tag:blogger.com,1999:blog-80687585467678279972026-01-20T20:17:31.072+09:00京都の片隅で、自転車とかITとか頑張ってます。kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.comBlogger63125tag:blogger.com,1999:blog-8068758546767827997.post-72590885660046457122023-04-08T14:22:00.000+09:002023-04-08T14:22:05.895+09:00<h2 style="text-align: left;"><span style="color: #0b5394;">とある部長とモンスター社員との攻防記録</span></h2><b>はじめに</b><br /><hr /><div>モンスター社員、問題社員、ハラスメント社員という言葉を聞いたことがあるだろうか。</div><div>職場、仕事上での言動、態度に問題がある社員を指す。よく言われる〇〇ハラスメント、XXハラスメントに当てはまる行動・言動がみられ、いじめや嫌がらせに繋がり、他の社員に迷惑をかけるだけで無く、会社に不利益をもたらす。</div><div>その為、会社・マネージャーとしては早期に解決しなければならない。</div><div>そんなモンスター社員と対峙してしまい、大きな失敗を犯してしまった私の記録をここに記す。</div><div>これを読んだ人の役に立つことを願う。</div><div><br /></div><div><span style="background-color: white;"><span><div><span><span style="color: #3d85c6;"><b>序章：やる気に満ちた社員！？</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div style="text-align: left;">私は長年所属していたアプリケーション開発部からITサービスマネジメント（運用保守）部へ異動し部長となった。その時に初めて彼、Aさんと出会った。</div><div style="text-align: left;"><b>Aさんは、見た目・性格ともに大人しい雰囲気</b>だった。</div><div style="text-align: left;">100人以上いる部下の一人だったので、Aさんと接する機会は少なかった。</div><div style="text-align: left;">直属の課長からは人事評価時に以下のようなことを聞いていた。</div><div style="text-align: left;">「Aさんが現行業務に課題を感じている」</div><div style="text-align: left;">「リーダーが、その課題を対処しない為、Aさんが孤立奮闘している」</div><div style="text-align: left;">「実質はAさんがリーダー的なことをやらされていて不満をもっている」</div><div style="text-align: left;">「なにもしないリーダーであれば、自分が先頭にたって変えたいと思っている」</div><div style="text-align: left;">これを聞いて、大人しい見た目とは裏腹に仕事に対し熱意をもって対応してくれる社員なんだと思った。</div><div style="text-align: left;"><br /></div><div style="text-align: left;"><div><span><span style="color: #3d85c6;"><b>１章：責任者の任命</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div>年度末、戦略から部を編成することになった。</div><div>数名の課長が異動となった為、複数の課を統合した。その時に課長の負担を下げる為、係長としてAさんを抜擢した。</div><div>彼に任せたのは、上司や課長の進言があったからだ。</div><div>「Aさんには、そろそろ係長ぐらいの役職をつけないと不満で会社を辞めてしまう」</div><div>「Aさんに辞められると業務が回らない」</div><div>&nbsp;etc...</div><div>一抹の不安を残しながら、新しい体制はスタートした。</div></div></span></span></div><div><span style="background-color: white;"><span><div style="text-align: left;"><div><ul style="text-align: left;"><li><b><span style="color: #ffa400;">【私の後悔】</span></b></li><ul><li>人の上に立つ役職を他人の評価で決めてしまった。</li><li>自分の目で見て、話をして、人となりを理解しようとしなかった。</li></ul></ul></div><div><br /></div><div><div><span><span style="color: #3d85c6;"><b>２章：パートナーさんが会社に来ません</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div>それは突如、私に報告された。</div><div>「Y社のパートナーさんYさんが、先週から体調不良で休まれています。」</div><div>良くない報告だが、100人以上も部下がいれば、そのようなことも起きる。</div><div>私は通院の結果とY社営業担当者にコンタクトを取り、状況を確認するように指示した。</div><div>その後、Yさんは出社するが、勤怠は安定しなかった。</div><div>解決に向けてYさんと会話しているうちに、Yさんは重い口を開いた。</div><div>「Aさんと一緒に仕事をするのが辛いです。」</div><div>纏めると以下になる。</div><div><ul style="text-align: left;"><li>依頼されたタスクでレビューしてもらうが、指摘だけで指示がない。</li><li>答えが出ない、答えがないものに対し、長時間と問答を行う。</li><li>朝礼時に他の社員がいる前でご指導が始まると1時間を超える。</li><li>Aさんの中に答えがある場合、それに完璧に従わないとOKがでない。etc...</li></ul>Yさんは以前にも、うつ病を患ったことがあった。Y社営業担当者と相談し、職場を変えるということでYさんは去ってしまった。</div><div>Y社営業担当者からは過去の病歴もあり、おおごとにしたくないという言葉をもらい、私は謝罪と組織としてカイゼンする旨を伝えた。</div><div><br /></div><div>後日、Ａさんにフィードバックを行った。本人の言い訳は以下だ。</div><div><ul style="text-align: left;"><li>Ｙさんを成長させる為、あえて答えを言わない。</li><li>能力が低すぎる。もっと考えるクセをつけてもらいたかった。</li><li>レビューは丁寧に行っている。</li></ul>Ａさんの主張もわかるが、マネージャーとしての考え方、接し方にカイゼン点があることを話し一度、係長の任を外すこと、そしてマネジメントを学び直し実践できたときに改めて係長を任せたい旨をＡさんが傷つかないように伝え、フィードバックを終えた。</div><div>私はAさんの真剣な面持ちを見て、リーダーとして変わってくれると信じていた。</div><div><ul><li><b><span style="color: #ffa400;">【私の後悔】</span></b></li><ul><li>はっきりと問題点（パワーハラスメントにあたること）を言わなかった。Yさんの主張を切り取ってみるとハラスメントにあたるものがある。</li><li>例えはレビューというと聞こえはいいが、複数のメンバがいるなかで、１，２時間、一方的に詰め寄るのは、人前で罵倒・叱責するのと変わりない。</li><li>問題点に対し、今後どのようにするかを本人と約束しなかった。</li><li>このフィードバックについて、議事録・録音を残していなかった。</li></ul></ul></div><div><div><span><span style="color: #3d85c6;"><b>３章：またパートナーさんが会社に来ません</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div>数ヶ月後、また同じようなことが発生する。Aさんの主張も前回と変わらない。</div><div>どうやら、自分と同じぐらいのレベルに達していない相手にマウントを取るようだ。逆に自分より優秀なエンジニアに対しては近寄らない、もしくは批判的になる。</div><div>面談後、課長と相談し、Aさんには今の担当ラインから外れて新たなプロジェクトで活躍してほしいと話した。</div><div>すべては、Aさんを既存メンバから遠ざけ、新天地で頑張ってもらうためだった。</div><div><b style="color: #3d85c6;"><ul style="color: black; font-weight: 400;"><li><b><span style="color: #ffa400;">【私の後悔】</span></b></li><ul><li>この時点で社内のコンプライアンス委員／渉外課へエスカレーションするべきだった。すでに部門で手に負える範囲を超えているが、Aさんを守ってしまった。</li></ul></ul></b></div><div><b style="color: #3d85c6;">４章：どんどん、おかしな方向へ</b></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><b>『自分は不当な扱いを受けている！』</b>それは突如、はじまった。</div></div><div>Aさんは今までの担当業務からはずれたこと、そして自分がリーダーとしてのポジション、役職を得られないのは上司からイジメであると言い始めた。</div><div>係長を外れたあとも、後輩に対し自分の必要性を訴えていた。時には後輩をつかい、Aさんをリーダーとしたプロジェクト体制を上申してきた。</div><div>それらを課長は受け入れなった。なぜなら彼の言動や行動は何一つカイゼンしているように見えなかったからだ。</div><div>ついには愚痴を言うだけには収まらなくなった。</div><div><b>『自分はこのプロジェクトはもうやらない』</b></div><div><b>『不当な扱いを受けている理由を説明しないかぎり、指示は受けない』</b>など、他のメンバの前で言う始末だった。</div><div>Aさんの言い分はこうだ。</div><div><ul style="text-align: left;"><li>入社以来、ITサービスマネジメントに従事してきた。一番の知識と経験を持つ自分がプロジェクトから外されるのは不当な扱いだ。</li><li>過去に指導が行き過ぎた。ハラスメント行為があったかも知れないが過去のことで今は改善している（※だたし半年もたっていない）。</li><li>部長・課長は異動で責任者となっており、ITサービスマネジメントについて無知である。</li><li>（２，３人、贔屓にしている後輩の名前を出し）これはメンバの総意であると言ってくる。</li></ul><div>私は何とか事態を収拾するべく、関係者一人ひとりと面談・ヒアリングし、その結果をAさんにフィードバックした。Aさんの良いところ、強み、問題点、カイゼン点をメンバのコメントと共に、できるだけ客観的に伝えた。</div></div><div>しかし、Aさんには伝わらなかった。</div><div>『結局、自分が悪い前提でヒアリングしている。もうアナタたちと話しても意味がない。あとは会社に判断してもらいます。』</div><div>これを最後にAさん直接会話するこは無くなった。</div><div><ul><li><b><span style="color: #ffa400;">【私の後悔】</span></b></li><ul><li>ここまでに約2年の月日が経過している。私の会社は歴史ある会社で、社員を家族として、時には厳しく、時には優しく、育てる文化があった。私はAさんに対して、その精神をもって接してきたつもりだったが、全ては無駄だった。私の声はAさんにひとつも届いていなかった。</li></ul></ul></div><div><div><span><span style="color: #3d85c6;"><b>５章：その後</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div>Aさんはその後、社内のコンプライアンス委員に私を含める上司にハラスメントを受けていると訴えた。コンプライアンス委員は人事部門に属しており、社外との渉外対応を行うスペシャリスト（警察OBなど）から構成されていた。</div><div>コンプライアンス委員は2ケ月ほどの期間を使い、徹底して聞き込みを行った。社員はもちろん、派遣社員、社外関係者など、広範囲に聞き込みは行われた。</div><div>その結果、Aさんのハラスメント事案は全て明らかになった。彼は明るみになってないだけで、数年前からハラスメントが常態化しており、それがもとで社員も数人退職していた。</div></div></div><div>コンプライアンス委員もヒトである。今回の全体像が見えるころには『この人、やばいね』と言ってくれるようになった。</div><div><br /></div><div>そして結果が出た。</div><div>Aさんは、私の部門から去ることになった。</div><div><ul><li><b><span style="color: #ffa400;">【私の後悔】</span></b></li><ul><li>上司である私に問題があると疑われるので、ドキドキしながらヒアリング受けた。時には部下を厳しく指導するので、本当にビビった。</li><li>コロナになってから、社員がモンスター化することが多いそうだ。今回のようなケースが他でも発生していると聞いて安心した。</li></ul></ul></div><div><br /></div><div><div><span><span style="color: #3d85c6;"><b>最終章：学び</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div>私が今回の経験で学んだことは</div></div><div style="text-align: left;"><ol style="text-align: left;"><li>日本の法律は労働者を守る前提で作られている</li><ul><li><b>法律を犯さない限り、ハラスメント社員でもクビにすることはできない</b>。そもそも日本でクビはできない。※合法的にクビにできる方法があれば教えてほしい。</li></ul><li>コンプライアンスを違反した時点で然るべき処置を行う</li><ul><li>迷わずコンプライアンス委員や渉外課などに相談するべき！部下のミスは上司が被るのは仕事上の話で、コンプライアンスは別である。</li></ul><li><b>記録を残すということ</b></li><ul><li><b>これが一番の後悔である。ここまで問題になると思っていなかったので、最初の方は面談の記録（録音や議事録）を残していなかった。</b></li></ul><li>面談するときは、何が悪くて、何をカイゼンするかを記録する</li><ul><li>あとから<b>見直せるように、悪かったこと、カイゼンするべきことを文字にする</b>が大切。</li></ul><li>どう頑張っても、分かり合えない人はいる</li><ul><li>自己中心的な考えをする人は、それを悪いと思っていない。自己中心的とも思っていない。だから、どれだけ歩みよっても交わることはない。</li><li>これ系の問題は、性善説から性悪説へ考えを切り換える。</li></ul></ol></div><div>自分の部下は、守りたいし、立派に育ってほしい。</div><div>しかし、行き過ぎた過保護は、他のメンバに迷惑をかける。</div><div>コンプライアンス違反に対して、勇気をもって立ち向かわなければ何も救えないし守れないと今回、気づかされました。</div></div></span></span></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-67698066255933747532022-05-17T21:27:00.000+09:002022-05-17T21:34:14.844+09:00<h3 style="text-align: left;"><span style="color: #0b5394;">情報処理安全確保支援士 オンライン講習（2021年度）単元６：情報セキュリティ関連の標準やガイドライン</span></h3><p>日時：2022年5月12日～5月15日</p><br /><b>概要</b><br /><hr /><div>情報セキュリティに関する標準やガイドラインの制定・改廃、社会通念の変化、国内外の動向、それらを活用する理由を学習する</div><div><br /></div><div><div><span style="background-color: white;"><span><div style="color: black;"><span><span style="color: #3d85c6;"><b>１章：セキュリティ対応における標準・ガイドラインの活用</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" style="color: black;" width="400" /><div><ul><li style="color: black;">ガイドラインを用いることにより、「自組織が相手に求めること」「自組織が満たしているセキュリティレベル」を共通言語で示すことができる</li><li><a href="https://www.soumu.go.jp/main_sosiki/joho_tsusin/policyreports/chousa/jise_ip/pdf/050120_1_s1.pdf" target="_blank">ISMS-T標準化動向と今後</a></li><li><a href="https://www.ipa.go.jp/files/000013325.pdf" target="_blank">マネジメントコース 情報セキュリティマネジメントの実践ポイント</a></li></ul><div><span><span style="color: #3d85c6;"><b>２章：国内のガイドライン</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li><a href="https://security-portal.nisc.go.jp/" target="_blank">NISC みんなで使おうサイバーセキュリティ・ポータルサイト</a></li><ul><li>国内のサイバーセキュリティに関する公的機関等の施策・取り組みを紹介</li></ul><li>サイバーセキュリティ経営ガイドラインVer.2.0および支援ツール</li><ul><li>サイバー・フィジカル・セキュリティ対策フレームワークの内容と要点を知り組織のガバナンスに有効活用することができる</li><li><a href="https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_keiei/pdf/006_03_00.pdf" target="_blank">サイバーセキュリティ研修会WG　事務局説明資料</a></li></ul><li><a href="https://www.meti.go.jp/policy/netsecurity/mng_guide.html" target="_blank">サイバーセキュリティ経営ガイドライン</a></li><ul><li>経営者を対象としたガイドライン</li><li>経営者が認識する「3原則」、担当幹部に指示すべき「重要10項目」をまとめている</li></ul><li><a href="https://www.ipa.go.jp/security/fy30/reports/ciso/index.html" target="_blank">サイバーセキュリティ経営ガイドライン Ver 2.0実践のためのプラクティス集</a></li><ul><li>経営者、CISO等、セキュリティ担当者を読者として想定</li><li>重要10項目を実践するための考え方、ヒント、実践手順などを記載</li></ul><li><a href="https://www.meti.go.jp/policy/netsecurity/downloadfiles/tebiki.pdf" target="_blank">サイバーセキュリティ体制構築・人材確保の手引き</a></li><ul><li>セキュリティリスク管理体制の構築</li><li>セキュリティ対策のための資源（予算・人材等）確保</li></ul><li><a href="https://www.ipa.go.jp/security/economics/checktool/index.html" target="_blank">サイバーセキュリティ経営可視化ツール</a></li><ul><li>サイバーセキュリティの実践状況を可視化するためのツール</li><li>状況を定量的に把握し、サイバーセキュリティに関する方針の策定、適切なセキュリティ投資の判断につなげる</li></ul><li><a href="https://www.ipa.go.jp/security/keihatsu/sme/guideline/" target="_blank">中小企業の情報セキュリティ対策ガイドライン</a></li><ul><li>情報セキュリティ対策の指針、手順、手法をとりまとめたもの</li></ul><li><a href="https://www.meti.go.jp/press/2019/04/20190418002/20190418002-1.pdf" target="_blank">サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）のポイント</a></li><li><a href="https://www.meti.go.jp/press/2019/04/20190418002/20190418002-3.pdf" target="_blank">サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）の概要</a></li><ul><li>サイバー空間とフィジカル空間が融合した産業社会を３つの切り口（「企業間の繋がり」、「フィジカル空間とサイバー空間のつながり」、「サイバー空間におけるつながり」）で捉え、サプライチェーンの信頼性を確保する観点からリスク源、対応の方針等を整理</li></ul><li>サイバー・フィジカル・セキュリティ対策フレームワークに基づく分野別ガイドライン</li><ul><li><a href="https://www.meti.go.jp/press/2020/11/20201105003/20201105003-1.pdf" target="_blank">IoTセキュリティ・セーフティ・フレームワーク</a></li><li><a href="https://www.meti.go.jp/press/2019/06/20190617005/20190617005_01.pdf" target="_blank">ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン</a></li></ul><li>経済産業省のガイドライン</li><ul><li><a href="https://www.meti.go.jp/policy/netsecurity/downloadfiles/IS_Management_Standard_H28.pdf" target="_blank">情報セキュリティ基準</a></li><ul><li>情報セキュリティ管理者が有効な情報セキュリティマネジメントシステムを構築・運用するための基準</li></ul><li><a href="https://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kanri_h30.pdf" target="_blank">システム管理基準</a></li><ul><li>システム管理者が有効なシステムライフサイクル管理を行うための基準</li></ul></ul><li>IPAのガイドライン</li><ul><li><a href="https://www.ipa.go.jp/security/fy24/reports/insider/index.html" target="_blank">組織における内部不正防止ガイドライン</a></li><li><a href="https://www.ismap.go.jp/csm" target="_blank">政府情報システムのためのセキュリティ評価制度</a></li><li><a href="https://www.ipa.go.jp/security/jisec/scheme/index.html" target="_blank">ITセキュリティ評価および認証制度</a></li><li><a href="https://www.ipa.go.jp/security/jisec/about_cc.html" target="_blank">CC（ISO／IEC15408）概説</a></li></ul><li>内閣サイバーセキュリティセンターのガイドライン</li><ul><li><a href="https://www.nisc.go.jp/pdf/policy/infra/infra_rt4_r2.pdf" target="_blank">重要インフラの情報セキュリティ対策に係る第4次行動計画</a></li><ul><li>安全基準等の整備及び浸透などの５つの施策群で、重要インフラ14分野が行うべき具体的な方針や施策が示されている</li><li>５つの施策</li><ol><li>安全基準等の整備及び浸透</li><li>情報共有体制の強化</li><li>障害対応体制の強化</li><li>リスクマネジメント</li><li>防護基盤の強化</li></ol></ul><li><a href="https://www.nisc.go.jp/policy/group/general/kijun.html" target="_blank">政府機関等のサイバーセキュリティ対策のための統一基準群</a></li><ul><li>セキュリティ対策のための統一規範</li><li>セキュリティ対策のための運用等に関する指針</li><li>セキュリティ対策のための統一基準</li><li>対策基準策定のためのガイドライン</li></ul></ul><li>総務省のガイドライン</li><ul><li><a href="https://www.soumu.go.jp/main_content/000752925.pdf" target="_blank">テレワークセキュリティガイドライン</a></li><li><a href="https://www.soumu.go.jp/main_content/000698567.pdf" target="_blank">IoT・５Gセキュリティ総合対策2020</a></li><li><a href="https://www.soumu.go.jp/main_content/000727474.pdf" target="_blank">地方公共団体における情報セキュリティポリシーに関するガイドライン</a></li></ul><li>経団連のガイドライン</li><ul><li><a href="https://www.keidanren.or.jp/policy/2018/018.html" target="_blank">サイバーセキュリティ経営宣言</a></li><ol><li>経営課題としての認識</li><li>経営方針の策定と意思表明</li><li>社内外体制の構築・対策の実施</li><li>対策を講じた製品・システムやサービスの社会への普及</li><li>安心・安全なエコシステムの構築への貢献</li></ol><li><a href="https://www.keidanren.or.jp/policy/cybersecurity/CyberRiskHandbook.pdf" target="_blank">サイバーリスクハンドブック</a></li><ul><li>取締役が企業経営リスクへの対処策を検討、議論する際に考慮すべき事項を整理し、事前に知っておかねばならない諸事項、リスクの最小化を図ることを記載</li></ul></ul><li>JPCERT/CCのガイドライン</li><ul><li><a href="https://www.jpcert.or.jp/csirt_material/" target="_blank">CSIRT構築や運用などに活用できるガイドライン</a></li><ul><li>３つのフェーズに分け説明</li><ol><li>構想フェーズ</li><li>構築フェーズ</li><li>運用フェーズ</li></ol></ul><li><a href="https://www.jpcert.or.jp/tips/2019/wr192101.html" target="_blank">情報セキュリティ早期警戒パートナーシップガイドライン</a></li><li><a href="https://www.jpcert.or.jp/research/IoT-SecurityCheckList.html" target="_blank">IoTセキュリティチェックリスト</a></li><ul><li>開発者／利用者のチェックリスト</li><li>実装しておきたい３９のセキュリティ機能を示している</li></ul></ul></ul></div></div></span></span></div><div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>３章：海外のガイドライン</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul><li><br /></li></ul></div></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-13869074728204730692022-05-12T21:53:00.008+09:002022-05-12T21:56:49.625+09:00<h3><span style="color: #0b5394;">情報処理安全確保支援士 オンライン講習（2021年度）単元５：倫理と法</span></h3><p>日時：2022年5月8日～5月12日</p><br /><b>概要</b><br /><hr /><div>倫理の考え方、倫理的判断や行動の指針となる規範について学習する</div><div>理解しておくべき関連法制度や内部統制などについて学習する</div><div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b><br /></b></span></span></div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>１章：倫理とは</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>倫理とは何か</li><ul><li>善悪の判断をするための根拠となる規範を「倫理」と呼ぶ</li></ul></ul></div></div><div><div><b style="background-color: white; color: #3d85c6;">２章：情報処理安全確保支援士の倫理観</b></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>情報処理安全確保支援士について（倫理の観点から）</li><ul><li>機密情報に接する機会が多く、技術・知見から高度な技術的攻撃が可能</li><ul><li>高い倫理観と規範意識が求められる</li></ul><li>倫理的な行動ができるよう内発的・自発的に考えなければならない</li><li>無意識のうちに非倫理的な行為を行ってしまう危険も認識する</li><li>会社・組織が非倫理的な意思決定を行った場合、自らの倫理観とコンフリクトが起きる可能性がある</li><ul><li>どのように行動するべきかを内発的・自発的に考えなければならない</li></ul><li>以上を認識し、自らの行為を客観視したり、第三者の意見を求めたりすることで、非倫理的な行為の防止に努める</li></ul><li><a href="https://www.ipa.go.jp/files/000073810.pdf" target="_blank">情報処理安全確保支援士 倫理綱領</a></li><li><a href="https://www.ipa.go.jp/files/000073809.pdf" target="_blank">情報処理安全確保支援士 倫理綱領（説明付き）</a></li><ul><li>安全確保支援士が業務を行っていくうえでの指針</li></ul><li>倫理的判断が重要な理由</li><ul><li>科学技術の進歩による専門分野の細分化、高度化により技術者の判断が難しくなってきている</li><li>相反する事態に遭遇することもある</li><ul><li>例）コストの低減と公衆の安全確保、情報公開と守秘義務</li></ul><li>判断結果が社会に多大な影響を与える可能性がある、など</li></ul></ul><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>３章：コンプライアンス</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>広義のコンプライアンス</li><ul><li>倫理的な判断や行動を主体的に行う</li></ul><li>狭義のコンプライアンス</li><ul><li>明確化された法や規則に従う</li></ul><li>コンプライアンス経営</li><ul><li>コンプライアンスを基礎に「経営倫理」の確立と実践を目指す経営</li><li>コンプライアンス経営の実践は組織の維持発展に寄与する</li></ul><li>内部統制</li><ul><li>コンプライアンスの目的実現のために、組織が主体的に取り組む手段</li><li>法律や内容は多岐にわたるが以下の趣旨・目的を理解しることが必要</li><ul><li>会社法：株式会社に適用</li><li>金融商品取引法：上場企業等に適用</li></ul></ul><li>企業会計審議会による「財務報告に係る内部統制の評価及び監査の基準」</li><ul><li>内部統制の基本的枠組み</li><ul><li>４つの「内部統制の目的」</li><li>６つの「内部統制の基本的要素」</li><ul><li>要素のひとつに「ITへの対応」が含まれる</li></ul></ul></ul><li>公益通報者保護法</li><ul><li>労働者が、公益のために通報を行ったことを理由として不利益な扱いをうけることがないよう、制度的なルールを明確にするもの</li></ul><li>コンプライアンスの倫理面を考えるには、組織として配慮をする関係者を明確にすることが必要</li><ul><li>ステークホルダー理論</li><ul><li>企業経営にとって利害関係者：「ステークホルダー」</li><li>「ステークホルダー」には消費者、顧客、従業員、取引差異、地域社会そのたの幅広い関係者が含まれる</li></ul></ul><li>コーポレート・ガバナンス</li><ul><li>OECD：コーポレート・ガバナンス原則（５原則）</li><ul><li>株主の権利・平等性の確保</li><li>株主以外のステークホルダーとの適切な協働</li><li>適切な情報開示と透明性の確保</li><li>取締役会等の責務</li><li>株主との対話</li></ul><li>内部統制と密接な関係性がある</li></ul><li>企業の社会的責任</li><ul><li>企業の社会的責任はCSRと略されることが多い</li><li>コンプライアンスを広義のコンプライアンスと捉えた場合、CSRとコンプライアンスはほぼ重なる</li></ul><li>CSR</li><ul><li>基礎的[正義]：法令遵守</li><li>基礎的[博愛]：倫理実践</li><li>主体的[正義]：倫理実践</li><li>主体的[博愛]：社会貢献</li></ul></ul></div></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-24303886364700588542022-05-08T23:02:00.006+09:002022-05-08T23:02:52.173+09:00<h3><span style="color: #0b5394;">情報処理安全確保支援士 オンライン講習（2021年度）単元４：様々な脅威への対応</span></h3><p>日時：2022年5月5日～5月5日</p><br /><b>概要</b><br /><hr /><div>自組織における外部からの脅威だけではなく内部に潜む脅威や、脅威への継続した相合サイクルについて学習する</div><div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b><br /></b></span></span></div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>１章：様々な場所に潜む脅威</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>情報システムを取り巻く環境の変化</li><ul><li>情報システムはセキュリティ対策として内部と外部の境界を分離すること実施してきたが、クラウド化や働き方改革により、オフィス以外の場所での業務、協力会社や取引先とのサプライチェーンなどにより境界があいまいになり、情報システムの防御対策が難しくなっている</li></ul><li>多様化した脅威に対応するセキュリティ対策</li><ul><li>組織内部のシステムは外部公開システム同様のセキュリティ対策が必要</li><li>ゼロトラストのように、全てのアクセスがUntrusted（信用できない）であるという概念から、トラフィックを全て検証・認証していくアプローチもある</li></ul><li>セキスペが考える脅威への３ステップ</li><ul><li>情報の収集と自組織のアップデート（システムや運用ライフサイクルの意識）</li><li>脅威の特定（脅威の要因や起こりうるシステムの把握）</li><li>リスクへの対応（リスク対策の実施）</li></ul></ul></div></div><div><b style="background-color: white; color: #3d85c6;">２章：内部に潜む脅威</b></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>テレワーク等のニューノーマルな働き方を狙った攻撃</li><ul><li>テレワーク等の環境を考慮したポリシーの作成を行い、被害を受けた場合でも早期検知、対応ができる体制構築を行う</li><li>被害の予防</li><ul><li>セキュリティ教育の実施</li><li>セキュリティに強いテレワーク環境</li></ul><li>組織としての体制確立</li><ul><li>CSIRTの構築</li><li>対策予算の確保と継続的な対策の実施</li><li>テレワークのセキュリティポリシー／規定／運用ルールの策定・整備</li><li>利用するソフトウェアの脆弱性情報の収集・周知</li></ul><li>被害の早期検知</li><ul><li>適切なログ取得と継続的な監視</li><li>ネットワーク監視、防御</li></ul><li>被害後の対応</li><ul><li>CSIRT運用によるインシデント対応</li></ul></ul><li>内部不正による情報漏えい</li><ul><li>内部不正を出来ない環境を構築する、また不正が発生しても早期に検知できるよう対策をする</li><li>被害の予防</li><ul><li>内部不正対策における基本方針の策定（内部不正チェックシートの活用）</li><li>情報資産の把握、体制の整備</li></ul><li>情報モラルの向上</li><ul><li>コンプライアンス教育</li><li>離職者に対する秘密保持義務を課す誓約書</li></ul><li>被害の早期検知</li><ul><li>システム操作履歴の監視</li><li>ログや証跡の監視</li></ul><li>被害を受けた後の対応</li><ul><li>自組織にて規定している報告先への連絡</li><li>影響調査、今後の対策強化</li></ul><li><a href="https://www.ipa.go.jp/security/fy24/reports/insider/" target="_blank">組織における内部不正防止ガイドライン</a></li></ul><li>不注意による情報漏えい</li><ul><li>不注意に起因するセキュリティ事故を未然に最小限に抑え発生したことに迅速に気付ける環境を構築することを第一に考え対策する</li><li>情報漏えいの予防・対策</li><ul><li>確認プロセスに基づく運用</li><li>情報の保護（暗号化、認証）</li><li>外部に持ち出す情報の制限</li></ul><li>情報リテラシーや情報モラルの向上</li><ul><li>セキュリティ意識を高める普及・啓発活動</li><li>組織規程、確認プロセスの確立</li></ul><li>情報漏えいの早期検知</li><ul><li>問題発生時の内部報告体制の整備</li><li>外部からの連絡窓口の設置</li></ul><li>被害を受けた後の対応</li><ul><li>自組織にて規定している報告先への連絡</li><li>影響調査、今後の対策強化</li></ul></ul><li>サプライチェーンの弱点を悪用した攻撃の高まり</li><ul><li>業務委託先の組織が、セキュリティ対策を適切に実施しておらず、委託先を足掛かりとして自組織への被害が発生する</li><li>対策・対応</li><ul><li>被害の予防</li><ul><li>業務委託における規則の徹底</li><li>信頼できる委託先の選定</li><li>委託先からの納品物の検証、業務監査</li><li>契約内容の確認</li></ul><li>被害を受けた後の対応</li><ul><li>影響調査及び対策強化</li><li>被害への補償</li></ul></ul></ul></ul><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>３章：脅威への対応サイクル</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>セキュリティ対応組織における機能</li><ol><li>セキュリティ対応組織運営</li><li>リアルタイムアナリシス</li><li>ディープアナリシス</li><li>インシデント対応</li><li>セキュリティ対応状況の診断と評価</li><li>脅威情報の収集及び分析と評価</li><li>セキュリティ対応システム運用・開発</li><li>内部統制・内部不正対応支援</li><li>外部組織との積極連携</li></ol><li></li><li><a href="https://isog-j.org/output/2017/Textbook_soc-csirt_v2.1.pdf" target="_blank">セキュリティ対応組織（SOC/CSIRT）の教科書</a></li><li>継続した対応が必要な理由</li><ul><li>新たな脅威の発生</li><li>事業拡大やIoT・クラウドなど自組織の変化</li><li>守るべきもの自体が変化</li></ul><li>脅威への継続アプローチ手法</li><ul><li>脅威から守るべきものを明確にしたうえで、セキュリティ対応における「導入」「運用」「対応」の3つの軸を抑え、「実行」と「見直し」によるサイクルを「継続して」回すことが必要となる</li></ul><li>シャドーITと上手く付き合うには</li><ul><li>想定されるリスクを洗い出し、脅威を確認したうえで、対策を実施</li><li>エンドポイントを監視し、大まかに利用を制限する</li><li>クラウドサービスのコントロールとしてCASBを採用し制御を行う</li><ul><li>クラウドサービスの利用を可視化</li><li>不要なサービスの利用制限・禁止</li><li>アクセス・データ利用等のポリシー設定</li><li>利用状況から不正利用の検知</li></ul></ul><li>ネットワーク境界型防御からゼロトラストネットワークへ移行しシャドーITを見つけ出す。</li><li>ゼロトラストアーキテクチャ７つの原則</li><ol><li>全てのデータソースとコンピューティングサービスをリソースとして認識する</li><li>ネットワークの場所によらず全ての通信を保護する</li><li>個々のリソースへのアクセスはセッション単位で許可する</li><li>リソースへのアクセスは動的ポリシーによって決定する</li><li>保有する全ての資産の完全性とセキュリティ状態を監視・測定する</li><li>アクセスを許可する前に、動的で厳格なリソースの許可・認証をする</li><li>資産やネットワークインフラの状況について可能な限り情報収集しセキュリティに活かす</li></ol></ul><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>４章：脅威への対応と対策</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>脅威への対応・対策におけるフェーズ</li><ul><li>準備（対応要否判断）</li><li>検知と分析</li><li>封じ込め／根絶／復旧</li><li>事件後の対応</li></ul><li></li><li><a href="https://isog-j.org/output/2019/5W1H-Cyber_Threat_Information_Sharing_v2.0.pdf" target="_blank">セキュリティ対応組織(SOC/CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」</a></li><li>対応・対策要否の判断</li><ul><li>インシデントの発生は対応・対策が必要だが、脅威に関する情報は必ずしも対応が必要とは限らない為、各フェーズでの対応要否が変わる</li></ul><li>準備（対応要否判断）</li><ul><li>脅威に関連する情報を収集し、対応・対策が必要かの判断をするフェーズ</li><li>脆弱性を基にした対応要否判断</li><ul><li>脆弱性がある具体的部位を明確にし、対象となるシステムがあるかを基に判断</li></ul><li>攻撃関連情報を基にした対応要否判断</li><ul><li>特定地域における攻撃や特定ルートへの攻撃といった情報から対応を判断する</li></ul></ul><li>検知と分析</li><ul><li>攻撃などの脅威に対して、監視の実施と被害の有無を分析するフェーズ</li><li>脅威に対する準備</li><ul><li>脅威の情報を確認した結果、攻撃試行がみられない、もしくは成功していないと判断した場合は、脅威に対する予防を実施</li></ul><li>脅威情報を基にした予防</li><ul><li>攻撃を無効化する方法（パッチ適用、設定変更）</li><li>攻撃に対する緩和策（設定変更）</li></ul><li>攻撃関連情報を基にした予防</li><ul><li>システムに対する予防（パッチの適用、設定変更）</li><li>ユーザへの周知</li></ul></ul><li>封じ込め／根絶／復旧</li><ul><li>自組織への攻撃が判明した場合、封じ込め／根絶／復旧するためのフェーズ</li></ul><li>事件後の対応</li><ul><li>各フェーズにて対応した結果を取りまとめるためのフェーズ</li></ul><li><a href="https://www.ipa.go.jp/security/outline/todoke-top-j.html" target="_blank">IPA 「届出・相談・情報提供」</a></li><li>経営視点での情報セキュリティ</li><ul><li>エンタープライズ・リスク・マネジメント（ERM）などのフレームワークに基づきリスク分析を行う</li><li><a href="https://www.jnsa.org/seminar/2018/0612/data/A5.pdf" target="_blank">JNSA CISOハンドブック 業務執行として考える情報セキュリティ</a></li></ul></ul></div></div><div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>５章：ゼロデイ攻撃から学ぶ脅威への対応と対策</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>ゼロデイ攻撃</li><ul><li>脆弱が発見され対策が発表される前に脆弱性を突く攻撃</li><ul><li>一般的に周知されていない</li><li>周知されたが対策が未公開で緩和策しかない</li></ul></ul><li>準備フェーズ</li><ul><li>脆弱性対策情報データベースの情報を基に自組織への対応要否を判断</li><li><a href="https://jvn.jp/" target="_blank">Japan Vulnerability Notes</a></li></ul><li>検知と分析フェーズ</li><ul><li>攻撃の特徴、痕跡を収集</li><li>リアルタイムアナリシスを実施し、異常が認められる場合はディープアナリシスにより詳細を確認</li></ul><li>封じ込め／根絶／復旧</li><ul><li>「攻撃行為をセキュリティ製品や関連するシステムで遮断するための設定要件」を確認、攻撃の無効化ができないことが想定されるためネットワーク遮断など脆弱性とは関連しない部分での対処が必要となる</li><li>上記の場合、経営視点での判断が必要となる為、事前にプロセス・ルールを策定することが望ましい</li></ul><li>事件後の対応フェーズ</li><ul><li>ゼロデイ攻撃は今後も継続することが見込まれるため、ルール化が必要</li></ul></ul></div></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-84305487126275690792022-05-05T18:14:00.008+09:002022-05-05T18:16:09.789+09:00<h3><span style="color: #0b5394;"><span style="font-size: 18.72px;">情報処理安全確保支援士 オンライン講習（2021年度）単元３：継続して実施していくセキュリティ対応</span></span></h3><p>日時：2022年5月2日～5月5日</p><br /><b>概要</b><br /><hr /><div>システムやソフトウェアのライフサイクルにおいて、開発を中心としてどのようにセキュリティを確保した設計、実装、試験を行うべきか学習する。