セキュリティカオスエンジニアリング

第8章. セキュリティ・カオス実験

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

カオスの中でしか、私たちは考えられない。

ロベルト・ボラーニョ、2666

実験は、私たちの現実についてこれまで知られていなかった新たな洞察（ ）を導き出そうとするものであり、科学的手法に内在するフィードバック・ループを完成させるものである。この発見と学習のダイナミックなサイクルこそが、あらゆる分野にわたる科学の進歩の原動力なのである。実験は、私たちの継続的な学習という永遠の炎を燃やすための薪であり、防衛者として私たちが急速に進化する環境に現実的に追いつくことができる唯一の方法である。不利なシナリオをシミュレートして、システムがどのように反応し、不利な条件に適応するかを観察しな ければ、意味のある測定可能な方法でシステムのレジリエンスを強化するための行動指針を考えることはでき ないからである。

SCE は、（理論上だけでなく）現実のシステムのレジリエンスとセキュリ ティを明らかにする、厳格な実験の実践を紹介する。第 2 章で述べたように、実験とは単なるテスト以上のものである。テストとは、既知の結果を検証したり、二者択一的に評価したりすることであり、私た ちは、何を求めているのかを、それを探しに行く前に知っている。これとは対照的に、実験では、これまで知られていなかった新たな情報を導き出そうとする。そして、こうした新たな洞察は、レジリエンスの薬を醸造するために必要な最終的な原材料の成果物である「適応」に反映される。システムに不利なセキュリティシナリオを注入することで、システムの挙動を理解することができ、 システムのレジリエンスを維持する方法を改善するきっかけをつかむことができる。セキュリティのカオス実験を継続的に実施することで、私たちは、システム内に潜む危険 が危機的状況に陥る前に、その理解を評価し、改善することができる。実験とは、誤解を招きやすいメンタルモデルを管理し、現実に向けて修正するための、私たちのやんちゃな薬なのである。

この章では、 EMPAKループにほぼ従ってセキュリティカオス実験を実施するエンドツーエンドのプロセスについて説明する。¹-図8-1に示すように、知識ベースに基づいて、セキュリティカオス実験を実行、監 視、分析、計画するためのフィードバックループを活用する。図8-1に示すように、知識ベースに基づいて、セキュリティカオス実験を実行、監 視、分析、計画するためのフィードバックループを活用する。ここでは、注意深く考慮された前提条 件、仮説の設計、実験の開発、実験証拠の分析と文書化によって、実験を成功させるためのセットアップ方 法を取り上げる。その過程で、潜在的なハードルや失敗を予測し、実験が円滑に進むようにするためのガイダンスや、早期採用者から学んだ教訓を提供する。

図8-1. サイバーセキュリティ研究者ケネディ・トルクラが発表したEMPAKループ

セキュリティ・カオス実験は科学的メソッドを適用する ...