ランサムウェア対策は？ 基本に忠実なセキュリティ設計でシステム寿命も長くなります

コンピューターが進化し、面倒なアップデートにも付き合い、コストも払っているのになくならないセキュリティ被害、どうしたらいいでしょう。ヒントはコンピューター、ネットワーク技術の基本理解にあります。商用OSのセキュリティの基本的な考え方は、セキュリティソフトをアドオンするのではなく、リスク要素を除きシンプルにしていくものでした。いつの間にか基本がなおざりになった感があります。インターネットが日本で使われだした頃を思い出しながら、基本注意事項をまとめました。20年、30年と使い続けられた設計や技術はシンプルで費用対効果が高く、システムの長寿命化に寄与します。

 

１．管理者権限でログインしない(必須)

Windowsで理解できないのは管理者権限でネットサーフィンが出来ることです。インターネットは自己責任です。相手が国外であれば日本の法律は無力です。交通ルールが定かでない国で運転するのと同じです。ドライブは出来ても安全ではありません。

・管理者権限のないアカウントを作成し、通常のログインはそれを使うようにします。

・アカウントのパスワードは英数字、記号などランダムな16文字以上として紙に書いて保存します。セキュリティ情報はシステムから分離の原則です。

２．セキュリティの高いブラウザを使う(是非)

広告、特に仲介業者を通したアフィリエイト広告が氾濫していて、どこに落とし穴があるか分かりません。安全なブラウザを使うことで、アフィリエイトを抑止できます。表示されない以上、クリックすることもなくなります。フィッシング詐欺対策にもなります。

お天気サイトを閲覧した例

Google chromeの画面、アフィリエイト広告を抑止できない

Firefoxの画面、アフィリエイト広告を抑止できている

３．アプリを入れない・入れさせない(必須)

管理者権限がなければアプリを入れることもできません。利用者がそれと知らずメールやWebでだまされてアプリを入れてしまう事故も起きません、ウィルスやランサムウェアの被害が発生してもはログイン権限の範囲内に留まります。

４．Windows以外のOSを使用する(是非)

ここからはシステムの専門領域ですが現在ではLinuxを選択することが多くなると思います。LinuxはオープンソースでOSの技術情報や運用ノウハウに透明性があります。良いことも悪いことも広く共有され、OSについて知ることの出来ない情報はありません。そのためセキュリティ対策を立てやすく、迅速に対応することができます。

５．ネットワークからログインできないようにする(是非)

セキュリティは流行り、廃りとは関係ありません。機密性の高い情報を扱うシステムは監督者と物理的に近い場所に設置し外部とは遮断します。利便性とセキュリティはトレードオフになります。政府、金融機関等では現在でも普通に行われていることです。

Linuxであってもネットワークからログインできないようにします。サーバというと以前はシリアルポートからの接続が基本でした。シリアルコンソールは導入・運用が容易で費用対効果が非常に高いものです（導入コストはただみたいなもの）。大企業はもちろんのこと、中小企業、スタートアップ企業にこそ導入して欲しい対策です（DDoS対策・ファイアウォール、リアルタイム侵入検知、ウィルススキャン、証跡ログなどどれだけのコストが掛かるでしょう？設定ミスは大規模トラブルの元にもなります。専門知識、専門家の助けも必要不可欠です）。

永島志津夫

全社のシステムを少ない人数で見ていれば時に見落としもあるかもしれません。
オフィスエヌ ショートレビュー5万円から。
連絡先 office.nagasima#gmail.com (#を@に変えてメールをお願い致します）

大企業よりも難しい？中小企業のシステム導入

大企業のシステムプロジェクト、バリューエンジニアリングのお手本になることはまずありません。何故でしょう？

1. 30%の保険コスト
2. 10%以上の事務局コスト
3. 10％前後の承認待ちコスト
4. 30%のエンジニア・マージン
5. さらに機器、ソフトウェアなどの調達品のマージン

どれもこれも、ユーザ、発注者からすると腹が立つコストですよね。トータルで２倍前後になります。機能、性能、品質は変わりません。納期も短くなりません。システムの寿命が長くなるということもありません。まったく最低です。

