<英語読書チャレンジ 35 / 365> P. Saniee “The Book of Fate”（邦題《幸せの残像》）

英語の本365冊読破にチャレンジ。ページ数は最低100頁程度、ジャンルはなんでもOK、最後まできちんと読み通すのがルール。期限は2025年3月20日。
本書はイランの女流作家によるベストセラー。邦訳タイトルは《幸せの残像》であるが、英語版原題は "The Book of Fate"。"Fate" という言葉は日本語で運命、宿命に訳される。英英辞典では "the development of events outside a person's control, regarded as predetermined by a supernatural power." 、すなわちあらかじめ運命の女神により定められ、本人にはコントロール不可能な出来事を意味する。

The Book of Fate (English Edition)

幸せの残像 THE BOOK OF FATE (Woman's Best 2)

女性の一生をつづる物語は、フィクション、ノンフィクションにかかわらず、女性に生まれたゆえにさまざまな制約を課されなければならない息苦しさ、そこから脱出しようともがきつづける葛藤と無縁ではいられない。

古典英米文学では、イングランドの田舎で結婚問題に悩む若い娘たちを生き生きと描くジェイン・オースティンの『傲慢と偏見』、アメリカ南北戦争時代をたくましく生き抜くスカーレット・オハラが主人公の『風と共に去りぬ』は定番中の定番。近現代では、祖母から孫娘までの三代にわたり、激動の20世紀中国で嵐にもまれながら生きた女性の人生を血の滲むような文字でつづったノンフィクション『ワイルド・スワン』や、韓国女流作家の小説『82年生まれ、キム・ジヨン』がよく知られる。

ワイルド・スワン 上 (講談社+α文庫)

ワイルド・スワン 下 (講談社+α文庫)

【おすすめ】語ることを禁じられた時代の記憶《ワイルド・スワン》 - コーヒータイム -Learning Optimism-

82年生まれ、キム・ジヨン (単行本)

女性読者は心臓を日本刀で刺されたような衝撃を受けるだろう〜チョ・ナムジュ『82年生まれ、キム・ジヨン』 - コーヒータイム -Learning Optimism-

本書もその流れを汲む、20世紀のイランを生きる女性の半生を描くフィクション。邦訳版巻末のインタビューで、作者は次のように述べる。

ヒロインはマスーメと命名する必要がありました。マスーメとはペルシア語で『無垢』という意味です。彼女が直面した問題はどれも彼女自身の行動や間違いの結果引き起こされたものではありません。彼女は伝統や文化、社会、政治がもたらしたものの代償を支払わされたのです。

物語は1960年代から始まる。イランは親米派のパーレビ国王治世下にあり、主人公は15歳になったばかりの少女マスーメ (英語でMassoume）。田舎育ちの彼女は、信心深く、家族の恥にならぬようふるまうことを求められ、父母やきょうだいとともにテヘランに引越してからも、ラジオで流行音楽を聴くことも、女友達の家に遊びに行くことも許されず、高等学校に進むためにも父親に必死に頼みこまなければならなかった（当時のイランではマスーメの年の少女はすでに結婚適齢期とみなされていた）。

作者は「彼女が直面した問題はどれも彼女自身の行動や間違いの結果引き起こされたものではありません」と語るものの、マスーメが生きた時代、おかれた環境では、もちろんすべては彼女のせいであった。テヘランに行きたがったせい。高等学校に通いたがったせい。ハンサムな男子大学生がバイトをしている薬局に通うなどふしだらきわまりない。ましてや足首を痛めて介抱してもらうなどどこまで恥知らずなのか。後妻だろうとなんだろうとさっさと地元で結婚出産していればよかったのに、そうしなかったマスーメが全部悪い。

根底にあるのは、女性に子育てや家事などいわゆる「家庭内の役割」以上をさせたくないという男性本位の考え方である。女の子はどれほど仕事ができようと関係ない、結婚出産してこそ一人前、という価値観を必死にすりこもうとする人々は男女問わず大勢存在する。

マスーメもまさにおなじような顛末をたどりそうになる。彼女は高校を退学させられ、お見合いの末結婚させられる。ほぼ見知らぬまま夫となった男性との夫婦生活はマスーメにとっては "my unpleasant duties" ーー不愉快な義務ーーであり、しかも夫となったハマッド （英語でHamid、アラビア語で「アッラーを称賛する者」を意味する）は熱心な共産主義者で反王制活動にすべての時間と精力を注ぎ、妻に自分のやりたいことを制限されたくないしあれこれ詮索されたくないと言い放つ。

マスーメは、いつも自分は父親の、兄弟の、夫の、息子の体面のために生きることを強いられてきたと口にする。ハマッドが女性にも教育を受ける権利があると考え、マスーメが学業を続けることを許したことだけは幸いであったが、本質的にはマスーメが自分のすることに干渉しなければなにをしようとかまわなかっただけであり、結局のところ、彼女をひとりの人間として尊重しないという点では伝統的な男性たちと変わるところがない。マスーメがマスーメ自身の望みだけをもとになにかを選択することが許されたためしなどなかったのだ。

アーサー王物語に登場する魔女は、"above all things women desire to have the sovereignty"、女性の真の望みは己の運命の主人たることであると言った。現代はフェミニズムがさかんで、女性の教育水準があがり、社会進出が進み、男女平等が声高にうたわれるようになったけれど、女性が真の意味で己の主人たることができているのだろうか？この本を読むと心もとなくなる。

<英語読書チャレンジ 33-34 / 365> H. Hoffman “Ethical Hacking Bible”, Book 5-6

英語の本365冊読破にチャレンジ。原則としてページ数は最低100頁程度、ジャンルはなんでもOK、最後まできちんと読み通すのがルール。期限は2025年3月20日。

本書は未邦訳（たぶん）の情報セキュリティシリーズ全７冊。著者は10数年にわたるセキュリティアナリストとネットワークエンジニアとしての経験を持ち、本書は企業のセキュリティ管理者をはじめ、情報セキュリティにかかわるすべての読者向けに書かれている。この記事は５冊目と６冊目までの読書感想。３冊目は用語集、４冊目はキャリア関連だから後回し。

