラートに気が付き、全員が納得して対応ができる。
・早く開発して早くリリースするには、開発が早くなってもリリースする運用で遅くなってします。
・TFSでソースコードをビルドし、ビルドされたものはRelease Management Agentで配置する。開発者は承認フローを作るだけ。
・事前にビルド定義(どのソースコードをどこに出力する)、リリースパス(どういうワークフロー)、リリーステンプレート(リリースパスの設定と配置処理内容の決定)
・パッケージバージョンの確認→ステージング環境にデプロイ(PowerShellでAzureStagingに配置)→スワップでして動作確認する(スワップはPowerShellで、検証は自動)
・ダブルチェックに開発エンジニア複数名数時間アサインする必要がなくなった。
・開発・検証環境に何度でも同じリリースができるようになった。
・古典的アジャイル推進派・抵抗勢力がいる。
アジャイルは一部の天才しかできない・ドキュメントを作らない：等の誤解がある。
・ツールを使い慣れるまで時間がかかる。
・全員参加は時間かかりすぎでは？
・スクラム未経験者にはロードマップやWBSがないと進捗が分からない。
・CMMIテンプレートでは最初の見積もり時間実績時間がある。
スクラムテンプレートでは残り時間のみしか入力できない。
・ルールの明文化・意図の共有
TFSはすぐ使えるが教育には時間を十分にかけないとなんとなくやってしまう人が増えてしまう。
・どこまでやるか見極めが必要。
マニュアルとすべてやろうとすると疲弊する。無理をしないでやれることだけやること。
・リリース管理で理想的な承認フローはできない。
ちゃんと上長や運用を巻き込むこと。
2014年11月12日水曜日
【参加】McAfee FOCUS JAPAN 2014
基調講演のみ参加しました。
最近のセキュリティ系のセミナーに参加するとどこでも人材不足を嘆いています。
そして、ツールでの対応の限界を感じている人が多いです。
やはり、製品以上に人の進化が求められている時代なのだと感じました。
これはセキュリティの専門家だけの話ではなく、一般のユーザを含めてのことです。
http://focusjapan.jp/
以下、メモ
・特定の国家戦略の情報を狙った標的型攻撃
133万件→508万件
広がっている
・スマートフォンを狙ったWEBサイト20倍
車、電気メーターが狙われ始めている。
グローバル化：サイバー攻撃は世界で発生する5代リスクに入っている
特徴：コストが低い、攻撃型が優位、従来のモデルではない、個人で実施できる
・サイバー空間を守ることは日本を守ることにつながる
法的整備を世界的に実施が必要
防御力、人材育成：研究、体力をつける、グローバルでの協力
・標的型メールの先の97%は海外
多重防御、デコイ
・セキュリティを統一基準策定：平均的なレベルを上げた
リスク評価し、レベルごとに対策を変える
・26.8万人＋8万人必要
・十分な能力を持っているのは1万人程度
・100万人いるエンジニアを育成し、ナレッジを高める。
・それ以上に経営層の意識を変えることが大事
・育成されない理由：人が足りない、経営層の理解が足りない。
・株主にサイバーセキュリティのリスクを提示するようにSECのガイドラインに記述がある。
最近のセキュリティ系のセミナーに参加するとどこでも人材不足を嘆いています。
そして、ツールでの対応の限界を感じている人が多いです。
やはり、製品以上に人の進化が求められている時代なのだと感じました。
これはセキュリティの専門家だけの話ではなく、一般のユーザを含めてのことです。
http://focusjapan.jp/
以下、メモ
・特定の国家戦略の情報を狙った標的型攻撃
133万件→508万件
広がっている
・スマートフォンを狙ったWEBサイト20倍
車、電気メーターが狙われ始めている。
グローバル化：サイバー攻撃は世界で発生する5代リスクに入っている
特徴：コストが低い、攻撃型が優位、従来のモデルではない、個人で実施できる
・サイバー空間を守ることは日本を守ることにつながる
法的整備を世界的に実施が必要
防御力、人材育成：研究、体力をつける、グローバルでの協力
・標的型メールの先の97%は海外
多重防御、デコイ
・セキュリティを統一基準策定：平均的なレベルを上げた
リスク評価し、レベルごとに対策を変える
・26.8万人＋8万人必要
・十分な能力を持っているのは1万人程度
・100万人いるエンジニアを育成し、ナレッジを高める。
・それ以上に経営層の意識を変えることが大事
