# セキュリティと信頼性の文化 ## 定義 セキュリティと信頼性の文化とは、技術的な設計・実装・運用の実践を組織全体で持続させるために、意図的に設計・実装・維持される組織の対応パターンを指す。『Building Secure and Reliable Systems』第21章はこれを、CEOから個々の実装者までの共同責任として明示的に扱うべき対象と位置づけ、デフォルトによる文化・レビューの文化・意識の文化・イエスと言う文化・不可避性の文化・持続可能性の文化という6つの側面に分解する。文化は「システムと同じように設計できる」という前提そのものが本概念の核であり、変更への抵抗の根源である恐怖(摩擦・統制強化・生産性喪失への懸念)を、カナリア・段階的ロールアウト・ドッグフーディング・トラステッドテスター・breakglassといった具体的な仕組みで能動的に縮小できるとする。さらに、個々の実務者がリーダーシップから同意を取り付けるための説得技術(意思決定者の特定、データに基づくケース構築、戦いを選ぶ判断、エスカレーションの制度化)も文化形成の実践的手段として扱われる。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 21 Building a Culture of Security and Reliability]]) **既存概念との棲み分け**: [[SRE文化]]は信頼性側の実践(トイル削減・オンコール・ポストモーテム等)を軸に、SREという職能が必要とする環境と、それが組織を動かす「テコ」としてどう機能するかを扱う。[[組織の信頼性マインドセット]]は組織が信頼性をどう捉えているかの成熟度(Absent〜Visionary)を測る診断フェーズモデルである。[[SREの心構え]]は個人の思考様式(好奇心・学習志向・オーナーシップ)を扱う。これらはいずれも**信頼性**を主軸に置き、セキュリティは扱われないか周辺的である。これに対し本概念は、セキュリティと信頼性を**同一の文化的枠組みで統合**して扱う点で異なる——レビュー文化・意識の文化・イエスと言う文化のいずれも、セキュリティ上の統制と信頼性上の統制を並列に論じ、両者が同じ恐怖(変更への抵抗)・同じ説得技術(リーダーシップへの働きかけ)を共有することを前提とする。本書全体(第1〜20章)が積み上げた技術的実践は、この統合された文化的基盤があって初めて組織に定着する、というのが最終章としての本概念の位置づけである。 ## 横断的知見 - **App Engineの「イエスと言う文化」という組織的決定は、第8章が描く多層サンドボックス設計という技術的裏付けとセットで初めて機能した**: 第21章は、サードパーティの未検証コードを実行するというApp Engineの提案を「セキュリティチームが拒否せず協働してリスクを引き受けた」文化的決定として描くが、その協働が具体的にどう安全性を担保したかには踏み込まない。第8章は同じApp Engineについて、危険APIの置き換え・NaClビットコードへのコンパイル・`ptrace`によるシステムコールフィルタリングという二重のサンドボックス層が「各層が前の層の想定漏れを補う」設計であったことを詳述する。両者を並べると、「イエスと言う文化」が単なる楽観的なリスク許容ではなく、多層防御という具体的な技術的安全網とセットで初めて「危険すぎる提案」を実現可能にしたことが分かる——文化的決定と技術的実装は独立した2層ではなく、後者が前者を裏付けることで組織の恐怖を実際に縮小している。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 21 Building a Culture of Security and Reliability]] §Culture of Yes, [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 8 Design for Resilience]] §Google App Engine Analysis) - **第7章のHTTPS移行の4教訓は、第21章の「変革のケース構築」6段階の一部を、業界横断のスケールで先取りしている**: 第21章はリーダーシップ説得の技法として、データ収集・教育・インセンティブ整合・味方作り・業界動向の観察・時代精神の転換という6段階を一般論として示す。第7章は同じ枠組みを、Google一社ではなくインターネット業界全体を対象にHTTPS利用率を高める長期移行として具体化しており、データ駆動戦略・過剰なまでのコミュニケーション・ビジネスインセンティブとの紐付け・業界コンセンサスの構築という4教訓を挙げる。これは第21章の「データ収集」「オーバーコミュニケーション」「インセンティブ整合」「時代精神の転換」にほぼ1対1で対応し、組織内のリーダーシップ説得と業界レベルの規範変更が、同一の技術的戦略群のスケール違いの適用であることを示している。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 21 Building a Culture of Security and Reliability]] §Build a Case for Change, [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 7 Design for a Changing Landscape]] §Long-Term Change) - **第20章の「専門家チームの配置に唯一の正解はない」という組織設計論は、第21章のレビュー文化・意識の文化が誰の責任で運用されるかという実行主体の問いに答える**: 第21章はレビュー文化・意識の文化を「誰もが担うべき」規範として論じるが、それを実際に設計・運用する主体(中央チームか、各プロダクトチームか)には踏み込まない。