Ethical Hacking Bible: Cybersecurity, Cryptography, Network Security, Wireless Technology and Wireless Hacking with Kali Linux | 7 books in 1 (English Edition)

以前読んだ無線関連の本の読書感想はこちら。とてもいい復習になる。

通信技術を規格という側面から考えてみる〜日経NETWORK『無線LAN技術 最強の指南書』 - コーヒータイム -Learning Optimism-

暗号技術を規格という側面から考えてみる～日経NETWORK『暗号と認証 最強の指南書』 - コーヒータイム -Learning Optimism-

コマンド＆スクリプトを規格という側面から考える〜日経NETWORK『コマンド＆スクリプト 最強の指南書』 - コーヒータイム -Learning Optimism-

リアルなトラブル事例から学ぶ〜富士通認定プロフェッショナル『ネットワークトラブル完全ガイド』 - コーヒータイム -Learning Optimism-

セキュリティの基本事項を学ぶための良書〜二木真明『IT管理者のための情報セキュリティガイド』 - コーヒータイム -Learning Optimism-

［テーマ読書］ネットワーク機器構成について学ぶ - コーヒータイム -Learning Optimism-

Book 5: Wireless Technology Fundamentals
シリーズ５作目。無線LANの基礎知識。大元となる電磁気学知識からはじまり、無線技術の構成要素、無線電波の特徴、企業向けセキュリティポリシーに盛りこむべき内容、というふうにつづく。

デジタルデータは1と0の集合体であるけれど、無線技術で発信される電磁波は、通常、振幅大きさ (amplitude)、振動数 (frequency)、位相 (phase) のうちどれかひとつ、あるいは複数を組み合わせた変化で1と0を表現する変調を行う (modulation) (*1)。

WiMAXをはじめ広く使用されているのは、振幅と位相を変化させるQAM (直交振幅変調、quadrature amplitude modulation) (*2) と呼ばれる手法で、複数組み合わせにより高速通信を可能にする。アクセスポイントから遠ざかるか、電波干渉等により通信状況がわるくなれば、64QAM (*3)、16QAM、QPSK (*4)、BPSK (*5) のようにダウングレードしていき、通信速度も遅くなり、最終的に圏外となる。

無線通信のための電磁波伝播の仕組みが周波数拡散 (spread spectrum) (*6)。ほかの電磁波と共用しなければならないことを前提に、ある程度広域帯を使用することが認められている。そうすれば干渉されずに目的地に到達する可能性が高くなる。デジタル情報は、送信機 (transmitter) (*7)で電磁波に変換され、そのまま発信されるか、あるいはアンテナ (*8) により発信される。受信側は受け取った電磁波を受信機 (receiver) で1と0の集合体にもどす。

無線LANを使用するためには、まずSSID (service set identifier) (*9) により識別される無線LANに接続しなければならない。そのためにはまずスキャン (*10) により最適なアクセスポイントを探す。どのアクセスポイントに接続するかが決まれば認証が行われ、接続成功すれば無線LANが使用できるようになる。

Book 6: Learn Fast How To Hack Any Wireless Networks

シリーズ６作目。無線ネットワークのサイバーセキュリティを紹介し、企業向けセキュリティポリシーを策定できることを目標とする。

シリーズ１、２作目でもそれぞれ情報セキュリティとセキュリティポリシーを扱ったが、企業視点のみであった。本書はまず攻撃者視点でどのような攻撃を仕掛け、どのようなソフトウェアを利用し、どのようなコマンドを入力するかまで解説し、次に企業視点で対策案を述べている。孫子が「彼を知り己を知れば百戦殆うからず」と言うように、敵の攻撃方法を知ることは情報セキュリティ対策を考える上で大変重要であるからだ。

攻撃のために利用可能なさまざまなツールが紹されているのでメモ。

Tcpdump (*11)

Home | TCPDUMP & LIBPCAP

Microsoft Net Mon (*12)

Download Microsoft Network Monitor 3.4 (archive) from Official Microsoft Download Center

LanDetective (*13) 

LanDetective Internet Monitor - Activity Monitoring Software PC

Chanalyzer (*14)

MetaGeek | Downloads

Ettercap (*15)

Downloads « Ettercap

NetworkMiner (*16)

NetworkMiner - The NSM and Network Forensics Analysis Tool ⛏

Fiddler (*17)

Fiddler | Web Debugging Proxy and Troubleshooting Solutions

Wireshark (*18)

Wireshark · Download

Kali Linux (*19) 

Get Kali | Kali Linux

vmWare (*20)

Virtual Box (*21)

Downloads – Oracle VM VirtualBox

(*1) 変調方式とは0と1で表されるデジタル情報を電圧などの電気信号に変換し、さらに電波発信できるような周波数に変換するプロセス。この変換効率により信号の転送速度が決まる。各変調方式には、受信機においてデジタル情報を復調するために最小限必要な受信電力値（＝受信電波強さ）が規定されており、高周波数ほど大きくなる（なぜなら高周波数であるほど距離による伝搬損失が大きくなるため、発信元はそれを考慮してより強く発信しなければならない）。送信機が情報伝達に利用できる変調方式は、受信電力、電波伝搬経路等により事実上制限される。

(*2) 限られた帯域幅の中で複数の周波数を多重化配置することで情報量を増やすことができる。IEEE 802.11axでは変調方式として802.11ac + 1024-QAM (Quadrature Amplitude Modulation) 、帯域幅は最大160MHzまで使用できる。

(*3) 一つの搬送波に４段階の振幅変調を行ない、同時に８段階の振幅変調で64値（6ビット）を送信できるのが64QAM、16値（4ビット）を送信できるのが16QAM。64QAMは単純に送信可能ビットが1.5倍であるためその分速度は上。

(*4) QPSK (四位相偏移変調、Quadrature Phase Shift Keying】) は、位相が90度ずつ離れた4つの波を切り替えて送る方式で、一度の変調で4値（2ビット）を表現できる。

(*5) BPSK (二位相偏移変調、Binary Phase Shift Keying) は、位相が180度離れた2つの波を切り替えて送る方式。一度の変調で2値（1ビット）を表現できる。

