SecHack365 2024 / 3rd Event WeekReport 3rd Event Week

――イベントのオープニングは、NICTのナショナルサイバートレーニングセンター長でもある園田トレーナーの、こんな問いかけから始まりました。2024年度のイベントキックオフから約3ヵ月半。イベントのスケジュールは全体の40%と、あっという間に折り返し地点に迫ってきました。冒頭の園田トレーナーの問いかけに、会場が一瞬シンとしてしまったところをみると、多くのトレーニーたちはまだまだ明確なゴールが見えてきていないと感じているようです。しかし、それ自体は今のところ問題ありません。なぜなら、SecHack365では「PDCAサイクル」（計画、実行、確認、改善）を繰り返し、作品を少しずつブラッシュアップしていくことが大切だからです。今年のイベントでは、PDCAサイクルをさらに加速させ、より効率的に改善を進めてほしいという思いから、例年に比べ早いタイミングでポスター発表が行われます。フィードバックの内容によっては、作品作りをまたイチから始めなくてはいけないようなこともあるかもしれません。しかし、こうしたプロセスを経ることがより良い開発のカギとなります。

また、SecHack365では誰かの指示に従って進めるウォーターフォール型のプロジェクトではなく、参加者自身が「やりたいこと」を自ら決めて、進めていくという基本方針があります。園田トレーナーは、イベントでのフィードバックについて、それらの意見を受け入れるか、またどのように活かすかについては、全てトレーニー自身の判断に委ねられていると語り、自分自身で考えることの大切さを説きました。

最初のプログラムは中国地方を中心にインフラ企業として地元の情報通信を支える株式会社エネコムの濱本常義氏の講演、「しくじり先生と広島という地方でセキュリティエンジニアとして生きるということ」です。広島県尾道市出身の濱本氏に、自身のキャリアの成功と失敗を交えながら、地元でセキュリティエンジニアとしての道を歩んできた経験を語っていただきました。

濱本氏は1995年に中国電力の情報子会社で、現エネコムの前身である中国情報システムサービス株式会社（CIS）に入社しました。当時を「息をするようにセキュリティが学べた時代」と振り返ります。就職活動では、複数の企業にエントリーし、その中にはCISの親会社である中国電力も含まれていたそうです。単純に「大きな、安定した勤め口」という観点からすれば、当然、中国電力に就職すべきところ。しかし、コンピューターに携わりたいという強い思いからCISを選びました。ただ、後に「もしかしたらその選択も失敗のひとつかもしれない」と振り返ることもあったといいます。しかし、CISでは、中国地方初のインターネット立ち上げプロジェクト注1に携わることとなり、黎明期のインターネット技術に挑戦するという貴重な機会を得ました。インターネットという新しい分野での試みは、当時の社内にはあまり詳しい人がいなかったため、外部の専門家に助けを求めたり、セミナーに参加したりするなど、自ら積極的に学んでいったといいます。このお話は、次々と生まれる技術や脅威に対応していかなくてはいけないトレーニーたちにとって大変刺激を受けるものだったでしょう。

講演の後半では、地方で働く利点についても触れられました。広島は、自然に囲まれた環境の中で子育てや生活がしやすく、都市部と比較しても給与は遜色がないこと。そして、東京のような激しい競争に巻き込まれることなく、自分のペースでキャリアを築ける環境が整っていることを強調。セキュリティエンジニアとして働くには、地方でも多くのチャンスがあることを伝えてくれました。

たとえば、秋山達彦さんは、「ウェアラブルデバイスを用いたライフログデータセキュリティ」というテーマで発表を行いました。日常データを検索可能なウェアラブルデバイスの開発を目指しているといい、デバイスには首掛け型の「THINKLET」を用います。秋山さんは、このデバイスを選んだ理由について、Android OSが入っているなど拡張性が高く、自身の日常や作業風景といった安定的に収集するのが難しいデータを大量に取得できるのが面白いからと語ります。もともと、AIに学習させるためのデータ収集を目的にした産業用のプロダクトで、タイムラプス写真のように1日に3000枚の画像を取得することができるこのデバイス。開発を通して、取得した画像を分類し、1日の行動を20種類の画像に圧縮できるようにしました。それらの画像をGPT-4oに分析させることで、日常データを検索できるようになるといいます。

秋山さんの発表スライドでは、撮影された3つの場面を紹介し、GPT-4oがどのように分析したかを示していました。たとえば、ある画像には「外出先の飲食店やカフェでアイスクリームを楽しんでいるシーン」という分析結果が提示されています。それに対して、トレーナーから「分析が抽象的すぎて、ライフログとしての役割を果たせないのではないか」という指摘がありました。実は、秋山さんはスライドのスペースの都合で分析内容を簡略化していました。しかし、それでは発表を見ている人に、AIの精度がなかなか伝わりません。その時の体験について、秋山さんは「伝えるべき部分が欠けていたことで、研究の実現可能性が伝わりにくかった」と反省の念を語り、自分の見落としていた点に気づかされたと振り返りました。