</div><div><br /></div><div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>1章：変化するIT環境</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>ITインフラの変化の影響</li><ul><li>ネットワーク範囲や防御すべきシステムは拡大しており境界防御が難しくなっている</li></ul><li>制御システムの変化</li><ul><li>もともとクローズド環境で長期間の利用を想定しており、防御機能が十分でなく、都度のアップデートが難しいことからサイバー攻撃の標的となっている</li></ul><li>クラウドファーストと安全性の考え方</li><ul><li>自組織のシステムに対して</li><ul><li>システム環境や運用を正しく把握・管理する</li><li>適切なセキュリティ対策を実施する</li></ul></ul><li>クラウド・バイ・デフォルト原則とは</li><ul><li>クラウド利用を第一候補と考え、クラウドの有効性を活用する政府方針</li><li>クラウドサービスの有効性（<a href="https://cio.go.jp/sites/default/files/uploads/documents/cloud_policy_20210330.pdf" target="_blank">政府情報システムにおけるクラウドサービスの利用に関わる基本方針</a>）</li></ul></ul></div></div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>2章：IT環境の把握</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>資産と構成を把握し、最新の状態に維持することはセキュリティ対策を行う基本となる。</li><ul><li>資産管理情報⇒絶対数の管理</li><ul><li>IT資産やライセンスなどの管理</li></ul><li>構成管理情報⇒構成物・数の把握</li><ul><li>ITサービスを構成する要素の管理</li></ul><li>その他管理情報⇒リスク・影響の把握</li><ul><li>ネットワーク情報（全体ネットワーク図、ルーティング、ファイアウォール設定など）</li><li>機器同士の相互関係</li><li>システム・ソフトウェアのライフサイクル</li></ul></ul><li>正確に把握できない場合</li><ul><li>脆弱性の影響を受ける機器の把握ができない</li><li>セキュリティ対策の実施が徹底されているか把握ができない</li><li>緊急時の影響範囲の特定、予測ができない</li></ul><li>情報システムの導入に際し、必要なデータを管理するルール・仕組みが必要</li><ul><li>情報システムや新規に導入するシステムの管理情報を適切に収集・登録する仕組み</li><li>情報システムのライフサイクルを意識し、適切なシステム更改計画を立てる</li></ul><li>サポート終了を見据えた計画を</li><ul><li><a href="https://www.ipa.go.jp/files/000057294.pdf" target="_blank">IPA システム再構築を成功に導くユーザガイド</a></li></ul><li>継続的なセキュリティ監視の重要性</li><ul><li>自組織の状況を正しく理解する必要がある。継続に情報を収集・分析し、システム全体が正常であること、事象分析に必要な情報が収集できていることを確認し、状態を維持することが重要。</li><li>「正常である状態」を監視するために</li><ul><li>正常と異常の状態を定義し、その定義を基に分析を行う</li><li>収集した除法のみで分析するのではなく、複数の情報を横断的に分析</li><li>正常な状態であり、異常な状態でないことを、断続的に評価していく</li></ul></ul></ul><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>3章：制御システムにおける脆弱性対応</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>制御システムの特徴</li><ul><li>セーフティ、システムの継続した安全な稼働</li><li>技術サポート期間が情報システムと比較して長期間</li><li>非常に高い可用性</li></ul><li><a href="https://www.ipa.go.jp/files/000058489.pdf" target="_blank">IPA 制御システム利用者のための脆弱性対応ガイド</a></li><li>制御システムのセキュリティリスク</li><ul><li>事業継続計画（BCP）において想定する主要なリスクの１つであり経営責任が問われる</li><li>自組織だけでなく、サプライチェーン全体で取り組むべき課題</li></ul><li>制御システムネットワークを流れるデータおよびログデータの監視</li><ul><li>制御システムのネットワークを流れるデータを監視する</li><li>専用のログ監視ツールを導入する</li><li>制御システムにもともと組み込まれているログ管理機能を使用する</li></ul></ul><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>4章：セキュリティにおける脅威情報の収集と活用</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>脅威とリスクの考え方</li><ul><li>脅威とは、何らかの損害（影響）を発生される可能性のある事象を指す</li><li>脅威情報は脆弱性情報や攻撃活動の情報などから成り立つ</li><li>脅威情報を基に、組織における情報資産の重要度や被害の発生可能性などを踏まえ、組織のリスクへの対策と対応を検討する</li></ul><li>登録セキスペに求められる対応</li><ul><li>セキュリティに関する情報について正しく理解する</li><li>日常的に情報を収集する</li><li>ビジネス活動のなかで各担当者と連携し、セキュリティ対応を推進する</li></ul><li>セキュリティインデントは４つのフェーズに分けることができる</li><ol><li>準備</li><li>検知と分析</li><li>封じ込め／根絶／復旧</li><li>事件後の対応</li></ol><li><a href="https://isog-j.org/output/2019/5W1H-Cyber_Threat_Information_Sharing_v2.0.pdf" target="_blank">セキュリティ対応組織(SOC/CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」</a></li><li>攻撃の検知、被害有無の分析の確認に必要な情報</li><ul><li>通信を介した攻撃に関する情報</li><ul><li>攻撃の特徴、攻撃コード、ログに記録されて特徴</li><ul><li>攻撃の仕組みを理解し、記録された通信ログを分析し被害の有無を調査</li></ul><li>攻撃元に関する情報</li><ul><li>IPアドレスやドメイン情報、FQDN、URLと紐づけて被害の有無を調査</li></ul><li>セキュリティ製品の検知情報</li><ul><li>FWやIDS/IPSなどのネットワーク対策製品における検知情報</li></ul></ul><li>マルウェアを用いた攻撃に関する情報</li><ul><li>攻撃に関する痕跡情報（IoC）や分析情報</li><ul><li>攻撃に使われたマルウェアのファイル名やハッシュ値、配備されたフォルダパス</li><li>マルウェアの持つ機能や、マルウェアの通信先情報や通信の特徴など</li></ul><li>セキュリティ製品の検知情報</li><ul><li>マルウェア対策製品におけるマルウェアの検知名やエンドポイントセキュリティ製品で検出される不審な挙動の検知名など</li></ul><li>実際のセキュリティ対応事例</li></ul></ul><li>経営層と連携した協力体制</li><ul><li>セキュリティ対策を推進するうえで経営層との連携が不可欠</li><li>経営層がリスクを認識し、経営判断を支援する情報提供が重要</li><ul><li>ビジネス・サービスの継続や復旧のための投資判断</li><li>攻撃被害の影響を被る顧客やマスコミへの対応方針など</li></ul><li><a href="https://www.jnsa.org/result/2018/act_ciso/index.html" target="_blank">日本ネットワークセキュリティ協会（JNSA）CISOハンドブック</a></li></ul><li>セキュリティに関する脅威情報の収集</li><ul><li><a href="https://www.ipa.go.jp/security/announce/alert.html" target="_blank">独立行政法人情報処理推進機構（IPA）重要なセキュリティ情報一覧</a></li><li><a href="https://www.jpcert.or.jp/at/2022.html" target="_blank">一般社団法人 JPCERT コーディネーションセンター注意喚起</a></li><li><a href="https://www.npa.go.jp/cyberpolice/detect/index.html" target="_blank">警察庁 @plice インターネット治安情勢</a></li><li><a href="https://www.antiphishing.jp/" target="_blank">フィッシング対策協議会</a></li><li><a href="https://www.jc3.or.jp/" target="_blank">一般財団法人 日本サイバー犯罪対策センター（JC3）</a></li></ul></ul><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>5章：脆弱性情報の流通に関わる取り組み</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li><a href="https://www.ipa.go.jp/security/ciadr/partnership_guide.html" target="_blank">情報セキュリティ早期警戒パートナーシップガイドライン</a></li><li><a href="https://www.hitachi.co.jp/hirt/publications/hirt-pub10008/index.html" target="_blank">日立グループにおける製品脆弱性情報の開示プロセス</a></li><li><a href="https://www.ipa.go.jp/security/vuln/report/press.html#section11" target="_blank">脆弱性対策情報データベースJVN iPediaの登録状況</a></li><li>バグバウンティプログラム／脆弱性報奨金制度</li><ul><li>製品を提供する企業が自社の製品の脆弱性に関する報告を外部の専門家や研修者から受け、対価として報奨金を支払う制度</li></ul><li>脆弱性の報告者は、届出・通知から一定期間後に詳細情報を一般公開できる</li><ul><li>ソフトウェア製品の脆弱性：届出日から1年</li><li>ウェブアプリケーションの脆弱性：届出日から3か月</li></ul></ul><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>6章：普及啓発と注意喚起</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li></li><li>普及啓発と注意喚起で登録セキスペに求められること</li><ul><li>組織の定めるセキュリティポリシーやルールを適切に理解する</li><li>自組織やセキュリティ団体が行っている注意喚起の情報を収集する</li><li>業務活動においてルールの徹底や注意喚起の対応の実施を広めていく</li></ul><li><a href="https://www.npa.go.jp/cyberpolice/important/2019/201908231.html">Webminの脆弱性（CVE-2019-15107）を標的としたアクセスの観測について</a></li><li>フィッシングメールへの注意喚起</li><ul><li>従業員向けの情報</li><ul><li>攻撃の全体像および攻撃手法</li><li>攻撃の具体的事例、特徴や注意点</li></ul><li>システム管理者向けの情報</li><ul><li>攻撃の具体的事例／インディケータ情報</li><li>セキュリティ対策法／対応事項</li></ul></ul><li>マルウェア感性への注意喚起</li><ul><li>従業員向けの情報</li><ul><li>攻撃の全体像および攻撃手法</li><li>攻撃の具体的事例、特徴や注意点</li><li>対策指示事項（定義ファイル更新など）</li></ul><li>システム管理者向けの情報</li><ul><li>攻撃の具体的事例／インディケータ情報</li><li>セキュリティ対策法／対応事項</li><li>感染報告があった際の対応フロー</li></ul></ul><li>観測による攻撃動向の注意喚起</li><ul><li>従業員向けの情報</li><ul><li>攻撃の具体的事例、特徴や注意点</li><li>対策指示事項（アップデートなど）</li><li>影響対象かの確認方法</li></ul><li>システム管理者向けの情報</li><ul><li>指示事項（機器確認、アップデートなど）</li><li>セキュリティ対策法／対応事項</li><li>被害確認方法、被害があった際のフロー</li></ul></ul><li>感染を防ぐ、気づくための継続的な対策</li><ul><li>注意喚起自体は、感染を抑える具体的な対策とはなりえない</li><li>攻撃者の攻撃方法は、既存のセキュリティ対策で検知できないよう、継続的に変化する</li><li>同様の攻撃手法を用いて、異なるマルウェアを配信する攻撃者も出現することもある</li></ul><li>セキュリティを実施する目的は</li><ul><li>セキュリティを担保し、ビジネス価値を向上させる</li><li>危惧すべきリスクが守られているか確認できる</li><li>⇒利用者への過度の負担とならないよう、施策や効率的なチェックの仕組みの検討が必要</li></ul></ul></div></div></div></div><div><b style="background-color: white; color: #3d85c6;">7章：情報セキュリティ監査</b></div></div><div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>監査とは</li><ul><li>組織の経営活動とその結果の正確性確認・妥当性判断を行い、報告を受けることで、監査の対象と、その目的によって様々な監査の種類がある</li></ul><li>情報セキュリティ監査</li><ul><li>情報資産を守るための対策・管理について確認</li><li>情報セキュリティに関わるリスクマネジメントの効果的な実施が目的</li></ul></ul><ul style="text-align: left;"><li>システム監査</li><ul><li>システムに関するリスク・コントロールについて確認</li></ul><li>会計監査</li><ul><li>会計・決算の報告に虚偽等を行っていないか確認</li></ul><li>業務監査</li><ul><li>会計以外の業務の適法性や経営目的との合致を確認</li></ul><li>情報セキュリティ監査とシステム監査の違い</li><ul><li>共通点：リスクアセスメントに基づくコントロールの整備状況を独立かつ客観的に評価し、状況に対して保証または助言を行う</li><li>相違点：情報セキュリティ監査は「情報資産」を対象とするが、システム監査は「情報システム」を対象としてリスク・コントロールを行う</li></ul><li>情報セキュリティ監査における基準</li><ul><li><a href="https://www.meti.go.jp/policy/netsecurity/is-kansa/index.html" target="_blank">経済産業省 情報セキュリティ監査制度</a></li><li>「情報セキュリティ監査基準」と「情報セキュリティ管理基準」が情報セキュリティ監査の基準として使用されている。</li></ul><li>情報セキュリティ監査における対象</li><ul><li>監査対象組織の情報セキュリティに関するマネジメントやマネジメントにおけるコントロールを対象として監査する</li></ul><li>情報セキュリティ監査における目的</li><ul><li>保証型監査：「基準」に照らして適切であるかを合理的に保障</li><li>助言型監査：「基準」に照らして監査対象の情報セキュリティ上の問題点を検出し、必要に応じてそれに対応した改善提言を行う</li><li><a href="https://www.jasa.jp/audit/about/about02/" target="_blank">日本セキュリティ監査協会（JASA）ニーズに応じた監査方式</a></li></ul><li><a href="https://www.meti.go.jp/policy/netsecurity/shinsatouroku/touroku.html" target="_blank">情報セキュリティサービス審査登録制度</a></li><ul><li>一定品質の維持・向上が図られている情報セキュリティサービスを審査・とりまとめ・リスト化して公開する制度</li></ul><li><a href="https://www.ismap.go.jp/csm" target="_blank">ISMAP - 政府情報システムのためのセキュリティ評価制度</a></li><ul><li>政府の求めるセキュリティ要求を満たすクラウドサービスを予め評価・登録し政府のクラウドサービス調達におけるセキュリティ水準の確保を図り、クラウドサービスの円滑な導入に資することを目的とした制度</li></ul></ul></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-20549286341079086742022-05-01T23:44:00.001+09:002022-05-01T23:49:25.080+09:00<h3 style="text-align: left;"><span style="color: #0b5394;">情報処理安全確保支援士 オンライン講習（2021年度）単元２：セキュア開発</span></h3>日時：2022年4月27日～5月1日<br /><br /><b>概要</b><br /><hr /><div>システムやソフトウェアのライフサイクルにおいて、開発を中心としてどのようにセキュリティを確保した設計、実装、試験を行うべきか学習する。</div><div><br /></div><div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>1章：システムライフサイクルとセキュリティ</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li><a href="https://www.nisc.go.jp/policy/group/general/kijun.html" target="_blank">政府機関等のサイバーセキュリティ対策のための統一基準群</a></li><li>システムライフサイクルの企画・設計（早い段階）でセキュリティを意識して高める「セキュリティ・バイ・デザイン」「ビルトイン・セキュリティ」</li><li>企画・要件上の問題として、発注側もセキュリティ要件を定義すること</li><li>システムライフサイクルを考えて、企画。要件定義、設計、製造などの開発プロセスを進めることが重要。</li><li>運用終了時には確実な廃棄を実施し、その証明を求める。</li></ul><br /></div></div><div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>２章：セキュアな企画と要件定義</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>セキュリティ・バイ・デザイン</li><ul><li>企画段階からのセキュリティ確保</li><ul><li>手戻りが少なく納期が守れる</li><li>最終的にコストを少なくできる</li><li>保守性の良いソフトウェアができる</li></ul><li><a href="https://www.ipa.go.jp/files/000055823.pdf" target="_blank">IPA セキュリティ・バイ・デザイン入門</a></li></ul><li>発注側からセキュリティを意識</li><ul><li>業務要件の検討</li><ul><li>守るべき情報資産を洗い出す</li><li>環境やインシデント時の影響など業務要件を詳細化</li></ul><li>セキュリティ要件の策定</li><ul><li>業務要件からリスク評価し、対策方針を検討</li><li>費用対効果や優先度を考慮し対策要件を決定</li><li>発注仕様に具体的な対策要件を記載</li></ul><li>セキュリティ要件に基づいて予算化・発注</li><ul><li>企画段階から各段階においてセキュリティ対策を組み込み不可欠なものであると受注側に示す</li><li>予算や期間、人材などのリソースを確保</li></ul></ul><li>機能要件と非機能要件</li><ul><li>機能要件</li><ul><li>ステークホルダーがシステムの目的に対して意図した機能を実現する要件</li><li>発注側も意識してこの要件を受注側に提示</li></ul><li>非機能要件</li><ul><li>ステークホルダーが意図しない機能以外の当然対応されるべきものと考えられる要件</li><li>快適に利用できる、安全に利用できるなどの期待、セキュリティ要件も含まれる</li></ul><li>非機能要件の課題</li><ul><li>発注側が当然と考える非機能要件を機能要件として的確に定義することは難しい</li><ul><li>発注側が意図したセキュリティ対策になっていない</li><li>運用監視ができるログが出力されない</li></ul></ul><li>非機能要求グレードの活用</li><ul><li>IPAから提供されているツール群</li><li><a href="https://www.ipa.go.jp/sec/softwareengineering/std/ent03-b.html" target="_blank">システム構築の上流工程強化（非機能要求グレード）</a></li></ul></ul><li>残存リスク</li><ul><li>組織の資源や目的に対する悪影響を最小限に抑えつつ、リスクを許容レベルまで回避、移転、低減しつつ受容するリスク</li><li>残存リスクの管理</li><ul><li>許容理由を関係者全員で確認把握する</li><li>許容できるレベルまで低減されているか判断</li><li>責任者から許容の承認を得る</li><li>定期的に、および変更時に見直しを実施</li></ul></ul></ul></div></div><div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>３章：セキュアな設計と実装</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>脅威モデリング</li><ul><li>開発対象のソフトウェアがさらされている脅威や攻略される可能性を洗い出す活動のひとつ</li><li>ソフトウェアが動作可能な状態になる前でも実施可能</li><li>セキュリティリスクを上流工程で見つけ出せる</li></ul><li>脅威モデリングを行うタイミング</li><ul><li>ソフトウェアの設計段階の初期</li><ul><li>ソフトウェア全体の構成要素</li><li>外部とのインターフェース</li><li>データの蓄積方法</li><li>ソフトウェア内のデータの流れ</li></ul></ul><li><a href="https://www.ipa.go.jp/files/000059838.pdf" target="_blank">IPA　セキュア・プログラミング講座</a></li><li><a href="https://www.ipa.go.jp/files/000025325.pdf" target="_blank">NIST　リスクアセスメントの実施の手引き</a></li><li>脅威の分類（STRIDE）</li><ul><li>Spoofing identity なりすまし</li><li>Tampering with data データの改ざん</li><li>Repudiation 拒否</li><li>Information disclosure 情報の漏えい</li><li>Denial of service サービス拒否</li><li>Elevation of privilege 特権の昇格</li><li><a href="https://docs.microsoft.com/ja-jp/azure/security/develop/threat-modeling-tool-threats" target="_blank">Microsoft Threat Modeling Tool の脅威</a></li></ul><li>設計原則と実装原則の例</li><ul><li>Saltzer &amp; Schroederによる８つの原則</li><ol><li>効率的なメカニズム</li><li>フェイルセーフなデフォルト</li><li>完全な仲介</li><li>オープンな設計</li><li>権限の分離</li><li>最小限の権限</li><li>共通メカニズムの最小化</li><li>心理学的受容性</li></ol><li><a href="https://www.ipa.go.jp/files/000059838.pdf" target="_blank">IPA セキュア・プログラミング講座</a></li><li>10の実装原則</li><ol><li>信頼されていないデータソースからの入力を検証する</li><li>コンパイラの警告に注意を払う</li><li>セキュリティポリシー実現のための実装と設計を行う</li><li>シンプルを維持する</li><li>拒否をデフォルトにする</li><li>最小権限の原則に従う</li><li>外部に渡すデータは渡した先で問題を起こさないよう加工する</li><li>多層防御を行う</li><li>効果的な品質保証技術を使う</li><li>セキュアコーディング標準を採用する</li></ol><li>認証・認可　許可した利用者に許可した操作のみを許容する仕組みを提供すること</li><ul><li>認証（Authentication）アクセスしてきている対象が本物かどうか確認する</li><li>認可（Authorization）リソースの使用を許可された対象のみに制限すること</li></ul><li>入力の検証（バリデーション）</li><ul><li>想定したものだけを認め、検証時には事前に標準化や正規化を行うこと</li><li>アプリケーションが他の処理を実行する前に入力をフィルタ、変換、拒否する</li></ul><li>無害化（エスケープ処理）</li><ul><li>入力されたデータを入力先にあわせて適切に無害化すること</li></ul><li><a href="https://www.ipa.go.jp/security/vuln/websecurity.html" target="_blank">IPA 安全なウェブサイトの作り方</a></li></ul></ul><br /></div></div><div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>４章：開発プロセスにおけるセキュリティ</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>開発プロセス中のセキュリティ品質を確保するための活動</li><ul><li>[設計]セキュリティレビュー</li><ul><li>設計ドキュメントをレビューし、考慮すべきセキュリティ対策に漏れがないか検証</li></ul><li>[開発]ソースコードレビュー</li><ul><li>記述したソースコードを直接検証</li></ul><li>[テスト]セキュリティテスト</li><ul><li>プログラムを動作させてテストし、セキュリティ脆弱性を見つけ出す</li></ul></ul><li>セキュリティレビューの目的</li><ul><li>セキュリティ対策漏れを早期に発見し、設計者へフィードバックすること</li><ul><li>設計はセキュリティポリシーを満たしているか</li><li>設計にセキュリティ要件に対する対策漏れはないか</li><li>設計は既知の脆弱性対策を行えているか</li></ul></ul><li>セキュリティレビューの対象</li><ul><li>設計工程までに作成されるドキュメント</li><ul><li>セキュリティ要件の定義書</li><li>ソフトウェア工オズ</li><li>業務仕様</li><li>モジュール分割の設計書</li><li>テストの計画書 等</li></ul></ul><li>ソースコードレビューの目的</li><ul><li>ソースコードが読み易く、わかりやすく書かれているか、脆弱性、その兆しがないかを確認する</li></ul><li>脆弱性検出のためのレビュー観点</li><ul><li>セキュアコーディング標準に従っているか</li><li>既知の脆弱性対象を行えているか</li><li>セキュリティ上注意を要するライブラリ関数を呼び出していないか</li><li>デバッグ機能や保守機能などがプログラマの判断で組み込まれていないか</li><li>情報漏えいやアクセス制御うの迂回がおこらないか</li><li>領域からデータがあふれる個所はないか</li></ul><li>ソースコードのチェックに静的アプリケーションセキュリティテスト（SAST）などの活用も検討する</li><li>セキュリティテストの目的</li><ul><li>作り上げたプログラムに十分なセキュリティ対策が実装されていることを確認する</li></ul><li>セキュリティテストの観点</li><ul><li>既知の脆弱性パターンに陥っていないか</li><li>セキュリティ設計どおりの実装ができているか</li><li>設計工程までに検討しきれなかった脆弱性がないか</li></ul><li>セキュリティテストｎ実施</li><ul><li>セキュリティテストは、単体、結合、システムテストのすべてのテスト工程で各テストの特性に合わせて実施する。セキュリティ要件を確認可能な自動テストを、各テスト工程に組み込めることが望ましい。</li></ul><li>代表的なテスト方法</li><ul><li>ホワイトボックス</li><li>ブラックボックス</li><li>ファズテスト</li><ul><li>脆弱性を発見するためのテスト手法</li><li>ファズ（fuzz/予測不可能な入力データ）を与え、意図的に例外を発生させ挙動を確認する</li><li>ファジングとも呼ばれる</li></ul></ul></ul></div></div><div><div><b style="background-color: white; color: #3d85c6;">５章：脆弱性診断とは</b></div><div><span style="background-color: white;"><span><hr align="left" color="#0b5394" noshade="" size="2" style="color: black;" width="400" /><div><ul style="text-align: left;"><li style="color: black;">脆弱性診断の実施</li><ul style="color: black;"><li>セキュリティ上の弱点である「脆弱性」があるかチェックすること</li><li>ツールを使う自動型、手作業で行う手動型、通信を分析する通信監視型</li></ul><li><a href="https://www.ipa.go.jp/security/vuln/appgoat/index.html" target="_blank">脆弱性体験学習ツール AppGoat</a></li><li>自動動的診断ツールを利用した脆弱性の発見方法</li><ul><li>診断範囲の設定</li><ul><li>外部サイトへの通信を行わないよう設定</li></ul><li>リンク情報の収集</li><ul><li>診断対象内のリンクを調査収集</li></ul><li>リクエストの改ざん</li><ul><li>パラメータを変更し、レスポンスを確認</li></ul><li>ディレクトリの探査</li><ul><li>存在しやすい名前、狙われやすい名前を調査</li></ul><li>レポートの確認</li><ul><li>自動検出した毛かkの確認、対応方法の検討</li></ul></ul></ul></div></span></span></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-9510016391443908212022-04-27T22:41:00.006+09:002022-05-12T21:55:55.728+09:00<h3><span style="color: #0b5394;">情報処理安全確保支援士 オンライン講習（2021年度）単元１：情報処理安全確保支援士に期待される役割と知識</span></h3>日時：2022年4月10日～4月27日<br /><br /><div><div><div><div><span style="background-color: white;"><span style="color: #3d85c6;"><b>1.</b></span><span style="color: #3d85c6;"><b>情報処理安全確保支援士に期待される役割と知識</b></span></span></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><div style="text-align: left;"><div>1章：情報処理確保支援士の人材像</div><div>安全確保支援士が活躍する場面は情報システムのライフサイクル全般</div><div>①経営課題への対応</div><div>②システム等の設計・開発</div><div>③運用・保守</div><div>④緊急対応</div><div>「情報処理安全確保支援士　倫理綱領」役割と責任を果たすために従うべき規範（１．公正と誠実、２．秘密保持、３．法令等の遵守、４．信用保持、５．自己研鑽）</div><div>【倫理が重要な理由】</div><div>・専門分野の細分化、高度化により、技術者に要求される判断が難しくなっている</div><div>・相反する事態に遭遇することがある</div><div>・判断結果が、社会に多大な影響を与える可能性がある</div><div>【倫理と法律】</div><div>・倫理的問題に対し、妥当な結論を導くための「考える力」が必要となる</div><div>・一定の「法律」の知識も必要</div><div>・「法律」は倫理の内容として重要な位置を占める</div><div>・組織の「内部統制」「公益通報」に関し、法律は多くの規定がある</div><div><br /></div><div>2章：情報処理確保支援士に期待されること</div><div>DXが加速しサイバーセキュリティが経営課題と認識さえっる企業や組織において、必要不可欠な存在</div><div><span>&nbsp; &nbsp; ・技術を安全に事業に活かすという視点をもった専門家</span><br /></div><div><span><span>&nbsp; &nbsp; ・セキュリティリスクを経営層、事業部門にも平易に説明し、必要な支援、協力、連携を取り付ける</span><br /></span></div><div><span><span><span>&nbsp; &nbsp; ・セキュリティ事故発生時も必要な専門家と連携しながら早期に回復できるよう、経営層、事業部部門、情シス部門の橋渡しを推進</span><br /></span></span></div><div><span><span><span>必要な情報を組み合わせ、活用できるように伝える</span></span></span></div><div><span><span>セキュリティ対応サイクル（導入、実行、運用、対応、見直し）の中で様々な支援を求められる（<a href="https://isog-j.org/output/2017/Textbook_soc-csirt_v2.1.pdf" target="_blank">セキュリティ対応組織の教科書</a>）</span></span></div><div><span><span><br /></span></span></div><div><span><span><span>3章：情報セキュリティを取り巻く環境の変遷</span></span></span></div><div>OT・IoTへの広がりにより「境界防御」の概念が曖昧に、セキュリティ確保が難しくなっている。</div><div>サプライチェーンの弱点を悪用した攻撃も2019年からランクイン</div><div>攻撃者の主な分類：金銭、ハクティビズム、愉快犯、諜報</div><div><br /></div><div>4章：セキュリティ対応　導入フェーズの知識</div><div style="text-align: left;"><br /></div><div style="text-align: left;">■「導入」の場面で必要となる知識　～必要性～</div><div><b>「サイバーセキュリティ経営ガイドライン」</b></div></div></div></div></div></div><ul style="text-align: left;"><li style="font-weight: bold;"><b>経営者が認識すべき「3原則」</b></li><ol><li>経営者のリーダーシップが必要</li><li>自社以外にも配慮</li><li>平時からのコミュニケーション・情報共有</li></ol><li style="font-weight: bold;"><b>経営者がCISO等に指示すべき「重要10項目」</b></li><ol><li>サイバーセキュリティ対応方針策定</li><li>リスク管理体制の構築</li><li>資源（予算・人材等）の確保</li><li>リスクの把握と対処計画策定</li><li>保護施策（防御・検知・分析）の実施</li><li>PDCAの実施</li><li>緊急対応体制の整備</li><li>復旧体制の整備</li><li>サプライチェーンセキュリティ対策</li><li>情報共有活動への対策</li></ol></ul><b>「サイバー・フィジカル・セキュリティ対策フレームワーク」第Ⅰ部</b><div><ul style="text-align: left;"><li><b>三層構造モデルを利用し信頼性を確保するためのアプローチ</b></li><ul><li>第１層 企業間のつながり：企業（組織）のマネジメントの信頼性</li><li>第２層 フィジカル空間とサイバー空間のつながり：要求される情報の正確性に応じて適切な正確さで情報が変換される「転写」機能の信頼性</li><li>第３層 サイバー空間におけるつながり：サイバー空間のつながりにおける、データの信頼性</li></ul></ul><b>「サイバーセキュリティフレームワーク」</b></div><div><ul style="text-align: left;"><li><b>セキュリティ対策の基本機能</b></li><ol><li>識別：システム、人、資産、データ、機能に対するサイバーセキュリティリスクの管理に必要な理解を深める。</li><li>防御：重要サービスの提供を確実にするための適切な保護対策を検討、実施する。</li><li>検知：サイバーセキュリティイベントの発生を識別するのに適した対策を検討、実施する。</li><li>対応：検知されたサイバーセキュリティインシデントに対処するための適切な対策を検討、実施する。</li><li>復旧：レジリエンスを実現するための計画を策定・維持じ、サイバーセキュリティインシデントによって阻害されたあらゆる機能やサービスを元に戻すための適切な対策を検討、実施する。</li></ol></ul><div style="text-align: left;"><div style="text-align: left;"><div style="text-align: left;"></div></div></div><div><div style="text-align: left;"><div style="text-align: left;">■「導入」の場面で必要となる知識　～体制・役割～</div><div style="text-align: left;"><ul style="text-align: left;"><li>セキュリティ対策を組織に導入していくにあたり、どのようなカタチにするかは<b>体系的な観点から具体的に落とし込む</b>必要がある。</li><ul><li>ユーザ企業のためのセキュリティ統括室　構築・運用キット</li><ul><li>セキュリティ施策を取りまとめるセキュリティ統括について整理したもの</li><li><a href="https://cyber-risk.or.jp/contents/" target="_blank">産業横断サイバーセキュリティ検討会</a></li></ul><li>CSIRT Services Framework</li><ul><li><a href="https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1" target="_blank">FIRST</a></li></ul></ul></ul></div><div>■「導入」の場面で必要となる知識　～人材・スキル～</div><div><ul style="text-align: left;"><li>適切な人材の配置、新たな人材の登用、人材の育成</li><ul><li>産業横断　人材定義リファレンス</li><ul><li><a href="https://cyber-risk.or.jp/contents/" target="_blank">産業横断サイバーセキュリティ検討会</a></li></ul><li>セキュリティ知識分野（SecBok2019）</li><ul><li><a href="https://www.jnsa.org/result/2018/skillmap/" target="_blank">日本ネットワークセキュリティ協会（JNSA）</a></li></ul><li>CSIRT　人材の定義と確保</li><ul><li><a href="https://www.nca.gr.jp/activity/training-hr.html" target="_blank">日本シーサート協議会</a></li></ul></ul></ul></div><div>5章：セキュリティ対応　実行フェーズの知識</div><div>セキュリティ対策の「実行」にあたってはベストプラクティスや方法論を参考し、紐解きながら応用していくことが求められる。</div><div><ul style="text-align: left;"><li><a href="https://www.ipa.go.jp/files/000072309.pdf" target="_blank">「サイバーセキュリティ経営ガイドライン」</a></li><li>「サイバー・フィジカル・セキュリティ対策フレームワーク」</li><li>「中小企業の情報セキュリティ対策ガイドライン」</li></ul>『セキュリティバイデザインの観点を踏まえて、企画・設計段階からサイバーセキュリティ対策を考慮した体制を構築する』</div><div><br /></div><div>6章：セキュリティ対応　見直しフェーズの知識</div><div><ul style="text-align: left;"><li>「見直し」の場面で必要となる知識</li><ul><li>情報資産管理ができているかのチェッkう</li><ul><li>経済産業省「情報セキュリティ管理基準」</li></ul><li>受けるサービス（セキュリティ・クラウド）のチェック</li><ul><li>IPA「情報セキュリティサービス基準適合サービスリスト」</li><li>IPA「ISMAPクラウドサービスリスト」</li></ul><li>自組織の成熟度合いのチェック</li><ul><li>ISOG-J「セキュリティ対応組織成熟度モデル」</li><li>ENISA「SIM3」ヨーロッパ中心のCSIRT成熟度モデル</li></ul><li>開発に関わるセキュリティのチェック</li><ul><li>CSAJ「ソフトウェア出荷判定セキュリティ基準チェックリスト」</li><li>JPCERT/CC「IoTセキュリティチェックリスト」</li></ul></ul><li><b>「<a href="https://www.meti.go.jp/press/2021/01/20220131003/20220131003-1.pdf" target="_blank">情報セキュリティ管理基準</a>」</b></li><ul><li>マネジメント基準：情報セキュリティマネジメントの計画、実行、点検、処置に必要な実施事項を定めている。</li><li>管理策基準：組織における情報セキュリティマネジメントの確立段階において、リスク対応方針に従って管理策を選択する際の選択肢を与える。</li></ul><li><b>「<a href="https://www.ismap.go.jp/csm" target="_blank">ISMAPクラウドサービスリスト</a>」</b></li><ul><li>政府情報システムのためのセキュリティ評価制度 <a href="https://www.ismap.go.jp/csm" target="_blank">ISMAP</a>（イスマップ）は政府が求めるガバナンス基準、マネジメント基準、管理策基準の3点を満たしているクラウドサービスをリスト化。</li></ul><li><b>「<a href="https://www.saj.or.jp/NEWS/pr/201201_sec-release-decision.html" target="_blank">ソフトウェア出荷判定セキュリティ基準チェックリスト</a>」</b></li><ul><li>ソフトウェア製品・サービス企画、仕様策定、方式設計、詳細設計、テスト、運用に至るライフサイクルのなかで、一定レベルのセキュリティ品質を確保する観点から、管理対象項目と管理手法を定義。</li><li>開発における各ステップ単位でチェックリストを作成することもでき、セキュリティ品質の可視化により、信頼性の向上を図ることができる。</li></ul><li><b>「<a href="https://www.jpcert.or.jp/research/IoT-SecurityCheckList.html" target="_blank">IoTセキュリティチェックリスト</a>」</b></li><ul><li>IoTデバイスが脅威の存在する環境においても安全に運用する為に実装しておきたいセキュリティ機能をチェックできる。</li></ul></ul>7章：セキュリティ対応 運用・対応フェーズの知識</div><div><ul style="text-align: left;"><li>脆弱性情報：ソフトウェア製品やウェブアプリケーション等におけるセキュリティ上の問題個所についての情報を収集し、関係者に対し、プログラムの修正やソフトウェア更新、開発ソフトウェアへの対策プログラムの組み込みなどタイミングを逸しない適切な対応を促す。</li><li>脅威情報：攻撃に関連する情報を収集、様々な情報ソースから必要となる情報を整理し、自組織において、その攻撃が発生していないか、被害がでていないか、防御できているか、を適切に見極めるために活用を促す。</li><li>インシデント対応ライフサイクルに沿って、情報の利用目的を考える。</li><ul><li><a href="https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final" target="_blank">NIST</a></li><li>準備⇒検知・分析⇒封じ込め／根絶・復旧⇒事後対応</li></ul><li>インシデント対応ライフサイクルをベースに情報の活用の流れを定義</li><ul><li><a href="https://isog-j.org/output/2019/5W1H-Cyber_Threat_Information_Sharing_v2.html" target="_blank">セキュリティ対応組織 (SOC,CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」 v2.0&nbsp;</a></li></ul><li><a href="https://www.jnsa.org/seminar/nsf/2018/data/NSF2018_B1.pdf" target="_blank">セキュリティ対応組織力をあげるコツ～成熟度の可視化と、情報共有の心得～</a></li><li>MITRE ATT&amp;CK</li><ul><li>[攻撃グループ][利用するソフトウェア][テクニック][達成されるべき戦術]</li><li>例）攻撃グループ「XXX」が「xyz-dos」というソフトウェアを用いて「Credintial DDos」というテクニックで「AAAA」を達成した。