(*6) 通信の信号を本来よりも広い帯域に拡散して通信する技術。

(*7) 送信機 (transmitter) は信号を発信する装置や機器のこと。音声やデータなどを信号化し電波として発する無線通信装置を指すことが多い。高周波信号を発生させる回路、信号を所定の電力まで増大させる増幅回路、および情報を高周波信号に乗せる変調回路により主に構成される。

(*8) アンテナ (antenna) は電気信号を電磁波に変換して発射する装置であり、指向特性、出力、ビーム幅などにより異なる。

(*9) SSIDとは、無線LANにおけるアクセスポイントの識別名。IEEE 802.11における無線LANの識別子である。端末機器は通信可能な全アクセスポイントからSSID付きのブロードキャストメッセージを受信し、接続するアクセスポイントを選ぶか、リストを表示してユーザーに接続先を選択させる。

(*10) 利用可能なアクセスポイントを探し、接続要求を行うことで、アクティブとパッシブの２種類ある。アクティブ (active scan) は、端末に事前にSSIDを含めた無線LANの接続設定を行い、端末から信号発信して接続要求のためのScanをすること。これに対してパッシブ (passive scan) は、アクセスポイントから一定時間ごとに発信されるBeaconを待ち、接続可能なAPのSSIDを受信する。

(*11) Tcpdumpはパケットキャプチャツールであるが、Linux上のtcpdumpコマンドでもパケットキャプチャ可能。取得情報はWiresharkなどにより解析する。

(*12) Microsoft Network Monitorはネットワークトラフィックをキャプチャするためのツール。

(*13) LanDetectiveはトラフィック解析ツール。後述のWiresharkと同様の機能をもつ。

(*14) Metageeks  Chanalyzerは2.4GHz帯と5GHz帯において、電磁波挙動を可視化し、この帯域を利用しているデバイスがどの程度帯域を占有しているか解析できるツール。例として、従業員が私的に持ちこんだアクセスポイント（いわば野良アクセスポイント "rogue access point"）が発信する電磁波が正規アクセスポイントと干渉し、企業ネットワークそのものの効率を下げているようなケースを発見できる。

(*15) EttercapはMITM (Man-in-the-Middle : 中間者攻撃) に特化したソフトウェア。Address Resolution Protocol (ARP) Poisoning によりルータと端末の間に攻撃者が割りこむことができる。傍受 (盗聴) した通信が暗号化されていないプロトコル（HTTPプロトコルなど）であれば、ユーザー名やパスワードなどの重要情報を抽出できる。また、Wiresharkなどと組み合わせて解析することも可能。

(*16) NetworkMinerはトラフィック解析ツール。後述のWiresharkと同様の機能をもつ。

(*17) FiddlerはHTTP(S) に特化したトラフィック解析ツール。

(*18) Wiresharkはパケットキャプチャ＆パケット解析に特化したソフトウェア。攻撃者が企業ネットワークの概要をつかむために無線通信を傍受 (盗聴) するために使用できる。また、暗号鍵があれば傍受内容の復号もできる。Ettercapとのちがいは、Ettercapは標的とする端末とルータ間のすべての無線通信内容を入手できるが、Wiresharkは空間中から電磁波を拾うのみなので入手情報が不完全になりがちということ。

(*19) Kali Linuxは脆弱性診断 (Penetration Testing) に最適のOSと数百のツール群。

(*20) 正式名称はVMware Workstation Player。既存のOS上で、別のOSを実行するのに使う仮想環境（仮想マシン）を構築するソフトウェア。たとえばWindows OS上で、Linux系OS を動作させることができる。オープンソースであるが、個人と教育目的にのみに限られ商用利用は不可。

(*21) 正式名称は Oracle VM VirtualBox。vmWare と同じく仮想環境を構築するオープンソースソフトウェア。基本機能は商用利用できるが、追加機能は個人と教育目的にのみ。著者は長年Virtual Boxを使用しているらしい。

<英語読書チャレンジ 31-32 / 365> H. Hoffman “Ethical Hacking Bible”, Book 1-2

英語の本365冊読破にチャレンジ。原則としてページ数は最低100頁程度、ジャンルはなんでもOK、最後まできちんと読み通すのがルール。期限は2025年3月20日。

本書は未邦訳（たぶん）の情報セキュリティシリーズ全７冊。著者は10数年にわたるセキュリティアナリストとネットワークエンジニアとしての経験を持ち、本書は企業のセキュリティ管理者をはじめ、情報セキュリティにかかわるすべての読者向けに書かれている。この記事は１冊目と２冊目の読書感想。

Ethical Hacking Bible: Cybersecurity, Cryptography, Network Security, Wireless Technology and Wireless Hacking with Kali Linux | 7 books in 1 (English Edition)

以前読んだ無線関連の本の読書感想はこちら。とてもいい復習になる。

通信技術を規格という側面から考えてみる〜日経NETWORK『無線LAN技術 最強の指南書』 - コーヒータイム -Learning Optimism-

暗号技術を規格という側面から考えてみる～日経NETWORK『暗号と認証 最強の指南書』 - コーヒータイム -Learning Optimism-

コマンド＆スクリプトを規格という側面から考える〜日経NETWORK『コマンド＆スクリプト 最強の指南書』 - コーヒータイム -Learning Optimism-

リアルなトラブル事例から学ぶ〜富士通認定プロフェッショナル『ネットワークトラブル完全ガイド』 - コーヒータイム -Learning Optimism-

セキュリティの基本事項を学ぶための良書〜二木真明『IT管理者のための情報セキュリティガイド』 - コーヒータイム -Learning Optimism-

［テーマ読書］ネットワーク機器構成について学ぶ - コーヒータイム -Learning Optimism-

Book 1: 25 Most Common Security Threats & How To Avoid Them

タイトルは直訳すれば『25のよく見るセキュリティ上の脅威とその回避方法』というところ。よくある25のセキュリティ上の脅威 (security threats) 及びその対策、使用できるツール (security tools) を解説。基本的に企業向けで、悪意ある攻撃者 (malicious attackers) の攻撃手法、セキュリティ管理責任者がとるべき対策が解説されている。以下、それぞれのキーワードメモ。