第20章はこの空白を、中央セキュリティチームとセキュリティチャンピオンのハイブリッド配置という具体的な組織構造で埋めており、第21章の文化的規範が実際の組織図とどう結びつくかを補完する。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 21 Building a Culture of Security and Reliability]] §Culture of Review, §Culture of Awareness, [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 20 Understanding Roles and Responsibilities]] §Example - Embedding Security at Google) ## 未解決の問い - 「デフォルトによる文化」「レビューの文化」等の6側面は、[[組織の信頼性マインドセット]]のAbsent〜Visionaryという成熟度フェーズと対応づけられるか。例えば「イエスと言う文化」はStrategic以降のフェーズでのみ成立しうるのか、それとも独立した軸なのか、突き合わせは未着手。 - 第21章はセキュリティと信頼性の文化的統合を前提とするが、両者の恐怖の質(セキュリティ統制への抵抗と信頼性統制への抵抗)が実際に同一のメカニズムで縮小できるのかは、本章の記述だけでは検証できない。[[セキュリティエンジニアリングチームの管理と組織的リスク]]が扱う組織的リスク管理の失敗パターンと突き合わせる余地がある。 - 「持続可能性の文化」(燃え尽き回避・英雄的対応の忌避)は[[セキュリティの持続可能性]]が扱う耐久財のパッチ供給問題とは異なる粒度(個人の労働負荷 対 製品ライフサイクル)を扱うが、両者を統合的に扱う組織はどのような指標を使っているか、他ソースでの裏付けが必要。 - NASAコロンビア号事故調査委員会の事例が示す「組織構造と規範が安全文化を阻害する」パターンは、[[ポストモーテム]]概念が集約する多数のIT分野の事例とどう異なるか(有人宇宙飛行という高スループット・高不確実性領域固有の要因はあるか)は未整理。 - 文化変革の6つの技術的戦略(インセンティブ整合・恐怖の低減・安全網・利便性向上・オーバーコミュニケーション・共感構築)は、[[SREアンチパターン]]が集約する18個のアンチパターンのどれを予防する設計になっているか、体系的な対応表はまだない。 ## 関連 - [[SRE文化]] — 信頼性側に焦点を当てた近接概念。「テコとしての文化」の比喩は本概念にも転用できる可能性がある - [[組織の信頼性マインドセット]] — 組織の信頼性成熟度を測るフェーズモデル - [[SREの心構え]] — 個人の思考様式に焦点を当てた近接概念 - [[セキュリティの持続可能性]] — 製品ライフサイクル規模の持続可能性(耐久財のパッチ供給)と対をなす、労働負荷規模の持続可能性 - [[セキュリティエンジニアリングチームの管理と組織的リスク]] — チーム構築・組織的リスク管理の観点から本概念を補完 - [[ポストモーテム]] — 「不可避性の文化」がブレームレスポストモーテムに依拠する - [[エラーバジェット]] — 「イエスと言う文化」の具体的な仕組み - [[Testing on the Toilet]] — 「意識の文化」の具体例 - ソース: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 21 Building a Culture of Security and Reliability]](本概念の主要出典) / [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 7 Design for a Changing Landscape]] / [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 8 Design for Resilience]] / [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 20 Understanding Roles and Responsibilities]] ## 出典 - Heather Adkins et al. (eds.), *Building Secure and Reliable Systems*, O'Reilly Media, 2020, Chapter 21. - Heather Adkins et al. (eds.), *Building Secure and Reliable Systems*, O'Reilly Media, 2020, Chapter 7, §Long-Term Change. - Heather Adkins et al. (eds.), *Building Secure and Reliable Systems*, O'Reilly Media, 2020, Chapter 8, §Google App Engine Analysis. - Heather Adkins et al. (eds.), *Building Secure and Reliable Systems*, O'Reilly Media, 2020, Chapter 20, §Example - Embedding Security at Google.