</li></ul><li>セキュリティ対応 運用・対応フェーズの知識</li><ul><li>予防：未然に攻撃を止めたり、無効化したりする方法についての情報</li><li>検知および分析：攻撃を検知する監視の実施と被害の有無についての判断ができる情報</li><li>封じ込め/根絶/復旧：攻撃を止めたり無効化したりする方法、及び復旧手段についての情報</li><li>準備（予防）：未然に攻撃を止めたり、無効化したりする方法についての情報</li><li>事件後の対応：具体的に実施してきた対応内容のまとめ</li></ul><li>情報収集において、正確性と網羅性を確保するために</li><ul><li>正確性を確かめるため、必ず一次情報源も確認する</li><li>網羅性を上げるため、いくつかの情報源を継続的に確認する</li><li>※どのような情報源であれ、「情報共有のトライアングル（ジレンマ） 」からは逃れられない</li></ul></ul></div></div></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-34647358989917009822022-03-22T22:19:00.002+09:002022-04-24T23:16:59.503+09:00<h1 style="text-align: left;"><b><span style="color: #0b5394;">書籍名：『失敗の本質』</span></b></h1>日時：2021年5月9日～<br /><br /><h3 style="text-align: left;"><b><span style="color: #0b5394;">序章　日本軍の失敗から何を学ぶか</span></b></h3><hr /><div><ul style="text-align: left;"><li>合理性と効率性に相反する行動を示した日本軍</li><li>本来の合理的組織となじまない特性があり、それが組織的欠陥となって失敗を導いた</li><li>日本軍は平時では有効に機能していたが、不確実性が高く、不安定かつ流動的な状況下で有効に機能せず、組織的欠陥を露呈した</li><li>日本軍の組織原理を無批判で導入した現代日本の組織一般は、危機に遭遇した時に日本軍同様、組織的欠陥を表面化する可能性がある</li><li>本書の目的は日本軍の組織的欠陥や特性を析出し、組織としての日本軍の失敗に籠められたメッセージを現代的に解読すること</li><li>戦史研究の成果をもって、組織論や意思決定論（政策決定論）の理論的アプローチを適用することによって、失敗の本質を析出しようと試みる</li><span><a name='more'></a></span></ul>【ちょいメモ】<br /><ul style="text-align: left;"><li>ドラッカー（ウィーン生まれ）　全体主義を反対しナチスから逃れるように1937年に渡米。</li><li>テイラー（20世紀初）の科学的管理法は当時、労働組合から責め立てられる。</li><li>戦争については、単発な決戦から中期的な戦闘へ変化。生産力が戦争力の格差となる。</li><li>1904年　日露戦争で日本は圧勝。一度の戦闘で終わる時代。</li><ul><li>意識の改革　米露は戦闘は連続するものとしてGDPの向上へ</li><li>日本は日露戦争の経験から学ばなかった</li></ul></ul></div><div><h3><span style="color: #0b5394;">一章　失敗の事例研究</span></h3><hr /><div><ul style="text-align: left;"><li><b>ノモンハン事件――失敗の序曲</b></li><ul><li>関東軍は現地を指揮するにあたり楽観的であり、自軍の優位性と敵軍は鈍重であると考えていた。また発言力も強かった。</li><li>大本営（中央部）は情勢を鑑みて事態を紛糾させたくなかった。</li><li>大本営は関東軍に配慮し、指示・命令が曖昧であり、受容や解釈に独善性がみられた。</li><li>関東軍は自軍への過信、過度の精神主義により、敵情視察を怠り侮った。また大本営との感情的に対立しコミュニケーションが有効に機能しなかった。</li><span><!--more--></span><li>【ちょいメモ】</li><li>奇襲作戦から物量へ戦争スタイルが変わっているなかで従来の方法でしか戦えない日本軍は海外の国を見て何を学んでいたのだろうか。</li><li>大本営と関東軍は経営陣と現場の対立に見える</li><ul><li>双方の視線が異なる為、解釈が異なる。それは仕方がないことで、双方をブリッジさせることが大切。</li><li>立場がことなると同じモノを見ても見え方が異なる。</li><li>無知の知が大切。意味・解釈を理解する。人によって理解の仕方は異なることを考慮する。それは多様性を許容すること。</li></ul><li>日本人的「美意識」が異常な行動をとる</li><ul><li>不言実行</li><li>皇軍の伝統</li><li>一個師団ぐらい</li><ul><li>⇒現在のサービス残業に似ていないか。</li></ul></ul><li>過去の日本兵の功績により、神格化。これにより無知に陥っている可能性がある。</li><li>感情の対立により、中央部と関東軍のコミュニケーションが成立しなくなる。</li><ul><li>多様性とは人々の意見をストレスなく表面化させること</li><li>心理的安全性→Google　パフォーマンスの高いチームへ</li></ul><li>軍隊は政治目的の為の手段であり、戦闘が目的ではないが履き違えている。</li><li>大本営は事態を大きくさせない為に権限を取り上げたが、フィードバックがなかった。その為、議論もなく、戦闘中でありながら関東軍は戦車隊を引き上げるような行動もとったのではないか。</li><span><!--more--></span><li>【個人まとめ】</li><li>兵器・兵力に圧倒的な差がある敵を侮り、調査せずに精神論だけで物事を前に進める。その姿は支配型リーダーシップを連想させる。施策は一人で決定し、人の意見を聞かず、一方的な指示命令を行うそれである。</li><li>問題なのは、その結果生き延びた人々を非難し、貴重なフィードバックを受ける道を閉ざしたことである。臭い物に蓋をするという諺があるように旧来の日本人が持つ性質なのであろう。</li></ul></ul></div></div><div><ul style="text-align: left;"><li><b>ミッドウェー作戦</b><b>――海戦のターニング・ポイント</b></li><ul><li>日本の暗号電報は解読されており攻撃実施の概略を米国は把握</li><li>米国軍の索敵の方が早く、基地の全機に対して発進を命じた</li><li>ミッドウェー基地への日本軍の奇襲は失敗。航空機へのダメージなし</li><li>米軍空母発見後、攻撃に移るべきところを躊躇し、「ミッドウェー攻撃隊を受け入れたのちに米軍空母を攻撃する」判断を行った</li><li>米軍空母は日本艦隊への攻撃準備中に日本軍索敵機を発見した為、当初の協同攻撃を断念、逐次進撃へ切り替えた</li><li>山口司令官は指揮官の命令を待たず独断で米空母攻撃を決断</li><li>米空母「ヨークタウン」は被弾により炎上するも2時間で自力航行を開始</li><li>その為、ヨークタウンは別の空母と誤認され、再度攻撃を受ける</li><li>ヨークタウンは航行不能となるが、索敵機が日本空母を捉え、作戦指揮をスプルーアンス司令官に委ね、その後に飛竜を撃破。</li><li>日米差異3点</li><ul><li>連合艦艇司令部のレベル</li><ul><li>部下が作戦の企図を理解できていなかったことによる作戦目的の２重化</li><li>基地攻撃が目的で無く、米空母を誘い出し撃滅することが目的でありミッドウェー基地攻撃が優先では無かったが、意図が伝わっておらず作戦にそぐわない艦隊編成であった</li><li>上司が積極的に普段からコミュニケーションをとれてない為、意思疎通に齟齬が生まれる</li></ul><li>実施の遂行を行った第一機動隊のレベル</li><ul><li>米空母は存在しないという先入観</li><li>予備兵力を控置せずミッドウェー攻撃を行った</li><li>先制奇襲が大原則だが米空母発見後、すぐに攻撃に移らなかった</li><li>以上の錯誤・過失はミッドウェー作戦の目的と構想の理解・認識が十分でなかった。</li></ul><li>日本海軍の戦略・用兵思想のレベル</li><ul><li>近代戦における情報の重要性の認識不足</li><li>暗号解読、偵察機の開発遅れ、レーダーの技術遅れ</li><li>攻撃力重視する日本軍は情報収集、索敵、偵察、後力支援などを配慮する余裕がなかった</li><li>攻撃力重視の為、防禦力が脆弱であった</li><li>ダメージ・コントロールの不備、被弾に対し十分な対策がなかった</li></ul></ul><span><!--more--></span><li>【個人まとめ】</li><li><div>目的はなんなのかを共有しあわないとイケない。</div><div>　空母を攻撃するためのミッドウェー攻撃だったのに、ミッドウェー攻撃が目的となった。だから二次攻撃を優先してしまった。人は人の話に夢中になれない。</div><div>アテンションは自分の内側にいく。</div></li><li><div>目的と手段が入れ替わっている部下が作戦の企図を理解できていない、上司が積極的に普段からコミュニケーションをとれてないについては、まさしく現代に通じる。経営方針や目標を浸透できていない組織は考えや行動が嚙み合わない。</div></li><li>不測の事態に適切な反応ができない点については、『選択と集中』に通じるところがある。リーダーは何を捨てるのかを常に判断しないといけない。結局、どっちつかずは何も得られない。</li><li>戦況・状況への先入観、用兵思想のレベルが上がらなかった点は、通例や過去の成功体験が悪い方に働いた典型的な事例だったと思う。成功体験で得るものはあるが、進歩発展が凄まじい世の中で固執すると未来の進歩発展を妨げる要因になる。</li></ul></ul></div><div><ul style="text-align: left;"><li><b>ガダルカナル作戦――陸戦のターニング・ポイント</b></li><ul><li>邀撃作戦が基本であった日本軍がハワイ・オーストラリアへ積極的進攻を目指す</li><li>一方、陸軍は持久戦略を基本とし、補給線がないこと理由に反対するが、米豪遮断作戦には合意（ここも１つの忖度か、もしくは消極的に見せないための体裁か）</li><li>ツラギ島へ上陸した米軍を攻撃する一木支隊だが、米軍は弱い、兵力も少ないなどの希望的観測で出撃し待ち伏せで全滅。</li><li>日本軍は増援により４個大隊を結成するが撤退</li><ul><li>陸軍の見解</li><ul><li>火力の差</li><li>情報連携のミス（突撃していない大隊も）</li><li>米軍の水陸両用作戦</li><li>密林での戦いに慣れていなかった</li></ul><li>連合艦隊の見解は</li><ul><li>過信と軽装備、奇襲に頼った戦略</li><li>輸送困難であったが、敵は相当に増強していた</li><li>協同不能に陥ったこと</li><li>奇襲は敵に早期発見され逆に集中砲火を受けた</li></ul></ul><li>第二回総攻撃の準備</li><ul><li>意見した二見を更迭</li><li>十分な物資の輸送失敗し、結局、前回と同じ戦法へ</li><li>空中写真にて敵の戦力を事前にしった川口は作戦変更を進言した為、罷免（司令所は罷免を知らず、現場指揮官の勝手な権力）</li></ul><li>第二回総攻撃後の撤退も誰も言い出さない、フィードバックもなかった。</li><span><!--more--></span><li>【個人まとめ】</li><li>兵站無視・情報力軽視・科学的思考方法を軽視しながら、硬直的・官僚的にモノ事が曖昧に決まっていく。</li><li>その曖昧な部分を現場で埋めるべく奮闘するが、そのフィードバックは届かない。</li><li>組織間の情報連携も拙く、撤退後も責任の擦り付け合い、部下からの進言も感情的に切り捨てる姿は部下からどう映ったのだろうか。いずれもリーダー像としてありえない。</li><li>米軍は陸海空の組織的統合を図ったが、日本軍はサイロ化されてパフォーマンスを発揮できない点は現代にも通じる。</li><li>失敗原因</li><ul><li>情報の貧困</li><li>戦力の逐次投入</li><li>水陸用作戦に有効な対処がなかった</li></ul></ul><li><b>インパール作戦――賭の失敗</b></li><ul><li>当初、大本営はインド進攻作戦（21号）を検討するが、現地に常駐する軍（牟田口）の見解により保留（気候／険しい山岳地域／補給困難／悪疫瘴癘 等々）。</li><li>戦局が悪化により軍体制を刷新、牟田口が昇格したことで『攻勢防御による防衛論』へ考えを180度転換。</li><li>新任幕僚は戦況を研究する間もなかった為、牟田口一人のイニシアチブへ。</li><li>牟田口の信念の強さ。</li><ul><li>反対する部下を烈火の如く怒った。</li><li>別上司へ相談した部下を解任</li><li>盧溝橋事件の責任挽回という大義名分</li><li>参謀副長へ直談判時には作戦によって死なせて欲しいと自己陶酔（滅びの美学？）的な発言</li></ul><li>一方、上司にあたる河辺も部下の意見を押さえ、有益な情報が得られたであろう兵棋演習についても15軍（牟田口）は、フィードバックを無視。そのクレームについても河辺が押さえつけるだけでなくフォローもされなかった。</li><li>南方軍・方面軍については作戦が修正されるだろうと曖昧な認識で終える。</li><li>戦局悪化に伴い大本営から「ウ号作戦」の準備を指示。否定的な見方が強かった為、南方軍は作戦目的をビルマ防衛強化、目標をインパールに限定、作戦の柔軟性と堅実性を図るよう指示したが、曖昧な指示であったが、方面軍から15軍へ通知した要綱はことさら曖昧であった。</li><li>15軍の兵団長会に列席した中方面軍参謀長も作戦内容が修正されていないことを知ったにも拘わらず黙認。その後、作戦計画の採用を稲田に推薦する。</li><li>軍事的合理性よりも人間関係と組織内の融和を重んじる態度。</li><li>作戦中止による軍内部に生じる混乱、攻勢意欲をそぐことを懸念。</li><li>南方軍のできる範囲で作戦を決行させてもよいではないか、という人情論で大本営も許可。</li><li>首相への報告の際も、問題があると知りながら大本営も実施を後押し。</li><li>問題点の確認・改善よりも軍事的合理性以外から導き出された決断が優先され、他は辻褄合わせとなる。</li><li>「ウ号作戦」は戦略的急襲が前提、しかしながら</li><ul><li>コンティンジェンシープラン無し【疑念を持つな】</li><li>長期化も考え無し【必勝の信念】</li></ul><li>英印軍は事前に偵察によって作戦概要をほぼ把握し対策を打つ。この時点で急襲作戦は成立しなくなっていた。</li><li>インパールまで3週間突進する為、重火器は最小、補給・兵站は軽視された。</li><ul><li>英印軍は中国軍より弱いという思い込み、楽観的な考えで進んでいく。</li></ul><li>作戦実施前より部下とのコミュニケーションを取らず、進言にも耳をかさなかった。</li><li>作戦は実行されるが、柔軟性が欠けた作戦は突進一点ばり、部下の反感を買い、抗命事件を引き起こす。</li><li>また悲惨な状況を知りながら、体面・保身により作戦中止が遅れる。</li><li><b>しなくてもよかった作戦</b>⇒当時の戦局のなか、十分な検討もなくインパール作戦は実施されている。軍事戦略的にみて必要性と可能性すら疑わしい。</li><li><b>戦略的合理性を欠いた作戦</b>⇒杜撰な作戦計画。補給を軽視し、戦略的急襲に全てを欠け、コンティンジェンシープランが欠如していた為、作戦は堅実性と柔軟性を欠いた。情報の貧困、敵戦力の過小評価、先入観の強さ、学習の貧困。非合理な心情も積極性と攻撃を同一し過度に強調することで、計画に対する疑念を抑圧する組織に浸透したカルチャー。</li><li><b>なぜ実施されたのか</b>⇒特異な使命感に萌え、部下の異論を抑えつけ、上司の意見には従わない牟田口の個人的正確、彼の行動を許容した河辺のリーダーシップ・スタイル。それ以上に作戦が承認されていくプロセスに見られた『人情』という人間関係重視、組織内融和の優先。</li><li>決定過程に人間関係を過度に重視する情緒主義、強烈な個人の突出を許容するシステムがある。</li><li>人間関係や組織内融和の重視は組織の硬直化を防ぎ、悪影響を緩和、組織の効率性を補完する役割だったが、本件では逆に組織の逆機能発生を抑制・緩和し、あるいは潤滑油であるべきはずの要素も逆機能を発現させ組織の合理性・効率性を歪める結果となった。</li><span><!--more--></span><li>【個人まとめ】</li><li><div>話しを聞かない、現場に足を運ばない。心理的安全性がない。外の世界に関心がない。ドラッカーは組織について「外に対する貢献が組織として存在価値」と定義した。組織は存在することが意義ではない。「成長、成功するほど、関心は組織の中の事に占領され、外の世界に対する成果任務が忘れられる」牟田口は自分の組織をどのように考えていたのだろうか。</div></li><li>人間関係について、一方では潤滑油となり、一方では弊害となっている。ミッドウェー海戦では米軍司令官同士の人間関係は大きな成果をもたらしたが、日本軍は負の成果を導いた。お互いを高めようとする人間関係と義理人情といった感情で作る人間関係の差であり、後者は過度に組織運営に持ち込むと機能不全を引き起こす。</li><li>作戦を決定させていく過程は昨今、品質問題を隠蔽する企業と重なって見えた。品質問題が発覚した後で背負う損害を想像すれば、とても隠蔽する気にはならない。そのような想像力が足らないのか、もしくはそれを上回るほど、各上長への忖度、経営数字などの圧力が強く、そのような方向へ導いてしまう組織カルチャーなのか。いずれにせよ、一時しのぎで対応しても心理的安全性が無い組織は高いパフォーマンスを発揮できず支障をきたす。</li></ul><li><b>レイテ海戦――自己認識の失敗</b></li><ul><li>日本が失った兵力を立て直す前にアメリカは豊かな生産力によって戦力を保持し進攻。</li><li>日本は十分な供給もなく、物理的・人的資源に大きな差が生まれる。</li><li>『捷号作戦』時間的・空間的・機能的にも複雑で多様性、さらに有機的な関連をもって整合性・一貫性を確保する必要があった。</li><li>しかしながら、マニラでの作戦会議では「レイテ湾での決戦」が作戦の目的であるのに対し、栗田艦隊側は「艦隊決戦」と食い違いを見せる。</li><li>捷号作戦前に日本はダバオ誤報事件・沖縄空襲・台湾沖航空戦により、多大な損害・損失を被るが作戦はそのまま実行に移される。損害・損失を補う為、特攻攻撃によりズレを埋めようとした。</li><li>このような状況変化への『戦略不適応』が日本軍には度々みられた。艦隊同士の意思疎通など。</li><li>貧弱な情報通信システムにより、協同・タイミングがはかれなかった。</li><li>組織化された現代戦の作戦で成功を勝ち取るに不可欠な『高度の平凡性』が不足。例としては</li><ul><li>聡明な独創的イニシアチブが欠けていた</li><li>命令または戦則に反した行動をたびたびとっていた</li><li>虚構の成功の報告を再三報じた</li></ul><li>異常な行動で構成された『捷号作戦』事態が高度の平凡性をはるかに超えた変形な作戦であった。</li><span><!--more--></span><li>【個人まとめ】</li><li>『高度の平凡性』とは、高度なことを日頃からできるようにする、またはそれ（平凡）を超えることは失敗を招くということだろうか。有事の際に各自が間違いを少なくするには、日常的な思考・行動の延長の範囲で活動できることが必要。乾坤一擲の作戦をやるよりも、有事の際でも、常日頃の成果を出せることが重要なのであろう。</li><li>日本軍組織は、名人芸を求める。米軍組織は標準的な活動を求める。それは「どう無理したら勝てるか」という日本軍に対し、「どう無理なく成果を出せるか」のアメリカ軍の違い。</li><li>また気になるのは虚偽の報告である。各組織のリーダーであるべき人間が間違いや危機について率直に報告しない。上長は誤った情報のもと判断することになり、正しい指示命令が行われるはずもない。</li></ul><li><b>沖縄戦――終局段階での失敗</b></li><ul><li>第三二軍は沖縄県民と一体となり、86日間に及ぶ長期持久作戦を遂行。</li><li>上級司令部と現地 第三二軍には根本的な作戦用兵思想の乖離。</li><ul><li>上級司令部⇒航空決戦</li><li>第三二軍⇒戦略持久</li></ul><li>第三二軍：航空部隊の基地設定軍的性格を持っていた為、地上戦力は弱体。八原大佐は航空戦力至上主義に疑念を抱く。</li><li>度重なる指揮隷属関係の変更に第三二軍は大本営の統帥に不信感を持つ。</li><li>捷二号作戦により第32軍は増強されモチベーションが上がったのも束の間、捷一号作戦発動により、精鋭の第九師団が抽出される。</li><li>台北会議　第三二軍より師団を抽出する旨の会議であったが決まらず。第三二軍は不満のみ残る。</li><li>その後、第三二軍は五・六大隊の比島方面への転用、最新鋭の兵団（第九師団）の抽出を大本営より命じられ、精神的・心理的に大きな衝撃となる。</li><li>※沖縄本島の防衛には何の司令は無かった為、第三二軍は独自に最善を尽くす方針に進み、過去の命令を勝手に解釈。戦略持久を方針として行動しはじめる。</li><li>第九師団が抜けたことで、残った兵力でカバーする地域が拡大し飛行場の防衛力は低下。</li><li>戦場を自主的に本島南部に限定。</li><li>米軍が上陸した際は極力撃退し、空海基地の設定は阻止するが、配慮が及ばない空港基地に対する使用妨害は長射程砲に期待するに留める。</li><li>守りを固める為、陣地を縮小。南部の守りを固め、北・中飛行場の攻勢企図は破棄。</li><li>第八四師団派遣の内示と中止⇒さらに第三二軍は不信感を募らせる。</li><li>「天号作戦計画」大本営：沖縄の航空基地確保が不可欠！、第三二軍：地上戦重視の出血持久作戦の方針を変えない！（北・中飛行場を主陣地外に放置）</li><li>沖縄作戦初動（天一号作戦発動）：陸海軍は準備ができておらず、決定的な打撃を与えること無く上陸を許す。日本側は米軍の攻撃を小規模だろうと誤判斷した（レイテ島と同じ過ち）。輸送船団を撃沈するという作戦初動の好機を逃す。</li><li>米軍側は先立って実施した航空撃滅戦の慣用戦法が見事成功し日本軍の有効な航空攻撃を受けることなく作戦を成功させた。</li><li>航空戦至上主義（最高統帥部）と地上戦重視主義（第三二軍）、「あるべき姿」と「生の姿」論との相克</li><li>飛行場を占領された第三二軍に奪回する指示を行う前に「作戦開始以降において甚だ干渉に過ぎる」と電報を抑える。</li><li>大本営、第一〇方面軍、連合艦隊、陸軍航空部隊等、飛行場奪還の要請が強まる。</li><li>攻勢要望の外圧により、第三二軍の方針が揺れる。</li><li>上層部である軍司令官の意図を推察し攻勢に転じる方針へ。</li><li>第三二軍　二度の攻撃中止、三度目は面目を保つ程度の攻撃実施にとどまる。</li><span><!--more--></span><li>第三二軍は度重なる隷属関係の変更により大本営との関係が合わなくなっていた。コミュニケーションギャップ、フローされない状況が続き、相互の関係は開いていった。</li><li>失敗の原因</li></ul><ol><ol><li>戦略デザインに占める沖縄作戦の戦略的地位・役割を名悪に示す努力を怠ったうえに天号作戦計画も陸海軍の認識にズレがあり第三二軍に対する指揮に微妙な影響を与えた。</li><li>第三二軍の上級司令部に対する真摯な態度の欠如</li></ol></ol><ul><span><!--more--></span><li>【個人まとめ】</li><li>戦略デザインを正確に伝えられていなかった、上司部下とで信頼関係を築き、意思疎通を深めていなかった点はミッドウェイ海戦と同様。</li><li>後半、面目を保つ為の戦闘が行われており、本当にあった戦争なのかと疑う部分がある。戦争の判断で感情は意思決定には不要な要素である。</li><li>第三二軍には同情する気持ちがあるが、戦争という極めて難しい状況・判断下にいるなかで、組織の方針に相反する行動をとっているところは冒頭にあった組織的欠陥なんだろう。上級司令部と第三二軍、指示を出す側と実行する側、それぞれの問題は二章以降で明らかになるのか。</li><li>上級司令部は現地・第三二軍の状況を知ろうとしなかった。戦略デザインの共有に努めなかった。</li><li>第三二軍は戦略デザインを知ろうとはせずに、自身の主張を肯定した。</li><li>天号作戦についても、陸海空で認証のズレがあった。</li><li>「軍の名誉にかけて」という下りがあるが、人間ならでは感情である。本来の目的よりも重視されること、それも独自に。これが日本軍という組織の欠点だろう。</li></ul></ul><div><br /></div><div><h3><span style="color: #0b5394;">二章　失敗の本質</span></h3><hr /><div><ul style="text-align: left;"><li><b>戦略上の失敗要因分析</b></li><ul><li><b>あいまいな戦略目的</b></li><ul><li>ノモハンでは、関東軍の「満ソ国境紛争処理要項」に対し大本営は意思表示しなかった。</li><li>大本営が作成した「ノモハン国境事件処理要綱」は腹案として示達されなかった。</li><li>大本営は関東軍の地位を尊重し、微妙な表現によって中央部の意図を伝えようとした。大規模な作戦展開に対しても「察し」を基盤とした意思疎通がまかり通った。その背景には作戦目的が不明確であったという事実がある。</li><li>意図・命令・指示はあいまいであり、成り行き主義が多い。</li><li>兵力の集中は作戦の基本だが、目的が単一化されておらず、複数あり、兵力が分散される。</li><li>ミッドウェー海戦ではミッドウェー島攻略と米艦隊撃滅を目的としており、二重の目的となっている。</li><li>作戦目的の二重化が投影されている。南雲長官は第二次攻撃を行う為、攻撃機を陸用爆弾に転換作業中に敵発見の報を受けた。発見が遅れたのも索敵の不徹底だった。</li><li>米軍は日本の作戦目的を知り、空母撃滅に集中し「空母以外には手を出すな」と厳命することで戦力を集中させた。</li><li>レイテ海戦ではレイテ湾攻略作戦を理解せず、栗田艦隊は艦隊決戦思想で行動した。</li><li>日本軍の作戦計画はかなり大まか。６つの作戦では作戦目的に関する全軍一致を確立することに失敗している。</li><li>作戦目的の多義性、不明確性を生む要因は個々の作戦を有機的に結合し戦争全体をできるだけ有利なうちに終結させるグランド・デザインが欠如していたから。</li><li>失敗の過程は、主観と独善から希望的観測に依存する戦略目的が戦争の現実と合理的論理によって漸次破壊されたプロセスだった。</li></ul><li><b>短期決戦の戦略思考</b></li><ul><li>日本は長期的な展望を欠いたまま戦争に突入。</li><li>短期志向の戦略展開が強かった（近視眼的な考え方）。</li><li>戦略の短期志向性は個々の作戦計画にも影響する。</li><ul><li>ハワイ島奇襲攻撃では、タンクや工場などの施設に手を付けず第一撃の攻撃だけで引き上げ</li><li>レイテ湾突入直前に反転し敵機動部隊との決戦をめざした</li><li>随所で見られた兵力の逐次投入</li></ul><li>短期決戦志向は攻撃重視、決戦重視の考え方、その他方で防禦、情報、諜報に対する関心の低さ、兵力補充、補給・兵站の軽視となっている。</li></ul><span><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><span><!--more--></span></blockquote></span><ul><li>リーダーはビジョンを掲げないといけない。2年後、3年後にどうなるか、どうしたいか、そのようなビジョンがない為、近視眼的になったのだろう。</li></ul><li><b>主観的で「帰納的」な戦略策定ー空気の支配</b></li><ul><li>日本軍は帰納的、米軍は演繹的</li><ul><li>情緒や空気が支配する傾向があり、戦略的判断が行われない。</li><li>情報軽視、兵站軽視など科学的法とは無縁の独自の主観的の積み上げに基づく戦略策定であった為、学習がなかった。</li><li>米軍は演繹・帰納の反覆による愚直なまでの科学的方法を追求。</li><li>日本軍は組織のなかに論理的な議論ができる制度と風土がなかった。</li></ul><li>『現実から出発し状況ごとに時には場当たり的に対応し、結果を積み上げていく思考法が得意であった。客観的事実の尊重とその行為の結果のフィードバックと一般化が頻繁に行われるかぎりにおいて、とりわけ不確実な状況下において極めて有効』との一文はアジャイル、リーンの思考と似ている。</li></ul><li><b>狭くて進化のない戦略オプション</b></li><ul><li>日本軍の戦略オプションは米軍に比べ想定的に狭く、奇襲戦法を好んだ。</li><li>先制と集中攻撃を具体化したのみ。</li><li>個人のスキルの高さと精神主義とあいまって軍事技術の軽視に。</li><li>戦闘の巧緻さ、それ自体がオペレーション（戦術・戦法）の戦略化となってしまった。</li><li>高度の統合性を要求されない場合までは戦闘技術訓練でも対抗できていた。</li><li>戦略＞戦術＞戦闘 上位を補うことはできない。</li><li>『海戦要務令』、短期決戦、奇襲の思想、艦隊決戦主義の思想は教条的に保持され、その後は科学的なアプローチで改訂がされないまま聖典化。</li><li>米軍は環境変化に対応した戦略コンセプトの転換と進化の歴史。</li><li>戦略オプションが狭いということは前提条件が成り立たない売位のコンティンジェンシープランを軽視した点にも表れている。</li><li>『必勝の信念-歩兵操典』戦闘重視・短期決戦志向を明確に打ち出している。</li><li>『統帥綱領』作戦方針や計画は決定した以上、貫徹するよう要求。高級指揮官の行動を細かく規制。</li><li>一連の綱領類が聖典化する過程で、視野の狭小化、想像力の貧困化、思考の硬直化が進行し、ひいては戦略の進化を阻害し、戦略オプションの幅と深みを著しく制約することにつながった。</li></ul><span><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><span><!--more--></span></blockquote></span><ul><li>技術進化が著しく速い近代社会で、過去の成功体験は捨てる部分と活かす部分があるのだと感じる。活かす部分は数年は普遍的なモノ（考え・思想・着想）であり、捨てる部分は時間の経過とともに価値が薄れるものだと考える。</li><li>日本軍の戦闘スキルや戦争に対する責任感は非常に高いものがあり活かす部分であったが、戦略に関しては陳腐化しており捨てるべきモノだったのだろう。</li><li>日本は島国である為、他国との戦闘が少なかった。それにより、数少ない成功体験や登場人物は神話・神格化され受け継がれてしまったのだろうか。</li></ul><li><b>アンバランスな戦闘技術体系</b></li><ul><li>統合的技術体系の観点から、日本軍は一転豪華主義で平均的には旧式なものがおおかった。</li><li>『大和』世界最大の砲をもつ超大型戦艦だったが、遠距離砲爆に必要なレーダーの性能が悪かったうえに、連結した射撃指揮体系が立ち遅れ。</li><li>『零戦』戦闘能力は世界最高水準だったが、攻撃力を増すために防禦性能を犠牲。一方、米軍は新鋭機を徹底した大量生産で増産。2機1組で零戦に対抗した。</li><li>米国は徹底した標準化による生産システムを確立し、高い供給能力を保った。</li><li>米軍は戦争が一大消耗戦であり、勝利を収めるためには兵器を大量生産し続ける必要があることを的確に認識していた。</li></ul><span><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><span><!--more--></span></blockquote></span><ul><li>短期決戦思想から攻撃力に意識が向き、アンバランスな技術開発や先を見据えた生産計画がないまま技術開発が進んだ。</li><li>狭くて進化のない戦闘オプションであった為、各兵器と戦術・戦闘の連結がなく、レーダー開発の遅れ、兵站（ロジスティクス）軽視につながっている。</li></ul></ul><li><b>組織上の失敗要因分析</b></li><ul><li><b>人的ネットワーク偏重の組織構造</b></li><ul><li>ノモハンでは戦況を拡大させたくない大本営と積極的に攻勢しようとする関東軍で意思疎通が図れなかった。大本営は微妙な表現で意図をそれとなく作戦中止を伝えるが、関東軍は都合の良い解釈で戦火を広げた。</li><li>インパールでも作戦中止を示唆しながら、上申があると考え積極的に関与しなかった。一方、牟田口、河辺も双方で出方を伺っていた。</li><li>『陸軍士官学校出身』で作られた高級幕僚の人的ネットワークは強いリーダーシップにより、指揮権に協力に介入し強固で濃密な人的ネットワークを形成した。</li><li>海軍も個人の強い主張と下剋上的な現象が見られた。</li><li>組織とメンバーとの矯正を志向するために、人間と人間の間の関係（対人関係）それ自体が最も価値のあるものとされる『日本的集団主義』が立脚。</li><li>合理的・体系的よりも組織メンバー感の『間柄』に対する配慮が重視。</li><li>『間柄』を中心にするため、意思決定が遅れ重大な失敗をもたらした。</li><li>反対に米軍の意思決定の早さは日本軍の予想を超えた。</li><li>迅速で効果的な意思決定システムとして『指揮官交替システム』を実施。空母部隊指揮官を交替させ、有能な者の能力をフルに発揮させ、同じポストに置いて知的エネルギーを枯渇させてしまわないようにした。</li><li>米軍の『人事交替システム』は有能な少数の者に多くの仕事を与える一方で人間は疲れるから、いつまでも同じ仕事を与えてはまずいと考えで実施。優秀な部員を選抜するとともに、たえず前線の緊張感が導入され作戦策定に特定の個人を依存しなくした。</li><li>日本軍の『軍令承行令』は指揮権について前任、後任の順序を頑なに守り硬直化させた。</li><li>米軍はシステムを中心に運営されエリートの選別・評価を通じてシステムを活性化、必要に応じて変更する『ダイナミックな構造主義』</li></ul><span><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><span><!--more--></span></blockquote></span><ul><li>外国は無い、良き日本の“侘び寂びの心”や"おもてなし"は、目配り、気配り、心配りを持っているが、それを狭い組織の中の強力な人的ネットワークに組み込むと、有事の際に正しい判断ができないだけでなく、意思疎通もできなくなる。</li><li>閉塞的な組織は変化がなく居心地が良いのだろうが、そこに居る者は自分達が退廃していることに気づいていない。</li><li>合理主義な米国は組織システムにも合理性を求め、ダイナミックな構造主義を実現させた。早い意思決定と実行力を持ち合わせた。</li></ul><li><b>属人的な組織の統合</b></li><ul><li>戦争は統合力、陸・海・空の兵力を統合し一貫性、整合性を確保しなければならない。</li><li>米軍は統合力を発揮する体系があったが、日本軍の陸軍・海軍は統合力を発揮できずに折衷案。</li><li>日本軍の作戦行動上の統合は、一定の組織構成やシステムによって達成されるよりも、個人によって実現された。</li><li>先の人的ネットワークが個人による統合を可能にさせてしまった。</li></ul><span><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><span><!--more--></span></blockquote></span><ul><li>組織のサイロ化は現代の企業に通じるところがある。</li><li>共通の目的に向かって互いが一歩踏み出せば良いだけなのだが、根回しなどの日本的情緒性が身動きを取りにくくさせる。出る杭は打たれるというものなのか。</li><li>結局、自分の組織だけでやったほうが楽と考えるのではないだろうか。</li><li>それを踏まえると強制的に人事異動・ローテーションを行うのは納得ができる。</li></ul><li><b>学習を軽視した組織</b></li><ul><li>日本軍には、失敗の蓄積・伝播を組織的に行うリーダーシップもシステムも欠如していた。</li><li>敗北を糧に近代化を進める代わりに、不足分を増員で補い、精神力の優位性を強調。</li><li>精神主義は２つの点で組織的な学習を妨げた。</li><ul><li>敵戦力の過小評価：精神力で自軍が勝っていると評価。</li><li>自己戦力の過大評価</li></ul><li>一斉突撃という戦法は功をなさなかったにもかかわらず、繰り返され教条的戦法は墨守された。</li><li>失敗した戦法、戦術、戦略を分析し、改善策を探求し、伝播することを実施しなかった。</li><li>物事を科学的、客観的に見るという基本姿勢が欠けていた。</li><li>組織学習にとって不可欠な情報の共有システムも欠如。</li><li>自由闊達な議論が許容さえっることがない為、情報が個人や少数の人的ネットワーク内部に留まり、組織全体で知識や経験が伝達され共有されることは少なかった。</li><li>エリート参謀は現場から物理的にも心理的にも多く、状況をよく知る者の意見が取り入れられなかった。</li><li>その為、教条的な戦術しか取りえなくなり、同一パターンの作戦を繰り返し敗北するプロセスが見られた。</li><li>逆に成功の蓄積も不徹底。勝因を抽出して、戦略・戦術の新しいコンセプトを展開し、理論化を図ることを行わなかった。</li><li>理論とは他から与えられるものではなく、自らが作り上げていくべきもの。</li><li>対人関係・人的ネットワーク関係に対する配慮が優先し、失敗の経験から積極的に学び取ろうとする姿勢の欠如。</li><li>教育機関でも「模範解答」が用意され、回答への近さが評価基準となっていた。</li><li>日本軍には、自己革新、自己超越的な行動を含んだ『ダブル・ループ学習』が機能しなかった。</li></ul><span><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><span><!--more--></span></blockquote></span><ul><li>リーンスタートアップやアジャイルは"大きく考え、小さく行動し、早く失敗し、速く学習する"ことで、小さな成功と早い失敗（仮説検証）を繰り返して、顧客のニーズを満たす、サービスやプロダクト作り上げることを目的としている。仮説検証の中で学習しカイゼンする様はまさしく米軍そのものに感じた。</li></ul><li><b>プロセスや動機を無視した評価</b></li><ul><li>自重論者は卑怯者扱いされ、過失を犯せば手厳しく追及された。</li><li>個人責任の不明確さは、評価を曖昧にし、評価の曖昧さは、組織学習を阻害し、論理よりも声の大きなものの突出を許容した。</li><li>このような志向が作戦結果の客観的評価・蓄積を制約し、官僚制組織における下剋上を許容した。</li><li>日本軍と米軍の戦略・組織特性比較 ⇒ 戦略と組織のそれぞれの特性の間に相互関係が存在する。</li></ul><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"> 　 　 　 　 　 <table border="1" style="border-collapse: collapse;"> <tbody> <tr> <td>分類</td><td>項目</td><td>日本軍</td><td>米軍</td> </tr> <tr> <td rowspan="5">戦略</td> <td>目的</td><td>不明確</td><td>明確</td> </tr> <tr> <td>戦略志向</td><td>短期決戦</td><td>長期決戦</td> </tr> <tr> <td>戦略策定</td><td>帰納的<br />（インクリメンタル）</td><td>演繹的<br />（グランド・デザイン）</td> </tr> <tr> <td>戦略オプション</td><td>狭い<br />統合戦略の欠如</td><td>広い</td> </tr> <tr> <td>技術体系</td><td>一点豪華主義</td><td>標準化</td> </tr> <tr> <td rowspan="4">組織</td> <td>構造</td><td>集団主義<br />（人的ネットワーク<br />・プロセス）</td><td>構造主義<br />（プロセス）</td> </tr> <tr> <td>統合</td><td>属人的統合<br />（人間関係）</td><td>システムによる統合<br />（タスクフォース）</td> </tr> <tr> <td>学習</td><td>シングルループ<br /></td><td>ダブルループ</td> </tr> <tr> <td>評価</td><td>動機・プロセス</td><td>結果</td> </tr> </tbody> </table></blockquote> <ul><li>目的の不明確さは短期決戦、また戦略が帰納的な方法とも関係性を持っている。</li></ul><span><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><span><!--more--></span></blockquote></span><ul><li>このような人事だから、論理的でないのか、論理的でないから動機やプロセスに評価の目がいくのか。</li></ul></ul></ul><h3><span style="color: #0b5394;">三章　失敗の教訓</span></h3><hr /><div><ul style="text-align: left;"><li><b>軍事組織の環境適用</b></li><ul><li>組織は環境不適合があっても、それらを環境適合的に変革できる力をもつ『自己革新組織』であること。</li></ul><li><b>日本軍の環境適用</b></li><ul><li><b>戦略・戦術</b></li><ul><li>陸軍は銃剣突撃の白兵戦思想という「ものの見方」であった。</li><li>物的資源より人的資源の獲得が経済的におり容易であった資源的制約、人命尊重の相対的に希薄であった風土なかで、火力重視の米軍の合理主義に対し、白兵重視のパラダイムを精神主義にまで高めていった。</li><li>海軍は過去の海戦完全勝利により、艦隊決戦主義という「ものの見方」であった。</li><li>陸海軍のパラダイム（ものの見方）は戦略の構成要素を根底から規定していった。</li></ul><li><b>資源</b></li><ul><li>戦略にあわせて資源の貯蓄を推進。</li><li>資源は戦略発想を規定するものであるが、戦略もそれが上手くいけば資源貯蓄と発展のパータンを決める。</li><li>陸軍は白兵銃剣主義により、近代兵器・装備の発展がなされず、備蓄が容易だった白兵装備が進んだ。</li><li>海軍は艦隊決戦主義のもと、大艦巨砲主義の戦略を進め、「攻撃は最良の防禦」とう考えにつながった。</li><li>パラダイムにあわない考え、防禦などのハードウェアならびにソフトウェアの蓄積を怠るに至った。</li></ul><li><b>組織特性　①組織構造</b></li><ul><li>ダイナミックな環境に適応する組織は組織内の機能を『分化』させると同時に『統合』しなければならない。</li><li>『分化』と『統合』という相反する関係を同時に極大化している組織が環境適用に優れている。</li><li>米軍は統合参謀本部という統合部門により一元的な統合を確保した。</li><li>水陸両用作戦では、陸・海・空を有機的に統合した独自のタスクフォース組織を作り上げた。</li></ul><li><b>組織特性　②管理システム</b></li><ul><li>年功序列の人事昇進システムのなか、能力主義による抜擢人事はなかった。</li><li>人事昇給システムの価値体系を強化こそすれ、それを破壊することは難しかった。</li><li>教育システムもオリジナリティを奨励するよりは、暗記と記憶力を強調した教育だった。</li><li>その為、要領よく整理・記憶するかがキャリア形成のポイントだった。</li><li>そのような教育で躾けられた行動様式は、戦闘が平時の訓練のように決まったシナリオで展開していく場合には良いが、不測の事態（コンティンジェンシー）がおこるような不確実性の高い状況下で独自の判断を迫られるようになると重bンに機能しなくなる。</li></ul><li><b>組織特性　③組織行動</b></li><ul><li>日本軍のなかで組織成員が悲母見たり接したりできたリーダーの多くは白兵戦と艦隊決戦という戦略原型を具体化した人であった。</li><li>戦略原型が末端までに浸透するためには組織成員が意味や行動を媒介にして、ものの見方・行動の方を内面化していくことが必要。</li><li>このようなパラダイムの浸透には組織リーダーの言動による影響力が大きい。</li><li>リーダーは、意識的・無意識的に日常から部下へ説いている。</li><li>年功序列型の組織は人的に繋がりやすく、リーダーの成功体験が継続的に組織上部構造に蓄積させる為、価値の伝承は努力しなくても日常化される。</li><li>年功序列からのリーダーシップの積み上げで、戦略・戦術のパラダイムは行動規範、組織文化までに高められる。</li><li>組織の文化はささいな日常の人々の相互作用の積み重ねによって形成される。</li></ul><li><b>組織学習</b></li><ul><li>組織は学習しながら進化する。組織はその成果を通じて既存の知識の強化、修正あるいは棄却と新知識の獲得をおこなっていく。</li><li>組織学習とは、組織の行為と結果との間の因果関係についての知識を強化あるいは変化させる組織の行為とプロセスである。</li><li>組織学習は組織の一人一人によって行われる学習が互いに共有され、評価され、統合されるプロセスを経て初めて起こる。</li><li>組織学習には、行為と成果の間にギャップがあった場合には既知の知識を疑い、新たな知識を獲得する側面がある。</li><li>組織として<span style="color: #ff00fe;">既存の知識を捨てる学習棄却つまり自己否定的学習が必要</span>。</li><li>日本軍は白兵銃剣主義による連勝で既存知識を強化しすぎ、学習棄却に失敗した。</li></ul><li><b>組織文化</b></li><ul><li>新たな環境変化に直面したとっきに最も困難な課題は、これまでに蓄積してきた組織文化をいかにして変革するということである。</li><li>組織文化は組織の戦略とその行動を根底から規定している。</li><li>組織文化は①価値、②英雄、③リーダーシップ、④組織・管理システム、⑤儀式などの一貫性をもった相互作用のなかから形成される。</li><li>日本軍は白兵銃剣主義、艦隊決戦主義で表現される行動様式に適応しすぎて特殊化した組織であった。</li></ul></ul><li><b>自己革新組織の原則と日本軍の失敗</b></li><ul><li>組織は主体的に戦略・組織を環境の変化に適合するように変化させなければならない。</li><li><b>不均衡の創造</b></li><ul><li>適応力がある組織は、環境を利用してたえず組織内に変異、緊張、危機感を発生させている。</li><li>組織が進化するためには、たえず不均衡状態にしておかなければならない。</li><li>不均衡は組織が環境との間の情報やエネルギーの交換プロセスのパイプをつなげておく（開放体制）必要条件である。</li><li>完全な均衡状態は適応の最終状態であり、組織の死を意味する。</li><li>環境が変化した場合には、均衡関係を崩して、組織的な不均衡状態を作り出す必要がある。</li><li>均衡状態が崩れた組織は、組織の構成要素間の相互作用が活発になり、組織のなかに多様性が生まれる。多様性が創造されれば、時間・空間的に均衡状態に対するチェックや疑問や破壊が自然発生的に起こり、進化のダイナックスが始まる。</li><li>しかしながら、戦時でなく平時の日本軍は安定的な組織になっていた。</li><li>平時に組織内に緊張感を創造し、多様性を保持して高度に不確実な戦時に備えるかが課題であった。</li><li>組織に緊張感を創造するには、客観的環境を主観的に再構成あるいは演出するリーダーの洞察力、異質な情報、知識の交流、ヒトの抜擢などによる権力構造のたえざる均衡破壊などがカギとなる。</li><li>日本軍組織は、過去の勝利から時間が経過し、組織も硬直化した。</li><li>危機感を洞察するリーダーもいなければ、過去の勝利を反覆するばかりで、どうしようもない驕りが組織内に満ち満ちていた。</li><span><!--more--></span><li>硬直した組織は変化に適応しない為、普段は問題が表にでないが、有事の際に変化に適応できておらず、組織が持っている組織の欠陥が表に現れる。</li></ul><li><b>自律性の確保</b></li><ul><li>組織単位に自律性をもつ米軍は環境の変化に適応し、他に伝達、全体として環境に敏感なシステムをもつ。適応の仕方に井実正、独自性を確保し創造的な解を生み出す可能性を持つ。タイトな組織に比較して、組織単位間の影響度が軽く自由度が高いので、予期しない環境変化に対する脆弱性が小さい。</li><li>日本軍の第一線の高級指揮官には人事権が無かったが、米軍は大緯線指揮官に任免する人事権が与えられていた。</li><li>日本軍は結果よりもプロセスや動機を評価し為、作戦結果の客観的評価と事実や経験の蓄積を制約し、官僚制組織の下剋上を許した。</li><li>日本の現地軍は責任多く権限なしといわれた。</li><li>曖昧な命令、精神主義が出れば出るほど、現地軍の責任と義務は際限なく拡大追及され、結果的にはその自律性を喪失した。</li><span><!--more--></span><li>権限はなく押し付けられる命令、責任に身動きが取れなくなる様は今の社会にも見られる。</li></ul><li><b>創造的破壊による突出</b></li><ul><li>進化は創造的破壊を伴う「自己超越」現象でもある。</li><li>システム自体の限界を超えたところに到達しようと自己否定を行う。</li><li>進化は創造的なものであった単なる適応的なものではない。</li><li>自己革新組織は、絶え間なく現状の創造的破壊を行い、本質的にシステムを物理的・精神的境界を越えたところに到達させる原理をうちに含んでいる。</li><li>創造的破壊は、ヒトと技術を通じて最も徹底的に実現される。