中神悠太さん（2022年修了⽣/筑波⼤学）は、講演の冒頭で「プログラミングは好きですか？」そして「“設計”は好きですか？」とトレーニーたちに問いかけました。このシンプルな問いかけは、実は聴衆を彼の世界に引き込むための工夫だと語ります。確かに、こうした質問を投げかけ、聴衆に挙手を促すことは、講演が自分に関連するものだと聴衆に意識させ、興味を引きつける効果があるようで、演壇に向けるトレーニーたちの表情も、少し真剣味が増して感じられます。

その後も中神さんは、プログラミングと設計についてだけでなく、「納得してもらうことが大切」と強調しながら、自分の主張をどうすれば効果的に相手に伝えられるのかについて丁寧に言葉を重ねます。講演の中では、スライドやポスターの構成を例に、効果的なストーリーの組み立て方を具体的に伝授しました。トレーニーたちにとっても、技術の内容だけでなく、そのプレゼンテーションの仕方がいかに重要か、改めて認識する機会となったでしょう。中神さんのわかりやすく丁寧な説明には、トレーナーからも「現役時代よりもプレゼンがうまくなっている」という称賛の声が上がりました。

高橋実来さん（2022年修了生/福知山公立大学）は、講演の冒頭で自身のこれまでのSecHack365内外の活動を紹介しました。続けて「いま皆さんが参加しているSecHack365のイベントはある意味オープニングにすぎない」と語ります。その理由について、高橋さんは、SecHack365は、それをきっかけとして修了後にもさまざまな形でイベントに関わることができる点を強調しました。今回、高橋さんが講演を行なったように招待修了生としてのほか、毎年開催される「SecHack365リターンズ」という修了生によるイベントもあり、同窓生同士だけでなく、異なる年度の修了生とも交流する機会が設けられています。これらの機会を通じて、高橋さんは「修了後に習得した技術を他の人に見せびらかしたり、どのような会社に就職したかを自慢したりしたいという意識が、自分の活力になる、良い方向に転ぶ1つの方法だと思っています」と語りました。SecHack365の仲間たちを意識することでモチベーションを保つことができるというアドバイスは、現役のトレーニーにとって新鮮なものだったはずです。

伊藤駿介さん（学習駆動コース/岡⼭理科⼤学）は、「SAFE - Security Awareness For Everyone -」というテーマで、誰でもセキュリティを学べるゲームを開発しています。例えば、使用しているパスワードが脆弱だと気づかない人を対象にした、より脆弱なパスワードを入力するゲーム。ゲームの中で段階的に要求されるパスワードの条件を設定し、「10文字以上」「大文字と小文字を使用」「記号や数字を含む」といったルールを設けることで、プレイヤーが実際に強いパスワードを意識するように導きます。また、印象に強く残すため、脆弱であれば爆発し、スコアが表示される仕様になっています。最終ステージでは、これまでとは逆に脆弱ではないパスワードの入力を求め、強固なパスワードを設定できるようになったか試すといいます。

ポスター展示では、デモを試したトレーニーから「スコアではなく、脆弱性を言葉で表現したらどうか？」という提案がありました。確かに、数字で脆弱性を示しても、受験者側にモノサシがなければ、それがどの程度のレベルを示すのかが分かりにくいという問題があります。「家の鍵を開けっぱなしにしているくらい」といったように言葉で表現した方が、パスワードの脆弱性について、ハッとさせられる人もいるかもしれません。指摘を受けた伊藤さんは、「リザルト画面の作り方を悩んでいたところに、とても良いアイデアをもらえた。すぐに取り入れたいと思う」と振り返り、イベント終了後には早速作品に手を加え始めたとのことです。このように、自分になかったアイデアを受け取ることができるポスター展示について、伊藤さんは「開発者の視点だけでなく、プレイヤーや未経験者からのフィードバックを受け、新たな視点やアイデアを取り入れることができました。開発へのモチベーションもさらに高まり、ポスター展示は非常に価値のあるものだと改めて感じました」と語ります。

片野凱介さん（思索駆動コース/有明⼯業⾼等専⾨学校）は、人と人工知能の区別が曖昧になった未来についての思索を行っています。今回のイベントを通して、具体的に落とし込める何かを持ち帰ろうと考えていた片野さんは、スライド発表の中で、思索駆動コースでは出てこないような、違う視点からの意見が欲しいと呼びかけました。具体性が低く、デモも十分ではなかったため、ポスター発表に人が集まらないのではという不安があったといいますが、結果的には多くの参加者からさまざまな意見や質問が寄せられ、貴重な気づきを得ることができたと振り返ります。