でも大企業側が自分で責任を持つから、安くしてくれという話は聞いたことがありません。システムプロジェクトの失敗が怖いからです。

しかし中小企業の社長さんが、こんなバカげたコストを認めるでしょうか？システムインテグレータが中小企業を避ける理由の１つがこれです。

ホームページくらいなら目をつぶるにしても、気になるのは販売管理、在庫管理システムです。IT業界も２０代で辞めてしまうことが多く業務知識まで頭に入っているエンジニアは大手でも多くはありません。業務要件は大企業でも中小企業でも変わりません。あたりまえですが勘が働かないと要件定義は出来ません。出来ていないことすら気付けません。

冒頭のバカけたコスト、要はシステムインテグレータの教育代です。大企業は払えても中小企業は払えません。実は中小企業のシステム導入は経験者にしかできません。中くらいのエンジニアでは出来ません。しかし規模の小さい案件に限られた経験者をアサインすることはシステムインテグレータの商売の理屈として成り立ちません。これが理由の２つ目です。

売上高100億円から1000億円の事業だと、オフコン現役というところも珍しくはありません。IBMだと AS/400、NECだと A-VX、他富士通など。そろそろ寿命も尽きます。そこで新システム構築なのですが、パッケージソフトがはまりません。大企業では逆にパッケージソフトやERPからの移行という案件も聞きます。だいたい無理にパッケージ、ERPをはめ込んだシステムは寿命が短くなります。パッケージの方が費用対効果が高いとは限りません。

お医者さんや、大工さん程ではありませんが、システムエンジニアにもヤブと腕利きがいます。腕利きにあたれば同じコストで、タフで使いやすく、長期にわたり安心、安全に使えるシステムが出来上がります。大手に依頼しても運が悪ければ、そもそもプロジェクトが進みません。疑問があればご相談ください。

永島志津夫

オフィスエヌ ショートレビュー5万円から。
全社のシステムを少ない人数で見ていれば時に見落としもあるかもしれません。

システム開発 〈見積・工数計算〉

システムの設計開発、工数計算をする側のお話です。”見積依頼” とか “提案依頼” の対応、なかなか手間を取ります。それでコンペだったり、価格交渉だったり、使った時間を回収できないこともあります。来ないと困るし、来たら大変だし。だからと言って、おろそかにできません。受注したら責任が発生します。納期、品質を守るにはそれなりのお金が必要で、工数計算間違えていたら大ごとです。その大事な工数計算、このAIの時代になっても進歩していません。逆に技術が細分化、ダイバースしたためトータルで工数を見積もれる人材が減っているのではないでしょうか？

設例）アクセサリーの卸販売を手掛ける企業から、受注業務のシステム化についての見積依頼があった。

出荷配送はサンプル品を除きすべて配送ベンダーに任せており、Webで出荷指示が可能である。ショップからの注文はメール、FAXおよび電話である。FAXが６割、メールが３割、電話が１割で取引先数は 2000件ほどである 

アイテム数はおよそ600、SKUとして3000程度だが、常時入れ変わりがある。オーダーは月平均2000件程度、多いときは5000件、担当者２、３名で平日の営業時間で対応している。 

情報はいったんこれだけだとして、明日までに概算見積が欲しいと言われています。システムの見積できるでしょうか？業界常識など書かれていない与件があるのですが、経験的にはこのシステム ￥５千万から７千万位になるかと思います。もちろん仕事では機能積上げ法の結果と突き合わせます。明日までに概算が欲しいと言われても、￥１千万の見積だしたら大変なことになります。また販売管理パッケージ提案したら物笑いになります。スクラッチです。
このシステム ￥５千万として費用対効果（投資対効果）は見合うでしょうか？２，３名でこなせる業務ですからそのままでは見合いません。同業者と共同利用のような形がとれるなら検討の価値ありです。発注側も見極めが大事です。