</li><li>ヒトと技術が重要であるのは、戦略発想の鍵になっているから。</li><li>日本軍の自己超越は合理性を超えた精神主義に求められた。はじめからできないことが分かっていたものであって、創造的破壊に繋がらなかった。</li><li>日本軍は物的資源、人的資源、すべてに余裕のない組織であった。</li><li>余裕のなさが重大な局面で、積極的行動を妨げたかもしれない。</li></ul><li><b>異端・偶然との共存</b></li><ul><li>イノベーションは異質なヒト、情報、偶然を取り込むところに始まる。</li><li>官僚制は、あらゆる異端・偶然の要素を徹底的に排除した組織構造である。</li><li>ボトムアップによるイノベーションは困難であった。</li><li>日本軍は偶然の発見を組織内に取り込むシステムや慣行を持っていたとはいえない。偶然に対処する発想が希薄であった。</li></ul><li><b>知識の淘汰と蓄積</b></li><ul><li>組織は進化するためには新しい情報を知識に組織化しなければならない。</li><li>進化する組織は学習する組織である。</li><li>組織は相互作用を通じて、生存に必要な知識を選択淘汰し蓄積する。</li><li>戦略的思考はオープンな議論や体験の中で蓄積される。</li><li>日本軍は日露戦争の勝利について真の情報が開示されず、表面的な勝利が統帥綱領に集約され、戦略・戦術は「暗記」の世界となった。戦略がなければ、情報軽視は必然の推移である。</li></ul><li><b>統合的価値の共有</b></li><ul><li><b>&nbsp; </b>自己革新組織は、構成要素に方向性を与え、協同を確保するためにビジョンを持たなければならない。</li><li>自律性を高め、構成単位がバラバラになることなく総合力を発揮するために進む方向性を全員に理解させなければならない。</li><li>価値が共有され信頼関係が確立されている場合は、見解の差異、コンフリクトがあっても、それらを肯定的に受容し学習や自己否定を通じてより高いレベルでの統合が可能となる。</li></ul></ul><li><b>日本軍の失敗の本質とその連続性</b></li><ul><li>自己革新組織とは、環境に対して自らの目標と構造を主体的に変えることのできる組織。</li><li>日本軍はダイナミズムをもたらす３つが欠けていた。</li><ol><li>エリートの柔軟な思考を確保できる人事教育システム</li><li>すぐれたものが思い切ったことのできる分権的システム</li><li>強力な統合システム</li></ol><li>日本軍は過去の戦略原型には適応したが、環境が構造的に変化したときに、自らの戦略と組織を主体的に変革するための自己否定的学習ができなかった。</li><li>欠陥の本質は日本軍の組織原理にある。日本軍は官僚制と集団主義が入り混じった組織を創り上げた。現場の自由裁量と微調整主義を許容する長所を、逆に階層構造を利用して圧殺した。</li><li>現代の行政官庁については、タテ割りの独立した省庁が割拠し日本軍同様に統合機能を欠いている。</li><li>日本企業の戦略と組織の強み</li><ul><li><b>戦略について</b></li><ul><li>論理的・演繹的な米国企業の戦略策定に対し、日本企業は帰納的戦略策定を得意とするオペレーション志向である。</li><li>長所は継続的な変化への適応能力をもつ</li><li>環境の変化が突発的な大変動ではなく、継続的に発生している状況では強みを発揮する。</li><li>大きなブレイク・スルーを生み出すよりも１つのアイデアを洗練するに適していた。</li></ul><li><b>組織について</b></li><ul><li>価値・情報の共有をもとに集団内の成員や集団間の頻繁な相互作用を通じて組織的統合と環境対応を行う。</li><li>長所としては</li><ol><li>下位の組織単位の自律的な環境適応が可能</li><li>定型化されていない、曖昧な情報をうまく伝達・処理できる</li><li>組織末端の学習を促進させ、知識や経験の蓄積を促進し、情報感度を高める</li><li>価値観によって、人々を内発的に動機づけ大きな心理的エネルギーを引き出す</li></ol><li>戦略については（マイナス）</li><ol><li>明確な戦略概念に乏しい</li><li>急激な構造的変化への適応が難しい</li><li>大きなブレイク・スルーを生み出すことが難しい</li></ol><li>組織については（マイナス）</li><ol><li>集団間の統合の負荷が大きい</li><li>意思決定に長い時間を要する</li><li>集団志向による異端の排除が起こる</li></ol><li>現代は高度情報化や業種破壊など日本が得意とする体験的学習だけからでは予測のつかない環境の構造的変化が起こっている。</li><li>成長期にうまく適応してきた戦略と組織の変革が求められている。</li><li>異質性や異端の排除と結びついた発想や行動の均質性という日本企業の持つ特質が逆機能化する可能性がある。</li><li>米国に比較すると日本のトップマネジメントの年齢は異常に高い。</li><li>過去の成功体験が上部構造に固定化し、学習棄却ができにくい組織になりつつあるのではないか。</li><li>日本的企業組織も新たな環境変化に適応する為、自己革新能力を創造できるかが問われている。</li></ul></ul></ul><li>あとがき</li><ul><li>組織が継続的に環境に適応していくためには、主体的にその戦略・組織を確信していかなければばらない。</li><li><span style="color: #ff00fe;">自己革新組織の本質は、自己と世界に関する新たな認識枠組みを作り出す事、すなわち概念の創造にある</span>。</li><li>概念創造の能力が乏しかった為、パターン化された模範解答の繰り返しに終始した。それゆえ、戦略策定を誤った場合もその誤りを的確に認識できずにフィードバックと反省による知の積み上げができなかった。</li><li>いまや日本は先行目標がなくなり、自らの手で秩序を形成しゲームを創り上げないといけない。</li></ul></ul></div></div></div></div><div><h3><span style="color: #0b5394;">失敗の本質　漢字の読み方（読めないでしょ…）</span></h3><hr /><div style="text-align: left;"><ul style="text-align: left;"><li>破催　はさい</li><li>示達　じたつ</li><li>係争　けいそう</li><li>下達　かたつ</li><li>閑院宮載仁親王　かんいんのみや ことひとしんのう</li><li>惨憺　さんたん</li><li>叢書　そうしょ</li><li>屋上屋　おくじょうおく</li><li>張鼓峰　ちょうこほう</li><li>国境画定　こっきょうかくてい</li><li>邀撃　ヨウゲキ</li><li>漸減邀撃作戦　ゼンゲンヨウゲキサクセン</li><li>来攻　ライコウ</li><li>沮喪　ソソウ</li><li>躊躇　ちゅうちょ</li><li>遊出　ゆうしゅつ</li><li>劈頭　へきとう</li><li>哨戒索敵　しょうかいさくてき</li><li>帰趨　きすう</li><li>伎倆　ぎりょう（技量）</li><li>控置　こうち</li><li>前端　ぜんたん</li><li>伎倆拙劣　ぎりょうせつれつ</li><li>果断　かだん</li><li>逡巡　しゅんじゅん</li><li>将旗　しょうき</li><li>座乗　ざじょう</li><li>薄暮　はくぼ</li><li>下令　げれい</li><li>曳航　えいこう</li><li>大略　たいりゃく</li><li>逓減　ていげん</li><li>欺瞞　ぎまん</li><li>驕慢　きょうまん</li><li>防禦　ぼうぎょ</li><li>兵站　へいたん</li><li>戦勢　せんせい</li><li>人夫　にんぷ</li><li>夢想　むそう</li><li>数次　すうじ</li><li>尖兵　せんぺい</li><li>斯く　かく</li><li>委した　まかした</li><li>恢復　かいふく</li><li>擲弾筒　てきだんとう</li><li>渡渉　としょう</li><li>砂州　さす</li><li>鵯越　ひよどりごえ</li><li>払暁　ふつぎょう</li><li>小丘　しょうきゅう</li><li>挺進　ていしん</li><li>遮二無二　しゃにむに</li><li>龍驤　りゅうじょう</li><li>匍匐前進　ほふくぜんしん</li><li>惘然　ぼうぜん</li><li>横臥　おうが</li><li>蒙る　こうむる</li><li>已む無く　やむなく</li><li>後図　こうと</li><li>舟艇　しゅうてい</li><li>錯雑　さくざつ</li><li>隔絶　かくぜつ</li><li>手裡　しゅり</li><li>牢固　ろうこ</li><li>連繋　れんけい</li><li>相俟って　あいまって</li><li>峻険　しゅんけん</li><li>榛名　はるな</li><li>泊地　はくち</li><li>投錨　とうびょう</li><li>擱坐揚陸　かくざようりく</li><li>愈々　いよいよ</li><li>克く　よく</li><li>斯くして　かくして</li><li>遺漏　いろう</li><li>金城鉄壁　きんじょうてっぺき</li><li>側背　そくはい</li><li>罷免　ひめん</li><li>敵火　てきか</li><li>勇戦奮闘　ゆうせんふんとう</li><li>堅塁　けんるい</li><li>交歓　こうかん</li><li>黎明　れいめい</li><li>路傍　ろぼう</li><li>飯盒　はんごう</li><li>斃れる　たおれる</li><li>一里塚　いちりづか</li><li>方途　ほうと</li><li>間歇　かんけつ</li><li>潰滅　かいめつ</li><li>墨守　ぼくしゅ</li><li>杜撰　ずさん</li><li>隷下　れいか</li><li>峻険　しゅんけん</li><li>徴発　ちょうはつ</li><li>悪疫瘴癘　あくえきしょうれい</li><li>攪乱　かくらん</li><li>掃蕩作戦　そうとうさくせん</li><li>盧溝橋事件　ろこうきょうじけん</li><li>所信　しょしん</li><li>披瀝　ひれき</li><li>譴責　けんせき</li><li>兵棋演習　へいぎえんしゅう</li><li>万難　ばんなん</li><li>消極退嬰　しょうきょくたいえい</li><li>懇請　こんせい</li><li>沮喪　そそう</li><li>糧秣　りょうまつ</li><li>携行　けいこう</li><li>督戦　とくせん</li><li>捷一号作戦　しょういちごうさくせん</li><li>乾坤一擲　けんこんいってき</li><li>放擲　ほうてき</li><li>麾下　きか</li><li>潰走　かいそう</li><li>掃蕩　そうとう</li><li>機宜　きぎ</li><li>巧緻　こうち</li><li>艦載機　かんさいき</li><li>天祐　てんゆう</li><li>潰走　かいそう</li><li><span face="&quot;ヒラギノ角ゴ Pro&quot;, &quot;Hiragino Kaku Gothic Pro&quot;, メイリオ, Meiryo, Osaka, &quot;ＭＳ Ｐゴシック&quot;, &quot;MS PGothic&quot;, sans-serif" style="background-color: white; color: #333333; font-size: 16px; white-space: pre-line;">展張　てんちょう</span></li><li>爾後　じご</li><li>偽電　ぎでん</li><li>述懐　じゅっかい</li><li>直截　ちょくさい</li><li>広汎　こうはん</li><li>大綱　たいこう</li><li>本旨　ほんし&nbsp;</li><li>来寇　らいこう</li><li>緊要　きんよう</li><li>徴する　ちょうする</li><li>恰も　あたかも</li><li>大海嘯　だいかいしょう</li><li>端役　はやく</li><li>黎明　れいめい</li><li>蝟集　いしゅう</li><li>鎧袖一触　がいしゅういっしょく</li><li>潰滅　かいめつ</li><li>忽ち　たちまち</li><li>茲　ここ、これ、この</li><li>時日　じじつ</li><li>端緒　たんしょ</li><li>彼我　ひが</li><li>滲透　しんとう</li><li>湊川　みなとがわ</li><li>狭隘　きょうあい</li><li>制扼　せいやく</li><li>成敗利鈍　せいはいりどん</li><li>執念　しゅうねん</li><li>草創　そうそう</li><li>疎隔　そかく</li><li>霧消　むしょう</li><li>近迫　きんはく</li><li>橋頭堡　きょうとうほ</li><li>消尽　しょうじん</li><li>失陥　しっかん</li><li>抗堪　こうたん</li><li>吻合　ふんごう</li><li>顧慮　こりょ</li><li>傾注　けいちゅう</li><li>而して　しこうして</li><li>赫々　かっかく</li><li>嘆じる　たんじる</li><li>巧緻　こうち</li><li>已む　やむ</li><li>戦捷　せんしょう</li><li>偏重　へんちょう</li><li>汲々　きゅうきゅう</li><li>泰然　たいぜん</li><li>馳駆　ちく</li><li>八紘一宇　はっこういちう</li><li>反駁　はんばく</li><li>裡　うら</li><li>頑健　がんけん</li><li>敵討ち　かたきうち</li><li>聖旨　せいし</li><li>天佑神助　てんゆうしんじょ</li><li>空文虚字　くうぶんきょじ</li><li>言行一致　げんこういっち</li><li>伸暢　しんちょう</li><li>捨象　しゃしょう</li><li>下士官　かしかん</li><li>形而上　けいじじょう</li></ul></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-64363681334425524892021-07-13T12:12:00.004+09:002021-07-13T12:12:35.321+09:00<p>久しぶりに鈴虫寺に行ってみたら、今回も良い説法を聞けました。</p><p>コロナの関係で、お茶は有りませんでしたが、お菓子は頂きました。</p><p>覚えている範囲で書いてみると、</p><p></p><blockquote><p>苔は生き方をあらわしている。</p><p>苔は根がない。その為、葉っぱで雨を吸収している。</p><p>雨がふらない時は死んだふりして茶色くなってじっと耐えている。</p><p>雨が降ったときにパッと葉をひろげ青々と生い茂る。</p><p>人生も同じではないか、辛いとき、苦しいときはあるがじっと耐えていると、良くなるときが必ずくる。</p><p>祇園祭、釘を一本も使わずに組み立てている。その伝統を伝える為、今年は山鉾を組み立ててる。</p><p>お地蔵様に願い→日々、忙しい毎日を過ごしていると思います。お寺に来たときぐらい、本当の幸せを考えてみてはいいのでは？</p><p><span style="color: #2b00fe;">『<b>即今只今（そっこんただいま）</b>』</span>とは<br /></p><p>「即今」も「只今」も「今この瞬間」ということを指しており、ふたつ重ねることで今、この瞬間を一所懸命に生きることが大事ということ。</p><p>コロナ禍によって生きにくい世の中になってしまった。</p><p>楽しみにしていたイベントも中止になったり</p><p>人と会うことも少なくなったが</p><p>過去を悔やまず</p><p>未来を不安に思わず</p><p>今を一所懸命に生きましょう。</p><p>『洗心』コロナ禍の影響もあって、手も洗って心も洗おう。みたいなことを仰っていた。</p><p>心を洗うためには、人に良いことをするといいらしい。ただし見返りは求めてはいけない。</p></blockquote><p></p><p>お寺の開山300年を間もなく迎えるということで、客殿の建替えと文化財の修復をされるそうです。その記念として限定の御朱印を３つ用意されてました。いずれも金色の文字が入っていて、ご利益がありそうです！</p><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhRv8MI9NtGP5a8dXA3YPA20IPs85lMMXyCmU9Bp0Qy-20nPlPMAlZ2gXS1QIDqGOOO7t7WSIQ8Eukjki9oALTPy7IrKN0XcMXVXye86GoNcPld_9a7-mbAOMM08Fz8AnCf0CzvmnBsRNQ/s2048/img1.JPG" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="2048" data-original-width="1536" height="320" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhRv8MI9NtGP5a8dXA3YPA20IPs85lMMXyCmU9Bp0Qy-20nPlPMAlZ2gXS1QIDqGOOO7t7WSIQ8Eukjki9oALTPy7IrKN0XcMXVXye86GoNcPld_9a7-mbAOMM08Fz8AnCf0CzvmnBsRNQ/s320/img1.JPG" /></a></div><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjjAg7M02M9RSasVAyZ1cri98oRq35yxckJx5vO__kf3VjGjvCIoIuvtXS4_biJPQF0w1qUtN5GWNr66JSSbIA8B1S5eaqhnx3mYXAzjBlTMZx2ebnp7Mz4-oDLAB0XL2NX1lOrfUk-BPA/s2048/img2.JPG" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="1536" data-original-width="2048" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjjAg7M02M9RSasVAyZ1cri98oRq35yxckJx5vO__kf3VjGjvCIoIuvtXS4_biJPQF0w1qUtN5GWNr66JSSbIA8B1S5eaqhnx3mYXAzjBlTMZx2ebnp7Mz4-oDLAB0XL2NX1lOrfUk-BPA/s320/img2.JPG" width="320" /></a></div><br /><p><br /></p><p><br /></p>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-16683778516576053522021-05-14T21:31:00.002+09:002021-08-07T18:02:17.087+09:00<h1 style="text-align: left;"><b><span style="color: #0b5394;">書籍名：『ストーリーとしての競争戦略』</span></b><b><span style="color: #0b5394;">（</span></b><b><span style="color: #0b5394;">著者：楠木 建</span></b><b><span style="color: #0b5394;">）</span></b></h1>日時：2020年12月20日～<br /><br /><b>各章の紹介</b><br /><hr /><div><div>第１章　戦略は「ストーリー」</div><div>ストーリーの戦略論とは何であり、何ではないかをお話しし、ストーリーとしての競争戦略という視点を明らかにします。</div><div><br /></div><div>第２章　競争戦略の基本論理</div><div>本題に入る準備として、競争戦略というものの考え方が立脚している基本論理について、その本質部分をおさらいします。</div><div><br /></div><div>第３章　静止画から動画へ</div><div>「筋の良い」ストーリーとは何か、優れた戦略ストーリーの条件についてお話しします。</div><div><br /></div><div>第４章　始まりはコンセプト</div><div>ストーリーとしての競争戦略のカギとなる二つの論点、具体的には戦略ストーリーの基点となる「コンセプト」と、ストーリーのキラーパスともいえる「クリティカル・コア」について話を深めたいと思います。</div><div><br /></div><div>第５章　「キラーパス」を組み込む</div><div>ストーリーという戦略思考の最大の強みである持続的な競争優位の論理を明らかにします。</div><div><br /></div><div>第６章　戦略ストーリーを読解する</div><div>ガリバーインターナショナルを例にとって、優れた戦略ストーリーの読解をしたいと思います。同社が構想し、現実に動かし、成功をもたらしたストーリーをじっくり読み取り、優れたストーリーの条件についての理解を深めることがこの章の目的です。</div><div><br /></div><div>第７章　戦略ストーリーの「骨法10ヵ条」…それまでの議論のまとめとして、優れた戦略ストーリーを描くための「骨法」のようなものをお話ししたいと思います。</div></div><div><br /></div><div><br /></div><div><h2><font color="#0b5394">第１章　戦略は「ストーリー」</font></h2><div><span><a name='more'></a></span></div><h3><ul style="text-align: left;"><li><span style="font-weight: normal;">戦略の本質は「シンセンス（綜合）」</span></li><li><span style="font-weight: 400;">事象を構成よそに分解氏、そのうえで１つひとつの要素を個別に吟味するアナリシスのカタチを取るが、戦略にかぎてはシンセシスに神髄がある。</span></li><li><span style="font-weight: 400;">日本企業にストーリーが必要な理由</span></li><ol><li><span style="font-weight: 400;">成熟した経営環境課では、個別の構成要素のレベルで競争優位を構築するのが困難である。その為、ストーリーという１つ上位レベルでの差別化が必要。</span></li><li><span style="font-weight: 400;">日本企業はポジショニングよりも組織能力に基礎を置いた「体育会系戦略論」に傾斜してきた。トヨタ生産方式は、カンバン方式、平準化生産といった構成要素のシンセシスであり、能力に軸足を置いた戦略ストーリーである。能力構築の積み重ねが競争力であるが、個別の取り組みと成果との因果関係は相対的に不明確になる。能力構築を重視する戦略は日本企業の独自性であるが、能力の戦略はポジショニングと比べて、時間的にも因果論理という意味でも「長い話」を要する。ポジショニングは意思決定できても、能力構築は意思決定だけではどうにもならない。個別の要素が成果につながるストーリーがあ意識されて、能力構築から競争優位を引き出す。</span></li><li><span style="font-weight: 400;">日本企業の組織と人々のモチベーションの在り方。欧米企業は機能分化、日本企業は提供する価値のありようを切り口に分化し、人々のコミットメントの基盤となる「価値分化」が強い。</span></li></ol></ul></h3><h2><font color="#0b5394">第２章　競争戦略の基本論理</font></h2><h3 style="text-align: left;"><span><h4 style="text-align: left;"><span style="font-size: medium; font-weight: 400;"><!--more--></span></h4></span></h3><h3 style="text-align: left;"><ul><li><span style="font-weight: 400;">競争戦略：特定の業界において、ある企業の事業がその競争の土俵で他社とどのように向き合うのかに関わる戦略。事業戦略とも言う。</span></li><li><span style="font-weight: 400;">全社戦略：複数の事業分野を持っており、どのような事業集合であるべきか。複数の事業のバランスをどのように構築して、全社的に最適な事業ポートフォリオにするか。どの事業に優先的に経営資源を振り向けるべきか。どの分野に進出して、撤退するべきかを考える戦略。</span></li><li><span style="font-weight: 400;">数字は戦略ではなく目標。目標や分析を戦略にすり替えてしまっている企業が多い</span></li><li><span style="font-weight: 400;"><u>戦略とは他社との違いをつくること</u>。</span></li><li><span style="font-weight: normal;">「競争がある中で、いかにして<span style="background-color: #04ff00;">他社より優れた収益を達成し、それを持続させるか、その基本的な手立てを示すものが競争戦略</span>」</span></li><li><span style="font-weight: 400;">SP：Strategic Positioning　ポジショニング戦略「他社と違ったことをする」</span></li><li><span style="font-weight: 400;">OC：Organizational Capability　組織能力「他社と違ったものを持つ」経営資源を指すが、組織に定着している「ルーティン」だというのが結論。</span></li></ul><ul style="text-align: left;"><li><span style="font-weight: 400;">OE：Operational Effectiveness　程度問題としての違い</span></li><li><span style="font-weight: normal;">SPの戦略とは活動の選択「何をやり、何をやらないか」明確なポジショニングによる違いを構築するためには「何をやるか」よりも「何をやらないか」を決めることが大切。</span></li><ul><li><span style="font-weight: 400;">SPの戦略論を支えているのは「トレードオフ」。投入できる資源には限りがある。捨てない限り、資源が分散し利益が相反する。</span></li><li><span style="font-weight: 400;">「何をやらないか」をはっきりさせっれば、他社との違いを持続させることができる。</span></li></ul><li><span style="font-weight: 400;">OCのルーティンがなぜ模倣が難しいのか</span></li><ul><li><span style="font-weight: 400;">因果関係の不明確さ</span></li><li><span style="font-weight: 400;">経路依存性：組織ルーティンは企業内部で長い時間をかけて形成される</span></li><li><span style="font-weight: 400;">OCそのものが時間とともに進化すること。競合が追いつけない。</span></li></ul></ul></h3><h2><font color="#0b5394">第3章　静止画から動画へ</font></h2><h3><span></span></h3><h4><span style="font-size: medium; font-weight: 400;"><!--more--></span></h4><h3><ul style="text-align: left;"><li><span>ストーリーは</span><span style="font-weight: 400;">サッカーのパス繋ぎに似ている。</span><span>SPやOCといったパスを繋ぎ</span><span style="font-weight: 400;">ゴールを目指す。</span></li><li><span><span style="font-weight: 400;">ストーリーを組み立てる柱</span><span style="background-color: #fcff01;">『戦略ストーリーの5C』</span></span></li><ol><li><span>競争優位（competitive advantage)</span></li><ul><li><span style="font-weight: normal;">ストーリーの「結」…利益創出の最終的な論理</span></li></ul><li><span>コンセプト(concept)</span></li><ul><li><span style="font-weight: 400;">ストーリーの「起」…本質的な顧客価値の定義</span></li></ul><li><span>構成要素(components)</span></li><ul><li><span style="font-weight: 400;">ストーリーの「承」…競合他社との「違い」、SPもしくはOC</span></li></ul><li><span>クリティカル・コア(critical core)</span></li><ul><li><span style="font-weight: 400;">ストーリーの「転」…独自性と一貫性の源泉となる中核的な構成要素</span></li></ul><li><span>一貫性(consitency)</span></li><ul><li><span style="font-weight: 400;">ストーリーの評価基準…構成要素をつなぐ因果論理</span></li></ul></ol><li><span style="font-weight: 400;">ストーリーは「終わりから考える」</span></li><ul><li><span style="font-weight: 400;">WTP（顧客が支払いたいと思う基準）－ C（コスト）＝P（利益）</span></li><li><span style="font-weight: 400;">利益創出の最終的な理屈は「競合よりも顧客が価値を認める製品やサービスを提供できるか」もしくは「競合よりも低いコストで提供できるか」のどちらか。</span></li></ul><li><span style="font-weight: 400;">戦略の大きな方針</span></li><ol><li><span style="font-weight: 400;">WPT（高価格、客が喜んで高い金を支払う）</span></li><li><span style="font-weight: 400;">コスト</span></li><li><span style="font-weight: 400;">ニッチ特化による無競争</span></li></ol><ul><li><span style="font-weight: 400;">それぞれはトレードオフの関係にある</span></li></ul><li><span style="font-weight: 400;">2つ以上の構成要素をストーリーでつなぐ</span></li><li>良いストーリーの条件（因果論理）</li><ul><li><span>ストーリーの強さ</span></li><ul><li><span style="font-weight: 400;">XがYをもたらす可能性の高さ、因果関係の蓋然性が高いこと。</span></li><ul><li><span style="font-weight: 400;">例）量産すればコストが下がる。</span></li></ul></ul><li><span>ストーリーの太さ</span></li><ul><li><span style="font-weight: 400;">構成要素間の繋がりの数の多さ。</span></li><ul><li><span style="font-weight: 400;">例）規格統一はコスト削減と営業体制の強化をもたらすなど</span></li></ul></ul><li><span>ストーリーの長さ</span></li><ul><li><span style="font-weight: 400;">時間軸でのストーリーの拡張性、発展性が高いこと。</span></li></ul></ul><li><span style="font-weight: 400;">ストーリーの流れを作る</span><span>因果論理を基準にして筋の良い戦略を作る</span><span style="font-weight: 400;">。</span></li><ul><ul><li><span style="font-weight: 400;">１つひとつの構成要素が明確な因果関係でつながっていること。</span></li><li><span style="font-weight: 400;">施策が次の施策へつながっているさま。</span></li></ul></ul><li><span style="font-weight: 400;">ベストプラクティスは「違い」を作る戦略を阻害する。</span></li><li><span style="font-weight: 400;">ストーリー戦略は個別の打ち手で勝負するのではなく、因果論理でつながった打ち手の<span style="background-color: #04ff00;">「合わせ技」を重視</span>する</span></li><li><span style="font-weight: 400;">戦略は5W1H</span></li><ul><li><span style="font-weight: 400;">Where・When　どの業界で競争するかという選択・いつ参入するか。</span></li><li><span style="font-weight: 400;">What・Which　SP「何をするか」「何をしないか」・「自社で内製するのか外注するのか」</span></li><li><span style="font-weight: 400;">How　OC「自社のユニークなやり方」から生まれる違い。</span></li><li><span style="font-weight: 400;">Why　戦略ストーリーによってこれらをつなげる役目。SP・OCの一つひとつの違いがなぜ相互につながり、全体としてなぜ競争優位と長期利益をもたらすのか。</span></li></ul><li><span style="font-weight: 400;">DELLは小売りを捨てた、</span><span style="font-weight: normal;">サウスはハブ・アンド・スポークを捨てた</span></li><li><span style="font-size: 18.72px; font-weight: 400;">流行りのコンセプトやベストプラクティスに乗ったとしても正しいとは限らない。</span></li><li><span style="font-size: 18.72px; font-weight: 400;">業界の常識の裏側を見ないといけない。</span></li><li><span style="font-weight: 400;">よくある戦略にはWhyが無いのではないか？</span></li><ul><li><span style="font-size: 18.72px; font-weight: 400;">戦略の理由付けに政府の構想ほど当てにならないものはない。</span></li><li><span style="font-weight: normal;">他の会社もベストプラクティスを求めている。</span>だから自分のプランも正しい（ベストプラクティス）ではレッドオーシャンに突入</li></ul><li><span style="font-size: 18.72px; font-weight: 400;">日々、習慣として情報を集めないと戦略は考えられない。</span></li><li><span style="font-size: 18.72px; font-weight: 400;">P.234　「時代や業界の常識に反する」ことをしているが、良いか悪いかはストーリー全体の文脈でしか評価できない。</span></li></ul></h3><h2><font color="#0b5394">第4章　はじまりはコンセプト</font></h2><h3><span></span></h3><h4><span style="font-size: medium; font-weight: 400;"><!--more--></span></h4><h3><ul style="text-align: left;"><li><span style="font-weight: 400;">ストーリーは「競争優位」と「コンセプト」から始まる。</span></li><li><span style="font-weight: 400;">コンセプトは「本質的な顧客価値の定義」</span></li><ul><li><span style="font-weight: 400;">「本当のところ、誰に何を売るのか」を答えること</span></li></ul><li><span style="font-weight: 400;">コンセプトが詰められていればストーリーがシンプルかつ明確になり、それにかかわる</span>人々に共有しやすい<span style="font-weight: 400;">。（共有できなければ、力が分散される）</span></li><li>「なぜ」は戦略ストーリーにとって一番大切な問い<span style="font-weight: 400;">かけ。</span></li><li><span style="font-weight: 400;">優れたコンセプトは「誰に」と「何を」をペアで考える。</span></li><li><span style="font-weight: 400;">「誰に」だけ「何を」だけでは静止画となる。</span></li><li>「誰に」と「何を」をペアで考えると動画になる。</li><li>動画のなかに「なぜ」がある。</li><li><span style="font-weight: 400;">動きの中で、なぜその顧客がその商品・サービスを求めるのか、喜ぶのか、お金を支払うのか、なぜ喜びが持続するのか、といくつもの「なぜ」が見えてくる。</span></li><li><span style="font-weight: normal;">戦略ストーリーにおいて独自のコンセプトは非常に重要。</span></li><li>コンセプト作りにとって大切な３つのこと。</li><ul><li><span style="font-weight: 400;">「すべてはコンセプトから始まる」</span></li><ul><li><span style="font-weight: 400;">コンセプトが固まらないと他は無駄になる。</span></li><li><span style="font-weight: 400;">ストーリーの起点がしっかりしていれば、その後の構成要素は骨太の因果論理が備わる。</span></li></ul><li><span style="font-weight: 400;">「誰に嫌われるか」</span></li><li><span style="font-weight: normal;">「コンセプトは人間の本質を捉えるものでなくてはならない」</span></li></ul><li><span style="font-weight: 400;">人間の本質はたいして変化していない</span></li><li><span style="font-weight: 400;">「合理的な愚か者」</span></li><li><span style="font-weight: 400;">ビジネスはしょせん人間が人間に対してやっていること</span></li><li><span style="font-weight: 400;"><br /></span></li></ul></h3><h2><font color="#0b5394">第5章　キラーパスを組み込む</font></h2><h3><span></span></h3><h4><span style="font-size: medium; font-weight: 400;"><!--more--></span></h4><h3><ul style="text-align: left;"><li><span style="font-weight: 400;">クリティカル・コア：戦略ストーリーの一貫性の基盤となり、持続的な競争優位の源泉となる中核的な構成要素</span></li><ul><li><span style="font-weight: 400;">他の様々な構成要素と同時に多くのつながりを持っている</span></li><li><span style="font-weight: 400;">一見して非合理に見える。⇒競合他社には「非合理」に見え「やるべきではないこと」のように見える。⇒結果「持続的な競争優位」に！</span></li></ul><li><span style="font-weight: 400;">一見して非合理に見えるが、ストーリー全体の文脈に位置付けると強力な合理性を持ち、持続的な競争優位の源泉となる。</span></li><ul><li><span style="font-weight: 400;">時間的先行による専有</span></li><li><span style="font-weight: 400;">ストーリー全部を丸ごとまねすることはできない</span></li><li><span style="font-weight: 400;">動機の不在（一見して非合理なので、まねしたいと思わない）</span></li></ul><li><span style="font-weight: 400;">部分的には非合理だが、全体的には合理的</span></li><li><span style="font-weight: 400;">『バカなる』「バカな」と思わせる非合理の要素がありながらも、成功してみると人々が「なるほど」とうなずく優れた戦略の要諦。</span></li><ul><li><span style="font-weight: 400;">「先見の明」外部環境の先取りが前提となっている（外部環境に対して受け身）</span></li></ul><li><span style="font-weight: 400;">クリティカル・コアは、戦略が有効性を発揮するコンテクストを自ら意図的に作ろうとする。独自の競争優位をつくることができる。</span></li><li><span style="font-weight: 400;">優れた戦略ストーリーの競争優位の本質は交互効果にある。</span></li><ul><li><span style="font-weight: 400;">一見してすぐにわからないため、競合は見逃してしまう</span></li><li><span style="font-weight: 400;">その為、競合が模倣しても交互効果は発揮できない</span></li><li><span style="font-weight: 400;">逆に従来の強みに支障をきたし差異を増幅させる</span></li></ul><li><span style="font-weight: 400;">戦略ストーリーの中のキラーパス</span></li><ul><li><span style="font-weight: 400;">非合理で迂遠でバカなことに映る</span></li><li><span style="font-weight: 400;">　→模倣が意図的に忌避される</span></li><li><span style="font-weight: 400;">　　→構成要素の交互効果が発揮できない</span></li><li><span style="font-weight: 400;">　　　→支障をきたし、差が開く</span></li></ul><li><span style="font-weight: 400;">自滅の論理：先行するA社の戦略をB社が模倣しようとすることが、B社の戦略の有効性を低下させ、A社との差異を増幅させる。</span></li><li><span style="font-weight: 400;">Amazon</span></li><ul><li><span style="font-weight: 400;">購買動機を売る【SP】</span></li><li><span style="font-weight: 400;">購入者のすぐ欲しいを満たすための物流センター（他社からみれば非合理）【OC】</span></li></ul><li><span style="font-size: 18.72px; font-weight: 400;">ストーリーがあれば経営環境の影響を受けにくい</span></li><li><span style="font-size: 18.72px; font-weight: 400;">その業界に解像度が高い人がキラーパスを見抜ける</span></li><li><span style="font-size: 18.72px; font-weight: 400;">通念が時代に合わなくなってきている、先見（未来）でなく現在と過去からある通念のギャップを見ている。</span></li><li><span style="font-size: 18.72px; font-weight: 400;">人の本性を見るのが大切。通念との矛盾、業界とのギャップ。</span></li><li><span><!--more--></span><span style="font-weight: 400;">SPを模倣しても部分最適となり、全体との合理化は進まない為、交互効果は生まれない。</span></li><li><span style="font-weight: 400;">キラーパスはOC（競合から見えない部分にある）</span></li><li><span style="font-weight: 400;">SPを支えるOCである為、SPを真似しても部分最適にしかならず自滅</span></li></ul></h3><h2><font color="#0b5394">第6章　戦略ストーリーを読解する</font></h2><h3><span></span></h3><h4><span style="font-size: medium; font-weight: 400;"><!--more--></span></h4><h3><ul style="text-align: left;"><li><span style="font-weight: normal;">ガリバーは中古車業界で「買取専門」をコンセプトにすることで低コストオペレーションを実現した。</span></li><ul><li><span style="font-weight: normal;">小売（BtoC）をやらないことで、場代、在庫、損切りなどのコストカットを実現。</span></li><li><span style="font-weight: 400;">買取を徹底することで、不要なマージ（経費）が必要なくなり、ユーザから高い買取を実現。また小売りを持たないことからオークション（市場）の価格を買取価格へ反映できた。</span></li></ul><li><span>成長戦略は「内向き」考える。</span><span style="font-weight: 400;">「これまで」の自社の戦略ストーリーと成長戦略とのフィットをよく考え、成長戦略が従来のストーリーの自然な延長戦上にあれば戦略ストーリーの強みをそのまま発揮できる。「外向き」は外的な機会に飛びつくことは競合他社も同じように考えている。</span></li><li><span style="font-weight: 400;">「一見して非合理」なキラーパスを実行に移す決断（勇気）は、自らの戦略ストーリーに対する「論理的な確信」にしかない。</span></li></ul></h3><h2><font color="#0b5394">第7章　戦略ストーリーの「骨法10カ条」</font></h2><h3><span></span></h3><h4><span style="font-size: medium; font-weight: 400;"><!--more--></span></h4><h3><ul style="text-align: left;"><li><span style="font-weight: 400;">戦略論は2つのフェーズに大別できる</span></li><ul><li><span style="font-weight: 400;">第一フェーズ「論理化としての読解」</span></li><ul><li><span style="font-weight: 400;">戦略ストーリーを構成する要素の間にどのようなつながりがあり、相互作用を起こしたのかを文脈で読みとり論理化する。</span></li></ul><li><span style="font-weight: 400;">第二フェーズ「原理原則の抽出」</span></li><ul><li><span style="font-weight: 400;">優れた戦略ストーリーの読解を重ねることで共通の論理を見つけることができる。失敗する戦略が陥りやすい落とし穴も。⇒戦略ストーリーの『骨法10カ条』</span></li></ul></ul><li><span style="font-weight: 400;">骨法その一　エンディングから考える</span></li><ul><li><span style="font-weight: 400;">戦略の目的は長期利益の実現（エンディング）。</span></li><li><span style="font-weight: 400;">エンディングを固めるには「競争優位」と「コンセプト」をイメージする。</span></li><li><span style="font-weight: 400;">エンディングを先に固める理由は、戦略ストーリーの優劣の基準が「一貫性」にあるから。</span></li><li><span style="font-weight: 400;">競争優位性は単純</span></li><ol><li><span style="font-weight: 400;">WTPを上げる（顧客が支払いたいと思う水準）</span></li><li><span style="font-weight: 400;">コストを下げる</span></li><li><span style="font-weight: 400;">無競争状態に持ち込む（通常はニッチへの特化）</span></li></ol><ul><li><span style="font-weight: 400;">ただこれだけではエンディングとして不十分、顧客に価値を提供しなければならない。