サイバーセキュリティコンサルタント · ジャカルタ

セキュリティは習慣であって、関門ではない。

ソフトウェアを動かし続けながら、安全に保つ手伝いをしています。良いセキュリティは静かです。最後の検問所ではなく、人の働き方の中に宿ります。

メッセージを送るあなたは誰ですか？

  • 15+年、ソフトウェアを作り、守ってきました
  • 4回の公開登壇（2023年以降）
  • 2023OpenText 東南アジア Best Pre-Sales Consultant
I

あなたは誰ですか？

セキュリティコンサルタントになった開発者で、最初の部分を忘れたことはありません。2010年に Oracle のモジュールを書き、2011年にランニングイベントの登録プラットフォームを作って今も動かし、それからの年月の大半を、インドネシアと日本の通信事業者、省庁、企業の中で、彼らが作るものを守る手伝いに使ってきました。

ジャカルタに住んでいます。インドネシア語と英語で仕事をします。いまは OpenText で東南アジアのセキュリティ営業の技術面を率い、問題が面白いときには独立した仕事も引き受けます。

長い答え

II

何を信じていますか？

セキュリティは習慣だということ。そこから四つのことが導かれます。

  • 遅れは高くつく。

    最後の検査はソフトウェアを安全にしません。遅らせるだけです。修正は待つほど高くなります。安全は仕事と一緒に進まなければなりません。

  • 道具より、人。

    どんな対策も、忙しい一日の中で誰かが使います。その一日に合わなければ、回避されます。だから私はまず一日を見て、道具は後で選びます。

  • 証拠は数字だけ。

    計画は約束です。仕事を始める前に数字を決めます。重大な欠陥をどれだけ早く直せるか、リリース前にどれだけ見つかるか、リリースにどれだけかかるか。

  • 小さな一歩を、続ける。

    まず試行、次に習慣、最後に規則。この順番なら、チームは変わりながら出荷を続け、変化は定着します。

III

私のために何をしてくれますか？

たいてい四つのうちの一つ、しばしば二つを一緒に。どれが必要か、そもそも私が必要かを、早い段階でお伝えします。

届け方を安全にする
パイプラインに組み込むセキュリティ。脅威モデリング、コードと依存関係の検査、シークレットとポリシーの確認、そして各チームにセキュリティチャンピオンを。業界では DevSecOps、アプリケーションセキュリティと呼びます。
データを守る
機微なデータを見つけ、分類し、暗号化し、テスト用の複製も守る。インドネシアの個人データ保護法（UU PDP）と近隣諸国の法律に対応します。
見張り、応える
ログ、検知、自動対応。既知の攻撃を起きているそのときに見つけます。通信事業者と企業のための SOC ロードマップ。
誰を通すかを決める
シングルサインオン、多要素認証、特権アクセス。正しい人が正しいシステムに届き、それ以外は届かないように。
IV

どう進みますか？

まず見る。次に計画する。そして一度に一つだけ変え、それを続ける。五つの動詞、いつもこの順番で。

  1. 見る

    インターネットに面したもの、内部ネットワーク、アプリケーションを検査し、すべての指摘を事業への影響で並べます。

  2. 比べる

    現状を OWASP DSOMM、NIST、ISO 27001 などの枠組みと照らし、すべてのギャップに名前と担当者をつけます。

  3. 計画する

    仕事をリスクと依存関係で段階に分けます。各段階に明確な出口と、達成すべき数字があります。

  4. 変える

    対策はまず試行し、次に自動で動かし、それからようやく全リリースの規則にします。チームは出荷を止めません。

  5. 続ける

    指標、監査、定期的な見直しが、最初の成果のあとも習慣を正直に保ちます。

V

何をしてきましたか？

六つの物語。顧客名を明かせない場合は名前を伏せ、事実だけを残しています。

すべてのプロジェクト

VI

どこで話しましたか？

2023年以降に四回。すべて同じ考えについて。後から付け足すのではなく、はじめから組み込むセキュリティ。

  • Hackpoint Community Webinar、オンライン

    Securing the Software Development Lifecycle by design

    セキュリティを後工程ではなくソフトウェアの作り方の一部にすれば、リスクは下がり、速さは保てます。

  • DevOpsDays Jakarta

    Securing DevOps: data privacy and protection in continuous deployment

    何も無条件に信用しない。データは転送中も、使用中も、保存中も、毎回検証し暗号化します。

  • Forum Digital BUMN (Fordigi)、ジャカルタ

    Embark on a secure and resilient application SDLC

    アプリケーション層とサプライチェーンへの攻撃に対する、端から端までのアプリケーションセキュリティ。

  • Indonesia Data Security Symposium、ジャカルタ

    Pioneering data-centric protection

    インドネシアの個人データ保護法が組織に何を求めるか、そして現代の道具と枠組みがどう助けになるか。

VII

どう連絡すればいいですか？

メッセージをください。いまの状況と、何を変えなければならないかを教えてください。正直に答えます。正直な答えが「私は必要ない」である場合も含めて。

メッセージを送る

LinkedIn