本日付けで情報処理安全確保支援士（登録セキスペ）となりました。セキュリティに関する国家資格です。
登録番号は、第027202号 です。
下記IPA（情報処理推進機構）のサイトで確認いただけます。
情報処理安全確保支援士 検索サービス：https://riss.ipa.go.jp/r?r=027202
情報セキュリティ、サイバーセキュリティ対策でお困りの際には、お声がけください。
タイミーに入社しました。
参考
- エクサウィザーズを退職しました。 - rokujyouhitoma's blog
- エクサウィザーズに入社しました。 - rokujyouhitoma's blog
- 楽天モバイルを退職しました。 - rokujyouhitoma's blog
- 楽天モバイルに入社しました。 - rokujyouhitoma's blog
- パネイルを退職しました。 - rokujyouhitoma's blog
- パネイルに入社しました。 - rokujyouhitoma's blog
- ITAKOを退職しました。 - rokujyouhitoma's blog
- 株式会社ITAKOに入社しました。 - rokujyouhitoma's blog
- DeNAを退職しました。 - rokujyouhitoma's blog
- DeNAに入社しました。 - rokujyouhitoma's blog
- RememberTheMilkで働くことになりました。 - rokujyouhitoma's blog
- 退職いたしました。 - rokujyouhitoma's blog
- [報告]バイドゥ株式会社に入社いたしました。 - rokujyouhitoma's blog
エクサウィザーズを退職しました。
素敵なビジョンや業務、経営者・同僚達に恵まれていたものの、同僚*1の言葉を借りると私の「美学」に反したので、誠に遺憾ながら退職いたしました。
素敵な業務
ざっくり分類すると、内部監査、業務改善、特定のプロダクト開発の3つに携わった。
内部監査
内部監査部門で内部監査業務に携わった。
見聞が広がるとともに、今まで培ったシステム開発や情報セキュティの知識・経験を活かすことができた。
大変やりがいがある業務であり、諸兄におかれましてもぜひ挑戦をおすすめしたい。
DeNAの諸先輩方がリスク管理、コンプライアンス、内部統制、内部監査に関わっているのはキャリアパス描くうえでの参考になった。
DeNAの先輩お二方見かけたページ（採用ページだが...）：www.wantedly.com
業務改善
全社特にコーポレート部門の改善活動をソフトウェアエンジニアの経験を活かして携わった。内部監査部門の立場で広くまた高い視座を持って挑めた。
範囲は多岐にわたる。
その中でも株主総会関連については、同僚たちの熱意が大変素晴らしく一緒にプロダクトを一歩進めることができたのが、思い出深い。
特定のプロダクト開発
内部監査部門を兼務しつつ、あるプロダクトの開発に関わった。
思い返せば、エンジニアとして参画したが、むしろプロマネ？はたまたサービスマネージャ？....開発側幹部に対する参謀のような働きをした。
例えば次の業務を行った。
- コーディング、設計
- CICD設定・改善（例えばテストフレームワークの導入、設定）
- SRE（例えばSRE活動を行っていく上での現状分析と重点項目の明確化、改善案の立案）
- システムモニタリングツール導入
- プロセス改善、ITサービスマネージメント観点での現状分析と改善など
- プロダクト進める上でのリスク管理
- プロダクトのセキュリティ対応の企画、検討
...など。
システム開発に関わって17年程。その中でも、1・2を争う心残りなプロダクトとなった。
素敵な経営者・同僚達
エクサウィザーズという社名の通り、エクサ=1000^6（言い換えれば、あまた）のウィザード=魔術師（言い換えればプロフェッショナル）がいました。
ワクワク感があり、時にハラハラさせられる宴会に最適な前社長の石山さん、聡明であり内外環境の変化に敏感でチャーミングな現社長の春田さんと経営者には恵まれていたと思う。私がこうやって書き出すくらいだから。
同僚達も大変優秀な信頼できる方々がいた。
とはいえ、なんとも、冒頭の一文に通じるところである。
参考
- エクサウィザーズに入社しました。 - rokujyouhitoma's blog
- 楽天モバイルを退職しました。 - rokujyouhitoma's blog