</span></li></ul><li><span style="font-weight: 400;">戦略の「ゴール」は長期利益。「ゴール」を「目標」と「目的」に分けて考える。</span></li><ul><li><span style="font-weight: 400;">「目標」：長期利益</span></li><li><span style="font-weight: 400;">「目的」：コンセプト→ストーリー実現に係る人々が自ら主体的にコミットするべきゴール</span></li></ul><li><span style="font-weight: 400;">優れたコンセプトは、ターゲット顧客をはっきりさせるだけでなく、人々の心と体の「動き」を頭の中でよくイメージする必要がある。どのような状況、同期で製品やサービスと関わり、使用し、結果としてどのように喜ぶのか。一連のストーリーを頭の中で繰り返しイメージし、ターゲット顧客の「動き」を細部までリアルに思い浮かべる。</span></li><li><span style="font-weight: 400;">コンセプトは判断に迷ったり、行き詰った時に、常に立ち戻ることができる何かでなくてはならない。</span></li></ul><li><span style="font-weight: 400;">骨法その二　「普通の人々」の本性を直視する</span></li><ul><li><span style="font-weight: 400;">コンセプトとして、「誰かを喜ばせる」には「誰かに嫌われるか」とう視点が必要。</span></li><li><span style="font-weight: 400;">「普通の人々」の「本性」を直視することが大切。</span></li><li><span style="font-weight: 400;">コンセプトは「今そこにある価値」を捉えるもの。「将来のニーズ」「先進的」なコンセプトは良くない。</span></li><li><span style="font-weight: 400;">人間の本性・欲求はそう簡単に変わらない。</span></li><li><span style="font-weight: 400;">「言われたら確実にそそられるけども、言われるまでは誰も気づかない」が最高のコンセプト。</span></li></ul><li><span style="font-weight: 400;">骨法その三　悲観主義で論理を詰める</span></li><ul><li><span style="font-weight: 400;">「シナジー」という言葉を疑う。本当に相乗効果はあるのか？</span></li><li><span style="font-weight: 400;">ストーリーを都合よく考えてはいけない。きちんとした因果論理でストーリーを考えるには悲観主義ぐらいがちょうど良い。</span></li><li><span style="font-weight: 400;">リーダーやマネジメントがストーリーの実行にかかわる人々の動きについて、リアルなイメージを思い浮かべないといけない。</span></li><li><span style="font-weight: 400;">顧客だけでなく、戦略の実行を担う様々な人々の心や体の動きをリアルにイメージする。</span></li><li><span style="font-weight: 400;">ホットペッパー「プチコン（プチコンサルティング）」「一人屋台方式」の事例。⇒</span>分業すれば流れが切れ、モチベーションも切れる。</li><li><span style="font-weight: 400;">「悲観主義」は「弱者の論理」、ヒト・モノ・カネの制限に苦しんでいるので、弱いストーリーを打ち出す余裕はない。</span></li></ul><li><span style="font-weight: 400;">骨法その四　物事が起こる順序にこだわる</span></li><ul><li><span style="font-weight: 400;">ビジネスモデルが戦略の構想要素の空間的な配置形態に焦点を合わせているのに対し、戦略ストーリーは打ち手の時間的展開に着目している。</span></li><li><span style="font-weight: 400;">時間軸に沿った因果論理。共変関係（AとBが連動する）だけでなく時間的先行性がある。</span></li></ul><li><span style="font-weight: 400;">骨法その五　過去から未来を構想する</span></li><ul><li><span style="font-weight: 400;">事業の成長は非連続的な「革命」よりも連続的な「進化」の結果。</span></li><li><span style="font-weight: 400;">それまでのストーリーとフィットするかしないか、ストーリーの延長上の乗るか。フィットを考えると何でもかんでも手を出せない。</span></li></ul><li><span style="font-weight: 400;">骨法その六　失敗を避けようとしない</span></li><ul><li><span style="font-weight: 400;">未来が定義からして不確実である以上、失敗はさけれない。避けれないものを避けようとすると、その時点で立ち止まり前に進めない。</span></li><li><span style="font-weight: 400;">唯一可能な手は、試行錯誤を重ね、ストーリーを修正していく実験的なアプローチのみ。</span></li><li><span style="font-weight: 400;">ビジネスでの失敗は失敗が分かりにくい。</span></li><li><span style="font-weight: 400;">戦略ストーリーの中で失敗を定義しておくことが大切。</span></li></ul><li><span style="font-weight: 400;">骨法その七　「賢者の盲点」を衝く</span></li><ul><li><span style="font-weight: 400;">一見すれば非合理だが、ストーリー全体の文脈に置いてみれば一貫性と独自の競争優位の源泉となる。部分の非合理を全体での合理性に転化する。</span></li><li><span style="font-weight: 400;">他社と違ったことをやらなければ優位性を築けないが、合理性だけでは他社に先行できない。</span></li><li><span style="font-weight: 400;">構成要素の一段上のシンセンス（綜合）のレベルで戦略的ジレンマを解決する。</span></li><li><span style="font-weight: 400;">他社からすると非合理な部分は模倣しようとは思わない、距離をとる為、違いを持続させられる。</span></li><li><span style="font-weight: 400;">賢者の盲点を衝くには業界の「信念」や「常識」を疑うこと。</span></li></ul><li><span style="font-weight: 400;">骨法その八　競合他社に対してオープンに構える</span></li><ul><li><span style="font-weight: 400;">本当に優れたストーリーであれば、模倣の脅威は大きくない。ストーリーの交互効果という強みまで手に入れることは困難。</span></li><li><span style="font-weight: 400;">非合理なキラーパスによって競合は自滅の論理が働く。</span></li><li><span><!--more--></span><span style="font-weight: 400;">自分達の世界観で優れた戦略ストーリーが描けているからこそ、オープンにできるのであろう。その世界観に到達しない限り、本当の競合とは言えない。</span></li></ul><li><span style="font-weight: 400;">骨法その九　抽象化で本質をつかむ</span></li><ul><li><span style="font-weight: 400;">情報に接する際は、Whyを考える癖が大切。</span></li><li><span style="font-weight: 400;">具体的事象の背後にある論理を汲み取って抽象化する。</span></li><li><span style="font-weight: 400;">抽象化することによって、初めて汎用的な知識ベースとなる。</span></li><li><span style="font-weight: 400;">汎用的な論理を自分の文脈で具体化することによって、ストーリーに応用することができる。</span></li><li><span><!--more--></span><span style="font-weight: 400;">抽象化はアルゴリズムとプログラムに似ている。</span></li><li><span style="font-weight: 400;">考えるということは抽象化と具象化を繰り返すことだろう。</span></li></ul><li><span style="font-weight: 400;">骨法その十　思わず人に話したくなる話をする</span></li><ul><li><span style="font-weight: 400;">優れたストーリーの条件は、そのストーリを話している人自身が「面白がっている」とうこと。</span></li><li><span style="font-weight: 400;">その人の頭の中ではストーリーを構成する決めごとや打ち手が論理で無理なくつながっている。</span></li><li><span style="font-weight: 400;">ストーリーを語ることで人・組織を動かす。</span></li><li><span><!--more--></span><span style="font-weight: 400;">ある企業は製品ごとに一番詳しい社員をオーナーと任命、語るオーナーの製品が一番売れた。</span></li><li><span style="font-weight: 400;">教養がないとビジネスを考えれない。</span></li><li><span style="font-weight: 400;">言葉を編む（考える）には知識・リベラルアーツが必要。</span></li><li><span style="font-weight: 400;">すぐれた語り手は一人称で語り、言葉を借りても代弁はしない。</span></li></ul><li><span style="font-weight: 400;">一番大切なこと</span></li><ul><li><span style="font-weight: 400;">ストーリーの根底に抜き差しならない切実なものがある。</span></li><li><span style="font-weight: 400;">切実なもの＝「自分以外の誰かのためになる」</span></li><li><span style="font-weight: 400;">優れた戦略ストーリーの根底には、誰かを喜ばせたい、人々の問題を解決したい、役に立ちたいという切実なものが流れている。</span></li></ul></ul></h3><h3><div><span style="font-weight: 400;"></span></div><div><span style="font-weight: 400;"></span></div><div><span style="font-weight: 400;"></span></div><div><span style="font-weight: 400;"><div style="font-size: 18.72px;"><br /></div><div><span style="font-size: medium;">【蓋然性】がいぜんせい - その事柄が実際に起こるか否か、真であるか否かの、確実性の度合。また、蓋然的であること。</span></div></span></div><div><span style="font-size: medium; font-weight: 400;">【収斂】しゅうれん - 一つにまとまること。また、まとめること。集約。</span></div><div><span style="font-size: medium;"><span style="font-weight: 400;">【知悉】ちしつ -&nbsp;</span><span style="font-weight: 400;">ある物事について、細かい点まで知りつくすこと。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【凡百】ぼんぴゃく- もろもろ。いろいろ。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【空疎】くうそ - 形だけで、実質的ななかみがないこと。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【喧伝】けんでん - 世間に言いはやし伝えること。盛んに言いふらすこと。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【生産財】せいさんざい - 原材料や部品、設備品など生産のために使用される製品。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【標榜】ひょうぼう - 主義主張などをかかげて公然と示すこと。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【鬱積】うっせき - 不平・不満が晴らされずに次々と、心に一杯たまること。</span></span></div><div><span style="font-size: medium;"><span style="font-weight: 400;">【知悉】ちしつ - 知りつくすこと。細かい点まで知っていること。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【乾坤一擲】けんこんいってき -&nbsp;運を天にまかせて、のるかそるかの大勝負をすること。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【耳目】じもく -&nbsp;耳と目。見聞きすること。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【喧伝】けんでん -&nbsp;世間に言いはやし伝えること。盛んに言いふらすこと。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【社債】しゃさい -&nbsp;会社が資金調達を目的として、投資家からの金銭の払込みと引き替えに発行（起債）する債券である。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【妙味】みょうみ -&nbsp;言うに言われない、いい味・趣。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【模様眺め】もようながめ - 相場の見通しがたたないため、売り買いをせず様子を見ていること。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【併存】へいそん -&nbsp;いくつかのものが共に存すること。共存。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【先見の明】せんけんのめい - 将来を見据える力</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【旗艦店】きかんてん - ブランドや店舗業態を象徴する店</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【継手】つぎて - 2つの部分を接合する構造の総称</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【突飛な】とっぴな - 常識からひどく外れていて、人々があっと驚くようなさま。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【鷹揚】おうよう -&nbsp;ゆったりとしてこせこせしない様子。おっとりとして上品なこと。</span></span></div><div><span><span style="font-size: medium; font-weight: 400;">【含蓄】がんちく -&nbsp;表現が、ある意味を含みもつこと。</span></span></div><div><span style="font-weight: normal;"><span style="font-size: medium;"><span><span>【喪失】そうしつ -&nbsp;</span></span><span>なくすこと。失うこと。</span></span></span></div><div><span style="font-weight: normal;"><span style="font-size: medium;">【薄弱】はくじゃく&nbsp; -&nbsp;弱くて、しっかりしていないこと。</span></span></div><div><span style="font-weight: normal;"><span style="font-size: medium;">【訥々】とつとつ -</span><span style="font-size: medium;">&nbsp;</span></span><span style="font-size: medium; font-weight: 400;">話し方が流暢でなく、途切れ途切れの喋る様子</span></div><div><span style="font-weight: 400;">持続可能利益（SSP：Sustainable Superior Profit）</span></div></h3></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-51096101001797016592021-02-24T18:20:00.001+09:002021-02-24T18:20:05.164+09:00<h1><span style="color: #0b5394;">情報セキュリティに関連する法令と契約</span></h1><div>情報セキュリティに関連する法令と契約について、情報セキュリティ業務を実施するうえでの重要なポイントを学習する。</div><a name='more'></a><p><span></span></p><div><h3><span style="font-size: medium;">第１章　情報処理安全確保支援士自身に関係する法令</span></h3><div style="text-align: left;"><span><ul style="text-align: left;"><li>『情報処理の促進に関する法律』（情促法）は安全確保支援士に関係する規定を設ける。</li><ul><li>「業務」（６条）</li><li>「欠格事由」（８条）</li><li>「登録」（１５条）</li><li>「登録取消」（１９条）</li><li>「義務」（２４－２６条）</li></ul><li>秘密保持義務（２５条）に違反すると刑事罰の対象。</li><li>登録取り消し等の処分に違反し名称を使用した場合、刑事罰。</li></ul><h3><span style="font-size: medium;">第２章　業務を遂行する上で理解が必要となる法令</span></h3><div style="text-align: left;"><span><ul style="text-align: left;"><li>サイバーセキュリティ基本法</li><ul><li>目的</li><ul><li>経済社会の活力の向上及び持続的発展</li><li>国民が安全で安心して暮らせる社会の実現</li><li>国際社会の平和及び安全の確保並びに我が国の安全保障に寄与</li></ul><li>必要性</li><ul><li>サイバーセキュリティに対する脅威の深刻化、情報の事由な流通を確保しサイバーセキュリティの確保を図ることが喫緊の課題</li></ul><li>手段</li><ul><li>サイバーセキュリティに関する施策に関し基本理念を定め、国及び地方公共団体の責務等を明らかにする</li><li>施策の基本となる事項を定める</li><li>サイバーセキュリティ戦略本部の設置等</li></ul></ul><li>ウイルスに関連した刑罰は、犯罪と刑罰の一般法である「刑法」に「不正指令電磁的記録に関する積み」として規定</li><ul><li>不正指令電磁的記録・作成等（１６８条の２）</li><li>不正指令電磁的記録・取得等（１６８条の３）</li></ul><li>「不正アクセス行為の禁止等に関する法律」（不正アクセス禁止法）は「不正アクセス行為等の禁止・処罰」と「防御側の対策」の２つに分けることができる。</li><ul><li>「防御側の対策」のアクセス管理者による防御措置は努力義務</li></ul><li><a href="https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00011.html">『IoT機器調査及び利用者への注意喚起の取組「NOTICE」の実施』</a>：NICTやインターネットプロバイダと連携しサイバー攻撃に悪用されそうなデバイスを調査し利用者へ注意喚起を行う取り組み</li><li>「著作権法」音楽や動画以外にもデータベースやプログラムを著作物となる。</li><ul><li>プログラムは「創作性」がないと著作物には認められない。</li><li>DBは「情報の選択」「体系的な構成」に創作性を有さなければ著作物には認められない。</li></ul><li>「個人情報の保護に関する法律」</li><ul><li>EU「一般データ保護規制」（GDPR）</li><li>米国カリフォルニア州「カリフォルニア州消費者プライバシー法」（CCPA）</li></ul><li><a href="https://www.ppc.go.jp/files/pdf/personal_framework.pdf">『個人情報保護に関する法律・ガイドラインの体系イメージ』</a></li><li><a href="https://www.nisc.go.jp/security-site/law_handbook/index.html">『サイバーセキュリティ関係法令Q＆Aハンドブック 』</a></li><ul><li>Q＆Aで取り上げている主なトピックスについて</li><ol><li>サイバーセキュリティ基本法関連</li><li>会社法関連（内部統制システム等）</li><li>個人情報保護法関連</li><li>不正競争防止法関連</li><li>労働法関連（秘密保持・競業避止等）</li><li>情報通信ネットワーク関連 （IoT関連を含む）</li><li>契約関連（電子署名、システム開発、クラウド等）</li><li>資格等（情報処理安全確保支援士等）</li><li>その他各論（リバースエンジニアリング、暗号、情報共有等）</li><li>インシデント対応関連（デジタルフォレンジックを含む）</li><li>民事訴訟手続</li><li>刑事実体法（サイバー犯罪等）</li><li>海外法令（GDPR等）</li></ol></ul></ul><h3><span style="font-size: medium;">第３章　業務遂行のうえで理解が必要な契約</span></h3><div><span><ul style="text-align: left;"><li><a href="https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/handbook/full.pdf">『秘密情報の保護ハンドブック』</a></li><ul><li>「秘密情報管理に関する就業規則の例」、「情報管理規程の例」、「秘密保持誓約書の例」などのサンプルあり。</li></ul><li>業務委託契約は「請負契約」「準委任契約」に区別され法的責任が異なる。</li><li>請負契約のポイント</li><ul><li>（民法改正前）発注者は請負人に対し、以下を内容とする<span style="background-color: #04ff00;">「瑕疵担保責任」</span>を請求することができる。</li><ul><li>修補請求</li><li>損害賠償</li><li>契約解除</li></ul><li>（民法改正前）<u>引き渡し時・仕事の終了時から１年以内</u></li><li>（民法改正後）注文者は請負人に対し、以下を内容とする<span style="background-color: #04ff00;">「契約不適合責任」</span>を請求することができる。</li><ul><li>追完（修補）請求</li><li>報酬減額請求</li><li>損害賠償請求</li><li>契約解除</li></ul><li>（民法改正後）<u>注文者が不適合をしったときから１年以内</u></li><li>（民法改正後）仕事の完成をした後に報酬を請求することができる。</li><li>（民法改正後）仕事の結果が可分のときは、注文者が受け取る利益の割合に応じた報酬を請求する権利が発生する。</li></ul><li>準委任契約のポイント</li><ul><li>規約の目的：一定の事務処理</li><li>受任者の責任：「善管注意義務」を負う</li><li>報酬請求権</li><ul><li>受任者が報酬を請求するには特約が必要</li><li>「一定の事務処理」を行った後に報酬を請求することができる</li><li>（民法改正後新設）</li><li>成果に対して報酬を支払うことを約した場合、報酬の請求には成果の引き渡しが必要</li></ul><li>注意）システム開発の業務委託契約では、偽装請負に注意する必要がある。</li></ul><li>IPA<a href="https://www.ipa.go.jp/ikc/reports/20191224.html">『情報システム・モデル取引・契約書』</a>を公開</li><li><a href="https://www.meti.go.jp/press/2019/12/20191209001/20191209001.html">『AI・データの利用に関する契約ガイドライン 1.1版』</a></li><ul><li>データ契約の必要性</li><ul><li>データは保有するだけでは大きな価値がなく、利用方法を開発することで価値を創出</li><li>契約に際しては、データの利用権限および発生した利益を適切に配分することが重要</li><li>他方、データの流出や不正利用のリスクへの配慮も必要</li></ul><li>データ契約の種類「データ提供型」、「データ創出型」、「データ共用型」、それぞれの適切な契約の取り決め方法を提示。</li></ul><li>AI技術を利用したソフトウェアの開発</li><ul><li>従来のウォーターフォール開発からAIソフトウェア開発（探索的段階型開発）へ</li><li>試行錯誤を繰り返しながら納得できるモデルを生成する新しいアプローチ</li><li>①アセスメント②PoC③開発④追加学習をステップ・バイ・ステップで契約</li></ul></ul><div><span><br /></span></div></span></div></span></div></span></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-63321097977662734882021-02-22T21:35:00.000+09:002021-02-22T21:35:02.711+09:00<h1 style="text-align: left;"><span style="color: #0b5394;">情報処理安全情報確保支援士の倫理</span></h1><div>情報処理安全確保支援士の倫理と倫理的判断や行動の指針となる規範について学習する。</div><span><a name='more'></a></span><div><h3><span style="font-size: medium;">第１章　倫理とは</span></h3><div style="text-align: left;"><span><ul style="text-align: left;"><li>「企業倫理」消費者や社会からの信頼に答える為に遵守すべき規範</li><li>「技術者倫理」技術者が作り出したモノやサービスによって「公衆の安全、健康、福利」に貢献すること</li><li>「企業倫理」と「技術者倫理」の対立　個々の技術者が持つ「価値」と企業がもつ経済原理等の「価値」の対立</li><li>『倫理』とは、何らかの責任のある者が、その役割に応じた責務を果たす際の行動規範。</li><ul><li>判断に迷うような事態に行動規範は判断基準（Criteria）として不適切な行動を取らない。</li></ul><li>不適切な行動をとってしまう要因</li><ul><li>概念の不備</li><ul><li>概念を知らない</li><li>誤った概念の認識と行動</li><li>上司等の指示・依頼が誤っていると気づいているにも関わらず行動する</li></ul><li>判断基準の不備</li><ul><li>概念は理解しているものの、必要な知識・スキルが不足する為、適切な判断ができず、倫理の概念を適切かつ十分に適用できない。</li></ul><li>上記の複合</li></ul><li>法：国家等の権力によって矯正される<u>他律的</u>な規範</li><li>倫理：自主的に遵守するように期待される<u>自律的</u>な規範</li><li>コンプライアンス（法令遵守）＝法律の遵守（法的責任）＋倫理の遵守（倫理的責任）</li><li>社会環境の変化、組織としての役割変化、技術革新、と様々な変化の中で適切な行動をとることを要求されている。情報処理安全確保支援士は技術的な観点だけでなく、倫理観も持ち合わせて、適切な判断をしサイバーセキュリティの確保を支援していく役割をもつ。</li></ul><h3><span style="font-size: medium;">第２章　情報処理安全確保支援士の業務と倫理</span></h3><div style="text-align: left;"><span><ul style="text-align: left;"><li>安全確保支援士は「技術者倫理」と「職業倫理」の双方を理解する必要がある。</li><li>「職業倫理」特定の職業に資格を保持し従事する者の倫理</li><li>想定される業務</li><ul><li>経営課題への対応</li><li>システム等の設計・開発</li><li>運用保守</li><li>緊急対応</li></ul><li>安全確保支援士の責任</li><ul><li>「法的責任」</li><ul><li>職業上の責任が法的に定められ強制されるもの</li><ul><li>「&nbsp;情報処理促進法」の24条 信用失墜行為の禁止、25条 秘密保持義務、26条 受講義務</li></ul><li>業務上の責任として法令遵守が要請されるもの</li><ul><li>個人情報保護法、不正アクセス禁止法、不正競争防止法、著作権法、刑法等</li></ul></ul><li>「社会的責任」</li><ul><li>プロフェッショナルとして、高度な専門知識や技術を修得し、実務経験を積んでいること</li><li>専門分野の知識や技術経験を最大限に活用してサイバーセキュリティ分野での社会貢献を担うこと</li></ul></ul><li>安全確保支援士の義務</li><ol><li>注意義務：一定の注意をしなければならない義務。注意を怠ることは過失となる。</li><li>忠実義務：信用されて任された者が、職務などを忠実に行う義務であり、任せた者に対して負う。</li><li>守秘義務：業務の過程で得た情報の秘密を保持し、情報を他の目的に利用しない義務。</li><li>信用保持：自分が所属する組織や自分の職業の信用を棄損する行為を行わないこと。</li><li>協力義務：共通の目的のものに業務を行う者たちが、目的達成のために、互いに協力する義務。</li><li>規範遵守：法令や所属する組織の内部規定を遵守すること。</li><li>説明責任：信用されて任された者が、任せた者に対し、情報を開示し、経過や成果を説明する責任。</li><li>継続学習：専門職の専門的な知識・経験・能力が、常に最新であるように学習を継続すること</li><li>自己規制：業務に対し、自らの発意で節制する。他からの支配や助力を受けず、自分の行動を自分の立てた規律に従って正しく規制すること（自律）。</li><li>公衆保護：公衆の安全、健康及び福利を保護すること。</li><li>社会的責任：自己の利益優先ではなく、他の関係者の立場を思いやり関係規範を準拠し、社会の持続可能な発展に貢献すること。</li></ol></ul><h3><span style="font-size: medium;">第３章　情報処理安全確保支援士の倫理規範</span></h3><div style="text-align: left;"><span><ul style="text-align: left;"><li>社会環境の変化に伴い、様々な価値観、課題が混在するなかで、不適切な行動をとらないようにする「行動規範」としての倫理綱領が求められる。</li><li><a href="https://www.ipsj.or.jp/ipsjcode.html">『なぜ倫理綱領が必要か』</a></li><li>倫理綱領の機能</li><ol><li>社会に対する専門職の責任の表明</li><li>専門職が目指すべき理想の表明</li><li>専門職にもとめられる倫理的な行動に関する実践的なガイドライン</li><li>専門職を教育するためのツール</li><li>専門職の在り方そのものを議論・自省する機会の提供</li></ol><li><a href="https://www.ipa.go.jp/files/000073809.pdf">安全確保支援士の倫理綱領（解説付き）</a></li></ul></span></div></span></div></span></div></div><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px; text-align: left;"><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>【前文】</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>情報処理安全確保支援士は、社会的通念やモラルに従い、情報セキュリティの専門家としての矜持を保ちつつ、サイバーセキュリティの確保を通じて、公衆の生命・安全・財産を保護し、安全・安心な社会の維持に貢献する。</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>情報処理安全確保支援士は、その使命を全うするため、品位を保ち、技術の研鑽に励み、国家資格「情報処理安全確保支援士」として、この倫理綱領を遵守し、公正・誠実に行動する。</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>【基本原則】</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>１．公正と誠実</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>情報処理安全確保支援士は、業務上の判断を行うにあたり、先入観をもたず、他者から</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>の不当な影響を受けず、常に公正な立場を堅持し、公正・誠実に業務を遂行しなければ</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>ならない。</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>２．秘密保持</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>情報処理安全確保支援士は、正当な理由がなく、その業務に関して知り得た秘密を漏ら</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>し、又は盗用してはならない。</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>３．法令等の遵守</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>情報処理安全確保支援士は、法令等や専門職としての倫理を遵守しなければならない。</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>４．信用保持</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>情報処理安全確保支援士は、専門家としての自覚をもち、信用を失墜する行為をしては</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>ならない。</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>５．自己研鑽</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>情報処理安全確保支援士は、専門家としての能力を必要とされる水準に維持し、かつ</div></span></div></span></div></span></div></div><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><span><div>自らの知識・技能を高めなければならない。</div></span></div></span></div></span></div></div></blockquote><div><div style="text-align: left;"><span><div style="text-align: left;"><span><div style="text-align: left;"><ul style="text-align: left;"><li>安全確保支援士に求められる倫理的行動</li><ul><li>平常時：「知識」として理解するだけでなく「行動」として示す</li><li>インシデント発生時：迅速かつ冷静に判断し行動する</li><li>対応完了時：業務習慣として、行動を見直しカイゼンを行う</li></ul><li>どの場面においても判断基準（criteria）として、倫理綱領に照らし、事実に基づいた判断と行動をとる必要がある。</li></ul><span><h3><span style="font-size: medium;">第４章　倫理の適用</span></h3><div><span><ul style="text-align: left;"><li>倫理的判断が重要な理由</li><ul><li>技術の進歩による専門分野の細分化、高度化により技術の判断が難しくなっている。</li><li>相反する事態に遭遇することもある。（「コストの低減」と「公衆の安全確保」等）</li><li>判断結果が、社会に多大な影響を与える可能性がある。</li></ul><li>求められるバランス</li><ul><li>許容可能な安全性</li><li>法令・基準への適合</li><li>合理的な水準の技術</li><li>妥当なコスト設定</li></ul><li>倫理的問題に遭遇したときに的確な意思決定を下すためのステップ</li><ul><li>Step1：事実を観察し、問題点をつかむ</li><li>Step2：関連事実を捉える</li><li>Step3：関係者を特定する</li><li>Step4：複数の選択肢を挙げる</li><li>Step5：選択肢を査定する</li><li>Step6：選択肢案を選ぶ</li><li>Step7：最終の選択肢と効果（再発防止に向けた対策検討）</li></ul><li>簡易的な倫理問題へのアプローチのステップ</li><ul><li>Step1（Problem）問題の認識：今何が問題や争点か、また将来、何が問題になるか。</li><li>Step2（Detail）関連事実の整理：どんあ事実が関連しているか。</li><li>Step3（Check）倫理問題の特定：倫理綱領に照らしてみたらどうか。</li><li>Step4（Action）具体的行動の選択：具体的にどのような行動をとるのか。</li></ul></ul></span></div></span></div></span></div></span></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-41538940515521792352021-02-22T19:58:00.002+09:002021-02-22T19:58:18.086+09:00<h1 style="text-align: left;">&nbsp;<span style="color: #0b5394;">平常時の対応</span></h1><div>平常時に行うべき対応の全体像の把握、インシデント対応のための準備としての脆弱性情報の対応や状況把握、ユーザへの働きかけとしての普及啓発や注意喚起、訓練などを学習する。</div><div><br /></div><h2></h2><h3><span style="font-size: medium;">第1章　平常時の対応に関する全体像</span></h3><div><ul style="text-align: left;"><li><span style="font-size: medium;">インシデントマネジメント活動</span></li><ol><li><span style="font-size: large;">脆弱性対応</span></li><li><span style="font-size: large;">事象分析</span></li><li><span style="font-size: large;">普及啓発</span></li><li><span style="font-size: large;">注意喚起</span></li><li><span style="font-size: large;">その他インシデント関連業務</span></li><li><span style="font-size: large;">インシデントハンドリング（非常時）</span></li></ol><li><span style="font-size: medium;">『<a href="https://www.jpcert.or.jp/csirt_material/files/guide_ver1.0_20151126.pdf">一般社団法人 JPCERT コーディネーションセンター CSIRT ガイド</a>』</span></li></ul></div><div><span><h3 style="font-size: large;"><span style="font-size: medium;">第2章　脆弱性対応</span></h3><div style="text-align: left;"><ul style="text-align: left;"><li>脆弱性対応における活動全般</li><ul><li>『<a href="https://www.ipa.go.jp/files/000071584.pdf">IPA 脆弱性対策の効果的な進め方（ツール活用編）</a>』</li></ul><li>資産と構成の把握</li><ul><li>資産管理：IT資産の管理やライセンス管理などの実施⇒絶対数の把握</li><li>構成管理：ITサービスを構成する要素の管理を実施⇒構成数の把握</li><li>その他の管理情報：ネットワーク情報（ネットワーク図、ルーティング、ファイアウォール設定など）⇒リスクの把握</li></ul><li>情報セキュリティの基本ポリシーに従い、物理的、環境的、技術的、人的な対策を実施する（ISO/IEC 27001）</li><li>契約時に合意すべき事項</li><ul><li>『<a href="https://www.ipa.go.jp/files/000058493.pdf">IPA&nbsp;セキュリティ担当者のための脆弱性対応ガイド</a>』</li></ul><li>脆弱性対応における情報収集先</li><ul><li><a href="https://jvn.jp/">JVN(Japan Vulnerability Notes）</a></li><ul><li>JPCERT コーディネーションセンターと独立行政法人情報処理推進機構 (IPA)が共同で運営</li><li>日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供</li></ul><li><a href="https://jvn.jp/nav/jvnhelp.html">JVN脆弱性レポート</a></li><ul><li>「情報セキュリティ早期警戒パートナーシップ」に基づき報告された脆弱性情報</li><li>海外の調整基幹と連携</li></ul></ul></ul></div></span><div><span><span><h3 style="font-size: large;"><span style="font-size: medium;">第3章　事象分析</span></h3><div style="text-align: left;"><ul style="text-align: left;"><li>自組織が守るものを明確にする</li><ul><li>誰が→オーナーの明確化</li><li>何を→資産とその価値の把握</li><li>どこに→オンプレミス、クラウドなど</li></ul><li>何を守るべきか</li><ul><li>コストは有限である。どこを重点的に守るのかを明確にする。</li><li>何を守るかを検討する為に脅威も把握しておく必要がある。</li></ul><li>状況の把握</li><ul><li>資産情報の収集</li><ul><li>サーバ／ネットワーク機器</li><li>OS、ミドルウェア・ファームウェアのバージョン</li><li>外部クラウド等</li></ul><li>ネットワーク情報の収集</li><ul><li>構成と装置</li><li>セキュリティ装置</li></ul><li>システム</li><ul><li>ID</li><li>証跡ログ、設定情報監視（改ざん検知）</li></ul><li>ネットワーク</li><ul><li>ファイアウォール、IDS/IPS、WAF、プロキシ等の監視</li></ul><li>エンドポイント</li><ul><li>アンチウイルスソフトによるエンドポイント監視</li><li>近年ではEDR（Endpoint Detection and Response)との組み合わせた対策</li></ul></ul><li>定期的な状況把握</li><ul><li>脆弱性診断</li><ul><li>脆弱性やセキュリティ機能の不足を網羅的に洗い出す</li></ul><li>ペネトレーションテスト</li><ul><li>明確な意図を持った攻撃者が、その目的を達成することが可能か試みる検証</li><li>脆弱性診断士スキルマッププロジェクト「<a href="https://wiki.owasp.org/index.php/Pentester_Skillmap_Project_JP">ペネトレーションテストについて</a>」</li></ul></ul><li>分析</li><ul><li>リアルタイムアナリシス（即時分析）</li><ul><li>事象をリアルタイムに把握し、都度分析を行う</li></ul><li>ディープアナリシス（深堀分析）</li><ul><li>リアルタイム分析では判断できない内容について深く分析を行う</li></ul><li>脅威分析</li><ul><li>外部／内部からの用意を把握し自組織に対する影響を分析</li></ul></ul><li><br /></li></ul></div></span></span><div><span><span><span><h3 style="font-size: large;"><span style="font-size: medium;">第4章　普及啓発</span></h3><div><span><h3 style="font-size: large;"><span style="font-size: medium;">第5章　注意喚起</span></h3><div><ul style="text-align: left;"><li>脅威情報、脆弱性情報の提供先</li><ul><li><a href="https://www.ipa.go.jp/">独立行政法人情報処理推進機構（IPA）</a></li><li><a href="https://www.jpcert.or.jp/">一般社団法人JPCERTコーディネーションセンター</a></li><li><a href="https://www.npa.go.jp/cyber/">警察庁～サイバー犯罪対策プロジェクト～</a></li><li><a href="https://www.antiphishing.jp/">フィッシング対策協議会</a></li><li><a href="https://www.jc3.or.jp/">一般社団法人日本サイバー犯罪対策センター（JC3）</a></li></ul></ul></div><div><span><h3 style="font-size: large;"><span style="font-size: medium;">第6章　その他インシデント関連業務</span></h3><div><ul style="text-align: left;"><li>セキュリティ対応活動のアウトプット</li><ul><li>経営層に対して、状況の可視化を行ない報告する。</li><li>CISOダッシュボード</li><ul><li>日本ネットワークセキュリティ境界（JNSA）　『<a href="https://www.jnsa.org/result/2018/act_ciso/index.html">CISO ハンドブック</a>』</li></ul></ul></ul></div></span></div></span></div></span></span></span></div></div></div><div><br /></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-25093028783523846792021-02-22T19:57:00.002+09:002021-02-22T19:57:43.043+09:00<h1 style="text-align: left;">&nbsp;<span style="color: #0b5394;">インシデント対応</span></h1><div>インシデント発生検知から対応の流れまでを学習する。