・育成されない理由：人が足りない、経営層の理解が足りない。
・株主にサイバーセキュリティのリスクを提示するようにSECのガイドラインに記述がある。
2014年11月5日水曜日
SEC高信頼化技術セミナー 厳密な仕様記述入門
基本的に形式手法の説明とワーキングでした。
参加者は比較的組込開発の人が多かったです。
私は組込開発をやったことがないので、考え方の違いや発想の違いが非常に勉強になりました。
セミナー事態は非常に内容の濃いものになっています。そのため、若い人には向かない内容になっていました。
以下メモ
SEC高信頼化技術セミナー 厳密な仕様記述入門
http://sec.ipa.go.jp/seminar/20141105.html
日程：2014/11/05(水) 10:00～17:30
場所：独立行政法人情報処理推進機構内 会議室
○前段
・SECで調査したところQCDが予定通りいかない理由は仕様や要求がはっきりしない。
・仕様書に書く内容は何か。仕様書にどう書けばよいか。
・要求の変化に伴う、仕様変更にどう対応するか。
・フェリカネットワークスからフェリカ作成時に形式手法を導入したお話を聞くことができた。
○仕様には何を書くべきか
・課題をどう解決するかが仕様で仕様に基づいて作るものが設計。
・課題：事実、願望(要求)
事実・例：法令、理論、原則、外部、人間
願望・例：要求、提案、企画、欲望、創造、課題
・設計：アーキテクチャ、プロトコル、データ構造等
・仕様書の問題：曖昧、矛盾、未記述、個人メモ、メール
・仕様の追跡性：課題と仕様と設計の関係
・非機能要件は数値化できるもののみ形式手法で記述できる。それ以外はリマインダーになってしまう。
○記述そのものを厳密化する技法
・ステークホルダーにとって、すべての人に価値ある書き方になっているか。
・書く文章はマニュアル的に引いていくものなのか？小説のように順番に読んでいくものなのか？
・すべてのステークホルダーが読んでも同じ意味にとらえることのできる文が理想。
・仕様の正しさの確認方法は以下の通り。
①正しく「設計」できるか？
②システムの効果が正しく「振る舞い」するかどうか？
・データフロー図を最初に作ることでユーザに質問しないといけないことが明らかになる。
・発注者に仕様書を見せなくても答えることができるように作っておく必要がある。
・発注者には要求の内容と絵等を見せて会話ができるように準備をする。
・最初に仕様書の構成を決める。
・テストデータを使用とするか？現実にあるデータなので仕様と考えるのが妥当。
・いろいろな立場の人間が集まって1つの資料について話すことが大事。認識があうか確認できる。
資料
http://www.ipa.go.jp/files/000026829.pdf
参加者は比較的組込開発の人が多かったです。
私は組込開発をやったことがないので、考え方の違いや発想の違いが非常に勉強になりました。
セミナー事態は非常に内容の濃いものになっています。そのため、若い人には向かない内容になっていました。
以下メモ
SEC高信頼化技術セミナー 厳密な仕様記述入門
http://sec.ipa.go.jp/seminar/20141105.html
日程：2014/11/05(水) 10:00～17:30
場所：独立行政法人情報処理推進機構内 会議室
○前段
・SECで調査したところQCDが予定通りいかない理由は仕様や要求がはっきりしない。
・仕様書に書く内容は何か。仕様書にどう書けばよいか。
・要求の変化に伴う、仕様変更にどう対応するか。
・フェリカネットワークスからフェリカ作成時に形式手法を導入したお話を聞くことができた。
○仕様には何を書くべきか
・課題をどう解決するかが仕様で仕様に基づいて作るものが設計。
・課題：事実、願望(要求)
事実・例：法令、理論、原則、外部、人間
願望・例：要求、提案、企画、欲望、創造、課題
・設計：アーキテクチャ、プロトコル、データ構造等
・仕様書の問題：曖昧、矛盾、未記述、個人メモ、メール
・仕様の追跡性：課題と仕様と設計の関係
・非機能要件は数値化できるもののみ形式手法で記述できる。それ以外はリマインダーになってしまう。
○記述そのものを厳密化する技法
・ステークホルダーにとって、すべての人に価値ある書き方になっているか。
・書く文章はマニュアル的に引いていくものなのか？小説のように順番に読んでいくものなのか？
・すべてのステークホルダーが読んでも同じ意味にとらえることのできる文が理想。
・仕様の正しさの確認方法は以下の通り。
①正しく「設計」できるか？