情報技術関係の資格試験も増えましたが、工数計算の問題がないのはなぜなのでしょう？工数計算ができないとエンジニアのキャリアも描けないですし、工数計算のできないプロジェクトマネージャーも困ります。直球の問題出してほしいです。細分化した知識試験を積み上げても工数計算も要件定義もできません。ということは知識の持ち腐れになります。
仕事仲間から聞いた話ですが、システムテストが開発工数の〇分の１、システム移行は見積なしという案件があったそうです。基幹系です。情報処理資格は一体何をクオリファイしたのでしょう？発注者のみなさん、お気を付けください。成功に必要なのはコンペよりもセカンドオピニオンです。

永島志津夫

全社のシステムを少ない人数で見ていれば時に見落としもあるかもしれません。
オフィスエヌ ショートレビュー5万円から。
連絡先 office.nagasima#gmail.com (#を@に変えてメールをお願い致します)

システム開発 原価計算・資産計上

以前取り上げた 工事進行基準廃止！ 2021年4月から強制適用の影響いかがでしょうか？分割検収が一つの手ですね。要件定義と設計開発が同時に進むようなアジャイルでは分割検収できないのでウォータフォールに逆戻りしている案件もあるのではないでしょうか。その検収ですが異質なのがAI領域ですね。納品時点では認識率が目標値に達していないことがあります。使い続ければユースケースに最適化されていくことは分かるのですが数値保証はされません。“資産計上していいのか？” 経理部さんを悩ませます。

AI技術を搭載した業務システムが導入され、自社業務・自社データで受入試験開始します。1日目で気付くと思います。“カタログスペックまず出ません”。コンピュータって賢くないです。AIだろうと電卓だろうと同じ、しょせん足し算と条件分岐の組み合わせです。コンピュータにはコンピュータに向いた仕事を定義して、単純ロジックに整理してあげないとエラーが多くて使い物になりません。それがユースケースです。ユースケースを整理できるAIはまだありません。一番面倒なところは人間仕事です。

いったん適切なユースケースが与えられれば、AIシステムは処理データ量・使用時間とともに精度が向上していきます。かな漢字変換（ATOKとか）もそうですが、使うほどにユースケースに最適化されていきます。かな漢字変換も入力効率が上がっていきます。大規模なAIシステムだと経済効果が大きなものになります。当初想定した投資対効果を上回り、めでたしとなるのですが、システムの資産価値はどうでしょうか？ソフトウェアなら5年の減価償却が基本ですね。減価償却ということは費用処理できる訳ですが、使うほどに生産性の向上するソフトで利益圧縮ができるなんて経営側から見れば打ち出の小づちです。本来なら、販管費から一部、資産に振替えていかなければならない気がします。類似するのは製造原価計算の副産物の原価控除でしょうか。

大手鉄鋼メーカーの経理部の方にお聞きしたことがあるのですが、現在の製造原価計算法は鉄鋼製造に由来しているところが少なくないそうです。AIソフトの普及、進展とともに減価償却の逆で資産が年々増える会計処理が制度化されるかもしれません。その際は単純な計上基準であってほしいですね。

ところAIソフトですが、最初からカタログスペックに近い値が出るのは不吉なサインです。自社業務のユースケースを学習させる余地がないからです。他社業務のユースケースで学習飽和したニューラルネットを再学習させるのは難しく、学習量の少ない未熟なニューラルネットを強化する方が容易です。

永島志津夫

全社のシステムを少ない人数で見ていれば時に見落としもあるかもしれません。

オフィスエヌ ショートレビュー5万円から。

連絡先 office.nagasima#gmail.com (#を@に変えてメールをお願い致します）

失敗しない要件定義 その２ 〈コミュニケーション〉

コミュニケーションについてのエピソードをご紹介します。

あるお客様から課題要望事項をまとめた一覧表がEメールで届きました。課題と思われること、課題ではないが実現できればなお良いと思われる要望があれば、ご連絡くださいと、前回の打ち合わせで私がお話したことを受けて送っていただいたものです。 