</div><h2></h2><h3><span style="font-size: medium;">第1章　インシデントハンドリングの前に</span></h3><div><span><div><ul style="text-align: left;"><li>PSIRT（Product Security Incident Response Team）　自社製品やサービスのセキュリティレベル向上やインシデント対応を行う組織</li><li><a href="https://www.ipa.go.jp/security/vuln/10threats2020.html">「情報セキュリティ10大脅威 2020」</a>を公開。対応しなくてはならない脅威は組織によって異なる。</li><li>脅威とは「本来行われるべきではない行為によって、組織に負の影響をもたらすこと」</li><li>脅威は外部からだけでなく、内部からも発生する。</li><li>インシデントマネジメントとは、インシデントに対してCSIRTが行う一連の業務の総称。</li><li>セキュリティインシデントとは</li><ul><li></li><li>組織のセキュリティポリシーやコンピュータ利用規定に反するもの</li><li>イベントによって検知されることがある</li><li>組織によって「セキュリティインシデントとは何か」は異なる</li></ul><li><a href="https://www.jpcert.or.jp/csirt_material/files/guide_ver1.0_20151126.pdf">CSIRT ガイド</a></li></ul><h3><span style="font-size: medium;">第2章　インシデントハンドリングの実務</span></h3><div><span><div><ul style="text-align: left;"><li>インシデントハンドリングの流れ（準備＞検知分析＞封じ込め（根絶 復旧）＞事後の対応）</li><li><a href="https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final">NIST&nbsp;コンピュータセキュリティインシデント処理ガイド</a></li><li>準備フェーズで行うこと</li><ul><li>インシデント処理に必要なツール、リソースの準備</li><ul><li>起こった事象を分析する為のツール</li><li>起こった事象を根絶、復旧させる為のツール</li><li>インシデント処理の関係者へのエスカレするための設備</li><li>発生した事象を分析する為の各種情報</li></ul><li>リスクアセスメントやリスクベースのセキュリティ対策などの予防</li><ul><li>対応計画や体制</li><li>ホストセキュリティ</li><li>ネットワークセキュリティ</li><li>マルウェア対策</li><li>ユーザの意識向上とトレーニング</li><li>構成情報管理</li><li>情報収集体制の整備、外部連携の土台作り</li></ul></ul><li>検知・分析フェーズで行うこと</li><ul><li>インシデントの前兆・兆候を検知</li><li>インシデントの分析</li><li>インシデントの文書化</li><li>インシデントハンドリングの優先順位付け</li><li>関係者への通知</li><li>[手掛かり]→[IOCの作成]→[IOCの配備]→[被疑箇所特定]→[書庫集め]→[データ分析]→[IOCの作成へ戻る]</li><li>IOC（Indicator of Compromise）侵害指標や痕跡情報（セキュリティ侵害インジケーターと呼ばれることも）。サイバー攻撃の痕跡を記録しデータベース化して技術仕様として活用する。</li><li>「アラート」や「ログ」といった客観的なデータが重要であり、「人」からの情報など主観が混じるものは排除する</li></ul><li>封じ込め・根絶・復旧フェーズで行うこと</li><ul><li>封じ込め戦略の選択</li><li>証拠の収集と処理</li><li>攻撃者の特定</li><li>根絶と復旧</li><li>封じ込めと根絶、復旧のアクションを開始するタイミングが重要な理由</li><ul><li>早すぎると被害状況把握が不十分な可能性がある。</li><li>遅すぎると攻撃者がツールや戦術を変更してくる可能性がある。</li></ul></ul><li>事後の対応フェーズ</li><ul><li>教訓の取りまとめ</li><li>集めた情報の利用</li><li>証拠の保管</li></ul></ul><h3><span style="font-size: medium;">第3章　組織内外との連携</span></h3><div><span><div><ul style="text-align: left;"><li>製品へのセキュリティインシデントのハンドリング</li><ul><li>IoTなどの普及に伴い、製品のインシデントハンドリング体制であるPSIRTの設置が進んでいる。</li></ul><li><a href="https://www.first.org/standards/frameworks/psirts/FIRST_PSIRT_Services_Framework_v1.0_jp.pdf">『PSIRT Services Framework』</a></li><li>脆弱性対</li><li>社外との連携</li><ul><li>コミュニティへの参画</li><li>信頼関係</li><li>信頼の輪</li></ul><li></li><li>PSIRTとCSIRTの違い</li><ul><li>活動の中心が自社製品のセキュリティ</li><li>連携先に「上流」と「下流」の概念が存在</li><ul><li>上流は自社製品のための部品やソフトウェアの調達先となる組織や個人。</li><li>下流は自社のアウトプットを自らの背品の一部として利用する組織や個人。</li></ul><li>他社のPSIRTだけでなく他社のCSIRTとも連携</li><li>脆弱性情報の取り扱いが重要になる</li><ul><li>幅広くリリースされた自社製品が対象であることより、脆弱性情報の受付と対応が重要となる。</li></ul></ul></ul></div></span></div></div></span></div></div></span></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-40157774647790893822021-01-25T18:13:00.002+09:002021-01-25T18:13:51.562+09:00<h2 style="text-align: left;">&nbsp;<span style="color: #0b5394;">セキュリティ体制の構築</span></h2><div>セキュリティ対策を推進する活動を継続させるには、経営者による理解とリーダーシップが不可欠な為、経営者の視点と実務者または支援者としての視点をこの章で学ぶ。</div><div><br /></div><h2></h2><h3><span style="font-size: medium;">第1章　セキュリティ体制構築の必要性</span></h3><h3><div><ul><li><span style="font-size: 18.72px; font-weight: normal;">『<a href="https://www.meti.go.jp/policy/netsecurity/downloadfiles/CSM_Guideline_v2.0.pdf">サイバーセキュリティ経営ガイドライン</a>』</span></li><ul><li><span style="font-weight: 400;"><span style="font-size: small;">「経営者が認識すべき３原則」</span></span></li><ol><li><span style="font-weight: 400;"><span style="font-size: small;">経理者のリーダーシップが重要</span></span></li><li><span style="font-weight: 400;"><span style="font-size: small;">自社以外のビジネスパートナー等にも配慮</span></span></li><li><span style="font-weight: 400;"><span style="font-size: small;">平常時からのコミュニケーション・情報共有</span></span></li></ol><li><span style="font-weight: 400;"><span style="font-size: small;">担当幹部に指示すべき「サイバーセキュリティ経営の重要1０項目」</span></span></li><ul><li><span style="font-weight: 400;"><span style="font-size: small;">指示１「サイバーセキュリティリスクの認識、組織全体での対応方針の策定」</span></span></li><li><span style="font-weight: 400;"><span style="font-size: small;">指示２「サイバーセキュリティリスク管理体制の構築」</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">指示３「サイバーセキュリティ対策のための資源確保」</span></span></li></ul></ul><li><span style="font-size: small;"><span style="font-weight: 400;">『<a href="https://www.meti.go.jp/policy/netsecurity/downloadfiles/IS_Management_Standard_H28.pdf">情報セキュリティ管理基準</a>』組織体における情報セキュリティマネジメントの円滑で効果的な確立を目指して、マネジメントサイクル構築の包括的な適用範囲を有する基準</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">『<a href="https://www.meti.go.jp/press/2019/04/20190418002/20190418002-2.pdf">サイバー・フィジカル・セキュリティ対策フレームワーク</a>』サイバー・フィジカル一体型の社会のセキュリティの新たなモデルを提示</span></span></li><ul><li><span style="font-size: small;"><span style="font-weight: 400;">第１層「企業（組織）間のつながり、第２層はフィジカル空間とサイバー空間のつながり、第３層はサイバー空間におけるつながりで整理</span></span>&nbsp; &nbsp;&nbsp;</li></ul></ul></div></h3><h3><span style="font-size: medium;">第2章　セキュリティ体制構築の具体的な手法</span></h3><div><ul><li>経営者によるサイバーセキュリティリスクの認識とリーダーシップ発揮による対策の推進</li><ul><li>経営戦略としてのセキュリティ投資不可欠かつ経営者としての責務</li><li>サイバーセキュリティ対策を実施するうえでの責任者となる担当幹部を任命</li></ul><li>情報セキュリティポリシーは経営層の意思表明</li><ul><li>文章構成は一般的に「情報セキュリティ基本方針（ポリシー）」「情報セキュリティ対策基準（スタンダード）」「情報セキュリティ実施手順（プロシージャ）」の３階層となる</li><li><a href="https://www.ipa.go.jp/security/manager/protect/pdca/policy.html">情報セキュリティマネジメントとPDCAサイクル</a></li></ul></ul></div><h3><span style="font-size: medium;">第3章　様々なセキュリティ組織の形態</span></h3><div><ul style="text-align: left;"><li>セキュリティ体制の拡張と高度化</li><ul><li>日本はシステム構築運用をアウトソースすることが多い為、分業体制を前提とし事業継続の観点から法令遵守、リスクマネジメント等に基づくセキュリティ推進活動を行う「セキュリティ統括（室）」に着目している。</li><li>セキュリティ統括室とは、期間となるIT領域、製造・運用のOT領域、IoT領域の全てのセキュリティ戦略に対応する組織を目標とする姿</li><li><a href="https://cyber-risk.or.jp/cric-csf/report/CRIC-CSF-2nd-Final-Report.pdf">産業横断サイバーセキュリティ人材育成検討会</a></li></ul><li></li><li>CSIRT活動における平常時の重要性</li><ul><li><a href="https://www.nca.gr.jp/activity/imgs/recruit-hr20170313.pdf">CSIRT人材の定義と確保(Ver.1.5)</a></li></ul><li></li><li>JPCERTコーディネーションセンターのモデル</li><ul><li><a href="https://www.jpcert.or.jp/csirt_material/files/01_necessity_of_csirt20151126.pdf">組織内CSIRTの必要性</a>…インシデント対応体制のベストプラクティスを定義</li><li></li><li>組織内CSIRTを設置することでインシデント報告を集める窓口の一本化、インシデントの一元管理と部門間調整が可能となる。</li><li>更に外部や国際的なCSIRT連携組織などの信頼関係を構築し多くの情報交換が行える。</li></ul><li><a href="https://www.nca.gr.jp/imgs/CSIRTstarterkit.pdf">CSIRT スタータキット</a></li></ul></div><h3><span style="font-size: medium;">第4章　組織形態に応じたセキュリティ計画</span></h3><div style="text-align: left;"><ul style="text-align: left;"><li><span>セキュリティ計画</span></li><ul><li><span><a href="https://www.meti.go.jp/policy/netsecurity/downloadfiles/IS_Management_Standard_H28.pdf">情報セキュリティ管理基準</a></span></li><li>計画の策定にはリスクおよび機会の決定が求められる。</li><ul><li>リスク：目的に対する不確かさの影響（期待されていることからの剥離）</li><li>機会：セキュリティ計画を運営するにあたって発生する事象。</li></ul><li>リスクおよび機会に対処する活動における確認事項</li><ul><li>具体的な対処計画を作成していること</li><li>各対処計画が、情報セキュリティマネジメントプロセスの一部として実施されるよう、考慮されていること</li><li>対処の有効性を評価する方法を作成していること</li></ul><li>情報セキュリティリスクアセスメントプロセス</li><ul><li>書きを含んだうえで確立し維持する。</li><ul><li>リスク受容基準</li><li>情報セキュリティリスクアセスメントを実施するための基準</li></ul></ul><li>情報セキュリティリスク対応で選定できる選択肢</li><ol><li>リスクを生じさせる活動を開始または継続しないと決定することによるリスクの回避</li><li>ある機会を目的としたリスクの引受またはリスクの負担</li><li>リスク源の除去</li><li>発生頻度の変更</li><li>結果の変更</li><li>他社とのリスク共有</li><li>情報に基づいた意思決定によるリスクの保有</li></ol></ul></ul></div><h3><span style="font-size: medium;">第5章　組織に求められるリソース</span></h3><div style="text-align: left;"><span><ul style="text-align: left;"><li style="font-size: medium;"><span>セキュリティ体制を構築する際には、リソース計画を策定する必要がある</span></li><li style="font-size: medium;"><span>リソース計画ではシステム的な計画と人員的な計画を同時で進める必要がある</span></li><li style="font-size: medium;"><span>資源の確保</span></li><ul style="font-size: medium;"><li><span>予算確保の観点</span></li><li><span>人材確保の観点</span></li></ul><li style="font-size: medium;">予算確保、人材確保の難しさ</li><ul style="font-size: medium;"><li>一般的にセキュリティ対応の費用対効果（ROI）は見えにくい為、経営層から理解が得られにくい</li><li>サイバーセキュリティに求められる人材を自社で確保する必要性が説明できない。</li><li>→『「対応優先度」と「費用」を繰り返し報告するプロセスが重要』</li></ul><li><a href="https://www.ipa.go.jp/files/000072309.pdf">サイバーセキュリティ経営ガイドライン</a></li><li>アウトソースとインソースの検討</li><ul><li>専門スキルの必要性が高い／低い、情報が組織の内部／外部によって４つの領域に分けられる。</li><li><a href="https://isog-j.org/output/2017/Textbook_soc-csirt_v2.1.pdf">セキュリティ対応組織（SOC/CSIRT）の教科書</a></li><li>アウトソースにする範囲</li><ul><li>「<a href="https://riss2020.emanabi.jp/ucd-lms2020/learning/course?userCourseId=5239&amp;itemId=2">産業横断 セキュリティオペレーション アウトソーシングガイド</a>」ではインソース・アウトソースを決定するモデルが示されている。</li></ul><li>外部委託する際の考慮</li><ul><li>『<a href="https://www.nisc.go.jp/active/general/pdf/risktaiou28.pdf">外部委託等における情報セキュリティ上のサプライチェーン・リスク対応のための仕様書策定手引書</a>』-3.1 外部委託の際に考慮すべき事項</li><li>『<a href="https://www.nisc.go.jp/active/general/kijun30.html">政府機関等の情報セキュリティ対策のための統一基準群（平成30年度版）</a>』</li></ul></ul></ul></span></div><h3><span style="font-size: medium;">第6章　情報セキュリティ組織の改善活動</span></h3><div style="text-align: left;"><ul style="text-align: left;"><li>セキュリティ対応には「導入」「運用」「対応」の３工程がある</li><ul><li>導入：セキュリティに関するルールやプロセスなどセキュリティチームを運営するうえで必要となる仕組みを考え導入する工程</li><li>運用：導入された仕組みがしっかりと働いていることを確認しインシデントが発生していないか常に目を光らせる平常時の工程</li><li>対応：日々の運用の中でインシデントを発見したり、第三者から指摘されたりという、いわゆる有事に対処する工程</li></ul><li>３つの工程を短期サイクルと長期サイクルで見直し実行していくことでカイゼンする。</li><li>『<a href="https://isog-j.org/output/2017/Textbook_soc-csirt_handbook_v1.0.pdf">セキュリティ対応組織（SOC, CSIRT）の教科書　ハンドブック</a>』</li><li>経営層の報告：「<a href="https://www.jnsa.org/result/2018/act_ciso/data/ciso-handbook_v011b.pdf">CISOハンドブック</a>」では、CISOダッシュボードというカタチで経営層への報告を提案</li></ul></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-26164451022609893482021-01-17T12:07:00.000+09:002021-01-17T12:07:03.248+09:00<h2 style="text-align: left;"><span style="color: #0b5394;">情報処理安全確保支援士に期待される役割と知識</span></h2><div style="text-align: left;"><h2 style="text-align: left;"><div style="text-align: left;"><span style="font-weight: normal;"><span style="font-size: medium;">情報処理確保支援士に何が期待されているか把握し、どのような知識が必要なのかを学習する。</span></span></div><div style="text-align: left;"><span style="font-size: medium;">第１章　情報処理安全確保支援士の人材像（役割と責任）</span></div><div style="text-align: left;"><ul style="text-align: left;"><li><span><span style="font-family: inherit; font-size: medium;"><span style="font-weight: normal;">サイバーセキュリティを確保し、国民が安全で安心して暮らせる社会を実現すること</span></span></span></li><li><span><span style="font-family: inherit; font-size: medium;"><span style="font-weight: normal;">『情報処理安全確保支援士　倫理綱領』役割と責任を果たすために従うべき規範</span></span></span></li></ul></div><div style="text-align: left;"><ol style="text-align: left;"><ol><li><span style="font-family: inherit; font-size: medium;"><span style="font-weight: normal;">公正と誠実</span></span></li><li><span style="font-family: inherit; font-size: medium;"><span style="font-weight: normal;">秘密保持</span></span></li><li><span style="font-family: inherit; font-size: medium;"><span style="font-weight: normal;">法令等の遵守</span></span></li><li><span style="font-family: inherit; font-size: medium;"><span style="font-weight: normal;">信用保持</span></span></li><li><span style="font-family: inherit; font-size: medium;"><span style="font-weight: normal;">自己研鑽</span></span></li></ol></ol><h3 style="text-align: left;"><span style="font-size: medium;">第２章　情報セキュリティを取り巻く環境の変遷</span></h3></div></h2></div><div style="text-align: left;"><h2 style="text-align: left;"><div style="text-align: left;"><span style="font-family: Roboto; font-size: small; font-weight: normal;">これまでは境界の内側は安全で、外部は危険があるので外からの脅威を防ぐ「境界防御」の考え方が一般的であった。しかし情報システムのクラウド化により、守るべき情報資産が外部にあるケースが増え、「境界」は曖昧なものへ。</span></div><div style="text-align: left;"><div style="font-weight: normal;"><span style="font-family: Roboto; font-size: small;">サプライチェーン上の脆弱なポイントを攻撃者は狙ってくる。</span></div><div style="font-weight: normal;"><span style="font-family: Roboto; font-size: small;">「ゼロトラスト」</span></div><div style="font-weight: normal;"><span style="font-size: medium;"><br /></span></div><h3 style="text-align: left;"><span style="font-size: medium;">第３章　情報処理安全確保支援士に期待されること</span></h3><div><span style="font-weight: 400;"><span style="font-size: small;">セキュリティにおいて、実務と経営をつなぐ（意思決定：経営層、助言指示：戦略マネジメント層、対策実施：実務者・技術者層）</span></span></div><div><div style="font-weight: 400;"><a href="https://isog-j.org/output/2017/Textbook_soc-csirt_v2.1.pdf"><span style="font-size: small;">セキュリティ対応組織（SOC/CSIRT）の教科書</span></a></div><div><span style="font-weight: 400;"><span style="font-size: small;">セキュリティ対応サイクルの各フェーズで求められる知識を提供。</span></span></div></div><div style="font-weight: normal;"><span style="font-size: medium;"><br /></span></div><h3 style="text-align: left;"><span style="font-size: medium;">第４章　セキュリティ対応 導入フェーズの知識</span></h3><div><span style="font-size: small; font-weight: normal;">「導入」では企業経営、産業構造、機能的な視点が必要</span></div><div><a href="https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide2.0.pdf" style="font-size: medium; font-weight: 400;">サイバーセキュリティ経営ガイドライン</a></div><div><span style="font-size: medium; font-weight: 400;">　経営者が認識すべき「３原則」</span></div><div><span style="font-size: medium; font-weight: 400;">　経営者がCISO等い指示すべき「重要10項目」</span></div><div><span style="font-size: small; font-weight: 400;"><a href="https://www.meti.go.jp/press/2019/04/20190418002/20190418002-3.pdf" style="font-weight: 400;">サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）の概要</a></span></div><div><span style="font-size: medium; font-weight: normal;">　産業社会を「三層構造」に整理し、セキュリティ対策の概念を整理したもの</span></div><div><span style="font-size: small; font-weight: normal;"><a href="https://www.ipa.go.jp/files/000071204.pdf" style="font-weight: normal;">重要インフラのサイバーセキュリティを改善するためのフレームワーク</a></span></div><div><span style="font-size: small;">　</span><span style="font-weight: normal;"><span style="font-size: medium;">セキュリティ対策の基本機能を５つに分類。</span></span></div></div></h2></div><p>体制や役割の参考&nbsp;</p><p></p><ul style="text-align: left;"><li><a href="https://cyber-risk.or.jp/contents/">ユーザ企業のためのセキュリティ統括室　構築・運用キット　（統括室キット）</a></li><li><a href="https://www.jpcert.or.jp/csirt_material/">CSIRTマテリアル</a></li><li><a href="https://isog-j.org/output/2017/Textbook_soc-csirt_v2.html">セキュリティ対応組織の教科書 v2.1</a></li><li><a href="https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1">CSIRTサービスフレームワーク</a></li></ul><p></p><p>適切な人材の配置、新たな人材の登用、人材の育成の３つの観点で検討。</p><p></p><ul style="text-align: left;"><li><a href="https://cyber-risk.or.jp/contents/">産業横断 人材定義リファレンス</a>：事業活動の観点から要求知識や業務区分、スキルを整理したもの</li><li><a href="https://www.jnsa.org/result/2018/skillmap/">セキュリティ知識分野（SecBoK2019）</a>：人材育成の観点から、スキルだけでなくタスクやロールを整理しまとめたもの</li><li><a href="https://www.nca.gr.jp/activity/training-hr.html">CSIRT 人材の定義と確保</a>：人材登用・育成の観点から、CSIRTにおけるスキルや人材像を整理しまとめたもの</li></ul><p></p><h3 style="text-align: left;">第5章　セキュリティ対応 実行フェーズの知識</h3><div>「実行」の場面で必要となる知識はベストプラクティスや方法論を参考にする。</div><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><div style="text-align: left;"><a href="https://www.ipa.go.jp/files/000072309.pdf">サイバーセキュリティ経営ガイドライン　実践のためのプラクティス集</a>：重要10項目を実践する際の実施手順、事例</div></blockquote><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><p style="text-align: left;">サイバー・フィジカル・セキュリティ対策フレームワーク　第Ⅱ部：リスクマネジメントの考え方、ユースケースを利用した自組織の内容に近いケースが参考になる。</p></blockquote><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><p style="text-align: left;">サイバー・フィジカル・セキュリティ対策フレームワーク　第Ⅲ部：対応要件に対して3段階に分けた具体的な対策例が列挙されており、どう対策すればよいかの指標となる。<a href="https://www.meti.go.jp/press/2019/04/20190418002/20190418002-2.pdf">添付C</a></p></blockquote><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><p style="text-align: left;">&nbsp;<a href="https://www.ipa.go.jp/security/keihatsu/sme/guideline/">中小企業の情報セキュリティ対策ガイドライン</a>：すぐに使える雛形やサンプルが付録されている。</p></blockquote><h3 style="text-align: left;">&nbsp;第6章　セキュリティ対応 見直しフェーズの知識</h3><p>&nbsp;<span style="font-family: inherit;">「見直し」の場面で必要となる知識→セキュリティレベルのさらなる向上</span></p><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px; text-align: left;"><p><span style="font-family: inherit;">情報資産管理ができているか</span></p></blockquote><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><p style="text-align: left;"></p><ul style="text-align: left;"><li><span style="font-family: inherit;">&nbsp;『情報セキュリティ管理基準』情報セキュリティマネジメントの円滑で効果的な確立を目指してマネジメントサイクル構築から管理策までの基準。ISMSにも整合されるよう配慮されている。マネジメント基準（計画、実行、点検、処置）、管理策基準（リスク対応方針に従って管理策を選択する際の選択肢）の観点により整備と運用を行う。</span></li></ul><p></p></blockquote><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px; text-align: left;"><p>受けるセキュリティサービスのチェック</p></blockquote><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><p style="text-align: left;"></p><ul style="text-align: left;"><li>『<a href="https://www.ipa.go.jp/security/it-service/service_list.html">情報セキュリティサービス基準適合サービスリスト</a>』4つのサービス分野において、技術要件・品質管理要件をクリアしているサービスをリスト化</li></ul><p></p></blockquote><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px; text-align: left;"><p>自組織の成熟度合いのチェック</p></blockquote><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><p style="text-align: left;"></p></blockquote><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><ul style="text-align: left;"><li>『セキュリティ対応組織成熟度モデル』組織の成熟度として9つの昨日別と54の役割別に5段階で評価可能。「<a href="https://isog-j.org/output/2017/Textbook_soc-csirt_v2.html">セキュリティ対応組織成熟度セルフチェックシート</a>」</li><li>『SIM3(Security Incident Management Maturity Model) 』CSIRT組織の成熟度として、Organization, Human, Tools, Processesの4カテゴリで44項目を5段階評価</li></ul></blockquote><h3 style="text-align: left;">&nbsp;第7章　セキュリティ対応 運用・対応フェーズの知識</h3><div><ul style="text-align: left;"><li>「運用」と「対応」の場面で必要となる知識</li></ul></div><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px; text-align: left;"><div>『脆弱性情報』</div><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><div style="text-align: left;">ソフトウェア製品はウェブアプリケーション等におけるセキュリティ上の問題箇所についての情報を収集し、関係者に対しプログラムの修正やソフトウェア更新、開発ソフトウェアへの対策プログラムの組み込みなど、タイミングを逸しない適切な対応を促す。</div></blockquote><div>『脅威情報』</div><blockquote style="border: none; margin: 0px 0px 0px 40px; padding: 0px;"><div style="text-align: left;">攻撃に関連する様々な情報を収集し、様々な粒度の情報ソースから、真に必要となる情報を整理し自組織においてその攻撃が発生しないか、被害が出てないか、どのように防御できるかなどを適切に見極める為に活用を促す。</div></blockquote></blockquote><div style="text-align: left;"><ul style="text-align: left;"><li>インシデント対応ライフサイクルに沿って情報の利用目的を考える</li><ul><li>「準備（予防）」→「検知および分析」→「封じ込め／根絶／復旧」→「事件後の対応」</li><li>参考『<a href="https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final">NIST Computer Security Incident Handling Guide</a>』</li><li>「Why：何を目的に」「When：どのようなタイミングで」「What：何の情報を」に着目し情報共有を行うことが大切&nbsp;</li></ul><li>情報を活用したセキュリティ対応の流れ（WhyとWhen）</li><ul><li>インシデント対応ライフサイクルに入る前に本当に対応が必要となる情報なのか判断（Why)、その情報を求められるタイミングがWhen</li><li>『<a href="https://isog-j.org/output/2019/5W1H-Cyber_Threat_Information_Sharing_v2.html">セキュリティ対応組織 (SOC,CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」 v2.0 (2019年4月)</a>』</li></ul><li>情報を活用する目的（What)</li><ul><li>適切な情報（What）を伝える場合に、目的とタイミングを把握したうえで「何を伝えるのか」明確にする</li></ul><li>情報共有のトライアングル（ジレンマ）</li><ul><li>3点のうち何を犠牲にしているか正確に伝える必要がある</li><ul><li>早くて正確なものは網羅性に問題が出る</li><li>早くて網羅的なものは正確性に問題が出る</li><li>正確で網羅的なものは早さに問題が出る</li></ul><li>『<a href="https://www.jnsa.org/seminar/nsf/2018/data/NSF2018_B1.pdf">セキュリティ対応組織力を上げるコツ</a>』</li><li><br /></li></ul><li>脆弱性情報収集</li><ul><li>『<a href="https://www.ipa.go.jp/topic/isec-technicalwatch-201902.html">脆弱性対策の効果的な進め方 ツール活用編</a>』オープンソースソフトウェアのVulsを活用した脆弱性対策の手順</li></ul><li>脅威情報を基にした対策『<a href="https://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html">The Pyramid of Pain</a>』</li><ul><li>守る側と攻撃する側に分けた分類「守る側の対策の難易度が高いが、攻撃側も手を変えにくい」「守る側が対策しやすいが、攻撃側も手を変えやすい」</li></ul><li>脅威情報を基にした対策『<a href="https://attack.mitre.org/">MITER ATT＆CK</a>』</li><ul><li>情報を「Adversary Group（攻撃の主体）」「Software（利用するソフトウェア）」「Technique（駆使するテクニック）」「Tactic（達成されるべき戦術）」の４つの観点で整理。</li><li>攻撃グループや戦術などを紐付けやすくなる</li></ul></ul></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-62467545830361594052020-11-28T16:44:00.002+09:002020-11-29T10:32:16.616+09:00<h1 style="text-align: left;">&nbsp;<b><span style="color: #0b5394;">書籍名：『仮説思考』（</span></b><b><span style="color: #0b5394;">著者：</span></b><b><span style="color: #0b5394;">内田和成）</span></b></h1>日時：2020年11月14日～11月28日<br /><br /><b>Before</b><br /><hr /><div>　会社から勧められた一冊。</div><div><br /></div><h2><font color="#0b5394">序章　仮説思考とは何か</font></h2><div><span><a name='more'></a></span></div><h3><ul style="text-align: left;"><li><span style="font-weight: normal;"><span style="font-size: small;">情報が多くとも正しい答えは導きだせない。時間オーバーになる。</span></span></li><li><span style="font-weight: normal;"><span style="font-size: small;">仕事の早い人は、早い段階で仮説を持ち、限られた情報で問題と答えを導きだす。</span></span></li><li><span style="font-weight: normal;"><span style="font-size: small;">仮説とは「まだ証明していないが、最も答えに近いと思われる答え」</span></span></li></ul></h3><h2><font color="#0b5394">１章　まず仮説ありき</font></h2><h3><div style="text-align: left;"><span><!--more--><h4 style="text-align: left;">なぜ仮説思考が必要なのか</h4><ul style="font-size: medium; font-weight: 400; text-align: left;"><li><span>仮説思考とは物事を答えから考えること。</span></li><li><span>時間がかぎられている場合、あらかじめ答えを絞り込むこと。</span></li><li><span>答えを出して、分析して証明する。</span></li></ul></span><h3 style="text-align: left;"><span><span style="font-size: small;">先見力と仮説力を支える</span></span></h3><div><ul style="text-align: left;"><li><span><span style="font-size: small; font-weight: normal;">先見性、決断力、実行力のうち、前２つは仮説思考と密接な関係がある。</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">分かり得ることは見通しとくクセをつけ、意思決定していくことが必要。</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">直感は経験の積み重ね、、判断のための情報が増えるほど、正しい決断ができるようになるかというそうではない。</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">問題の原因と解決策について、あらゆる可能性を考えるよりも最初に焦点を絞って仮説をたてることが大事。それは経験に裏打ちされた直感力、勘によるもの。</span></span></li></ul><h4 style="text-align: left;"><span style="font-size: small;">情報は集めるよりも捨てるのが大事</span></h4></div><div><ul style="text-align: left;"><li><span style="font-size: small;"><span style="font-weight: normal;">仮説思考のメリット３つ</span></span></li><ul><li><span style="font-size: small;"><span style="font-weight: 400;">情報の洪水に溺れなくなる</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">問題解決に役立つ</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">大局観をもって仕事ができる</span></span></li></ul><li><span style="font-size: small;"><span style="font-weight: 400;">仕事で大切な意思決定、必要なのは『情報』ではない。</span></span></li><ul><li><span style="font-size: small;"><span style="font-weight: 400;">闇雲に情報を集めても不確実性（エントロピー）が増す情報は役に立たない。</span></span></li></ul><li><span style="font-size: small;"><span style="font-weight: 400;">情報コレクターにならない。意思決定を遅らせるだけ。</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">意思決定に使える時間は限りがある。</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">網羅思考＝すべてを理解しないと前に進めない。成果を出すのに時間を要したり時間切れとなる。</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">実行案志向＝答えの仮説から入るアプローチ。頭のなかで仮説検証を行う。</span></span></li></ul><h4 style="text-align: left;"><span style="font-size: small;">大きな仮説が描けるようになる</span></h4></div><div><ul style="text-align: left;"><li><span style="font-size: small; font-weight: normal;">仮説に対し全体のストーリーを描いたうえで、その仮説が正しいかを検証する。</span></li><li><span style="font-size: small; font-weight: normal;">立てた仮説は人に話して精度を高める。