マネジメント系には「絶対解」は存在しない

ココのコメントを受けて、予告通り新たにエントリーを投稿っと……。
---
「齟齬」と言う言い方のアレなので、「ギャップ」と言い換えますが、議論する人の立場や経験(知識・ノウハウ含む)で議論のギャップが出てしまうのは仕方がないと思っています。＞SKUF Meeting
つーか、その点でのギャップは無い方が変だし、そのギャップを確認・情報共有できるのがSKUFの良い処だし目的とする部分ではないのかなぁ……と思っています。

自分がギャップを感じたのは議論そのものではなく、教育が上手く行っている処と、そうでない処の差(自分は嫌いな言葉ですが、簡単に言うとエンドユーザ向けセキュリティ教育における「勝ち組」と「負け組」の差)の部分です。

色々理由はあるんでしょうが、一概にこうだ!!、という理由も答えも無いのが、マネジメント系の悩ましい部分だったりします。
技術系の場合は、ある意味「絶対解」があるので分かりやすいんですが、マネジメント系ではそれが無いというのが大きな理由だったりするんですが。

有体に言えば「Aという処で採った対策を、Bという処でそのまま行っても成功するとは限らない」というのがマネジメント系セキュリティの悩ましい部分な訳です。
(理由は、組織の背景・文化や、確保できる予算の大小、セキュリティ(リテラシー)レベルの高低など、様々な要因が複雑に絡み合うためです。)

と・こ・ろ・が、セキュリティ技術者の多くが技術系に慣れ親しんでいるためか、それともマネジメント系セキュリティに慣れていない人が多いからか、どうしても「絶対解」を求めようとするような議論に走ってしまう傾向にある(※1)ようです。でもマネジメント系には絶対解は無いので、議論は上手くかみ合わない(ように見える)……ってのが「オチ」かと(苦笑)。

「じゃあマネジメント系の話題で議論は全く無意味なのか？」という話もあるでしょうが、これが全くの無意味じゃないのですヨ。
と言うのも「絶対解」は無いですが「理想解」はある(所謂「参考事例」とか)ので、議論によって理想解に繋がる情報を沢山確保蓄積し(カードを増やす)、その組織にとっての正解を導きやすくできるようになるからです。

今回自分のケースで仮テーマとして設定した2番と3番のテーマは正しく皆さんの手持ちのカードを増やしてもらおうと意図して設定していたりします。

--- ちょっと長いので一旦ブレイク、また後で追記します ---