「Cloud Native Security Japan」発足！
クラウド時代のセキュリティは日本が引っ張る（後編）

「前編」はこちら＞

大いに盛り上がったキックオフミートアップ

——クラウドネイティブ*¹技術の開発や普及をリードするグローバルな非営利団体「Cloud Native Computing Foundation」（以下、CNCF）の日本初の公式コミュニティとして設立された「Cloud Native Community Japan」（以下、CNCJ）。そのCNCJのセキュリティ専門のサブチャプターとして「Cloud Native Security Japan」（以下、CNSJ）が発足しました。

2024年5月17日にキックオフミートアップが開催されましたが、CNSJでリーダーを務められている田畑さん、手応えはいかがでしたか。

*1 クラウドネイティブとは、 クラウド環境の利用を前提としたアプリケーションやソフトウェアの開発・運用方法であり、デジタル変革の推進においてアジリティ向上やコスト低減などのメリットをもたらします。

田畑
とても数多くの方が聴講のために足を運んでくださいました。ベンダー企業のエンジニアの方——有名な専門家の方も見えられました——や、ユーザー企業のIT部門の方などさまざまな立場の方がいらっしゃいました。

講演のあとの質疑応答も途絶えることがありませんでしたし、イベントが終わっても多くの方が残って意見を交換していました。参加者の皆さんにとっても、コミュニティとしても大変に有意義な時間だったと思います。

それも、多くの著名なエンジニアの方々に講演いただけたからだと考えています。

株式会社Preferred Networksの奥井寛樹さんはセキュリティとUX（ユーザーエクスペリエンス）の両立について、日立の乗松隆志は自らがメンテナーを務めるKeycloak*²の最新動向について、Ubie株式会社の水谷正慶さんはOPA（Open Policy Agent）*³の認証認可事例の紹介、株式会社野村総合研究所の佐藤高志さんは欧州データ連携基盤について、と講演者の皆さまにはそれぞれの注力分野に関する深い見識を披瀝していただきました。

*2 KeycloakはID管理やアクセス管理（IAM:Identity and Access Management）を実現するOSSです。各種サービスのログイン機能やシングルサインオン（SSO）の導入、システムやサービスをつなぐAPIのセキュリティ確保に活用できます。2023/4にCloud Native Computing Foundation（CNCF）のプロジェクトに追加され、IAMにおけるOSSの定番になることが期待されます。
*3 OPA（Open Policy Agent）は、クラウドネイティブ環境向けに汎用的なポリシーエンジンを提供するOSSです。

——ミートアップ終了後、講演者の方も、聴講者の方もいっしょになって長い時間、議論されていましたね。講演をされた乗松さん、あの場ではどのような会話があったのですか。

乗松
私が講演した内容について、「このように話されていましたが、でもこういう場合、安全性はどうなりますか？」といったような、的を射た具体的な質問をいくつもいただきました。聴講された皆さんが私の話した内容をきちんと理解し、ご自分が抱えている課題に落とし込んで質問されている、ということが伝わってきました。

ですので私もしっかり回答しなくては、とKeycloakの深い領域まで言及しながら対応していて、結局ミートアップが終わっても1時間半ぐらい議論が続くという大変なことになってしまいました。

これは実はすごいことで、私は国内・海外で数多くの講演を行ってきましたが、例えば海外のメジャーなイベントでも講演後の質疑応答ではぼんやりとした感想のようなものしか頂戴できないことが少なくありませんし、途中で退席される方も珍しくありません。

今回のミートアップが成功した理由として、セキュリティが注目の技術分野であるということに加えて、メジャーなイベントに比べてスコープが適正に絞られていることがあげられると思います。「クラウドネイティブなセキュリティの技術革新」という目的が共有できているから参加者は全員、お互いの話をわかり合えるし、議論も発展します。それはすなわちCNSJというサブチャプターの設立がとても有効であることにも結びつくと思います。

生まれ続ける脅威には、絶え間ない活動で対抗

——田畑さんはリーダーとして今後、CNSJの成長へ向けてどのような活動をお考えですか。

田畑
キックオフミートアップは認証認可がテーマだったのですが、今後はコンテナランタイムセキュリティやサプライチェーンセキュリティ、またグローバル規模で開催されるCNCFのイベント報告など、世の中のニーズを捉えた中身の濃いミートアップを継続的に開催していくことがまずは重要な活動になります。

セキュリティの技術開発は、生まれ続ける脅威とのイタチゴッコです。新規の攻撃を捉えたら対応する指針を打ち出し、それに準拠した技術をリリースし、実地でシステムに組み込む——という流れを迅速に実行する必要があります。CNSJでは影響力の大きな脅威に対して指針や対策事例を継続的に発信し、セキュリティエンジニアに広く知見を提供しながら、コミュニティのすそ野を拡大していきたいと考えています。

多様なセキュリティの知識が飛び交う場をつくる

——乗松さんはメンテナーとしてCNSJをどのように発展させたいですか。

乗松
やはり、コミュニティのすそ野を広げることが重要だと思います。

私はKeycloakのメンテナーとして、日々世界から集まるコントリビューションについてチェックを行ったり、議論に参加したりしていますが、あるテーマの専門家たちが集まって話し合っていると深掘りし過ぎて周囲が見えなくなってくる、ということがよくあります。

先程、CNSJはスコープが適正に絞られていると言いましたが、とは言ってもセキュリティは医学のように専門分野ごとに知識が細分化されていて、ある人が取り組んでいる課題の最適解は、別の人が持つ専門知識の中にある可能性が大いにあります。

その時にコミュニティが多様性を持っていれば、間違った方向に進んだ時に「こういうやり方もあるよ」と言ってもらえる。

私もこれからいっそう幅広い分野のエンジニアと国内・海外を問わず積極的につながってコントリビューションの質を高めていきたいと思います。そして、クラウドネイティブのセキュリティならCNSJ、と世界から注目されるようなコミュニティに育てていきたいですね。

田畑
こうした取り組みを通してCNSJがめざすのは日本のセキュリティエンジニアのグローバルでのプレゼンス向上です。そして日立もCNSJで培った高度なセキュリティ技術を、社会インフラを支えるミッションクリティカルシステムに適用して、お客さまのデジタル変革をしっかりと支えていきます。

田畑 義之（たばた よしゆき）

株式会社日立製作所 OSSソリューションセンタ シニアOSSコンサルタント

認証認可のエキスパートとして、金融、公共、社会、産業の重要なシステムにおいてAPI管理やシングルサインオンについての技術コンサルテーションに数多く携わり、その知見を講演や執筆活動などで発信。また、コンサルテーションで得たニーズをもとにKeycloakの開発にも参画し、コミュニティに貢献。2023年11月、CNCFアンバサダーに就任。2024年５月、CNSJリーダーに就任。

乗松　隆志（のりまつ たかし）

株式会社日立製作所 OSSソリューションセンタ シニアOSSスペシャリスト

2017年から、Keycloakへのコントリビューションを継続的に実施。特に、高いセキュリティレベルを要求されるFinancial-grade API（FAPI）Security Profileの対応に貢献。2021年10月からKeycloakのメンテナーに就任。コントリビューションで得られた知見を国内外のカンファレンスで発表するなど、普及活動を継続。