1. バグとバッファーフロー (*1)
2. 弱いパスワード
3. ハードコード (Hardcoded) パスワード (*2)
4. 暗号化なし
5. ディレクトリ・トラバーサル (*3)
6. SQLインジェクション (*4)
7. クロスサイト・スクリプト (*5)
8. クロスサイト・フォージェリ (*6)
9. ウイルスとマルウェア
10. トロイの木馬とランサムウェア
11. ルートキット (Rootkits) & ワーム (Worms) (*7)(*8)
12. DoS攻撃
13. 中間者攻撃 (Man-in-the-middle) 攻撃 (*9)
14. ソーシャル・エンジニアリング & フィッシング攻撃 (Phishing Attacks) (*10)
15. フィッシング攻撃対策
16. クラウドサービスへの攻撃

Book 2: 21 Steps For Implementing The Nist Cybersecurity Framework

タイトルは直訳すれば『NISTサイバーセキュリティフレームワークに準拠するための21ステップ』というところ。米国国立標準研究所 (NIST) が公表するサイバーセキュリティフレームワーク (Cyber Security Framework, NIST CSF) に準拠するために、セキュリティ管理責任者が行うべき実務を説明したもの。

NIST CSFは2013年に米大統領令により整備され、米国国防総省が契約業者に対してNIST CSFの下位概念であるNIST SP 800-171への準拠を求めているのをはじめ、各国政府機関とビジネスをしたければ避けて通れない。

本書では情報セキュリティの原理原則を冒頭でまとめてから、経営陣を巻き込んだセキュリティポリシー策定、手順書作成、教育訓練実施、サーバールームを関係者以外立入不可とする、万が一攻撃を受けたときのためのデータ復元など、豊富な実例を紹介している。以下、情報セキュリティの原理原則をメモ代わりに。

• CIAの３原則: 機密性 (confidentiality) 、完全性 (integrity) 、可用性 (availability) (*11)
• トリプルA:  認証 (authentication) 、認可 (authorization) 、説明責任(accountability) (*12)
• 多層防御 (Multiple layers) (*13) 
• 最小権限の原則 (principle of least privilege) (*14)
• OSIモデル (*15)

(*1) バッファオーバーフロー…攻撃者が攻撃標的の処理能力を超える大量のデータや悪意のあるコードを送り、バッファ許容量を超えて溢れさせてしまう（オーバーフロー）脆弱性。実行中のプログラムの強制停止、管理者権限の乗っ取りなどの被害を受ける可能性があり、極めて危険。DoS攻撃との違いは、バッファオーバーフロー攻撃は悪意のあるコードの実行を主目的とすること。
(*2) Hardcodedとは変数を外部入力させずにソースコードに直接書きこむやり方のことであるが、ここでは１つのパスワードで複数アプリケーションにアクセス可能となるシングル・サインオンのこと。対策としては、パスワードを外部保存し、暗号化などで厳重に保護することなど。

(*3) ディレクトリトラバーサル脆弱性: Webサーバーの非公開ファイルにアクセスを行う攻撃手法。攻撃者は閲覧可能な公開ファイルが存在するディレクトリから、非公開ファイルのあるディレクトリに「横断する（トラバーサル）」かのように移動して不正利用する。相対パスによる親ディレクトリと子階層のファイルの不正な読み出しが典型的。正規入力者の不手際、暗号化/無害化不十分、などの理由で、親ディレクトリへの横断 (traverse) を示すような文字がすり抜けて渡されてしまうと、攻撃者はディレクトリ構造を予測し、アクセス可能にすることを意図していないファイルへのアクセスをアプリケーションに命令できるようになる可能性がある。いわばセキュリティの欠如 (ソフトウェアがまさにそう振る舞うことになっている動作) を攻撃する手法。対策としては攻撃者が親ディレクトリを呼び出すために使用する特殊文字を入力不可にする、ディレクトリ構造を推測されにくくするよう英単語ではなく番号で命名するなど。

(*4) コマンドインジェクション脆弱性: データベースを利用したWebアプリケーションにおけるSQLインジェクション脆弱性が代表的。攻撃者はSQLと呼ばれるデータベース操作コマンドを含む内容をWebアプリケーションに入力し、これがエラー処理されずにデータベースサーバに受け付けられることで、不正にSQLを実行してデータベース内の重要情報の窃取、コンテンツの改ざんなどを行う。重大な情報漏洩につながる可能性がある危険な脆弱性。対策としてはsecurity encoding libraryなど。

(*5) クロスサイト・スクリプティング (XSS) 脆弱性: 標的となるWebサイトの入力フォームに特定サイトへ誘導するスクリプトを仕掛ける攻撃手法。攻撃者は入力フォーム罠となるリンクを設置し、ユーザーがリンクをクリックして攻撃者が仕掛けた悪質なサイトに誘導されると、ユーザーのブラウザ上で不正なスクリプトが実行され、情報漏洩やマルウェア感染、なりすましなどの被害が発生する。 

(*6) クロスサイト・リクエスト・フォージェリ (CSRF) 脆弱性: XSSと似ているが、入力フォームではなくセッション管理における脆弱性を狙う攻撃。攻撃者はセッション管理に脆弱性があるWebサイトにログインした状態のユーザーを罠を仕掛けたWebサイトに誘導して、攻撃用のリクエストURLをクリックさせる。これによりセッションIDを不正利用し、情報改ざんや強制書き込み、不正操作などを行う。対策としては、XSSが対策されていれば、CSRFはsecure random tokensなどを利用して対策できる。

(*7) ルートキットはソフトウェアツールのセット。作動中の（悪意ある）プロセスやファイルやシステムデータを隠蔽する狙いがあり、ユーザに察知させることなく侵入者がシステムへのアクセスを維持できる。またOSと同レベルで作動するため、OS自体の書換えすら可能。

(*8) ワームはウイルスに似たプログラムであるが、増殖にほかのプログラムを利用する必要がない点で異なる。

(*9) いわゆる盗聴や傍聴のようなもの。攻撃対象のサーバ間のやりとりを入手することや。書換えることが可能。クラウド上の仮想サーバもこの攻撃の対象となりうる。最もよく使用される手法はARP poisoning と呼ばれる。ARPはAddress Resolution Protocolの略で、Unix開発者向けにアドレス解決プロトコル。本来の機能はLAN上で使用するMACアドレスを自動的に新規コンピュータのIPアドレスに割りふることだが、攻撃者は企業のARPテーブルを改ざんし、攻撃者のMACとLANをリンクする。

