運用のイベント、opf3stを計画する

[hogehuga]

IssueHunt社様のP3nfestを見ていて、運用でも同様なイメージのイベントができないか、と思ったので計画する。

現時点での目的は以下の通り

• 学生に、運用に興味を持ってもらう
• 初歩-中級くらいまでを主に扱うことで、運用への興味やハードルを下げる
• 運用の全体像を理解/知識アップデートすることで、現運用者の助けになる

[hogehuga]

現時点で以下のドメインの話が必要だと思っている。これについて、有識者ともう少しグルーピングなどを含め、検討する必要がある。

• 構築（技術選定、セキュリティ設計、監視運用設計、etc）
• オブザーバビリティ、監視
• セキュリティ対応（WEB診断、プラットフォーム診断、脆弱性管理、etc）
• レスポンス（障害対応、復旧作業、対外公表、etc）
• ガバナンス（トリアージポリシー、運用ポリシー、セキュリティ対応組織設計、人員計画、etc）

イベントをする際には、各ドメインを網羅するようにしたい。

[hogehuga]

謎のロゴだけ思いついた。

[hogehuga]

pentest等等の既存の学生向けの物は、分かりやすくて結果も明確で、学生として取り組みやすいものであるが、運用はそうではない。そのため、運用の奥深さを意図的に伝える必要があるのではないか、という意図で実施をしたい。

pentestやhackingやbugbounty

• 結果が見える（pwnできたなどの、分かりやすい指標がある）
• 成果が見える（報奨金や、業務として発見できればいい、みたいな部分）
• 単機能しか見ていないので、分かりやすい（発見に特化し、基本的には報告や修正サポートなどが、この時点では考慮外）
• 試す場所が多い（TryHackMeやHackTheBox、badtodo等の無償で勉強する環境がある）
• コミュニティがある（bugbountyやpentesterのコミュニティは活発？）
• 仲間がいる（TryHackMe/HackTheBoxをともにやるコミュニティや情報などがおおい）

対して運用は、上記に該当しないものが多い気がしている。ここを強化していきたい気もする。

• 結果が見えづらい（異常がなければ何もない的な…）
• 成果が見えづらい（何もないことを維持するお仕事とも…）
• 複数の機能が連携している（オブザーバビリティ/監視 からの 対応やインシデント対応 で公表が必要、とか）
• 試す場所が少ない（クラウド化なども含め、低レイヤーとかインフラ扱いで、学べる環境が少ない）
• コミュニティは…どの程度あるか分からない？（時々運用の話が出るイベントはあるけど、それメインの物は少ない？）
• 仲間は…いない？（そもそも、学生で運用が好き、な人はどの程度…）

[hogehuga]

頂いたコメントを記載する。

• 段階として、要求事項 - ユースケース - 技術選定(ライフサイクル等を考慮) - 技術実装(運用設計や監視を含む)、を想定し、そこに当てはめても良いかもしれない
• 運用は安定だけではなく、脆弱性や保守終了などの対応とのバランスを考えるべき。気にすべきものと、無視してよいものを明確にしよう
• ゴールの見せ方。運用の成果は安定していればOKではなく、状況把握やリスク最小化などをし、将来にわたる安定運用を示すこと、等
• 複数の機能が連携する、という点を見えやすいようにしたほうが良い。
• 退官する場所を用意したい。ハンズオンなどを含む体験が必要ではないか