- 楽天モバイルに入社しました。 - rokujyouhitoma's blog
- パネイルを退職しました。 - rokujyouhitoma's blog
- パネイルに入社しました。 - rokujyouhitoma's blog
- ITAKOを退職しました。 - rokujyouhitoma's blog
- 株式会社ITAKOに入社しました。 - rokujyouhitoma's blog
- DeNAを退職しました。 - rokujyouhitoma's blog
- DeNAに入社しました。 - rokujyouhitoma's blog
- RememberTheMilkで働くことになりました。 - rokujyouhitoma's blog
- 退職いたしました。 - rokujyouhitoma's blog
- [報告]バイドゥ株式会社に入社いたしました。 - rokujyouhitoma's blog
プライバシーマーク認証、ISO/IEC 27701認証、JIS Q 15001認証
理解する必要があったので備忘録として。
一般財団法人日本品質保証機構の概要 | ISO/IEC 27701（プライバシー情報） | ISO認証 | 日本品質保証機構（JQA）が詳しい。
JIS Q 15001認証
JIS Q 15001。
審査は、ISO/IEC 27001などの他のマネジメントシステムと組み合わせ審査または、JIS Q 15001単独審査。
トークンバケットアルゴリズム
APIのスロットリングで使われるトークンアルゴリズムをよく忘れるので書き出しておく。
APIの利用を制限する場合例えば、OWASP API SecurityのAPI 4 API4:2023 Unrestricted Resource Consumption - OWASP API Security Top 10 をAPIバックエンドで自力で防ぐには、実装することになる。...ネットワーク上位で対応するのがよいだろう。
学習候補
学ぼうと思っている（すでに学び始めている）領域を書き出す。ほんとうに学ぶかはわからんが書き出したからには学ぶだろう。たぶん。
サイバーセキュリティ、情報セキュリティ
マルウェア解析
よさげな記事を見かけた。参考にするのがよいだろう。
the-art-of-nerd.hatenablog.com
デジタルフォレンジックと法
先日はてブで話題になったTogetterででてくる裁判官が関わった書籍がおもしろそうだったので、買った。
話題になったTogetter: 証拠品のバイナリデータを確認してデータが「整いすぎている」ため改ざんを暴いた裁判官が強すぎる。「中学高校レベルの知識なので法律家の一般教養の範囲」→！？ - Togetter
Ruby、Ruby on Rails
パーフェクトRuby on Rails
昨日届き流し読みした。あとは、必要になったら細かく読んだり、手を動かしてみる。
キャースガサーン。
 (情報処理技術者試験)](https://m.media-amazon.com/images/I/51EYXKLc85L._SL500_.jpg "ALL IN ONE パーフェクトマスター システム監査技術者 2023年度 [2023年度版 秋10月試験対応 インプットは図表でスイスイ！アウトプットは合格メソッドでスラスラ！](TAC出版) (情報処理技術者試験)")
n月刊ラムダノート Vol.4, No.1(2024)
経営
経済産業省のIT経営力指標
IT経営力指標は、経済産業省（以下、経産省）が自組織において、ITの活用度合いを測る指標です。
なぜ記事にしようと思ったかといえば、経産省のサイト上で公開されていたURLはわかるものの、現時点でサイトで見当たらなかったため、Wayback Machine でサルベージした。ほかにも困っている人はいるだろう、一助になればと思う。
下記は引用。
自社のIT活用度合いが気になるという経営者が多い中、同業他社、他業種、他国などとの関係において、IT活用における自社の位置付けをしっかりと把握しておきたいものです。
経済産業省では、経営者が取り組むべき事項をまとめた「ITの戦略的導入のための行動指針」をベースに、その達成度合いを4つのステージに分け、「IT経営力指標」として企業のIT活用度合いを客観的に測るための指標を作成しました。
関連
独立行政法人中小企業基盤整備機構が経営およびデジタルの関連でコンテンツを提供している。
