データとは？

Oxford Languagesによると「それをもとにして、推理し結論を導き出す、または行動を決定するための事実。資料。」

「何か新しい取り組みを始めなければならない」 「でも、何をどう取り組み始めていいかわからない」

そんな時に役に立つのが「データ」です。

「専門家がいないから難しい」 「データが少ないから難しい」

これも大きな課題であるが、専門家に困っているのは大企業も同じであるとともに運用モデルで解決をできる可能性がある。近年のデータ分析のトレンドは「小さいデータと幅広いさまざまなデータ」となってきている。このようなデータであれば、中小企業でもデータを集められる可能性が高くなる。

デジタルで構成されたデータは、デジタルビジネスの強力なパートナーとなり指針を示してくれるナビゲーターにもなりえる。

デジタルビジネスとデータの関係

デジタルビジネスでデータを活用するということは、「データの山を元に推理して結論を出し、行動や組織の方針を決定したり、ビジネスとデジタルを融合することで成果を出すこと」と言い換えることができる。

本レポートを参考にしていただくと、デジタルビジネスとデータの事例及び運用モデルのサンプルがわかるので、今のビジネスデータを活用してどのようにデジタルビジネスへと進化をさせるのか？の理解が進む。

以下の事例のように、デジタルで構成されているデータとデジタルビジネスは切っても切れない関係となっている。

それでは、デジタルビジネスとデータの関係について以下に記載していく。

「今あるものをオンラインに置き換える」は間違い？

デジタルビジネスを検討する時に、今のビジネスをオンラインに置き換えたらどうなるのか？というアプローチで考えるケースが多いが、これは成功の可能性を低くする事になる。

一番大切な事は、今のビジネスがどうやって成り立っているか？を見直す事である。今のビジネスを分析してみよう。

・会社のミッション、ビジョン、バリューは何か？その達成度は？ ・自分達の価値を高めてくれているものは何か？ ・お客様が求めているものは何か？ ・お客様が求めている事（お客様が自分達と関わることで得られる体験：UX）をデジタルで実現するとどうなるのか？ ・自分達自身の課題が何で、それはデジタルビジネスを導入する事でどう変化するのか？

大まかにみてもこれらがポイントになる。 以下の事例では、中小企業でも実現可能なデータ活用及び分析についてまとめてみた。

実用的なデータ活用及び分析について（事例）

中小企業では、データと分析を利用することによって、業務改善や成長を推進することができる。また、データと分析を使用する際、一般的に４つの目標がある。

　①データ品質と全社的な管理プロセス改善 　　②エンタープライズプロセスと運用の最適化 　　③CX向上とビジネスの成長の促進 　　④製品イノベーションとデータの収益化の促進

上記の目標に対して、組織はどのようにデータを活用しているかの例を下記にて述べる。

1. データ品質と全社的な管理プロセス改善

　データの品質と管理の実践は、データと分析を通じて改善できる。組織は、データのタグ付け※1、新しいデータのオンボーディング※2、および反復データファイルの量を自動化して、減らすことができる。

航空会社には、お客様に関する多くのデータが蓄積されている。問題は、どのデータが有用なのかを見極めることである。サウスウエスト航空では、人気のある商品やサービスを発見するために、すべての顧客データをグループ化していた。しかし、期待したほどの結果が得られないことに気付き、別の方法に切り替えた。現在、サウスウエスト航空は、一人一人のお客様のデータに集中している。各顧客は、過去の購入履歴や過去の行き先など、150以上のデータ変数を持っている。これらのデータタグにより、それぞれのお客様がどのような行動をとるのかを予測している。その結果、サウスウエスト航空は200ミリ秒で各顧客にパーソナライズされた独自の提案ができる。 大きな競争相手の1つであるユナイテッド航空は、同様の方法の結果として、チケット以外の売上が15％増加した。 　※1 主催者がデータにキーワードを割り当てて整理しやすくする方法 　※2 オフラインデータをオンライン環境に転送するプロセス

2. プロセスと運用の最適化

　組織は、データ分析を使用して、エンタープライズプロセスと運用を最適化することもできる。 一部の組織は、データと分析を通じて、手動のデータ照合プロセスを、異常や不正を検出するアルゴリズムに置き換えることができた。 他の組織でも自動化されたワークロード管理ツールを作成して、従業員のプロジェクト管理とタスク管理を改善することに成功した。

Peachは定期的にデータを収集して分析を実施している。 分析から得た情報を使用して管理、サービス、製品、イベント、およびキャンペーンの改善を行う。また、販売分析、調査、および新しいサービスや製品の開発にも活用する。

データを使用してプロセスと運用を最適化する会社の例はSlackである。 顧客はSlackを使用して貴重なデータを送信するため、セキュリティはSlackにとって非常に重要である。 進行中のセキュリティプロセスの一環として、Slackはユーザーデータ、アカウント情報、使用状況情報、および場所情報を分析する。 このデータは、自動監視ソフトウェアを使用して潜在的なセキュリティ問題について分析される。

3. CX向上とビジネスの成長の促進

　さらに、組織は、顧客満足度、顧客維持、および売上転換率の形で成長を測定すデータと分析を使用することで、企業は組織の成長を促進することもできる。 顧客のフィードバックを分析し、営業チームのコミュニケーション戦略を改善する組織もあれば、機械学習を使用して顧客の行動を予測する組織もある。