(*10) ソーシャル・エンジニアリングはいわゆるなりすまし。攻撃者はユーザーになりすましてプロバイダから個人情報を得たり、入手したユーザー情報を利用し、信用できる機関を装いユーザーに近づいてさらなる情報を得たりする。SNS上でよくある。フィッシング詐欺はソーシャル・エンジニアリングの一種。フィッシング攻撃対策は企業研修でも広く普及している。メール本文のリンクドメインを確認する、クリックせずに電話などメール返信以外の手段で発信元に問い合わせる、怪しいメールを自動解析するソフトウェアを導入する、など。

(*11) 情報セキュリティの三大要素。CIAトライアドとも呼ばれる、情報セキュリティの基本的概念。機密性は正規ユーザー以外によるデータアクセスや修正の禁止、完全性はデータの正確性の維持、可用性は正規ユーザーがいつでもアクセス可能であることを意味する。ちなみにCIAはこれら３単語の頭文字をとったもので、米国中央情報局とは無関係。このほかに４つの性質が定義される。真正性 (Authenticity) 、責任追跡性 (Accountability) 、否認防止性 (Non-repudiation) 、信頼性 (Reliability)がそれである。

なお、完全性維持のためにしばしばハッシュ関数が利用される。ハッシュ関数を使用することで、どのような長いメッセージからでもあらかじめ決められた長さのハッシュ値を算出できる。ハッシュ長ごとに規格化されている。ハッシュ値から復号することはできず、元のメッセージが１文字異なるだけでもハッシュ値が大きく変わるという特徴がある。強度をあげるためにハッシュ長を上げるという手法がとられるため、ハッシュ長が上がればその分処理負荷が大きくなる。32ビット演算系CPUにはSHA-224とSHA-256、64ビット演算系CPUにはSHA-384とSHA-512の使用が想定されている。なおSHAはSecure Hash Algorithmの略で、アメリカ国立標準技術研究所 (NIST) によって標準のハッシュ関数Secure Hash Standardに指定された一群のハッシュ関数。数字はハッシュ値のビット数。認証のためにある特定文書のハッシュ値を暗号化したものが電子署名である。

(*12) 認証とは通信の相手が「誰であるのか」を確認・特定することで、英語ではAuthenticationまたはAuthNと表記される。大きく分けて①知識情報（対象のみが知るパスワードなど）、②生体情報（対象の顔認証など）、③所持情報（対象が所有するスマホにSMSを送るなど）の３種類がある。２段階認証はこれらのいずれかを組み合わせる（たとえばパスワード＋SMS）。ちなみに認可という似た言葉があるが、特定条件下において対象物（リソース）を利用可能にする（アクセス）権限を与えることであり、認証とは別物。認可は英語ではAuthorizationまたはAuthZと表記される。証明書を発行する認証局は、アメリカ国立標準技術研究所 (NIST)の指定に準じて証明書仕様を定めている。ちなみにNISTはセキュリティについてNIST SP800-171というガイドラインを発行しており、アメリカ政府が情報機器を調達する際にはガイドライン準拠が求められる（逆にいえば、これを満たさなければアメリカ政府と取引はできない）。
(*13) 複数の防御策をとり入れること。そのうち１つが突破されてもほかの防御策により情報漏洩を防止する考え方。

(*14) 正規ユーザーが業務上必要な範囲にのみアクセス権限を与え、不必要なところには与えない設計原則。

(*15) 著者いわく「基本中の基本」。通信機能（通信プロトコル）を7階層に分けて定義する。なおOSI参照モデルは国際標準化機構(ISO) によって策定されており、RFC1122でまとめられるTCP/IPの階層モデルとは合致しないため注意。

　第7層 - アプリケーション層: 具体的サービス。HTTPやFTPなど。
　第6層 - プレゼンテーション層: データの表現方法（例えばあるコードのテキストファイルをほかのコードのファイルに変換する）。
　第5層 - セッション層: 通信プログラム間の通信開始から終了までの手順（例えば接続が途切れた場合、回復を試みる）。
　第4層 - トランスポート層: 通信管理（エラー訂正など）。
　第3層 - ネットワーク層: 通信経路選択、データ中継。
　第2層 - データリンク層: 直接的（隣接的）に接続されている通信機器間の信号の受け渡し。
　第1層 - 物理層: 物理的な接続。銅線-光ファイバ間の電気信号の変換など。

<英語読書チャレンジ 28-30 /365> D. Barnett, Employment Law Library, Book 5, 8 and 9

英語の本365冊読破にチャレンジ。原則としてページ数は最低100頁程度、ジャンルはなんでもOK、最後まできちんと読み通すのがルール。期限は2025年3月20日。

本書は未邦訳の英国労働関連法規解説シリーズ続き。本来想定している読者は雇用主側の人事担当者であるが、逆にいえば人事がどのようにふるまうかを労働者が学ぶためのテキストでもある。

Deconstructing TUPE (Employment Law Library Book 5) (English Edition)

シリーズ５作目。内部調査、個人情報管理、ストレスによる休職防止に続いて、５作目のテーマは事業譲渡等に伴う従業員権利保護。

これは人道主義でもなんでもなく、従業員に訴えられてイギリスの労働紛争専門法廷（Employment Appeal Tribunal、雇用上訴裁判所）に被告として引きずり出され、会社が傾きかねないほどの賠償金を課されないようにするための対策である。つくづくイギリスの労使関係は殺伐としている。日本のようにブラック企業や過労死が横行するよりはましであろうが。

TUPEはTransfer of Undertakings (Protection of Employment) Regulations 2006のこと。和訳すれば事業譲渡（雇用保護）規則。どのような場合にTUPEが適用されるかが本書前半のハイライト。たとえば、ある清掃会社を買取り、その社屋を改装して介護会社を始めることはTUPE適用対象にならない。提供しているものがまったく違うからである。オーナーには清掃会社の元従業員を雇う義務はない。しかし買収後も清掃会社を続けるなら、従業員の労働契約はそのまま新しい会社に引き継がれる。