②システムの効果が正しく「振る舞い」するかどうか？
・データフロー図を最初に作ることでユーザに質問しないといけないことが明らかになる。
・発注者に仕様書を見せなくても答えることができるように作っておく必要がある。
・発注者には要求の内容と絵等を見せて会話ができるように準備をする。
・最初に仕様書の構成を決める。
・テストデータを使用とするか？現実にあるデータなので仕様と考えるのが妥当。
・いろいろな立場の人間が集まって1つの資料について話すことが大事。認識があうか確認できる。
資料
http://www.ipa.go.jp/files/000026829.pdf
2014年10月29日水曜日
エバンジェリスト養成講座 メモ
2013年8月くらいにマイクロソフトの西脇さんのエバンジェリスト養成講座を受講してきたのでその時のメモを公開します。
西脇さんはプレゼンの講師などをやっていたり、本を出版していたりしています。
プレゼンのプロといえば、西脇さんというくらい有名な方の講義に参加できて本当にためになりました。
エバンジェリスト養成講座 メモ
・最近、スマートクリックなどを利用するとインタラクティブに講師と受講生をつなぐことができるようになった。
・プレゼンを聞いた人が行動するところまで期待することがポイント。相手が行動しなかったらプレゼンは失敗。Noというのも行動。
・TEDは最近エンターテイメント性が高くなってしまった。
最近は小学生でもプレゼンを知っている。NHKのTED TOKYOを見ている人がいる。
・オリンピックが東京に決まったのは、プレゼンのおかげではなく、団体の地道な努力。
ただし、プレゼンが失敗していたら東京になることはなかった。そのため、プレゼンは絶対に失敗できない。
一番すごいと思ったのは、高円宮妃久子。トップバッターなのに3か国語で終始笑顔でやっていた。
・佐藤選手や滝川クリステルがみんな印象に残っている。それは印象や体験を話しているから。
・プレゼンの勉強会で一番多いのは金融。営業力の強化。
・化粧品の説明では、容量ではなく用量で説明する。×500ml、○3か月分
・仕様ではなく体験を説明する。
・人生はプレゼンの連続。人は成長すると伝える能力が衰えていく。赤ちゃんは一番伝える力が強く泣くだけで自分がほしいものを要求している。
・パワーポイントに向かう時間は短ければ短い方が良い。
シナリオ、伝え方に時間を使う。
・プレゼンの要素
誰に伝えるか
何を伝えるか
どうやって伝えるか
→最近はニコ生やustreamなどでこれらの要素が無くなっていることがある。
・プレゼンで緊張するのは100人くらい。全員の顔が見えるのがつらい。
そういうときは自分のプレゼンをよく聞いている人を探すのが良い。納得してくれるので緊張がほぐれる。
・昔のプレゼンはOHPだった。
・プレゼンの種類は3つ。
オーソドックス型
詳細(ビジー)型
フラッシュプレゼンテーション
・ビジー型は文字が読めないことが多いので視点誘導が大事。話すときに必要なところだけ吹き出すを出すなどのテクニックが必要。
・フラッシュプレゼンテーションはライトニングトークで有効。視点誘導がとてもしやすい。
シナリオ
・起承転結で作るのが基本。前半は問いかけ(30%)、後半は回答(70%)。
・デマンド”必要性”を植え付ける要素。
ホラーストーリー
希少性
魅力
・サクセスストーリーよりもホラーストーリーの方がデマンドを植え付けることができる。
・希少性とは時期、人数、対千葉、競合優位性、初回など
スライド作成のヒント
・「表示するだけ」「コミュニケーションをとる」スライドの2種類がある。
・色は最大でも3種類でトーンお大事にする。地の色＋2種類が基本。
・タイトルスライドはコミュニケーションを始めるきっかけになるため重要。
・画面いっぱいに使わない。空白、大小を使って視点誘導する。
・単位は20～30%小さくすると数字が協調される。数字を大きくするのはだめ(人をいらいらさせる)。
・「上から下」「左から右」が基本。ただし、グラフで右肩上がりを表現することがある。
・人には影をつけると見やすくなる。
魅力のある話し方
・プレゼンテーションの画面を見ないで受講者を見る。
・自分が想像する以上に動かないと動きは受講者に見えない。
・話しながら左右に動く。
・接続詞で振り向くとインパクトを与えることができる。
・最初と最後の言葉を決めておくと失敗しにくい。特に最後の言葉は印象に残りやすいので重要。
・プレゼンテーションは顧客視点で行う。
視点の種類は3つ。自分視点、顧客視点、神様視点。
・事実(Fact)と意見(Opinion)を合わせて話すこと。