</span></li></ul></div></div></h3><h2><font color="#0b5394">２章　仮説を使う</font></h2><h3><div><span><!--more--></span></div></h3><h4 style="text-align: left;">仮説をもって問題発見・解決に当たる</h4><div><ul style="text-align: left;"><li>「問題発見の仮説」問題自体が不明確な場合、問題を認識して、その個所を特定する。そしてその現象が起きている真因を特定すること。</li><li>「問題解決の仮説」明らかになった問題に対して、解決の可能性の高い仮説を立てる。</li><li>先に仮説を行い問題を絞り込むことで幅広いテーマでもコンパクトに扱うことができる。</li><li>仮説は問題や答えを探し出すプロセスというよりも、<span style="background-color: #fcff01;">効果的に不要な問題や役に立たない解決策を消去するプロセス</span>である。</li></ul><h4 style="text-align: left;">仮説・検証のプロセスを繰り返す</h4></div><div><ul style="text-align: left;"><li>仮説は正解ではなく、確からしい答え。</li><li>仮説は検証することで進化する。</li><li>仮説→実験→検証を繰り返しを組み込むことでスムーズに業務改善を進めることができる。</li><li>何も実行しないことは大きなリスク。</li></ul></div><h3><div style="text-align: left;"><div></div><h4 style="text-align: left;"><span style="font-size: small;"><span>仕事の全体構成を見通す</span></span></h4><div><ul style="text-align: left;"><li><span style="font-size: small;"><span style="font-weight: normal;">早い段階でストーリーの全体構成をつくってしまい、全体観をもつ。</span></span></li><li><span style="font-size: small;"><span style="font-weight: normal;">少ない情報で仮説思考を働かせて全体のストーリーと構成を考え、さらに必要な情報だけを追加でしらべる。</span></span></li><li><span style="font-size: small;"><span style="font-weight: normal;">検証を進めるうちに証拠が集まらない為、仮説が間違っていたことに早い段階で気づく。</span></span></li><li><span style="font-size: small;"><span style="font-weight: normal;">ストーリーのアウトラインを作る場合に「空パッケージ※」を使う。※中身が埋まってないパワポスライド。</span></span></li><li><span style="font-size: small;"><span style="font-weight: normal;">いきなり細部から作るのではなく、ストーリーを構造化することで全体の大まかなシナリオを作ってから、そこに詳細な内容を加える。</span></span></li><li><span style="font-size: small;"><span style="font-weight: normal;">足りないピースを想像力で補い、全体のストーリーをつくる。</span></span></li><li><span style="font-size: small;"><span style="font-weight: normal;">足りない部分を補う想像力が仮説思考力である。</span></span></li></ul><h4 style="text-align: left;"><span style="font-size: small;">人を動かすのに必要な大局観</span></h4></div><div><ul style="text-align: left;"><li><span style="font-size: small;"><span style="font-weight: 400;">空パックの効果</span></span></li><ul><li><span style="font-size: small;"><span style="font-weight: 400;">自分が何を考えているかが明白になる</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">すでにわけっていることや照明されていることがわかる</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">何が足りないか、どんな情報収集や分析が必要かわかる、伝わる</span></span></li></ul><li><span style="font-size: small;"><span style="font-weight: 400;">聞き手の立場でプレゼンを再構成する。</span></span></li><ul><li><span style="font-size: small;"><span style="font-weight: 400;">足りない部分だけを指摘するのではなく、相手が受け入れやすいように。</span></span></li></ul><li><span style="font-size: small;"><span style="font-weight: 400;">結論から入るプレゼンのメリット</span></span></li><ul><li><span style="font-size: small;"><span style="font-weight: 400;">話の行き先を相手に伝えることで、結論に至るまでのイライラを相手に感じさせない。</span></span></li><li><span style="font-size: small;"><span style="font-weight: 400;">最初の結論に相手が納得してくれれば、理由説明を簡略化できる。</span></span></li></ul><li><span style="font-size: small;"><span style="font-weight: 400;">結論から入るプレゼンのデメリット</span></span></li><ul><li><span style="font-size: small;"><span style="font-weight: 400;">結論に至るまでの順序を相手が気にする場合、結果だけだと釈然としない。</span></span></li></ul></ul></div></div></h3><h2><font color="#0b5394">３章　仮説を立てる</font></h2><h3><span><!--more--></span></h3><h4>コンサルタントが仮説を思いつく瞬間</h4><div><ul style="text-align: left;"><li>ディスカッションやインタビューで相手の発言に刺激を受けて思いつく、考えが進化する。</li></ul><h4 style="text-align: left;">分析結果から仮説を立てる</h4></div><div><ul style="text-align: left;"><li>分析結果と自分の知識・経験を組み合わせることによって仮説を立てる。</li></ul><h4 style="text-align: left;">仮説構築のためのインタビュー技術</h4></div><div><ul style="text-align: left;"><li>インタビューの目的を定める</li><ol><li>業界・業務を理解する</li><li>問題を発見・整理する</li><li>仮説を構築・検証する</li></ol><li>フィールドインタビューは現場の現状や実態を把握することは、問題を発見し、それを効果的に解決していくための土台となる。</li><li>質問を深掘りする。「シェアが伸びた」→なぜ、理由は？</li><li>インタビューメモを作る</li><ul><li>自分の頭を整理するために</li><ul><li>メモを構造化する。問題の現象が語られている部分、原因が、解決策の可能性について語られている部分。相手の業務内容。</li></ul><li>他人と情報をシェアするために</li><ul><li>メモの内容を客観と主観に明確に区別する。</li></ul><li>プレゼン資料のベースとするために</li><ul><li>定量化を心掛ける。例えば「シェアが増した」→〇パーセント伸びた。</li></ul></ul></ul><h4 style="text-align: left;">仮説を立てるための頭の使い方</h4></div><div><ul style="text-align: left;"><li>ヒラメキを意図的に生む</li><ul><li>反対側から見る</li><ol><li>顧客・消費者の視点をもつ</li><li>現場の視点で考える</li><li>競争相手の視点で考える</li></ol><li>両極端に振って考える</li><ul><li>値下げしたら、値上げしたら？</li></ul><li>ゼロベースで考える</li><ul><li>枠を外し、あえて幅広く考える。その後、非現実的な仮説やすぐに反証のでる仮説を除く。</li><li>コストを2割削減→7割下げるには？</li></ul></ul></ul><h4 style="text-align: left;">良い仮説の条件～悪い仮説とどこが違う？～</h4></div><div><ul style="text-align: left;"><li>悪い仮説、間違っていたかを良い、悪いとは言わない。</li><li>間違っていても、新たな仮説が作られたり、選択肢のひとつが消去できる。</li><li>良い仮説の条件</li><ul><li>掘り下げられている</li><ul><li>仮説を一段掘り下げる。「So What?（だから、何？、だから、どうする？）」と考えるべき。</li><li>具体的な行動に落とし込むまで、So What?を繰り返す。</li></ul><li>アクションに結びつく</li><ul><li>一段掘り下げた仮説は、具体的な解決策、戦略に結びつく</li></ul></ul></ul><h4 style="text-align: left;">仮説を構造化する</h4><ul style="text-align: left;"><li>イシューツリーによる構造化</li><li>論点をほりさげていき構造化する。</li><li>立てた仮説を検証し絞り込む。可能性のある仮説については更に踏み込む。</li></ul><h2><font color="#0b5394">４章　仮説を検証する</font></h2><h3><span><!--more--></span></h3><h4>実験による検証</h4></div><div><ul style="text-align: left;"><li>仮説を実際の現場で仮説検証する。</li><li>仮説検証によって情報を集め現実を分析しながら仮説を立て、その結果を検証し修正すべき点を修正しながら仮説の精度を高めていく。</li><li>消費者刺激型開発：ユーザとコミュニケーションを取りながら製品開発を実施。パイロット製品をユーザにぶつけ、返っていくる反応を開発に反映させながら最終的なコンセプトを絞り込んでいく。仮説検証を行いながらの商品開発方法。短いサイクルで製品開発を行う体制体力が必要。</li><li>テストマーケティング：限定された地域、チャンネルにテスト的に販売。本格展開する前にパイロット的に実施する。</li></ul><h4 style="text-align: left;">ディスカッションによる検証</h4></div><div><ul style="text-align: left;"><li>ディスカッションは仮説を構築、検証、進化させる、いずれの場合にでも有効な手段。</li><li>インタビューも単に取材するだけでなく、用意しておいた仮説をぶつける。</li><li>自分の考えの進化、勘違い、思い込みが排除できる。</li><li>顧客にぶつける場合は分析した後に。</li><li>上手なディスカッションを実施するコツ</li><ul><li>必ず仮説を立てていく</li><li>仮説を否定せずに進化を目指す</li><li>議論は負けるが勝ち</li><ul><li>「負けて実を取る」</li></ul><li>メンバーはバラエティ豊かに</li><ul><li>ディスカッションの幅を広げ、仮説検証を行う。</li></ul></ul></ul><h4 style="text-align: left;">分析による検証</h4></div><div><ul style="text-align: left;"><li>精緻な分析は必ずしも必要ではない。まず最小限の要素だけを急いで簡単に。</li><ul><li>「クイック＆ダーティー」</li></ul><li>分析を行う目的３つ</li><ul><li>問題を発見する</li><li>相手を説得する</li><li>自分を納得させる</li></ul></ul><h4 style="text-align: left;">定量分析の基本技</h4></div><div><ul style="text-align: left;"><li>比較・差異による分析</li><ul><li>数値を比較する。また時間などの経営指標に表れてこないモノも数値化し比較することで思い込みや認識誤りを分析</li><li>時系列による分析</li><li>ある時点の数値だけではなく、時系列（経過・推移）で分析</li></ul><li>分布による分析</li><ul><li>事象に対する相関関係、特異点、異常点を分析。散布図を使うことが多い。</li></ul><li>因数分解による分析</li><ul><li>問題を要素に分解し、真因にたどり着くための分析</li></ul></ul></div><div><div><h2><font color="#0b5394">5章　仮説思考力を高める</font></h2><h3><span><!--more--></span></h3><h4>よい仮説は経験に裏打ちされた直感から生まれる</h4></div><div><ul style="text-align: left;"><li>仮説を進化させるトレーニング</li><ul><li>So What?「だから何？」を常に考える。</li><ul><li>身の回りにある事象が起きた時に、それが意味することを考える。</li></ul><li>なぜを繰り返す</li><ul><li>なぜを最低５回繰り返す。日常的に行うことで仮説思考力を磨く。</li></ul></ul></ul><h4 style="text-align: left;">日常生活の中で訓練を繰り返す</h4></div><div><ul style="text-align: left;"><li>日々の出来事から将来どうなるかという仮説を立てるトレーニング。</li></ul><h4 style="text-align: left;">実際の仕事のなかで訓練する</h4></div><div><ul style="text-align: left;"><li>相手の立場で考えることが、今までと違う発想や建設的な提案につながる仮説を生む。</li></ul><h4 style="text-align: left;">失敗をおそれるなー知的タフネスを高める</h4></div><div><ul style="text-align: left;"><li>経験を積むことで良い仮説が生まれる。</li><li>創造的な仮説を立てれば立てるほど失敗はつきもの。</li><li>少ない情報から答えを出す仮説構築は初めからうまく行くわけではない。</li><li>失敗から学ぶことは多い。</li><li>失敗をおそれず仮説を構築し検証し進化させる。</li><li>「知的タフネス」：知的に打たれ強い。何度でも挑戦して、そこから学び取れる人間が成功する。</li></ul><h2><font color="#0b5394">最終章　本書のまとめ</font></h2><h3><span><!--more--></span></h3><div style="text-align: left;"><ul style="text-align: left;"><li>仕事をこなすスピードが速くなる。経営上の課題で何が本質化をみつけだしたり、整理するのが早くなる。</li><li>仕事の質が高くなる。仮説思考は意思決定の質を高める。</li><li>仮説検証を組織全体で共有化できれば、学習効果ははるかに大きい。企業の組織能力を飛躍的に高めることができる。</li><li>仮説を立て走りながら検証し、解決策を模索する組織に生まれ変わる。</li><li>他人から反論されたり批判されたりする気持ち悪さがあるかも知れないが、批判されるなら早いほうが軌道修正しやすい。</li><li>仮説と検証を繰り返し、失敗から学び先見力を身に着ける。</li><li>問題の全体像やおおきなストーリーを作るうえで役立つ。</li><li>個別の課題の前に全体像（ストーリーライン）をつかむ。</li><li>『マネージャーは足元を見つめ、リーダーは地平線を見つめる』</li></ul></div></div><div><ul></ul></div></div><h3><div style="text-align: left;"><div></div><div><span style="font-size: small;"><span style="font-weight: 400;"><br /></span></span></div><div><span style="font-size: small;"><span style="font-weight: 400;"><br /></span></span></div><div><span style="font-size: small;"><span style="font-weight: 400;"><br /></span></span></div><div><span style="font-size: small;"><span style="font-weight: 400;"><br /></span></span></div></div></h3><h3><ul></ul></h3>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-43157752956507298212020-08-11T17:04:00.008+09:002020-08-11T17:04:46.355+09:00<h1 style="text-align: left;"><span style="color: #3d85c6;">&nbsp;AfterShokz Aeropex（エアロペクス）骨伝導ヘッドホン　使用レビュー</span></h1><div><span><a name='more'></a></span><div><span style="color: #444444;">　「改正道路交通法」により、自転車（ロードバイク）を運転中にイヤホンを装着していると違反になる可能性があります。</span><span><span style="color: #444444;">厳密にイヤホンの仕様を禁止しているのではなく、</span><span style="background-color: #fcff01; color: #444444;">周囲の音が聞こえない状態は</span><span style="background-color: #fcff01; color: red; font-size: x-large;"><b>「安全運転義務違反」</b></span><span style="background-color: white; color: #444444;">にあたり違反となるケース</span><span style="color: #444444;">があります。</span></span></div><div><span style="color: #444444;">　イヤホンをしていても、外部の音は聞こえる事もあり殆どのケースでは注意されるだけだと思いますが</span><span style="color: #444444;">都道府県によってことなる差があるようです。</span></div><div><span style="color: #444444;">ちなみに私が住む京都府では厳密に禁止しているようです。</span></div><div><span style="color: #444444;"><a href="https://www.pref.kyoto.jp/fukei/kotu/koki_k_t/jitensha/documents/anzen2.pdf">https://www.pref.kyoto.jp/fukei/kotu/koki_k_t/jitensha/documents/anzen2.pdf</a></span></div></div><div><span style="color: #444444;"><br /></span></div><div>　その為、ロードバイクに乗るときは音楽を聴くことがありませんでしが、登りで心が折れそうな時に気分を盛り上げ、奮い立たせてくれる、楽しませてくれる音楽を聴きながら走りたいと思っていました。</div><div>　そして前々から気になっていた<span style="color: #3d85c6; font-size: x-large;"><b>骨伝導ヘッドフォン『AfterShokz Aeropex』</b></span>を購入！！</div><div style="text-align: center;"><span style="color: red;"><b>ジャーン！</b></span></div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgkRfMaF-53_Uzs5F9xw0kS37CgNiIjBWoBka8pR7p64FhSZkdEg5XqPZDKr8hXAilEOogv265iM_sqljheE_giA1QpMcMr4TiYxi3HVtxH6mXfQ8sT7GKpBNVHxXeQS9iyfjAfIXuK1S4/s2048/IMG_4958.JPG" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="2048" data-original-width="1536" height="640" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgkRfMaF-53_Uzs5F9xw0kS37CgNiIjBWoBka8pR7p64FhSZkdEg5XqPZDKr8hXAilEOogv265iM_sqljheE_giA1QpMcMr4TiYxi3HVtxH6mXfQ8sT7GKpBNVHxXeQS9iyfjAfIXuK1S4/s640/IMG_4958.JPG" /></a></div><div class="separator" style="clear: both; text-align: center;"><br /></div><span style="color: red;"><div style="text-align: center;"><b>斜めから</b></div></span><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgbNGAIZBaj6mYhI8uOj7JCWVIzs5roIiD2ltGxuF0TDlivE3clAej9bej-LzDgFRFZwo0vJDIPABlh-SH_Wg6PiqB27je5uvEPibS4c5ecN9X4QTS0hdBOp2Kk_6ewbiIu2KNreTLux6U/s2048/IMG_4960.JPG" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="2048" data-original-width="1536" height="640" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgbNGAIZBaj6mYhI8uOj7JCWVIzs5roIiD2ltGxuF0TDlivE3clAej9bej-LzDgFRFZwo0vJDIPABlh-SH_Wg6PiqB27je5uvEPibS4c5ecN9X4QTS0hdBOp2Kk_6ewbiIu2KNreTLux6U/s640/IMG_4960.JPG" /></a></div><div><br /></div><div style="text-align: center;"><span style="color: red;"><b>箱が２つ？なんか、Death Noteを思い出すなぁ。</b></span></div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEitVh5Ao6Y2Y8YFj3twpzoqrVPZM7AZbZ1XsLIFxbg12QQQGwP5Xbwau0JwXaTPecyHjoUhIGr8F78dYSRDM0PMWXhKkHhKnP7lhbypuqTXWLB43i0MzrHVu13NDlF8-STibWcFStJgQ5E/s2048/IMG_4961.JPG" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="1536" data-original-width="2048" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEitVh5Ao6Y2Y8YFj3twpzoqrVPZM7AZbZ1XsLIFxbg12QQQGwP5Xbwau0JwXaTPecyHjoUhIGr8F78dYSRDM0PMWXhKkHhKnP7lhbypuqTXWLB43i0MzrHVu13NDlF8-STibWcFStJgQ5E/s640/IMG_4961.JPG" width="640" /></a></div><div><br /></div><div style="text-align: center;"><span style="color: red;"><b>広げてみると、ヘッドフォンが。かっこいいぞ。</b></span></div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhot6iuFFwZ3_vj-Z2Rimn5Bp43pUm-UiPybYciHQ86y1TSzs883r4ByLAwYXBXw4Xb2hVRo-putx4fGHgMbegV7OwGf97Jgl_CboFALQhMJzVF2yaSbfGiOtXM5A4YapWyEsNeUHKRISk/s2048/IMG_4962.JPG" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="1536" data-original-width="2048" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhot6iuFFwZ3_vj-Z2Rimn5Bp43pUm-UiPybYciHQ86y1TSzs883r4ByLAwYXBXw4Xb2hVRo-putx4fGHgMbegV7OwGf97Jgl_CboFALQhMJzVF2yaSbfGiOtXM5A4YapWyEsNeUHKRISk/s640/IMG_4962.JPG" width="640" /></a></div><div><br /></div><span style="color: red;"><div style="text-align: center;"><b>中身はこれだけ。Amazonで買ったので、ポーチがついてた。</b></div></span><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgvwF60YLg6CCfVEBkmnbmPtFlXjStcOsO6xGVY-zgGqh_QQdF4VqQFNje804MeRNDSFPLyp_KeCjollXU5Wmd7wERgiDZaGri5m_V36hoVEI4HY-xuZ9W1ns8hKogHS2w-6PN9cJ7AKF4/s2048/IMG_4963.JPG" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="2048" data-original-width="1536" height="640" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgvwF60YLg6CCfVEBkmnbmPtFlXjStcOsO6xGVY-zgGqh_QQdF4VqQFNje804MeRNDSFPLyp_KeCjollXU5Wmd7wERgiDZaGri5m_V36hoVEI4HY-xuZ9W1ns8hKogHS2w-6PN9cJ7AKF4/s640/IMG_4963.JPG" /></a></div><br /><h3 style="clear: both; text-align: left;"><span style="color: #3d85c6;">感想</span></h3><div><span><!--more--></span><b style="color: #3d85c6;">音について：</b>購入前まではiPhoneについていたヘッドフォンを使用。それに比べると差がないように思える。ハイレゾで聞いている人や音に拘りがある人でなければ十分な性能。あと電車に乗ってても音漏れは問題ないと思う。大音量でなければ。</div><div><br /></div><div><b><span style="color: #3d85c6;">充電のもち：</span></b>通勤１時間強のところで１週間持ってくれた。ロードバイクで１日走るぐらいなら問題ないスタミナ。</div><div><br /></div><div><b><span style="color: #3d85c6;">使用感：</span></b>これは気になる人が多いと思うのだが、メガネとの相性。基本、Aeropexを装着した上にメガネをかけているが、あまり気にならない。どちらがといえばAeropexで振動する部分が肌に触れるので、そこに汗をかく方が気になる。ちなみに本体はIP67の防水防塵性能を誇る。</div><div><br /></div><div><span style="color: #3d85c6;"><b>総評：</b></span>買ってよかった。最近のワイヤレスヘッドホンは耳の穴にギュッっていれるタイプが多いが、あれは耳が痛くなる。外耳炎とかなりそう。その点、AfterShockの製品は骨伝導なので長時間の使用でも耳が痛くならない。</div><div>あとやっぱり、安全。使用中も周りの音が聞けるのは大きい、通勤で歩いているときも使用しているが、車の音なんかもちゃんと聞こえる。</div><div><br /></div><div><br /></div><div><br /></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-75993325590230485442020-08-05T08:26:00.001+09:002020-08-05T08:26:19.770+09:00<h1 style="text-align: left;"><b><span style="color: #0b5394;">書籍名：『エッセンシャル版　マネジメント』（著者：P.F.ドラッカー）</span></b></h1>日時：2020年7月14日～8月4日<br /><br /><b>Before</b><br /><hr /><div>　社内研修の事前課題として、<b><span style="color: #0b5394;">『エッセンシャル版　マネジメント』</span></b>を読み、パワポ１枚に気づきを書いてこいと云われたので、10年ぶりに本書を読み返すことに。10年たって自分の成長とともに新たな気付きが生まれることに期待したい。</div><div>　<br /><ul></ul><div><b>気づき／メモ</b><br /><hr /><h3><font color="#3d85c6" size="5"><span style="background-color: #f3f3f3;">Part1　マネジメントの使命</span></font></h3><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><h3 style="text-align: left;"><span style="background-color: #f3f3f3;"><b style="color: black; font-size: medium;">1．マネジメントの役割</b></span></h3><div><span style="background-color: #f3f3f3;"><b style="color: black; font-size: medium;"><h2><span style="color: #3d85c6;"><b>第1章　企業の成果</b></span></h2><hr align="left" color="#0b5394" noshade="" size="2" style="font-weight: 400;" width="400" /><div style="font-weight: 400;"></div></b></span></div><div><b>２．企業とは何か</b><br /><ul style="text-align: left;"><li>いちいち、言い回しが難しい【被用者】雇われている人</li><li>マネジメントなしに組織はない、マネジメントが成果をあげなければならない。マネジメントは成果に対する責任に由来する客観的な機能。</li><li>利益は企業にとって目的ではなく条件である。</li><li>企業は高い利益をあげて、初めて社会に貢献できる。</li><li>企業の目的：顧客を創造すること</li><li>顧客が価値を認め購入するものは、財やサービスそのものではなく、財やサービスが提供するもの、効用である。</li><li>企業は２つの基本的な機能をもつ。マーケティングとイノベーション。</li><li>マーケティングは顧客からスタートする。顧客は何を買いたいか。顧客が価値をありとし、必要とし、求めている満足がこれであると。</li><li>イノベーション</li><ul><li>新しい価値を生み出すこと</li><li>経済的な財とサービスを供給</li><li>資源に対し、より大きな富を生み出す新しい能力をもたらすこと</li></ul><li>成果に結びつくあらゆる活動を含む生産性のコンセプト</li><ul><li>知識</li><li>時間</li><li>製品の組み合わせ</li><li>プロセスの組み合わせ</li><li>自らの強み</li><li>組織構造の適切さ、および活動間のバランス</li></ul><li>利益は原因でなく結果</li><ul><li>成果の判断基準</li><li>不確定性というリスクに対する保険</li><li>よりよい労働環境を生むための原資</li><li>医療、国防、教育、オペラなど社会的なサービスと満足をもたらす原資</li></ul></ul><div><b>３．事業とは何か</b></div></div></div></div><div><ul style="text-align: left;"><li>自社をいかに定義するかー我々の事業は何かー顧客と市場の観点から見て、初めて答えられる</li><li>我々の事業は何かー顧客によって事業は定義される。顧客の関心事は、彼らにとっての価値、欲求、現実。顧客の価値、欲求、期待、現実、状況、行動からスタートしなければいけない。</li><li>顧客は誰かー少なくとも2種類の顧客をもつ。</li><li>顧客はどこにいるか、何を買うかー車でなく、ステータス</li><li>いつ問うべきかー事業は変化している、常に問うべきである。</li><li>我々の事業は何になるかー事業は陳腐化する。環境の変化を受け入れ、いかに組み込むかを考えなければならない。変化に対応し、事業を修正・延長・発展させる。</li><ul><li>人口の変化</li><li>経済構造、流行と意識、競争状態の変化によってもたらされる市場構造の変化</li><li>消費者が満たされていない欲求は何か</li></ul><li>我々の事業は何であるべきかー新しい機会を開拓し創造する問い。</li><li>何を捨てるかー新しい事業の為に不可欠な行為。廃棄をもってリソースを新しい事業に向ける</li></ul><h3 style="text-align: left;">４．事業の目標</h3></div><div><ul style="text-align: left;"><li>マーケティング基本的な意思決定</li><ol><li>集中の目標　</li><li>市場地位の目標：市場シェアだけでなく市場そのものを大きくする最適な地位を目指すべき（独占市場より競争市場により、市場は成長する）</li></ol><li>衰退の最初の徴候は、有能でやる気のある人間に訴えるものを失うことである。</li><li>物的資源、人材、資金の経営資源について生産性の目標を設定しなければならない。</li><li>目標設定に必要なバランス</li><ol><li>利益とのバランス</li><li>近い将来と遠い将来との間のバランス</li><li>他の目標とのバランス</li></ol><li>あらゆることを少しずつ手掛けることは最悪である。如何なる成果もあげれない。間違った優先順位であってもないよりはまし。</li></ul><h3 style="text-align: left;">５．戦略計画</h3></div><div><ul style="text-align: left;"><li>戦略は長期計画ではない。</li><li>戦略は予測でない。予測できないから戦略が必要なのである。</li><li>予測を変えるイノベーションを起こす為の戦略</li><li>意思決定は現在においてしか行えない。不確実な明日のために今日何をなすべきか。</li><li>戦略はより大きなリスクを負担できるようにし、より大きな成果を得ること。リスクを減らすことではないし、無駄である。</li><li>戦略計画とは</li><ol><li>リスクを伴う企業的な意思決定を行い</li><li>その実行に必要な活動を体系的に組織し</li><li>それらの活動の成果を期待したものと比較測定するという連続したプロセス</li></ol></ul><h2 style="text-align: left;"><span style="background-color: #f3f3f3; color: #3d85c6;"><b>第2章　公的機関の成果</b></span></h2><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><b>６．多元社会の到来</b></div></div><div><ul style="text-align: left;"><li><b>サービス機関が成果をあげる必要性が書いてあったが？？？</b></li></ul><b>７．公的機関不振の原因</b></div><div><ul style="text-align: left;"><li>公的機関不振の原因</li><ol><li>競争相手もいない中で、成果をあげられないこと</li><li>マネジメントを企業から抜擢しろってこと？</li><li>目的と成果が具体的でない</li></ol><li>企業は顧客の満足によって代価を受け取るが、公的機関やサービス部門は公租公課</li></ul><h4 style="text-align: left;">８．公的機関の成功条件</h4></div><div><ul style="text-align: left;"><li>成功の尺度を定め、自らの成果についてフィードバックを行う。（企業でも難しくないか。）</li></ul><h2><span style="background-color: #f3f3f3; color: #3d85c6;"><b>第3章　仕事と人間</b></span></h2><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><b>９．新しい現実</b></div><div><ul style="text-align: left;"><li>知識労働は少人数から複雑な大組織へ、新しい働き方</li><li>知識労働者の地位、仕事、貢献は明らかでない</li><li>ほとんどは生産性を測定することはもちろん、定義することさえできない。</li><li>３つの挑戦に直面</li><ol><li>被用者社会の到来</li><li>肉体労働者の心理的、社会的地位の変化</li><li>脱工業化社会における経済的、社会的センターとしての知識労働と知識労働者の台頭</li></ol></ul></div><div><b>10．仕事と労働</b></div></div><div><ul style="text-align: left;"><li>仕事の生産性をあげるうえで必要とされているものと、人が生き生きと働くうえで必要とされているものは違う。</li><li>仕事の論理と労働の力学の双方に従ってマネジメントしなければならない。</li><li>人が生き生きと働けなければ失敗である。</li><li>生き生きと働けても生産的でなければ失敗である。</li><li>仕事は均一に設計しなければならないが、労働は多様性を持たせなければならい。</li></ul></div><div><div><b>11．仕事の生産性</b></div><div><ul style="text-align: left;"><li>仕事を生産的するには</li><ol><li>分析である。作業と手順と道具を知る。</li><li>総合である。仕事を集めプロセスとして編成する。</li><li>管理である。プロセスに方向づけ、質と量、基準と例外について管理手段を組み込む</li><li>道具である。</li></ol><li>成果（アウトプット）中心に考える。技能や知識などインプットから始めてはならない。それらは道具にすぎない。</li></ul></div></div><div><div><b>12．人と労働のマネジメント</b></div><div><ul><li>X理論ー人は怠惰で仕事を嫌う。強制しなければならず、自ら責任を負うことができない存在。</li><li>Y理論ー人は欲求を持ち、仕事を通じて自己実現と責任を欲する存在。</li><li>仕事における人間関係は尊敬を基礎におかなければならない。</li><li>職務を編成する責任を実際に仕事をする人たちに負わせた。技能と論理を説明し、彼ら自身で職務を編成することを求めた。</li><li>科学者・技術者に任せるのではなく、働く者たち自身が設計し、あるいは改良した。</li><li>「権限」の組織化に焦点を合わせる。</li><li>働くことのマネジメントの基礎として「責任」の組織化を行う。</li></ul></div></div><div><div><b>13．責任と保障</b></div><div><ul style="text-align: left;"><li>焦点は仕事に合わせ、やりがいのある仕事にする。</li><li>３つの条件</li><ol><li>生産的な仕事</li><li>フィードバック情報</li><li>継続学習</li></ol><li>仕事を分析せず、プロセスを統合せず、管理手段と基準を検討せず、道具や情報を設計せずに仕事に責任を持たせようとしても無駄。</li><li>成果についてのフィードバック情報を与え、自己管理が可能でなければいけない。</li><li>知識労働はが成果をあげるには継続学習により専門化しなければならない。</li><li>必要なのは収入の保証だけではない、積極的かつ体系的に仕事を与える仕組み、すなわち働く者を社会の生産的な一員にする仕組みである。</li></ul></div></div><div><div><b>14．人は最大の資産である</b></div><div><ul><li>権限を与えることで、マネジメントは本来の仕事ができるようになる。</li><li>組織の目的は、人の強みを生産に結びつけ、人の弱みを中和することにある。</li><li>人を生かす（人は最大の資産）。退屈な仕事や人を面白く楽しいものにはしないが、楽しいはずの仕事や人を退屈なものにするのを防ぐ。</li></ul></div></div><div><h2><span style="background-color: #f3f3f3; color: #3d85c6;"><b>第4章　社会的責任</b></span></h2><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><b>15．マネジメントと社会</b></div><div><ul><li>リーダー的な階層が、今日、生活　の質についての責任を期待されていることは当然に過ぎない。</li><li>政府に対する幻滅と企業こそが社旗の価値と心情を形成し個人の自由を実現しよき社会をつくれという期待。</li></ul><div><b>16．社会的影響と社会の問題</b></div><div><ul style="text-align: left;"><li>社会的責任</li><ul><li>自らの活動が社会に対して与える影響から生じる</li><ul><li>組織が社会に対して行ったことに係る責任</li></ul><li>自らの活動とは関わりなく社会自体の問題として生じる</li><ul><li>組織が社会のために行えることに係る責任</li></ul></ul><li>組織は社会に貢献するために存在する。そして社会のなかで活動する。</li><li>「企業の機能であり、企業以外の組織の機能である」って？？？社会的イノベーションってこと？</li></ul><div><b>17．社会的責任の限界</b></div><div><ul><li>マネジメントは組織の召使い。組織を機能させ、その目的とする貢献を果たす。</li><li>一般的に企業は定量化できない分野における能力が欠如している。</li><li>責任と権限のコンセプト。権限を持つ者は責任を負う、逆に責任を負う者は権限を要求する。</li><li>社会的責任を要求されたときには、責任に伴う権限が政党であるかどうかを徹底的に考えなければならない。</li><li>企業／組織は社会の問題に関心を払い、機会に転換する、もしくはどう取り組むべきか検討しなければならい。</li><li>先進社会では社会的な課題を自立したマネジメントを持つ組織によって果たされる。</li><ul></ul></ul></div></div><div><ul></ul></div></div></div><div><div><b>19．プロフェッショナルの倫理ー知りながら害をなすな</b></div><div><ul><li>単純な日常の正直さ。ごまかしたり、盗んだり、嘘をついたり、贈賄したり、収賄してはいけないなどの当たり前のこと。</li><li>人間としての美意識。人（資質）としての清潔さ。</li><li>自らの時間を地域社会の活動に使う倫理的な責任。一市民として、仕事の外にあるもの、マネジメントに関わる責任の外にあること。</li><li>リーダー的地位にいるということは、本質的にはプロフェッショナルであるということ。身分、地位、卓越性、権限が与えられており、同時に義務も与えられている。</li></ul></div></div><div><h2><span style="background-color: #f3f3f3; color: #3d85c6;"><b>Part2　マネジメントの方法</b></span></h2><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><b>20．マネジメントの必要性</b></div></div><div><div><h2><font color="#3d85c6"><span style="background-color: #f3f3f3;">第5章　マネジャー</span></font></h2><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><b>21．マネジャーとは何か</b></div></div><div><ul></ul></div></div><div><ul style="text-align: left;"><li>組織の成果に責任を持つ者</li><li>命令する権限ではなく、貢献する責任</li><li>マネジャーは専門家のボスではない、逆に専門化はマネジャーの上司となりうる。</li></ul><div><b>22．マネジャーの仕事</b></div><ul style="text-align: left;"><li>マネジャー２つの役割</li><ol><li>投入した資源の総和よりも大きなものを生み出す生産体を想像すること。自らの資源、特に人的資源の強みを発揮させるとともに弱みを消す。事業のマネジメント、人と仕事のマネジメント、社会的責任の遂行という３つの役割を果たす。</li><li>あらゆる決定と行動において、直ちに必要とされているものと多い将来に必要とされているものを調和させる。</li></ol><li>マネジャーに共通する仕事</li><ol><li>目標を設定する</li><li>組織する</li><li>動機づけとコミュニケーションを図る</li><li>評価測定する</li><li>人材を開発する</li></ol><li><font color="#2b00fe">マネジャーに必要な資質は才能ではなく、真摯さである。</font></li><li>部下が何人いるかは問題ではなく、重要なのは関係の数である。</li></ul><div style="text-align: left;"><b>23．マネジメントの開発</b></div></div><div style="text-align: left;"><ul style="text-align: left;"><li>マネジメント開発にあてはまらないもの</li><ul><li>セミナーは道具の１つである</li><li>人事計画やエリート探しではない。</li><li>人の性格を変え、改造するものではない。成果をあげさせるためのもの。強みを存分に発揮させるためのもの、人の考えではなく、自分のやり方によって存分に活動できるようにするためのもの。</li></ul></ul><div><b>24．自己管理による目標管理</b></div><div><ul style="text-align: left;"><li>各マネジャーの立場で目標を設定する。</li><li>目標は組織全体の目標から引き出したものでなければならない。</li><li>目標は短期的視点とともに長期的視点から規定しなければならない。</li><li>目標は組織への貢献によって規定しなければならない。</li><li>目標と方針は異なるのだろうか？？？</li><li>目標管理の利点は自らの仕事ぶりをマネジメントできる。