なお、ここでいう従業員 (employee) はERA (Employment Rights Act 1996、雇用権利法でいう「雇用契約のもとに労働する者」のことだと解説されている。労働者 (workers, たとえば正式契約を結ぶ前の試用期間段階にいる者など）や自営業者 (self-employed) は含まれない。TUPEはもともとEU Acquired Rights Directiveをイギリス法体系に取り入れたものである。もとの条文は対象を従業員 (employee) に限らないと読めなくもないものの、EU規制はもともとイギリスにある雇用権利法の規定を無効にするものではなく、イギリスの雇用権利法にしたがい、対象を従業員 (employee) に限定するよう解釈するというのが本書の主張。ややこしい。

Resolving Grievances (Employment Law Library)

シリーズ８作目。テーマは苦情処理。grievanceは苦情と訳出され、英英辞典では "an official complaint by an employee that they have been treated unfairly"、すなわち正式な（たいていは書面による）不公平な扱いに対する苦情申立てのことで、これを放置すれば「不当な立場に置いて辞職に追いこもうとしている」と法廷に訴えられかねないため、慎重な扱いが必要になる。とはいえ本書の目的は苦情解消ではなく、法廷審判時において「企業はフェアに苦情に向きあった」と主張するためのアリバイづくりである。イギリスらしい。

ビジネス・エネルギー・産業戦略省傘下のACAS (Advisory, Conciliation and Arbitration Service) が、雇用関係に関する行動規範（ACAS Code）を作成しており、苦情申立てについてのものもある。ACAS Codeの適用可否は慎重に判断されなければならないが、行動規範を遵守していなければ、法廷でこの点をつかれる可能性は高い。本書はACAS Codeに沿った説明となっており、わかりやすい。

Acas Code of Practice on disciplinary and grievance procedures | Acas

HR Hazards: Model Answers to 70 HR Problems (Employment Law Library Book 9) (English Edition)

シリーズ９作目。人事担当者が実際にぶつかることがありうるトラブルについてQ&A形式で解説している。いくつか面白いものを紹介。

Q: 情報保護規則GDPR (General Data Protection Regulation) に照らし合わせて、定期的に健康情報の提出を求めることについてどう考えるか？
A. 雇用契約を結んだ従業員であればかまいません。しかし、健康情報提出を拒む従業員がいる場合、これを理由に解雇すれば、障害者差別として訴えられる (disability discrimination claim) 可能性があるので、なぜ健康情報が必要なのか説明して理解を得ましょう。

Q. 成人社会養護 (adult social care situation, 高齢者や障害者に対するもの。なお乳幼児に対するものはsocial careと呼ばれる) における保護上の懸念 (safeguarding concerns、ネグレクトや虐待など) で、従業員が停職処分 (suspension) になり、警察の取調べを受けているとき、停職期間中に雇用主にできることはありますか？

A. 雇用主でも独自調査を行いましょう。合理的根拠があれば解雇しましょう。警察の結論を待つ必要はありません。

Remember: the employer only needs to have reasonable grounds for their belief in guilt after reasonable investigation.

思い出してください。雇用主は合理的調査により、合理的根拠をもって（問題の従業員が）有罪だと確信すれば、それで充分なのです。

相変わらず法廷紛争を避けるための話ばかりだが、内容自体は日本の企業でもよく見かけることばかりなので、日本とイギリスの対応の違いがわかって面白い。ちなみにイギリスでは労働組合は政府によりリスト化されている。

Official list of trade unions and their annual returns - GOV.UK

<英語読書チャレンジ 25-27 / 365> D. Barnett, Employment Law Library Book 1-3

英語の本365冊読破にチャレンジ。原則としてページ数は最低100頁程度、ジャンルはなんでもOK、最後まできちんと読み通すのがルール。期限は2025年3月20日。

本書は未邦訳の英国労働関連法規解説シリーズ１作目〜３作目。本来想定している読者は雇用主側の人事担当者であるが、逆にいえば人事がどのようにふるまうかを労働者が学ぶためのテキストでもある。

Employee Investigations: How to conduct grievance and disciplinary hearings (Employment Law Library Book 1) (English Edition)

シリーズ１作目が従業員紛争に伴う内部調査 (Employee Investigations) というのはいったいどういうお国柄なんだ……。

と思うけれど、旧植民地からさまざまなバックグラウンドをもつ移民がどんどん流入するうえ、イギリスでは従業員保護が手厚く、雇用関連裁判が日常茶飯事、雇用紛争専門法廷（Employment Appeal Tribunal、雇用上訴裁判所）が整備されていて、人種・性別・性的指向・宗教などで差別的待遇があったと認定されれば会社倒産しかねないほどの賠償金を課せられる、しかも賠償金目当てにわざと紛争を仕掛ける「プロ従業員」のような連中までいる、というから、企業の方もあらゆる対策を練るのはあたりまえといえばあたりまえ。

本書は法廷への証拠提出を前提として、労働契約　(Contract) に記述はあるか、組織員運営方針や実施手順書 (Policies and Procedures) にどう書いているのか、調査対象への説明責任を充分果たしているか、などについてとことんこだわる。場合によっては懲戒書、 (Discipline)、降格 (Demotion) 、解雇（Dismissal) につながりかねないため、証拠として採用されなければ意味がないし、やりすぎれば逆に訴えられて不利になりかねないということ。コワイ。

内部調査において人事担当者が果たすべき役割については、判例付きで説明されている。本書では判例がちょこちょこでてくるからリアリティがある。

Dr J Dronsfield v The University of Reading: UKEAT/0255/18/LA - GOV.UK

ビジネス・エネルギー・産業戦略省傘下のACAS (Advisory, Conciliation and Arbitration Service) が、雇用関係に関する行動規範（ACAS Code）を作成している。ただしACAS Codeの適用可否は慎重に判断されなければならない。

Acas codes of practice | Acas

独立行政法人労働政策研究・研修機構によるイギリスの労働基準監督官制度についての説明。

イギリスの労働基準監督官制度（イギリス：2018年4月）｜フォーカス｜労働政策研究・研修機構（JILPT）

GDPR for HR Professionals (Employment Law Library Book 2) (English Edition)