うまくなると意見を先にできる。
資料上ではなからず事実から先に書くこと。(文法を守る)
・引用や比較は一体感を持たせやすくする。例：他者や全体
・全体時間と相対時間を組み合わせて使う。資料上は絶対時間を使うこと。
・言葉を修飾すること。名詞には必ず副詞、形容詞をつける。
・進行形表現で話すと相手に体験を与えやすい。
・話す手法としては、「体言止め」「質問と回答」「魅力のある語尾」がある。
・スライドを写すのは話し始めてからにする。スライドが先だと聞き手はスライドに目が行ってしまい話を聞いてくれない。
・話すときの注意として、言葉を間違っても訂正せず、言い切ってしまった方が良い。
ITpro EXPO 2014
2014年10月15日から10月17日に東京ビックサイトでITpro EXPO 2014が開催されました。
私は最終日に参加しました。
今年は、専用アプリもあって楽しかったです。
今年のEXPOのポイントはIoTだと思います。
大手企業はこぞってIoTに関連する技術や事例の発表を行っていました。
近年のトレンドはガードナーによると、クラウド、モバイル、ソーシャル、ビックデータだが、改めて考えるとIoTはこれらすべてを網羅していることに気が付きました。
モバイルやデバイスの情報、ソーシャルの情報にとって集まったビックデータをクラウドに送り分析する。
インテルやマイクロソフトなんかは電工でデバイスのついたラジコンや電車をブースで走らせ、そこから情報を収集してクラウドで情報を集計する方法などを紹介していました。
セミナーでは事例発表がいくつもされていました。
面白かったのは、キャノンの事例です。
プリンタの保守料金は印刷枚数によって決まるそうです。
それを今までは現地に行って枚数確認を行っていました。
その作業に人件費がすごくかかっていましたので、インターネット経由で情報を送れるようにしたそうです。
そうすることで人件費を抑えることもできたし、事前にトナー等の交換をできるようになりサービスが向上したり、故障予兆を事前に察知できるようになって、サポートもよくなったそうです。また、在庫管理も適切にできるようになったそうです。サービス等が向上したことでサイレントクレーマー(理由も言わずキャノンをやめる人)を減らすことができたとのこと。
Microsoｆｔでは、IoT時代のアーキテクチャの説明も行っていた。
IoTというと新たにデバイスを用意するなどハードルが高いように感じますが、Microsoftの提案は既存のある情報で小さくはじめようということでした。その際にMicrosoft提供するAzureを最大活用しようというものでした。MicrosoftではすでにIoTを実現しやすいようにビックデータを集計するためのHDInsigh、UIはWebsiteで作成すると良いとのこと。
現在日本にいる75万人の開発者のうち1万人をIoT時代の開発者として育てると発言もありました。
IoT時代になるとどうしてもデバイスの開発者である組み込み開発者が必要になります。しかし、この組み込み開発にIA系の開発者も参加する機会があります。最近のセンサーや小さいデバイス(ラズベリー等)にもLinux(軽量用)を入れてJavaで動かす事例も発表されている。
IoTは新しいビジネスやサービス、サービス・業務品質向上など新しい可能性を秘めています。是非この記事を読んでいるみなさんもアイディアを出して社会をよりよくしてと思っています。
次回のITpro EXPOは2015年9月30日(水)～10月2日(金)です。
私は最終日に参加しました。
今年は、専用アプリもあって楽しかったです。
今年のEXPOのポイントはIoTだと思います。
大手企業はこぞってIoTに関連する技術や事例の発表を行っていました。
近年のトレンドはガードナーによると、クラウド、モバイル、ソーシャル、ビックデータだが、改めて考えるとIoTはこれらすべてを網羅していることに気が付きました。
モバイルやデバイスの情報、ソーシャルの情報にとって集まったビックデータをクラウドに送り分析する。
インテルやマイクロソフトなんかは電工でデバイスのついたラジコンや電車をブースで走らせ、そこから情報を収集してクラウドで情報を集計する方法などを紹介していました。
セミナーでは事例発表がいくつもされていました。
面白かったのは、キャノンの事例です。
プリンタの保守料金は印刷枚数によって決まるそうです。
それを今までは現地に行って枚数確認を行っていました。
その作業に人件費がすごくかかっていましたので、インターネット経由で情報を送れるようにしたそうです。
