Feli🌱

大学教員を応援する大学職員。福岡の某私大の教務と教材の執筆校正、二足の草鞋履きながら子育て中。この春から何故かPTA役員にもなり忙しくなった…。。大学、育児、理科教材、科学、教育、ジブリ、ムーミンなど雑多興味の雑多つぶやき。理化出身元理科の先生。子供は小5小2。毎日幸せだけど、毎日虫の息。。
無言フォローごめんなさい。

[Feli🌱 @Felice_ch12]

落ち込んだ時などに少しだけ浮上するために見る動画、忘れないようにツリーにメモしとくことにする。

とりあえず…
●なかやまきんに君と一橋アナ
●落とし穴にスッと落ちる鳩
●「きれいなおと」
●ハピバースデーしてもらう小澤征爾
●“Is it possible to return this?”

[Feli🌱 @Felice_ch12]

コドモンがあらかじめ止まった時にビビったけど、なるほど、鉄道の計画運休みたいなものなのかな…。。対応されてる現場の皆様ありがとう。お疲れ様です。。

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[Feli🌱 @Felice_ch12]

物語風のエピソードトークと、AIが作った昭和の中に令和がひとつ混ざってるやつと、よくわからない「どれが〇〇にふさわしい？」系のやつなどなど、全部タイムラインから消す必殺技とかないですかね…

[Feli🌱 @Felice_ch12]

私はなんとなく「ダンサーインザダーク」を思い出した。

[ูุุุุุุุุุุุุุุุุุุ𐬯𐬀𐬠𐬀𐬔𐬎𐬠𐬛 𐬰𐬀𐬥𐬌𐬐𐬀🦋 @masayasan201911]

文学オタのはちわれ
「あ、なんかわかっちゃった、本質ッ！！」

ポストでちいかわを『砂の器』に例えている方のが流れていったけれど、おかげでとてもスッキリした

両作品とも最初は事件を扱っている作品で「犯人は誰なんだよ」ってなるんだけど、犯人が殺人を起こさなければならなかった背景が語られて、何が悪なのか誰が正義なのかわからなくなる

映画ちいかわでみんながモヤモヤする理由は「小さくてかわいい存在ががんばる作品ではなく、本質は観客がその存在をどう見るかを試す作品」になっているから

『砂の器』は差別される弱い人間を通して、映画『ちいかわ』は圧倒的な理不尽に晒される弱い存在を通して、観客自身の倫理観や想像力を映し出す鏡になっている

オープンコンテクストな作品であり、観客に自由な解釈が許されている。それがみんながザワザワする「根っこ」じゃないのか

👇トレーラーの「友情も、その罪も、その命も、いつまでも」が改めて重すぎる作品。ぜひ見てください https://t.co/tVPZdkdyUV

[Feli🌱 @Felice_ch12]

昨今の情報漏洩にくらーい気持ちになってる。検索魔になってもう何やってもお先真っ暗に感じてしまう。

一ヶ月だけ必要があってカーシェア使ってたんだよう！！！
泣ける…。。。。

[Feli🌱 @Felice_ch12]

25！！！
24て笑

[Feli🌱 @Felice_ch12]

これなー。。
理化出身だけど、研究室の先輩がアタック24に出た時そんな感じの問題が出て、純物質だからと「塩化ナトリウム」と答えたらブーって鳴ったんだよね…（アタック的正解は食塩だった）。で児玉清さんに、残念！て言われてた。
帰り、研究室メンバーで「あれは納得いかん…」とぼやいたな。。

[あらら先生 教採せんせい 教員採用試験 @a_rarakorara_]

【教採一般教養（理科：化学・化学式と物質）】
おはようございます☀️
昨日の正解は【塩化ナトリウム】（または食塩）です！
ナトリウムイオン（Na⁺）と塩化物イオン（Cl⁻）がイオン結合した物質。水に溶けると電離して電流を通す電解質の代表例です。理科の基礎化学式や水溶液の性質とあわせて確実に押さえたい頻出用語です。
#教員採用試験 #教採

[Feli🌱 @Felice_ch12]

Apple Pencilを洗濯しちゃったことが悲しい。

けど、1/10の値段で買った新しいペンでも遜色なく仕事できるのがもっと悲しい。。

[Feli🌱 @Felice_ch12]

@kuromoa わあ、コメントありがとうございます！まだ使い始めたところだけど、使いやすそう。
データのやり取りができるのは知らなかった…勉強します✨

[Feli🌱 @Felice_ch12]

iPadを使っての校正は、やはり難しいかな…？（データが重くなるかしら。。）

[Feli🌱 @Felice_ch12]

@kuromoa 容量増えまくりますよね…PCでも圧迫されます。。
ちなみに何のアプリ使ってますか？
私は今のところGoodnoteでやってます。

[Feli🌱 @Felice_ch12]

真下くん好き。
片岡総合司令好き。
線引き屋の熊沢さん好き。
広報矢野くん好き。
準備室メンバーと小池課長好き。
眉田さん好き。
ラヴェルのボレロ好き。
ボレロの使い方、好きすぎる。

何回でも見れる。

#交渉人真下正義

[Feli🌱 @Felice_ch12]

高校生クイズに母校が。うおおおがんばれ…！！！

[Feli🌱 @Felice_ch12]

飲酒運転もっとなんとかする方法ないのかな…。。車そのものになんらかの制限をかけられないんだろうか。もう辛くて苦しい。多少不便になってもいい。スピード出しすぎることができない、お酒を飲んだら絶対に運転できない仕組みを作れないだろうか。。

[Feli🌱 @Felice_ch12]

@Tomo18498183 びっくりするくらい細かいレベルのオールスター感謝祭でした。重箱の隅くらいの細かい設定好きにはたまらんです。
VIVANTのない2週間、踊るで凌ごうと思います…。

[Feli🌱 @Felice_ch12]

修論で行き詰まってた時伊丹に飛行機の着陸を見に行ったなあ。

[小林萌男 @honopikobayashi]

@smartrador 出張で阪大に行った帰り、阪大から伊丹空港まで30分かけて歩いたことあるので、そこまで悪くは無いと思う。空港から歩ける名門大学なんて滅多にないやろ。

[Feli🌱 @Felice_ch12]

@hayakawa_junpei フーコーの振り子や太陽系のでっかい模型がありますから、ぜひ✨

[Feli🌱 @Felice_ch12]

トポトポトポトポ…

[バーチャルデータサイエンティスト アイシア=ソリッド @AIcia_Solid]

数学者だって、さすがに、学会では服を着てた方が良いことは知ってます。

あまり数学者を舐めないでください。

数学者が本当に考えているのは、穴が空いていてもそれは服なのか、中身が透けていてもそれは服なのか、そういうところでやってます。よろしくお願いします。

[Feli🌱 @Felice_ch12]

@Tomo18498183 確かに…すごい峰不二子感😂😂

[Feli🌱 @Felice_ch12]

や
ば
い
ど
っ
ち
も
す
き
す
ぎ
る

[音食 @0tojiki]

MBTI診断するよりMIU404四話とアンナチュラル四話どっちが好きか聞いた方が早い