シリーズ第２作目。内部調査のお次は個人情報保護規則。これも日常的に従業員情報にアクセスする人事担当者がうっかり踏んづければ身の破滅を招きかねない地雷。というか本シリーズは『地雷原の歩き方〜人事担当者向け〜』にタイトル変更した方が良い気がしてきた……。

情報保護規則GDPR (General Data Protection Regulation) は、欧州連合域内、及び域外輸出に関する個人情報保護規則。2019年に日本のリクナビが就活生のサイト閲覧歴等のデータを加工して、「内定辞退率」予測を作成して大手企業に販売していたという報道がなされていたが、このデータにEU市民権をもつ就活生が含まれていれば、GDPR違反に問われて高額な賠償金を課されていた可能性もあるといわれる。（とはいえそもそも個人情報保護の概念がない某国家とか某国家がEUでふつうに商売しているのだから、建前と本音はもちろんあるのだろう）

イギリスはEUを離脱しているが、EU規則はイギリス法体系に組みこまれており、依然、法的拘束力をもつ。IPO (Information Commissioner’s Office, 英国個人情報保護監督機関) が監督官庁であり、GDPR適用についてのIPO報告書の影響力はEUを越えてアメリカなどにも広がるという。本書はIPO対策に個人情報保護に関する社内規則を作成しておくべきだとすすめる。いわゆる個人情報 (Personal Data) は、個人を識別できる情報、個人に対する意見や評価などを含む。中でも取扱に注意を要する個人情報 (Sensitive Personal Data) は、人種、宗教、信条、健康状況、労働組合員かどうか (！) などが含まれる。

Preventing & Defending Employee Stress Claims: An Employer's Guide (Employment Law Library Book 3) (English Edition)

シリーズ第３作目。お次はストレスによる休職防止。これもなかなかの地雷原。

雇用主の立場からストレスをもたらす要因をどう管理するか、HSE (Health and Safety Executive、英国安全衛生庁）が６種類にまとめている。はっきりいって日本型企業はこのうち半分以上に日々さらされるのがふつうである。病む人が多いわけだ。

1. 需要 (demands) - 過大な業務負荷や身体的負荷がかからないよう業務調整する
2. 支配 (control) - 従業員がみずからの仕事に決定権をもつように責任分担させる
3. サポート (support) - 十分な情報や、上司や同僚のサポートを得られるようとりはからう
4. 人間関係 (relationships) - 職場が良い雰囲気を保ち、いじめやパワハラなどがないよう気配る
5. 役割 (role) - 役割と仕事内容をはっきりさせる
6. 組織変更 (change) - 配置換えや組織変更などがあるときに充分説明する

What are the Management Standards? - Stress - HSE

このシリーズで繰返し強調されていることだが、こうした規定は一度読めば存在を忘れてもよいガイドラインではない。従業員に訴えられたときに雇用主が自分や企業を守り、会社が破産しかねないほど高額な賠償金を回避するためのよりどころである。被告として労働審判法廷に立たされた時に「ガイドラインに推奨されていることをはじめあらゆる手段で従業員の心身健康を守ろうとした」と証拠付きで示すことができなければならない。やっぱりコワイ。

Employees can also bring a breach of contract claim if they argue that the stress they are suffering from is a result of the employer’s breach of their employment contract. This is often seen as a constructive dismissal claim in the employment tribunal under the Employment Rights Act 1996, but can be a stand-alone claim in the civil courts in some circumstances.

また、従業員は、雇用主による労働契約違反 (*1) の結果、ストレスで苦しんでいるとして、契約違反の訴えを起こすかもしれない。このようなケースはたいてい1996年の雇用権利法にあるみなし解雇 (*2) に相当するとして労働審判所に訴えを起こされるが、場合によっては、単独で裁判所に訴えられることもありうる。

(*1) 契約にある仕事内容以外のことをさせること

(*2) ケンブリッジ辞書では、constructive dismissal は"actions taken by an employer that intentionally make working conditions for an employee difficult or unfair so that the employee feels forced to leave their job"、すなわち不当な就労環境を押しつけ、従業員がみずから辞職するよう圧力をかけることをいう。労働政策研究機構では「コモンロー上労働者が雇用契約を即時解約できるケースにおいて、労働者が雇用契約を解約（すなわち、辞職）することを指す。」と説明している。

Employment Rights Act 1996

https://www.jetro.go.jp/ext_images/_Reports/02/2019/f0bd292f281910e3/201912.pdf

https://www.jil.go.jp/foreign/report/2015/pdf/0615_03-1-uk.pdf

<英語読書チャレンジ 24 / 365> A. Sinclair “Stock Market Investing 2022”

英語の本365冊読破にチャレンジ。ページ数は最低100頁程度、ジャンルはなんでもOK、最後まできちんと読み通すのがルール。期限は2025年3月20日。
株式投資入門書。いずれも未邦訳。タイトルは直訳すると『株式市場投資2022』。

STOCK MARKET INVESTING 2022: A Crash Course Guide for Beginners: How to Swing & Day Trading. Learn to Buy and Sell Stocks to Create Passive Income. Exchanges ... for Investors & Traders (English Edition)

『株式市場投資2022』は長期投資を扱う。冒頭ではとにかく借金があるならまずそれを返せ、生活費用を株式投資にまわすな、と念押しされていて、借金好き＆貯金苦手＆後先考えない個人投資家がやはりあとを絶たないのだと苦笑いしてしまう。

株式投資についてのアドバイスはしごくまっとうな長期株式保有、分散投資（１つの株式に15%以上投資するのはよい戦略ではない）、ETF (Exchange Traded Fund - 上場投資信託)、REIT (Real Estate Investment Trust - 不動産投資信託) 、MLP (Master Limited Partnership - エネルギー事業を主な収益源とする共同投資事業形態) 、BDG (Business Development Company - 業開発を金融面及び経営面からサポートする投資会社) など。英語としては非常にわかりやすい。

