20 Critical Security Controls

　１７日のSANS　Future　Visions　２００９　Tokyoの話まとめ。
　その１　アランパーカー氏２日目の講演

２つの法律・規制のはなし
（１）US FISMA（フィズマ）：報告書はできたけど・・・
（２）PCI：カード会社のきまり

５つの取り組み
（１）アプリケーションのセキュリティ
　→プログラマは、どーしてセキュアなコードを書けないか？
　　・サンプルプログラムは模範例：簡単なものしかない
　　・セキュアなプログラムのコードの書き方は、知っている
　　　　　・・・けど書けない
　→Webアプリケーションをよりセキュアにするには？５つ
　　１．アプリケーションセキュリティファイヤーウォール
　　２．アプリケーションセキュリティスキャナ
　　３．ソースコードアナライズ＆バイナリスキャン
　　４．アプリケーションペネトレーションテスト
　　　　　ペネトレーションテスト＝ペンテスト
　　５．プログラマのセキュリティスキルの評価
　　　　　外部の人のほうがやりやすい（契約で規定できるから）
　→境界を守ってもダメ：内部に・・・
　　出ていくトラフィックチェック

（２）人センサーネットワーク
　エネルギー省：シスアドがちょっとしたエラーを見つけ、報告する

（３）人材発掘
　中国の例
　アメリカの場合
　見つける→サイバーキャンプ→奨学金

（４）攻撃を理解している人が担当する
　　Consensus Audit ガイダンス（CAG)
　　実例に基づいた、コントロールに対するコンセンサス

（５）調達の考え方をかえる
　　初期設定のまま→ねらわれやすい
　　アメリカでは、Windowsをセキュアコンフィグレーションに換えた

で、このはなしのどこかにたしか、
20 Critical Security Controls
http://www.sans.org/cag/
が出てきた気がする。URLからして、CAGのところかな？

あと、その辺の話で、John Gilligan氏がでてきた。すごいひとらしい。

とにかく、アメリカは、最近、サイバー戦略について変わっていて、それが現在進行形らしい。

P.S　発表とは関係ないけど、これを書いているときに、いろいろ検索したら、
こんなのヒットしたので、メモメモ。。。
Cyberspace Policy Review
http://www.whitehouse.gov/assets/documents/Cyberspace_Policy_Review_final.pdf