</li><li>目標に対する成果を評価するために情報が必要。</li><li>情報は自己管理のための道具であって、上司が部下を管理するための道具ではない。</li><li>人間は責任、貢献、成果を欲する存在である前提で自己管理による目標管理が成り立つ。</li><li>自己管理による目標管理こそマネジメントの哲学たるべきもの。</li></ul><div><b>25．ミドルマネジメント</b></div><div><ul><li>伝統的なミドルマネジメント：命令する人。下に向かって「権限」を持つ。</li><li>新種のミドルマネジメント：上や横に向かって、自分が命令できない人間に対して「責任」を持つ専門家。組織の方向と能力に直接影響を与える。</li><li>ミドルマネジメントは知識専門家へ。知識を仕事に適用し、かつ知識を基礎として組織全体の能力、成果、方向に影響を与える意思決定を行う者。</li></ul><div><b>26．組織の精神</b></div><div><ul style="text-align: left;"><li>天才はまれであるから頼ることはできない。</li><li>凡人から強みを引き出し、他の者の助けにする。</li><li>人の弱みを無意味にすること。</li><li>成果中心の精神であること。</li><ol><li>組織の焦点は、成果に合わさなければならない。</li><li>組織の焦点は、問題でなく機会に合わせなければならない。</li><li>配置、昇給、昇進、降級、解雇など人事に関わる意思決定は、組織の信条と価値観に沿って行わなければならない。</li><li>人事に関わる決定は、真摯さこそ唯一絶対の条件であり、すでに身につけていなければならない資質であること。</li></ol><li>人は優れているほど多くの間違いをおかす。優れているほど新しいことを試みる。</li><li>真摯さの欠如</li><ol><li>強みよりも弱みに目を向ける者をマネジャーに任命してはならない。</li><li>何が正しいかよりも、誰が正しいかに関心を持つ者をマネジャーに任命してはならない。</li><li>真摯さよりも、頭の良さを重視する者をマネジャーに任命してはならない。</li><li>部下に脅威を感じるものを昇進させてはならない。</li><li>自らの仕事に高い基準を設定しない者もマネジャーに任命してはならない。</li></ol></ul><div><div><h2><font color="#3d85c6"><span style="background-color: #f3f3f3;">第6章　マネジメントの技能</span></font></h2><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><b>27．意思決定</b></div></div><div><ul></ul></div></div><div><ul style="text-align: left;"><li>意思決定で重要なことは、問題に対する答えを重視するのではなく、問題を明らかにすること。</li><li>問題の認識違いが、答えの違いをもたらす。</li><li>意見の対立は、</li><ul><li>不完全であったり、間違っている意見をあぶり出す。</li><li>代替案を手にできる。</li><li>自身、他人の想像力を引き出す。</li></ul><li>明らかに間違った結論に達している者がいても、自分とは異なる問題に関心を持っているからに違いないと考え、意見の相違を重視する。</li><li>何もしなくても、上手くいくのであれば手を付けない。</li><li>多少頭痛の種ではあるが、たいした問題ではないときも手を付けない。</li><li>行動の指針</li><ul><li>行動によって得られるものが、コストやリスクより大きいときは行動する。</li><li>行動するかしないかいずれにする。二股をかけたり妥協したりしてはならない。</li></ul><li>意思決定を実行するうえで、関係者に責任を持たせて議論に参加させる。</li><li>決定を実行に移すには</li><ul><li>決定をしらなければならないのは誰か。</li><li>取るべき行動は何か。</li><li>それはなぜか</li><li>行動をとるべき者が行動できるためには、その行動はいかなるものでなければならないか。</li></ul><li>フィードバックの仕組み</li><ul><li>意思決定の前提となった予測をはっきりさせておく。書面をもって明らかにする。</li><li>決定の結果について体系的にフィードバックする。</li><li>フィードバックの仕組みを決定を実行する前に作り上げる。</li></ul></ul><h4 style="text-align: left;">28．コミュニケーション</h4></div></div></div></div><div><ul style="text-align: left;"><li>コミュニケーション４つの基本</li><ol><li>知覚であり</li><li>期待であり</li><li>要求であり</li><li>情報ではない　⇒コミュニケーションと情報は相反するが、依存関係にある。</li></ol><li>知覚である</li><ul><li>受け手がいて初めて成り立つ。その為、受け手の経験に基づいた言葉で理解できるよう話さなければならない。</li></ul><li>期待である</li><ul><li>人は期待しているものを聞き、期待していないものは反発／受け付けられさえしない。</li><li>期待されているモノを知ることなく、コミュニケーションは行えない。</li><li>期待するものを知って、初めてその期待を利用することができる。</li></ul><li>要求である。</li><ul><li>コミュニケーションは受け手に何かを要求する。</li><li>受け手の価値観、欲求、目的に合致するときに強力となる。</li><li>合致しないとき、全く受付られないか抵抗される。</li><li>コミュニケーションは知覚の対象であり、情報は論理の対象。</li></ul><li>目標管理こそがコミュニケーションの前提。最大の目的は上司と部下の知覚の仕方の違いを明らかにすること。</li><li>コミュニケーションには経験の共有が不可欠。</li></ul><h4 style="text-align: left;">29．管理</h4></div><div><ul style="text-align: left;"><li>管理手法の特性</li><ol><li>管理手法は純客観的でも純中立的でもありえない。</li><ul><li>測定という行為は主観的な行為であり、何がしかの隔たりを持つ。それは測定の対象だけでなく測定者も変える。</li></ul><li>管理手段は成果に焦点を合わせなければならない。</li><ul><li>活動の成果は組織の外に表れる。内部にあるものはコストセンターにすぎない。</li></ul><li>管理手段は測定可能な事象のみならず、測定不能な事象に対しても適用しなければならない。</li><ul><li><font color="#ff00fe">優秀な人材を惹きつけ引き留めることは、前年度の利益よりも重要</font>である。</li><li>測定できるものは、すでに発生した事実、過去のもの。</li><li>外部に発生する重要な事象に目を向ける。</li><li>よく管理されていると見えれば、それだけ管理していない危険がある。</li></ul></ol><li>管理手段の要件</li><ol><li>管理手段は効率的でなければならない。</li><li>管理手段は意味あるものでなければならない。</li><li>管理手段は測定の対象に適していなければならない。</li><ul><li>全体のごく一部に偏りがあれば、全体で管理するのは誤り。</li></ul><li>管理手段の精度は、想定の対象に適してなければならない。</li><ul><li>正確な測定が困難であり、幅をもってしか評価できないという情報こそ重要である。</li><li>一見根拠があるかのごとき細かな数字は正確であるかのよな錯覚を引き起こす。</li></ul><li>管理手段は時間間隔が測定の対象に適していなければならない。</li><ul><li>リアルタイムに管理するケースと向かないケースが存在する。</li></ul><li>管理手段は単純でなければならない。</li><li>管理手段は行動に焦点を合わせなければならない。</li><ul><li>管理の目的は情報収集でなく、行動である。</li></ul></ol><li>組織はメンバの欲求やニーズを満たさなければならない。定量化は不可能であるが、組織の本当の管理、人間の姿勢と行動の誘因となるべきものがある。</li></ul><h4 style="text-align: left;">30．経営科学</h4></div><div><h2><span style="background-color: #f3f3f3; color: #3d85c6;"><b>第5章　マネジメントの組織</b></span></h2><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><h4 style="text-align: left;"><b>31．新しいニーズ</b></h4></div><div><ul style="text-align: left;"><li>「われわれの事業は何か、何になるか、何であるべきか」の問いのへの答え＝戦略に従い、組織構造を決める。戦略が組織の基本活動を決める。</li><li>組織構造は課題中心に設計を行い、人間中心に設計しない。実際のしごとの割り当ては人と状況に合わせて行う。</li><li>成果をあげられる組織構造が正しい答え。</li></ul><h4 style="text-align: left;">32．組織の基本単位</h4></div><div><ul style="text-align: left;"><li>4つの問題</li><ol><li>何を組織の単位とするか。</li><li>何を一緒にするか、何を分離するか。</li><li>いかなる大きさと形にするか。</li><li>いかなる位置づけを行い、いかなる関係を持たせるか。</li></ol><li>組織の重荷を担う部分の基本活動を明らかにする（活動分析）。</li><ol><li>組織の目的を達成するには、いかなる分野において卓越性が必要か。</li><li>いかなる分野において成果があがらないとき、致命的な損害を被るか、いかなる分野に最大の弱点を見るか。</li><li>本当に重要な価値は何か。</li></ol><li>貢献分析による組織構造。</li><ol><li>成果活動がある。</li><li>支援活動がある。</li><li>家事活動がある。</li><li>トップ活動がある。</li></ol><li>意思決定は可能な限り低いレベル、行動に近い所で行い、活動全体を見通せるだけの高いレベルで行う必要がある。</li><li>理想的な組織とは会議なしに動く組織である。</li></ul><h4 style="text-align: left;">33．組織の条件</h4><div><ul style="text-align: left;"><li>組織の条件</li><ol><li>明快さ</li><li>経済性</li><li>方向付けの容易さ</li><li>理解の容易さ</li><li>意思決定の容易さ</li><li>安定性と適応性</li><li>永続性と新陳代謝</li></ol></ul><h4 style="text-align: left;">34．５つの組織構造</h4></div><div><ul style="text-align: left;"><li>職能別組織は成果よりも技能に重点を置くため、マネジメントに適さない人間を作る。</li><li>チーム型組織は、職能別組織を有効に動かすうえで必要となる補完的な組織構造である。</li><li>専門知識は他の人の知識と結合するとき、初めて生産的になる</li><li>高度の知識が成果に結びつくのはチーム型組織において。</li><li>チーム型組織は自己規律を必要とする難しい組織。</li><li>連邦分権組織のみがトップマネジメントの責任を担う者を育成しテストできる。</li><li>「連邦分権組織」：事業部制のこと</li></ul><h4 style="text-align: left;">35．組織構造についての結論</h4></div><div><ul style="text-align: left;"><li>重要なことは、組織の目的を常に念頭に置くこと。</li><li>組織構造は目的達成のための手段。</li></ul><h2><span style="background-color: #f3f3f3; color: #3d85c6;"><b>Part3　マネジメントの戦略</b></span></h2><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><b>36．ドイツ銀行物語</b></div></div><div><ul style="text-align: left;"><li>トップマネジメントには、指向、刺激、疑問、知識、情報を提供すべき機関を必要とする。</li></ul><h2><span style="background-color: #f3f3f3; color: #3d85c6;"><b>第8章　トップマネジメント</b></span></h2><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><h4><b>37．トップマネジメントの役割</b></h4></div><div><ul style="text-align: left;"><li>トップマネジメントの役割</li><ol><li>事業の目的を考えること</li><li>基準を設定すること、組織全体の規範を定めること</li><li>組織を作り上げ、維持すること</li><li>渉外の役割</li><li>儀礼的な役割</li><li>重大な危機に関しては、自ら出動するとう役割</li></ol><li>４種類の性格が必要だが、全てを合わせもつ人はいない。</li><ul><li>考える人</li><li>行動する人</li><li>人間的な人</li><li>表に立つ人</li></ul></ul><h4 style="text-align: left;">38．トップマネジメントの構造</h4></div><div><ul style="text-align: left;"><li>トップマネジメントは一人ではなく、チームである。一人では不可能。</li><li>事業部グループとトップマネジメントは兼任できない？？</li><li>チームでもキャプテン・ボスは必要。</li></ul><h4 style="text-align: left;">39．取締役会</h4></div><div style="text-align: left;"><div><h2><span style="background-color: #f3f3f3; color: #3d85c6;"><b>第9章　マネジメントの戦略</b></span></h2><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><h4><b>40．規模のマネジメント</b></h4></div><div><ul><li>小企業の多くが成功しないのは、戦略を持たず、機会中心ではなく、問題中心であるから。</li><li>トップマネジメントの人間が自社の中心的な人間を個人的に知ることのできない企業は規模に関するかぎり最終段階に達したといえる。</li><li>不適切な規模がある。それは業界によって最適な規模がことなる。</li></ul><h4 style="text-align: left;">41．多角化のマネジメント</h4></div><div><ul style="text-align: left;"><li>多角化は万能薬ではない。</li><li>組織には、もはやマネジメントできなくなる複雑さの限界がある。</li></ul><h4 style="text-align: left;">42．グローバル化のマネジメント</h4></div><div><h4 style="text-align: left;">43．成長のマネジメント</h4></div><div><ul style="text-align: left;"><li>成長をマネジメントする</li><li>成長の目標は量的ではなく、経済的な目標でなくてはならない。</li><li>成長の最高点ではなく、最適点こそ成長の上限とする。</li><li>成長のための準備</li><ol><li>基本活動を明らかにし、それらの活動に取り組むべきトップマネジメント・チームを編成する。</li><li>変化すべきときを知るために、方針と行動の変化を要求する兆候に注意する。</li><li>心底変化を望んでいるかを正直に判断する。</li></ol></ul><h4 style="text-align: left;">44．イノベーション</h4></div><div><ul style="text-align: left;"><li>イノベーションは、科学や技術そのものではない。経済や社会にもたらす変化である。人間行動にもたらす変化である。</li><li>イノベーションが生み出すものは、単なる知識ではなく、新たな価値、富、行動である。</li><li>イノベーションを行う組織の特徴</li><ol><li>イノベーションの意味を知っている。</li><li>イノベーションの力学を理解している。</li><li>イノベーションの戦略を持っている。</li><li>管理的な目標や基準とは別に、イノベーションのための目標と基準の必要を知っている。</li><li>マネジメント、特にトップマネジメントの果たす役割と姿勢が違う。</li><li>イノベーションのための活動を管理的な活動のための組織から独立して組織している。</li></ol><li>すでに発生していながら、その経済的な衝撃がまだ表れていない変化がイノベーションの機会となる。</li><li>優れたアイデアは、非現実的である。</li><li>優れたアイデアを手にするためには、多くのバカげたアイデアが必要。</li><li>イノベーションを行うには組織全体に継続学習の風土が不可欠。</li><li>イノベーションの仕事は独立した組織に任せないといけない。</li><li>既存事業は行こうとする場所へと仕事を組織する。</li><li>イノベーションは行こうとする場所へ今しなければならないことへと仕事を組織する。</li></ul><h4 style="text-align: left;">45．マネジメントの正統性</h4></div><div><ul style="text-align: left;"><li>マネジメントの役割</li><ol><li>組織本来の使命を果たすべくマネジメントすること</li><li>生産的な仕事を通じて人に成果をあげさせること</li><li>社会と個人に生活の質を提供すること</li></ol></ul><h4 style="text-align: left;">結論</h4><ul style="text-align: left;"><li>正統性の根拠、人の強みを生産的にすること</li><li>個人の強みは社会のためになる。</li></ul><h4 style="text-align: left;">付章．マネジメントのパラダイムシフトが変わった</h4></div><div><ul style="text-align: left;"><li>組織の守るべき原則</li><ol><li>組織は透明でなければならない。</li><li>組織には最終的な意思決定者がいなければならない。</li><li>権限には責任が伴わなければならない。</li><li>誰にとっても上司は一人でなければならない。</li><li>階層の数は少なくしなければならない。</li></ol><li>必要なのは唯一絶対の組織構造の探求ではなく、それぞれの仕事にあった組織構造の探求であり、発展であり、評価である。</li><li>誰よりも詳しいことこそ、知識労働者の知識労働者たるゆえんである。</li><li>人について行うべきは、マネジメントすることではなく、リードすることである。一人ひとりの人間の強いと知識を生かすこと。</li><li>マネジメントが責任を負うものは、成果と仕事に関わるすべて。</li></ul></div></div><h4></h4></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-57949192481606642052020-07-26T16:22:00.000+09:002020-07-26T16:22:06.295+09:00<div><h3><font color="#3d85c6" size="5"><span style="background-color: #f3f3f3;">迷惑メールの見分け方</span></font></h3><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><p style="text-align: left;">最近、凝った迷惑メールが多いので、見分け方を解説。</p><p style="text-align: left;">このようなメールが送られてきました。。。</p></div><div><b><font color="#3d85c6">件名：</font></b><a class=" subject" style="background-color: #eeeeee; color: #333333; font-family: &quot;MS UI Gothic&quot;, Osaka, Arial, sans-serif; font-size: 14px; margin-left: 5px; outline: 0px;">システム更新の問題により、AppleIDがロックされています。【警告】</a></div><div><br /></div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj22qnllgOs42eoTtmHq3OXUG_7sgfJnfBupfn00ZrwxiuvgX6Zy1QLnr7r1BCM1bABmz1dRGTxqMRKuCJVEx2dfPM4vPv8EodJDX3UTHMvmz9bNjt6oU85BQNZLHvb8cSIYwVLIxv89y8/s1238/%25E8%25BF%25B7%25E6%2583%2591%25E3%2583%25A1%25E3%2583%25BC%25E3%2583%25AB.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="473" data-original-width="1238" height="191" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj22qnllgOs42eoTtmHq3OXUG_7sgfJnfBupfn00ZrwxiuvgX6Zy1QLnr7r1BCM1bABmz1dRGTxqMRKuCJVEx2dfPM4vPv8EodJDX3UTHMvmz9bNjt6oU85BQNZLHvb8cSIYwVLIxv89y8/w500-h191/%25E8%25BF%25B7%25E6%2583%2591%25E3%2583%25A1%25E3%2583%25BC%25E3%2583%25AB.png" width="500" /></a></div><div><br /></div><div><br /></div><div>このようなメールが送られてきたら、メールヘッダを見てみましょう。</div><div>詳細情報の表示等でみれると思います。</div><div><br /></div><div><b><font color="#3d85c6">例）迷惑メールのヘッダ抜粋</font></b></div><div><span><a name='more'></a></span>Received-SPF: error (mail-pj1-f97.google.com: error in processing during lookup of postmaster@johnssquad.org: DNS timeout)</div><div>Return-Path: &lt;postmaster@johnssquad.org&gt;</div><div>To: xxxxxx@gmail.com</div><div>From: Apple Payment &lt;noreply@youtube.com&gt;</div><span><!--more--></span><div><br /></div><h4 style="text-align: left;"><b>各ヘッダの意味</b></h4><div><b>Return-Path:</b> 返信先となるメールアドレス。通常はFromアドレスと同じになるが、例の場合、異なるので怪しい。</div><div><b>Received-SPF:</b> 送信ドメイン認証の結果、error/fail等の場合（passでない場合）、迷惑メールです。</div><div><b>To:</b> 受信者のメールアドレス。自分自身です。</div><div><b>From:</b> メールの送信者。例の場合、「Apple Payment」と記載しているのにメールアドレスは[youtube.com]となっているので怪しい。</div><div><br /></div><div>Received-SPFはない場合があります。基本的にReturn-Pathが全く関係ないメールドメインだった場合、迷惑メールだと判断して良いでしょう。</div><div><br /></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-76376697932295146712020-07-18T22:55:00.002+09:002020-07-19T22:09:32.856+09:00<h1 style="text-align: left;"><font color="#0b5394"><b>Professional Cloud Architectに合格！</b></font></h1><br /><div>Professional Cloud Architectに合格しました。勉強方法などを振り返りたいと思います。</div><div>　</div><h2 style="text-align: left;"><font color="#6aa84f">GCP Professional Cloud Architectとは？</font></h2><span><a name='more'></a></span><div>&nbsp;(以下、PCA) とは、GCPに関するノウハウや知識を活かして、ビジネス目標を達成する為のソリューションを提供するスキルをもったアーキテクトを証明する資格です。<a href="https://cloud.google.com/certification/cloud-architect?hl=ja">公式HPはコチラ</a>。</div><div><h2 style="text-align: left;"><font color="#6aa84f">筆者のレベル</font></h2><!--more--><div>　アラフォー世代のITエンジニア、WEB系システムエンジニアからサービスマネジメント（運用）部門の責任へ。AWS Solutions Architect Associate、Google Cloud Associate Cloud Engineerの資格を保有しているが、マネジメント中心なので普段の仕事で自らAWS/GCPに触れることは少ない。</div><div>　まだまだシステムエンジニアとして現役であると信じたい気持ちと、部下にいいところを見せるために上位資格にチャレンジ。</div></div><div><br /></div><div><h2 style="text-align: left;"><font color="#6aa84f">勉強方法について</font></h2><!--more--><div>　試験勉強前に<a href="https://www.shoeisha.co.jp/campaign/book/gcp/">プログラマのためのGoogle Cloud Platform入門</a>&nbsp;を読み操作に慣れておきました。</div></div><div><br /></div><h3 style="text-align: left;">Coursera</h3><div><a href="https://www.coursera.org/">Coursera</a>&nbsp;には大分、お世話になりました。</div><div>実際には以下のコースを受講しました。</div><div style="text-align: left;"><ul style="text-align: left;"><li>Architecting with Google Compute Engine</li><li>Google Cloud Platform Fundamentals: Core Infrastructure</li><li>Essential Cloud Infrastructure: Core Services 日本語版</li><li>Preparing for the Google Cloud Professional Cloud Architect Exam 日本語版</li></ul></div><h3 style="text-align: left;">Qwiklabs</h3><div><a href="https://www.qwiklabs.com/">Qwiklabs</a>&nbsp;はCourseraでも利用できますが、その他に以下のコースを受講。</div><div>チャレンジラボもやりましたが、かなり難しい。試験対策だけなら通常のコースのみで十分だと思います。</div><div style="text-align: left;"><ul style="text-align: left;"><li>Cloud Architecture</li><li>Cloud Engineering</li><li>Google Cloud Essentials</li></ul></div><h3 style="text-align: left;">模擬試験</h3><div><a href="https://cloud.google.com/certification/practice-exam/cloud-architect">模擬試験</a>はこちらで何度でも受講可能です。出題の雰囲気が分かるので何度も試した方が良いでしょう。</div><div><br /></div><h3 style="text-align: left;">その他の勉強方法</h3><div><ol style="text-align: left;"><li>読み物</li><ul><li><a href="https://cloud.google.com/blog/ja/topics/training-certifications">CLOUD BLOG</a> お得な無料トレーニング情報など</li><li><a href="https://developers-jp.googleblog.com/">Google Developers</a> Googleの新しい技術情報はこちらでサクッと入手</li><li><a href="https://events.withgoogle.com/ml-study-jams-japan/">ML Study Jams</a> 機械学習の無料オンライントレーニングです</li></ul><li>英語の書籍となりますが、試験問題集が出ています。</li></ol></div><div><br /></div><div>こんな感じで勉強を行い無事に合格できました。</div><div><h2><font color="#6aa84f">合格特典</font></h2><!--more--><div>　合格すると特典が貰えます。メールに専用サイトとクーポンコードが送られてきて選ぶ仕組み。</div></div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgX2XmLELiNePO6nVhLXMTGAFd1WeEcsAdh6FI4iY-EjqBqC6xhByLn2E3ANtSixvADyi-gwnSovZUlTR-KxoOGWPo7IRFLcnLYkVd4N2NA-Smj6DHFpY66dFiCWKqDD56I93GzkxXmEP0/s1587/FireShot+Capture+018+-+Home+-+shop.googlemerchandisestore.com2.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="661" data-original-width="1587" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgX2XmLELiNePO6nVhLXMTGAFd1WeEcsAdh6FI4iY-EjqBqC6xhByLn2E3ANtSixvADyi-gwnSovZUlTR-KxoOGWPo7IRFLcnLYkVd4N2NA-Smj6DHFpY66dFiCWKqDD56I93GzkxXmEP0/s320/FireShot+Capture+018+-+Home+-+shop.googlemerchandisestore.com2.png" width="320" /></a></div><div>パーカーはサイズが難しそうだったので、リュックにしました。</div><div>メルカリで8,000円で売られてましたが、、、。</div><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh8p0NPtrYvKjt93WhOAaYjF-8lW_GXySsQ5tx2iJMe6a3C5rCvd-tOUXVPOMnAHrAFKTN3s3SvDZ0IE5XcQqNHm746ncrHOiC8DgpO4BWeG6snS0chZ569YLI83AdgZANacqQd85bsHkI/s1360/InkedFireShot+Capture+019+-+%25E3%2583%2581%25E3%2582%25A7%25E3%2583%2583%25E3%2582%25AF%25E3%2582%25A2%25E3%2582%25A6%25E3%2583%2588%25E3%2581%25AE%25E7%25A2%25BA%25E8%25AA%258D+-+shop.googlemerchandisestore.com2_LI.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="874" data-original-width="1360" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh8p0NPtrYvKjt93WhOAaYjF-8lW_GXySsQ5tx2iJMe6a3C5rCvd-tOUXVPOMnAHrAFKTN3s3SvDZ0IE5XcQqNHm746ncrHOiC8DgpO4BWeG6snS0chZ569YLI83AdgZANacqQd85bsHkI/s320/InkedFireShot+Capture+019+-+%25E3%2583%2581%25E3%2582%25A7%25E3%2583%2583%25E3%2582%25AF%25E3%2582%25A2%25E3%2582%25A6%25E3%2583%2588%25E3%2581%25AE%25E7%25A2%25BA%25E8%25AA%258D+-+shop.googlemerchandisestore.com2_LI.jpg" width="320" /></a></div><div><br /></div><div>ちなみに注文するとProfessionalのステッカーもついてくるようです。</div><div>ちょっと、テンションあがりますよね。</div><div><br /></div><div>以上が、振り返りになります。</div><div>読んで下さった方の参考になれば幸いです。</div><div><br /></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-57601822341128417292020-05-16T23:52:00.006+09:002020-08-11T17:28:11.224+09:00<div><font color="#4285f4"><b>ウイルスに感染！？（5sercher-bizを削除する方法）</b></font></div><div><br /></div><div>全く身に覚えがないし、普段からセキュリティには気を付けているのだが、Chromeを立ち上げたら、やたら『5sercher-biz』からの広告が通知される。</div><div>まさか、ウイルス感染かと思い Windows Defender でクイックスキャンするが問題なし。</div><div>WEBを彷徨い駆逐方法を見つけたので以下に纏めておく。</div><div>誰かのお役に立てば幸いです。</div><div><br /></div><div><div><font color="#4285f4"><b>5sercher-bizを削除する方法</b></font></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>今回の環境は以下</li><ul><li>Windows 10</li><li>Chrome&nbsp;バージョン: 81.0.4044.138（Official Build） （64 ビット）</li></ul></ul><ol style="text-align: left;"><li>Chromeの[設定]メニューから[拡張機能]を押下<div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgdzmH5ZEvbvwUMXc1QHapz7N9pcok9d7IznUTgbwYMKPXeFt-UjukBptq5W7w3VilnSDWruUN_4zYZ0rVIecgf9jXdTN4rQL7xndqmoMHeAaGbxK-2DdFR6nKIgIj0oVZMt6dkpMmcur8/" style="margin-left: 1em; margin-right: 1em;"><img border="0" data-original-height="452" data-original-width="273" height="320" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgdzmH5ZEvbvwUMXc1QHapz7N9pcok9d7IznUTgbwYMKPXeFt-UjukBptq5W7w3VilnSDWruUN_4zYZ0rVIecgf9jXdTN4rQL7xndqmoMHeAaGbxK-2DdFR6nKIgIj0oVZMt6dkpMmcur8/s320/%25E3%2582%25AD%25E3%2583%25A3%25E3%2583%2597%25E3%2583%2581%25E3%2583%25A3.PNG" /></a></div></li><li>恐らく色々な拡張機能が表示されると思いますが、その中で身の覚えがない機能を削除。たぶん覚えのない『Google Docs』があると思います。</li><li>最後はChromeを再起動</li></ol></div></div><div>追記１：Docsだけでなく、スプレッドシートやスライドの可能性もあるので注意。</div><div>あとChromeの場合、[設定]から[リセットとクリーンアップ]-[パソコンのクリーンアップ]を最後に実行すると良いかも。</div><div><br /></div><div>追記２：Chromeの[設定]-[プライバシーとセキュリティ]-[サイトの設定]-[通知]ページの[許可]に"https://5sercher.biz"があれば削除。</div><div><br /></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com1tag:blogger.com,1999:blog-8068758546767827997.post-13301302102654447382020-05-16T23:35:00.000+09:002020-05-16T23:35:12.505+09:00<div><font color="#4285f4"><b>BQML で分類モデルを使用して訪問者の購入を予測する</b></font></div><div>URL&nbsp;<a href="https://google.qwiklabs.com/focuses/1794?parent=catalog">https://google.qwiklabs.com/focuses/1794?parent=catalog</a></div><hr /><div>内容：『BigQuery ML』って何なん？っと思ったらBigQuery上でMachine Learningを実現する機能でSQLも使えるそうだと。</div><div>比較的に分かりやすそうだったので、選択。</div><div><div><font color="#3d85c6"><b><br /></b></font></div><div><font color="#4285f4"><b>ラボの内容</b></font></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul><li>e コマースデータを探索する</li><li>特徴を選択しBQML モデル作成</li><li>分類モデルの性能を評価する</li><li>モデルの性能が悪ければ特徴追加し新たなモデルを作成</li></ul><br /></div></div><div><div><b><font color="#4285f4">実際のラボ</font></b></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>基本はクエリが用意されているので、ポチポチでラボは進む。</li><li>実際はモデルやクエリに対しある程度の予備知識がないと理解に苦しむ。</li><li>とりあえず「こんな事ができるんだ」っと分かりたいだけの人なら割り切って受講しても良いと思う。</li><li><br /></li></ul></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-65253025897708313252020-05-10T22:51:00.002+09:002020-05-10T22:51:23.798+09:00<div><font color="#4285f4"><b>Cloud ML API を使用して画像内のテキストの抽出、分析、翻訳を行う</b></font></div><div>URL&nbsp;<a href="https://www.qwiklabs.com/focuses/1836?parent=catalog">https://www.qwiklabs.com/focuses/1836?parent=catalog</a></div><hr /><div>内容：ML API を組み合わせ方を学びたくラボを選択。<div>Cloud Vision API のテキスト検出メソッドを使用し、光学式文字認識（OCR）を利用して画像からテキストを抽出。</div><div>次にテキストを Translation API で翻訳する方法と、Natural Language API で分析する方法を学ぶ。</div><div>curlでVision(OCR)=&gt;Transration=&gt;NLP APIとして画像からEntity分析を行う。</div></div><div><div><font color="#3d85c6"><b><br /></b></font></div><div><font color="#4285f4"><b>ラボの内容</b></font></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul><li>API キーを作成する</li><li>Cloud Storage バケットに画像をアップロードする</li><li>Vision API リクエストを作成し、curl で API を呼び出す</li><li>Vision API のテキスト検出（OCR）メソッドを使用する</li><li>Translation API を使用して画像のテキストを翻訳する</li><li>Natural Language API を使用して画像のテキストを分析する</li></ul><div><br /></div></div></div><div><div><b><font color="#4285f4">実際のラボ</font></b></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul style="text-align: left;"><li>狙い通り、APIを組み合わせることを学ぶには良かった。</li><li>途中でBashを使い、結果を次の入力に変えているのが微妙にすごい。</li><li>ラボはフランス語から英語だったので、フランス語から日本語に変えると以下の結果だった。意味は。。。</li></ul><table border="1" bordercolor="#888" cellspacing="0" style="border-collapse: collapse; border-color: rgb(136, 136, 136); border-width: 1px; width: 1000px;"><tbody><tr><td style="width: 1000px;">{<br />&nbsp; "data": {<br />&nbsp; &nbsp; "translations": [<br />&nbsp; &nbsp; &nbsp; {<br />&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;"translatedText": "公共用品の場合オバマ氏の場合、マスタードはディジョン産です", <br />&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;"detectedSourceLanguage": "fr"<br />&nbsp; &nbsp; &nbsp; }<br />&nbsp; &nbsp; ]<br />&nbsp; }<br />}<br /></td></tr></tbody></table></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0tag:blogger.com,1999:blog-8068758546767827997.post-69787522060969775202020-05-10T13:04:00.001+09:002020-05-10T13:04:39.647+09:00<div><b><font color="#4285f4">Dialogflow で AI チャットボットを実装する</font></b></div><div>URL&nbsp;<a href="https://www.qwiklabs.com/focuses/1789?parent=catalog">https://www.qwiklabs.com/focuses/1789?parent=catalog</a></div><hr /><div>内容：scikit-learn で機械学習モデルを構築しアプリケーションのモデルをリアルタイムで提供するラボ。「scikit-learn」って何？実際に機械学習モデルを構築したことがなかったので選択。</div><div><div><font color="#3d85c6"><b><br /></b></font></div><div><b><font color="#4285f4">学習前に</font></b></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div><ul><li><font color="#4285f4"><b>scikit-learn</b></font>　機械学習のオープンソースライブラリ。「サイキット・ラーン」と読む。</li><li><font color="#4285f4"><b><a href="https://cloud.google.com/ai-platform" target="_blank">AI Platform</a></b></font>　GCPのサービスで大規模な機械学習モデルをトレーニングし、トレーニング済みモデルをクラウドでホストし、モデルを使用して新しいデータについて予測することが可能。</li><li>AI Platform Prediction　サイズを問わず、あらゆる種類のデータに対して機械学習モデルを簡単に構築できるマネージド サービス。</li></ul><div><br /></div></div></div><div><div><b><font color="#4285f4">実際のラボ</font></b></div><hr align="left" color="#0b5394" noshade="" size="2" width="400" /><div>[Agenda]</div><div><div><ol style="text-align: left;"><li>モデルを作成してファイルに保存する</li><li>保存したモデルを Google Cloud Storage にアップロードする</li><li>AI Platform でモデルリソースを作成する</li><li>モデル バージョンを作成して、scikit-learn モデルをリンクする</li><li>オンライン予測を行う</li></ol></div><ul style="text-align: left;"><li>学習モデルをAI Platformにリリースして利用するまでの一連の流れを理解するには良いラボ</li><li><font color="#202124" face="noto sans jp, roboto, helvetica, sans-serif"><span style="background-color: white; font-size: 17px;">pythonコードが出てくるが、基本理解していなくてもコピペで完結</span></font></li><li><font color="#202124" face="noto sans jp, roboto, helvetica, sans-serif"><span style="background-color: white; font-size: 17px;">可能であれば、コードも理解しておくとより、実践的であると思うが、軽く機械学習やAI Platformに触れたいという人にも向いているラボ</span></font></li></ul></div></div>kuzira_diverhttp://www.blogger.com/profile/03013759509918604552noreply@blogger.com0