ウェブセキュリティ最前線--「パラノイド」：それはヤフーのセキュリティチーム

編集部注記：今回はウェブセキュリティの現状と将来について検証する、4回にわたるシリーズの第2回目です。

1. グーグルが感じる「再取り組み」の必要性
2. 「パラノイド」：それはヤフーのセキュリティチーム
3. MSがデスクトップから学んだ教訓
4. 問題の解決への道

　Arturo Bejar氏は8年前、Yahooのセキュリティチームにぴったりの名前を思いついた。「Paranoid」（病的なまでの心配性）だ。

　「Chief Paranoid Yahoo」の肩書きを持つBejar氏は、自身が指揮する部署の愛称として、堅苦しくなく、セキュリティの役割を身近に感じられる名前を付けたかったのだ。

　「われわれは、セキュリティをもっと気楽にとらえてもらえるよう取り組んでいる。セキュリティはたしかに重要だが、深刻になりすぎないほうが導入が進む、というのが私の考え方だ」とBejar氏は話す。

　型破りのネーミングは、かつてドットコム反体制文化の象徴とされたYahooに何ともふさわしい。同社の共同創業者は、今なお「Chief Yahoo」の肩書きを持つ。形式ばらないこと、または少なくとも形式ばらない印象を与えることが、Yahooにとっては特に重要になる。というのも、Yahooが目指すのは、デジタル時代のセキュリティ標準策定の最前線にいる企業の中で、消費者にとって最も親しみやすい企業になることだからだ。

　検索エンジンのGoogleや、オペレーティングシステム（OS）のMicrosoftなど、自社の根幹となる技術で不動の地位を築いたライバルたちと違い、Yahooは長年にわたり、自らをメディア企業と位置づけてきた。しかし、誤解してはならない。セキュリティ部門にカジュアルな名称を付けたとはいえ、セキュリティの問題に取り組むYahooの姿勢は真剣そのものだ。そのことは、「Paranoid」という用語の本来の意味を考えればよくわかるだろう。

　Yahooの社内にはいたるところにParanoidが存在する。Google、Microsoftに次いで3番目に訪問者の多いサイトを運営するYahooは、Paranoidの正確な人数を公表していないが、ライバル2社がセキュリティ専任スタッフの人数として明かした約50人よりは多いと示唆する。さらに、Bejar氏が率いる専従のセキュリティチームとは別に、さまざまな部門に「Local Paranoid」と呼ばれるセキュリティ担当者がいて、セキュリティチームの専任ではないにしても、関連業務を担っている。

　Yahooの従業員はオリエンテーション中に基本的なトレーニングを受け、製品管理部門に配属されたスタッフはセキュリティ関連の速習コースを受講できる。より高度なセキュリティトレーニングは、「Paranoid University」という名称のもと、各国のYahooの拠点で提供されている。

　Yahooはまた、過去3年にわたって「Security Week」を開催してきた。これは同社最大の分野横断的なカンファレンスで、社内外の専門家による講演もある。社外からの講演者には、セキュリティ界で有名なMatt Blaze氏やDan Geer氏が名を連ねたこともある。従業員が毎年「パラノイド効果」の評価を受けるなど、Yahoo以外ではまずあり得ない。