そうすることで人件費を抑えることもできたし、事前にトナー等の交換をできるようになりサービスが向上したり、故障予兆を事前に察知できるようになって、サポートもよくなったそうです。また、在庫管理も適切にできるようになったそうです。サービス等が向上したことでサイレントクレーマー(理由も言わずキャノンをやめる人)を減らすことができたとのこと。
Microsoｆｔでは、IoT時代のアーキテクチャの説明も行っていた。
IoTというと新たにデバイスを用意するなどハードルが高いように感じますが、Microsoftの提案は既存のある情報で小さくはじめようということでした。その際にMicrosoft提供するAzureを最大活用しようというものでした。MicrosoftではすでにIoTを実現しやすいようにビックデータを集計するためのHDInsigh、UIはWebsiteで作成すると良いとのこと。
現在日本にいる75万人の開発者のうち1万人をIoT時代の開発者として育てると発言もありました。
IoT時代になるとどうしてもデバイスの開発者である組み込み開発者が必要になります。しかし、この組み込み開発にIA系の開発者も参加する機会があります。最近のセンサーや小さいデバイス(ラズベリー等)にもLinux(軽量用)を入れてJavaで動かす事例も発表されている。
IoTは新しいビジネスやサービス、サービス・業務品質向上など新しい可能性を秘めています。是非この記事を読んでいるみなさんもアイディアを出して社会をよりよくしてと思っています。
次回のITpro EXPOは2015年9月30日(水)～10月2日(金)です。
ITpro EXPO メモ
○マレーシアを利用したオフショア
中国よりも注目度が高い。
安定した世辞と経済。災害が少ないため、オフショアとしてリスクが少ない。
日本等への海底ケーブルがしっかりしている。
治安はアジア圏では日本、ニュージーランド、オーストラリア、マレーシアと4番目に良い。
生活費が非常に安いため、人件費、設備費が低い。
親日であるため日本人も移住しやすく、住民にも日本語が話せる人が多い。
ソフトウェア開発よりもDCやサポートセンターに向いている。
○リアルとデジタルをつなぐアーキテクチャ
・生活の自動化が進んでいく
・google グラスでARを利用した生活
・電力ピークカットアラーと
・スマホ、タブレットで家電の制御
・ボールの中にセンサーを入れて速度、方向を分析しスポーツの練習効率を向上
・自動車の自動走行
海外ではgoogle、Appleが力を入れている。最近Microsoftも参戦。
日本では日産が力を入れている。日産では日本の複雑な道があることを考慮に入れ、半自動化を目指している。
・3Dプリンタ
「人工関節の作成」、「CADの向上」など可能性にあふれている。しかし、利用しきれていないのが現状。
・ 医療場面では、脊髄総称に対して、コンピュータを人と脊髄の間に挟むことで回復する技術を研究中。
・人に小型のデバイスをつけて、脳波を測定し、リアルタイムでクラウドに転送し、リアルタイム分析することで、スポーツ分野、脳研究に貢献。
中国よりも注目度が高い。
安定した世辞と経済。災害が少ないため、オフショアとしてリスクが少ない。
日本等への海底ケーブルがしっかりしている。
治安はアジア圏では日本、ニュージーランド、オーストラリア、マレーシアと4番目に良い。
生活費が非常に安いため、人件費、設備費が低い。
親日であるため日本人も移住しやすく、住民にも日本語が話せる人が多い。
ソフトウェア開発よりもDCやサポートセンターに向いている。
○リアルとデジタルをつなぐアーキテクチャ
・生活の自動化が進んでいく
・google グラスでARを利用した生活
・電力ピークカットアラーと
・スマホ、タブレットで家電の制御
・ボールの中にセンサーを入れて速度、方向を分析しスポーツの練習効率を向上
・自動車の自動走行
海外ではgoogle、Appleが力を入れている。最近Microsoftも参戦。
日本では日産が力を入れている。日産では日本の複雑な道があることを考慮に入れ、半自動化を目指している。
・3Dプリンタ
「人工関節の作成」、「CADの向上」など可能性にあふれている。しかし、利用しきれていないのが現状。
・ 医療場面では、脊髄総称に対して、コンピュータを人と脊髄の間に挟むことで回復する技術を研究中。
・人に小型のデバイスをつけて、脳波を測定し、リアルタイムでクラウドに転送し、リアルタイム分析することで、スポーツ分野、脳研究に貢献。
登録:
投稿 (Atom)