ただ一覧表を見ると担当のスタッフは驚いてしまいました。そこにはとてもご契約期間内（1ヶ月）で完了できないほど多くの事項、初めて聞く内容などがあったからです。これを一つ一つ実使用に耐える品質で実現することなど到底できません。担当者は途方に暮れかけていました。少し時間をおいてから私もそのメールと課題要望事項の一覧表を確認しました。 “まずは電話で課題要望事項として挙げた背景、理由であるとか、是非とも必要なことなのか、きいてみてはどうだろう？” と担当スタッフに話しました。幸いすぐ電話で連絡がつきました。30分程お話した内容は以下のようなものでした。  

“社内から色々と要望、課題が出てきており、その量を認識、把握する意味合いもあり一旦全て表にまとめた。要望として挙げているものも、すぐ実現が必要という認識ではなく、これから数ヶ月の中での改善を考えていく上での検討材料という位置付けである。もちろん要望を実現できるに越したことはないが、なかには相矛盾する要件も存在している。要するに、表に挙げたような要望は現在もあるし今後も出てくるであろう、そのような状況にあることをまず共有、理解してもらいたかった。”  

また、課題とされているものも一つ一つに対応するというよりは、業務に与える影響、代替手段（人手で回避、工夫できないか）、そもそも課題として挙げていることの理由、妥当性などの検討を一緒にしたい。それから現実対応できるものを絞り込んで、順次対応していくプランを作ることができたら、と考えられていることが理解できました。 

いかがでしょうか？電話でのコミュニケーション。リアルタイム、インタラクティブですから効率がいいですね。テキストよりもはるかに情報量が多い分、相互理解に有利ですし、お互いの時間を共有したこと自体が価値になります。逆に、お客様から時間をとるに値しないと思われたら要件定義失敗です。電話が苦手なスタッフが増えていると聞きます。ボイスコミュニケーション、もっと活用して欲しいと思います。

永島志津夫

全社のシステムを少ない人数で見ていれば時に見落としもあるかもしれません。
オフィスエヌ ショートレビュー5万円から。
連絡先 office.nagasima#gmail.com (#を@に変えてメールをお願い致します

システムの費用対効果 〈Python AI ニューラルネット - MNIST その5〉

深層学習 Chainer で試してみました。中間層50セルが二層で、結果は97%

トレーニングデータの正解率は99.7%なのですが、テストデータは97%台でした。99%を超えるネットワークもあるようですが、中間層のアフィン変換、ノイズリダクションなどの前処理が効いているのでしょうか。単純に中間層を増やしてもテストデータの正解率はあまり上がりません。多層化が認識の本筋ではないことを示唆しています。

文字認識ではビットマップ認識（書かれた結果のみを追う）とモーション認識（手書きのプロセスを動的に追う）の2系統があり、綴り情報が複雑にはなるのですがモーション認識の方が正解率は高くなります。日本語ではこれが顕著に出ます。文字や音声など人が発する情報の場合、認識は行動（運動）を推測する側面があります。 “１と書こうとしたのかな” と推測するのですね。

当事者の考えとして興味深いものがありました。 「ディープラーニングを用いた自然言語処理の今と、ビジネス面でのネガティブな事実」 株式会社Preferred Networksの海野裕也氏のお話しです。機械翻訳ですが、量、スピードが課題で精度が落ちてもいいのでお金を払う、というシーンであれば機械学習がビジネスとして成立するとお話しされています。その通りですね。コンピュータは賢くありません、人間は優秀です。ただそれでは量、スピードが追いつかず大きな課題になっているというシーン。課題解決の効果指標は費用対効果、投資対効果で、不便になること、スイッチングコストを加味して、一般に投資対効果は10倍、最低でも3倍はないと GO されません。それくらい大きな課題であればコンピュータ化する価値ありということです。

億単位、なかには100億円単位の投資をした会社もあるようですが、多層化ばかりに投資したのではなければ良いと思います。

永島志津夫

全社のシステムを少ない人数で見ていれば時に見落としもあるかもしれません。
オフィスエヌ ショートレビュー5万円から。
連絡先 office.nagasima#gmail.com (#を@に変えてメールをお願い致します