経営戦略とIT戦略ないしはシステム戦略
経営戦略とIT戦略ないしはシステム戦略といえば、経産省のシステム管理基準において、ITガバナンスの文脈で語られている。
具体的な引用ではあるが、下記。
Ⅰ.1.1 経営戦略とビジネスモデルの確認
組織体の目的（パーパス）を実現するためのビジネスモデルと、それを実現するための経営戦略を支援するための IT 戦略ビジョンを策定する。
なお、ビジネスモデルとは、組織体が、顧客や社会に価値を提供し、持続的に価値を向上させていくビジネスの仕組みのことをいう。
＜達成目標＞
1. 組織体を取り巻く自然環境、社会的・経済的な状況に応じて、組織体の目的を達成するための経営戦略とビジネスモデルと達成すべきビジネス成果が明確にされ、組織体全体に周知されている。
2. 経営戦略とビジネスモデルを実現するための IT の役割と重要性が認識されている。
3. 経営戦略とビジネスモデルを実現するための IT 戦略ビジョンが策定されている。
4. IT ソリューションや新技術等が経営戦略とビジネスモデルに及ぼす影響が定期的に評価され、経営戦略とビジネスモデルについて、必要な見直しを行っている。
＜ガバナンス活動の例＞
1. （IT 戦略ビジョンの策定）経営戦略とビジネスモデルにおける IT の役割を明確にし、組織体の IT 戦略ビジョンを策定する。
2. （ビジネス成果の設定）IT 戦略ビジョンでは、経営戦略とビジネスモデルにより達成すべきビジネス成果を設定する。
3. （ステークホルダーのニーズの反映）IT 戦略ビジョンには、ステークホルダーのニーズを反映する。
4. （新技術等の定期的評価）新しい IT ソリューションや新技術が IT 戦略ビジョンに及ぼす影響を定期的に評価する。
5. （市場変化の定期的評価）市場の変化が経営戦略とビジネスモデルに及ぼす影響を定期的に評価する。
6. （ IT 戦略ビジョン等の見直し）事業環境等の評価を実施し、その結果に基づいて、ビジネスモデルと IT 戦略ビジョンの見直しを行う。
Ⅰ.1.2 IT 戦略の策定
組織体における IT システムの利活用のあるべき姿を示す IT 戦略を策定し、それに基づいて IT マネジメントの責任者に指示する。
＜達成目標＞
1. 取締役会等の意図と期待を明確にした IT 戦略（ IT ガバナンス方針と IT 基本計画）が策定されている。
2. IT ガバナンス方針には、ビジネス成果を実現するための IT 戦略の達成目標が設定されている。
3. IT 戦略の実現に必要となる組織体のデジタル活用能力を確保するための戦略と計画が策定されている。
4. IT 戦略において、IT ソリューションの劣化や陳腐化に対処するための戦略と、将来に向けた IT に関する適切な方向性が示されている。
＜ガバナンス活動の例＞
1. （IT 戦略の策定）IT 戦略に関する取締役会等の意図と期待を明確にしたIT ガバナンス方針と IT 基本計画を策定する。
2. （IT 戦略策定の権限委譲）経営者に権限委譲して IT 戦略を策定する。
3. （IT 戦略の評価と承認）策定された IT 戦略は、取締役会等が内容を評価し承認する。
4. （ IT 戦略の見直し）組織体を取り巻く環境変化を評価し、その結果に基づいて、IT 戦略を見直す。
5. （IT ガバナンス方針）IT ガバナンス方針では、次の事項を明確にする。
(1) ビジネス成果の実現と結び付けられた IT 戦略の達成目標の設定
(2) IT ガバナンスの体制、責任及び権限
(3) IT 投資の方針
(4) IT 資源の調達と IT 人材の育成・確保に関する方針
(5) IT システムの利活用に関わるリスク評価（サイバーセキュリティリスク評価を含む）に基づく IT リスクマネジメントの方針
(6) データ利活用の役割と意思決定に関する方針
(7) 新しいソリューションや新技術の定期的な影響評価に基づく、技術の陳腐化等に対処するための方向性
6. （IT 基本計画）IT 基本計画では、次の事項を明確にする。
(1) 組織体の現在のニーズと将来的なニーズへの対応
(2) IT システムの利活用に関わるステークホルダーの特定と、そのニーズの反映
(3) 組織体のデジタル活用能力の駆使による組織体の価値の向上
(4) IT 戦略の目標達成状況を評価するための開発計画等におけるパフォーマンスの期待値と IT エコシステムの選定基準の設定