本書ではアメリカ国債市場と株式市場の相互関係にもふれている。2022年現在、米連邦準備制度理事会 (FRB) により米国債10年金利が3%以上に引きあげられ、ドル高が一人進行している。株式市場にとり、資本が株式市場から引き上げられて米国債市場に流入するのはさまざまな点でマイナスであるし、そもそもの発端となったインフレーションも株式投資の実質利回りを低下させる（もちろん銀行預金の利子よりはるかにマシではあるが）。

おまけ: 持株情報をまとめたサイト。

SEC.gov | Filings & Forms

<英語読書チャレンジ 23 / 365> P.G. Woodhouse “The Inimitable Jeeves”（邦題《比類なきジーヴス》）

英語の本365冊読破にチャレンジ。ページ数は最低100頁程度、ジャンルはなんでもOK、最後まできちんと読み通すのがルール。期限は2025年3月20日。
本書はイギリスで大人気のコメディシリーズ《ジーヴスシリーズ》。邦訳タイトルは『比類なきジーヴス』で、原著タイトルも同じ。

The Inimitable Jeeves: (Jeeves & Wooster) (Jeeves & Wooster Series Book 2) (English Edition)

比類なきジーヴス (ウッドハウス・コレクション)

もうね、とにかく笑える。おすすめ。

舞台設定は20世紀初頭のイギリス。物語は主人公バーティ・ウースターの一人称で進む。バーティは伯爵位継承予定の裕福な若者であり、上流階級によくあるようにひまをもて余す世間知らず、ちょっとおまぬけだがお人好しで憎めない人柄。ジーヴスはバーティの執事で、非常に有能であり、バーティいわく彼にとっての「先導者、哲学者、友人」。これにバーティの腐れ縁の学友、しばしばーー主に金銭と恋愛関係でーー度を越したろくでもないことを思いつくビンゴ・リトルを加えた３人が主要登場人物。

本書は18の短編からなる短編小説集であり、いくつかの短編は２つで１つの物語となっている。いくつかあらすじを見てみよう。

１話目＆２話目

ある気持ちの良い朝、バーティはビンゴ・リトルと顔を合わせる。ビンゴは伯父から潤沢なお小遣いをもらいながらロンドンで気ままに暮らしているが、しょっちゅう誰かに惚れており、その日も可愛いウェイトレスから贈られた（バーティいわく、こんなものを似合うと言ってくる奴がいたらそいつを西洋実桜の幹にたたきつけてやりたくなるような）おかしなネクタイをして、彼女が働く（バーティいわく、暗殺のためにつくられたような食べ物を出す）下町食堂にせっせと通う。ビンゴは恋を成就させるためにジーヴスの助言がほしいと必死に頼み、バーティは断りきれずにジーヴスに伝言する。恋に浮かれたビンゴはやることなすこと全部おかしくてたまらず、ラストでジーヴスが恋破れたビンゴから美味しいところをしたたかにかっさらうのが抱腹絶倒。

３話目＆４話目

バーティの大の苦手である厳格なアガサ伯母さんから手紙がとどき、彼女が滞在しているフランスの観光地に来るよう命令された。アガサ伯母さんは旅行先で知り合ったアライン・ヘミングウェイ嬢をバーティに紹介し、彼の結婚相手にふさわしいと絶賛する。バーティはジーヴスに助けを求めようとするが、バーティが（まったく似合わない）奇妙奇天烈な腰帯をつけていることが不満でならないジーヴスの態度は冷たい。最初から最後までくだらなく笑えるドタバタ展開で、ジーヴスの名探偵ぶりが光る。

５話目＆６話目

懲りないアガサ伯母さんはまたもやバーティの結婚相手候補としてオノリア・グロソップという女性を見つけ、彼女を訪ねるようバーティに厳命する。バーティはたまたまジーヴスが自分のことを「賢いとはいえない」と評価するところを立ち聞きしてしまい、意地になってジーヴスの助けを借りずに窮状を乗り切ろうとする。同じく懲りないビンゴがまたまた恋に落ちるが、その相手がまさしくオノリアで、もうしっちゃかめっちゃか。最後の場面でバーティはよくまあビンゴをはり倒さなかったと思う。

７話目＆８話目

オノリア・グロソップと婚約する羽目になったバーティは、彼女がアガサ伯母さんと息ぴったりで、絵画鑑賞やクラシックコンサートなどの「教養ある」催しに行きたがることに恐怖していた。さらにオノリアとアガサ伯母さんは、結婚後はジーヴスに辞めてもらうようバーティに迫る。オノリアの父親で精神科医のサー・ロデリックと自宅で昼食をともにすることになったバーティは、ギャンブル嫌い、禁酒主義、禁煙主義、素食主義、コーヒー大嫌い、講義のようなもってまわった言い回しを好む彼をもてなそうと四苦八苦する。サー・ロデリックは将来の娘婿が変人でないかどうか見極めに来たというが、彼自身もなかなかの変わり者。そのサー・ロデリックを撃退するためにジーヴスがもくろんだとんでもない策は大爆笑もの。

まあこんな感じで毎回抱腹絶倒のドタバタコメディが繰広げられる。ジーヴスは毎回奇想天外な解決方法を思いつくのだが、かなりはた迷惑なやり方も少なくない。たとえばサー・ロデリックが大嫌いな猫（とその他もろもろ）を寝室に仕込んで昼食会を中断させたときなどは、主人であるはずのバーティの面目丸つぶれである。というかいちばんひどい目に遭っているのは間違いなく彼だと思う。

バーティは彼自身がこきおろされることに憤慨したり意地になったりしながら、結局最後はジーヴスの好きにさせているあたり、いかにもなヘタレ金持ちぼっちゃんで、それが面白い。共産主義活動家に恋したビンゴが身分を隠して彼女の活動に加わり、 "同志" リトルと呼ばれるなど、本書が出版された時期（おおよそ第一次世界大戦と第二次世界大戦の間）の時事ネタもばっちり。

本書の作者ウッドハウス氏はジーヴスシリーズで大人気作家となるが、第二次世界大戦中にその知名度をナチスに利用され、米英向けラジオ放送に出演させられたことをきっかけにイギリスで激しい批判にさらされ、ついにはアメリカに移住せざるを得なくなる。現在では放送自体がでっちあげだという説が有力であるが、ウッドハウス本人がそれほど政治的思想にこだわりがなかったのもまた確かのようだ。