例えば、ポスターに記載した「LLM（大規模言語モデル）は適当なことを言わない」という内容。これに対して、参加者の1人が「なぜ人間は適当なことを言えるのだろうか？」という、想定していなかった疑問を投げかけました。このような意見や質問、キーワードは、これまで具体的な形に落とし込めず、霧の中をさまよっているかのように感じていた片野さんにとって大いに役立ったといい、「前へ進むためのエネルギーをもらえた気がします」と語ります。

今回の発表には「暴走とか倫理的な怖さもある」という意見もありました。それに対して、片野さんは「倫理的な怖さについては私も不安を抱えており、このテーマを進める上で何度も壁にぶつかってきました」と述べています。その上で、SecHack365では、各回に「法律と倫理」の講義が設けられていることや、幅広い分野で活動しているトレーナーやトレーニーがいることを挙げ、「もし私が突き進んでしまっても、周囲が客観的に判断し、危険なときには止めてくれるだろうという安心感があります。だからこそ、今回のテーマはSecHack365でしか取り組めないものだと思います」と前向きに捉え、思索を形にできるよう開発を進めていく意気込みを語りました。

山田快さん（学習駆動コース）は、通常、発表のメインテーマになるはずの開発過程や技術詳細にはあえて触れず、「それらについては、ぜひポスター発表を聞きにきてほしい」と前置き。スライド発表では、伝える内容を「なぜこのプロジェクトを始めたのか」というストーリーを中心とした話に絞るという、ちょっと意表を突く手法を披露しました。これは、過去のLT（ライトニングトーク）の経験から、短い時間内で全ての詳細を伝えることが難しいと感じたためです。山田さんは、「楽しいほうが印象に残る」と考え、このような内容にしたと振り返ります。

そんな山田さんが開発しているのは、「ファイル内容が読み込みごとに変化するUSBメモリ」です。このプロジェクトのアイデアは、カラオケ店での体験がきっかけだったといいます。カラオケ機器の中には、USBメモリを使って、お客さん本人が持ち込んだ映像を再生することができるものがあるといいます。しかし、データが順番に再生されるため、選んだ曲に合わない映像が流れてしまうのだとか。この不便さに対し、「気分に合わせて映像を選べるUSBメモリがあればいいのに」と考え、読み込みごとに内容が変わるUSBメモリの開発に着手したのだといいます。

ポスター発表では、予告通り技術紹介を行いつつ、この技術のカラオケ以外への応用・展開についても意見を募りました。そこから、新たに産業用途での可能性が浮上したといいます。例えば、繊維工場で使われる自動ミシンの中には、縫合データごとにUSBを差し替えなくてはいけないものもあるのだとか。もし、このUSBメモリを使うことができれば、差し替えなしにネットワーク経由でデータを転送することができ、製品のIoT化を実現できるかもしれません。

発表の場で実際に動かしてみせることができるのは大きなアドバンテージで、デモには人だかりができました。まずは、ファイル0とファイル1にそれぞれ異なる動画を書き込み、再生して見せます。その後、USBメモリを差し込んだままファイル0に別の動画を書き込むと、同じファイル名のまま別の動画に変わりました。このデモを受けて、集まった人から「欲しい」という声が聞かれました。まさにこの欲しいと思わせることが、プロダクトを社会に伝える上で必要不可欠です。

全員のポスター発表が終わると「社会実装のススメ」として、園田トレーナーが社会実装について語りました。社会実装をするうえで大切なのが、「誰に何を」届けるのかという想定です。開発を進めていくと、どうしても万能で誰にでも受け入れられるものを作りたくなってしまいます。しかし、そんなオールマイティなものは、技術的にも難しく、なかなか作ることはできません。まずは狭い対象に向けて、限られた機能に特化したものを作り、その機能が他にどんな役に立つのか考える。こんな開発が求められているのです。最後に、園田トレーナーは「自分が作ったものを社会に届けることを意識してもらいたい」と、改めて社会実装への挑戦を促しました。

社会において商品の価値を届けるためには、標準化や規格化が不可欠です。地元・広島からの講演の第二弾として登壇したのは、株式会社ネットスクエアの村上賢二氏。「情報セキュリティにおける国際標準について　〜ISMS、CLS、TISAXの枠組みと動向〜」というテーマで講演を行っていただきました。村上氏は、品質マネジメントシステムに関する国際規格であるISO9001や、情報セキュリティマネジメントシステム（ISMS）に関する国際規格ISO27001の審査員として、豊富な経験を有しています。

国際規格の取得は、社会的な信頼を獲得し、市場における競争力を向上させるだけでなく、新たに情報セキュリティの取り組みを始める企業にとって重要な指針となります。このような状況を背景に、村上氏はセキュリティリスクをビジネスチャンスとして捉えることの重要性を説きました。リスクが存在する場所には必ず解決策（ソリューション）が求められ、それが新たなビジネスの機会に繋がるのです。

講演の後半では、トレーニーから「審査員によって審査の質にばらつきがあるのではないか？」という鋭い質問が寄せられました。村上氏はこの懸念を認め、審査員の専門知識に違いがあるため、審査で気づくポイントに差が生じる可能性はあると述べました。しかしその一方で、審査基準は厳格に定められており、前提として審査員はその基準に従って審査を行うことが、大きなばらつきを生じさせないための歯止めになっているとも語りました。さらに、村上氏は審査員の教育と研修についても言及。定期的に事例研究を行い、知識を常に更新しているほか、資格の更新も毎年義務付けられていると、審査の質を一定に保つための対策を説明しました。

発表のあと、恒例の佳山トレーナーによる「習慣化」の講義が行われ、「ヤーキーズ・ドットソンの法則」が紹介されました。この法則によると、一定量のストレスがかかっているときのほうが、人は良いパフォーマンスを発揮しやすいのだとか。佳山トレーナーは、スライドやポスター発表をひと通り見終わり、頭がインプットモードになっている今こそ、今回の講義をしっかり聞いてほしいと熱弁します。特に締め切りを意識して動くことが多いトレーニーたちは、この法則の効果を日常的に実感しているはずだとも語りました。

今回のテーマは、「計画的偶発性理論」です。計画的に行動することで、偶然をうまく利用し、チャンスを増やすことができるといいます。この理論に関連して、佳山トレーナーはイベント開始以来トレーニーたちが少しずつ更新している「マンダラート」にも触れました。会場の後方にいつも通り掲示されているマンダラートには、すでに多くのふせんが貼られています。佳山トレーナーは、「他のトレーニーが書いたマンダラートを見て、自分の習慣化にも役立ててください。気に入ったアイデアや手法は、自分のマンダラートに取り入れてみるのも良いでしょう」とアドバイスを送りました。

放課後の時間には、今回初の試みとしてトレーニーミーティングが実施されました。このミーティングは、オフラインイベントの2日目に行われる“トレーナー”ミーティングに合わせて企画されたもので、トレーナーたちがいない空間でトレーニー同士が自主的に交流する場となりました。ミーティングは、コースごとに分かれて行われ、アシスタントが中心となって進行しました。黙々と振り返りを行うコース。じゃんけんをしてチーム分けを行うコースなど、それぞれのコースの持つ雰囲気が色濃く反映された活動が展開されました。

開発駆動コースの仲山ゼミでは、プロジェクトの進捗や成果を振り返る「振り返り」の発表が行われました。今回は、SecHack365で使用しているbacklogを活用し、日々「振り返り」を実践している秋穂正⽃さん（しくみデザイン株式会社）に、その効果やイベント中の考え方について伺いました。

秋穂さんは、「振り返り」の効果として次の3つを挙げています。

1. 記憶の外部化と言語化
2. 情報の構造化
3. 次のステップへの判断材料

北條トレーナーが行った「法律と倫理」に関する講義では、冒頭に「法の不知はこれを許さず」という言葉が示されました。この言葉は刑法第38条第3項に基づくものであり、「法律を知らなかったとしても、そのことによって罪を犯す意思がなかったとすることはできない」――端的にいえば、「知らなかったじゃ済まされない」という法の原則を表しています。そして、この考え方はサイバーセキュリティの分野にも広く適用されるものです。

講義の中で特に取り上げられたのが、「不正指令電磁的記録に関する罪」についての解説です。この法律は、コンピュータウイルスの作成、提供、取得、保管などの行為を犯罪としています。しかし、ここで重要なのは「他人のコンピュータにウイルスを感染させる目的」があるかどうかという点です。この「目的」が犯罪成立の大きなポイントであり、単にウイルスを所持しているだけでは罪に問われることはなく、その意図が明確であるかが問われるのです。意思や目的の有無について、しっかり理解することで、法律を犯すことなく、開発を進めることができます。

また、近年映画化され話題となったWinny事件も取り上げられました。Winnyはファイル共有プログラムであり、ユーザー同士が動画や写真などのファイルを簡単に共有できるソフトウェアです。その一方で、著作権を無視した映画や音楽の違法共有が横行したといいます。この結果、多くのユーザーが著作権法違反で逮捕される事態となり、開発者自身も「著作権法違反幇助」の罪で起訴されました。開発者は最高裁判所まで争い、最終的に2011年に無罪判決が確定したといいますが、開発者の責任がどのように問われるかについて考えさせられる事例でした。

講義の後半では、園田トレーナーとのパネルディスカッションが行われ、「マルウエアの管理」に関する議論などが展開されました。