2017年、ビルド・ア・ベア・ワークショップはデジタルビジネスを立ち上げた。 ソフトウェアを使用して、各顧客の状態を視覚化された全体像で見ることができる。 ビルド・ア・ベア・ワークショップはこのデータを使用して、デジタルだけでなく、ビジネスのあらゆる側面で優れたパーソナライズされた体験を提供してきた。 データは、物理的な場所、ソーシャルメディアのコンテンツ、および一般的なブランドを支援するために使用される。 努力の結果、ビルド・ア・ベア・ワークショップのデジタルビジネスは9四半期連続で2桁の成長を遂げた。

　4. 製品イノベーションとデータの収益化の促進

　最後に、組織はデータと分析を通じてビジネスのデジタルイノベーションを推進している。 組織は、分析処理を使用してデータ駆動型の意思決定を行うとともに、予測モデリング※1を使用して製品の欠陥を見つけ、現在の機能を改善し始めている。

FICO社はクレジットスコアサービスを提供している。データを収集して人々のクレジットスコアを作成し、その結果をさまざまな金融機関に販売している。大量のデータを持つFICO社にとって、データに素早くアクセスできることは重要である。そのために、クラウドサービスを開発したり、AIや機械学習の技術に投資している。2019年には、AIや機械学習に関する特許を100件以上出願した。これらのツールにより、顧客はリアルタイムにデータにアクセスできるようになった。また、AIと機械学習によって、顧客は、差別化されたデータを探索することで、新たなインサイトを発見し、予測モデルを構築し、ソリューションを迅速に展開できるようになる。このようにして得られた有用なデータやインサイトは、貸し手に販売される。

　※1 統計を使用して意思決定の結果を推測するモデルを作成する

運用モデル（プロセス・ワークフロー）

【step1】データドリブンビジョンを立てる

　covid-19で、人間の行動は過去とガラリと変わった。顧客の行動が見にくくなり、営業活動が困難になってきた。企業の運営も、対面で行ってきた業務が、リモートワークとなるにつれて、今までのプロセスの実行が困難になってきた。しかし、一部の企業はこの危機をきっかけに、一気に成長することができた。それは、データドリブンの重要性をすでに認識し、機敏性を生かした企業である。 　データは運用のプロセスを改善し、意思決定の質を上げることができる。さらに、企業資産として、ビジネスモデルのシフトを推進することができる。これは大手企業だけではなく、中小企業にも適用できる。企業の経営者は、データ戦略が企業全体の目標に貢献することを認識し、データドリブンのビジョンを立てないといけない。データ戦略は今までITの一部に過ぎないと思われているが、ITと同様な重要性を持つようになるため、データ戦略を担当するCIOやCDOのポジションを設定する必要もある。

【step2】スモールスケールでスタート　

　近年、アジャイルという言葉はとても流行っている。データ戦略にもアジャイルの適用が最適である。大手企業はアジャイルをやろうとしているが、中小企業は自身の規模や指示系統でより早くアジャイルを展開することができる。

　中小企業は大手企業と比べると、規模が小さく、投資可能な資本も限られてる。しかしながら、これは必ずしもデメリットになるとは限らない。今、データは、ビッグデータからスモール＆ワイドに切り替えるトレンドがあり、中小企業でもデータ活用する機会が増えている。また、スクラッチ開発は費用と時間がかかるし、変化への対応するスピードも遅いため、ベストの選択ではない。現在、技術の進歩によって、多種多様なニーズを満たすツールが沢山出ている。中小企業にとって、気軽に利用できるツールも増えているため、自分のニーズに合わせて、とにかく様々なツールを利用してみた方がよい。　 　 　中小企業はデータ戦略を実行する際に、最初範囲を絞って、スモールスケールで開始することをお薦めする。最初のデータ戦略は、実現したいビジネス成果から、プロセスの改善、意思決定それともビジネスシフトのいずれを優先するか？を決定する必要がある。範囲を絞ったら、測定可能な指標メトリクスを策定する。利害関係者を招集し、評価を行う。データは一部の人のみならず、なるべく全員にデータを使用する権利と権限を与える。企業全体のデータリテラシーとデータ文化の醸成を図る。大企業と中小企業に関係なく、データ人材不足している。しかし、中小企業は一気に投資して、多数のデータサイエンティストを抱えることは難しいが、通常の採用と同時、フリーランス活用の道も推薦したい。

【step3】データドリブンを運用し組織に定着させるループを実践する

　ビジョンを設定し、スモールスタートで開始をした後はいわゆるPDCAの内PDCが揃った状態となる。Actionとしては、スモールスタートで実施した内容を評価するところがスタートとなる。

代表的な自らへのAction（問いかけ）は以下のような内容となる。

・データドリブンビジョンとのズレがないか？ ・実施した内容は、企業の業績に良い影響を与えられるか？ ・データ化指標の数は十分か？拡張するべきか？絞るべきか？ ・利害関係者からの意見はどのようなものがあったか？ ・データを利用した人は十分か？ ・データドリブンビジョンが組織に行き渡っているか？ 　これらを必要なメンバーで協議し、スモールスタートを行った際の設計に反映させる。 この時点から、データドリブンビジョンまで戻る必要はない。ビジョンは先を見据えるための目標であり、スモールスタートではじまったサイクルを回す際にはそこまで戻してしまうと目標がずれていることになる。もし、この時点でデータドリブンビジョンがずれている場合は、スモールスタートの機動性を活かして全てやり直しをするという選択をしても良い。

　以上の問いかけに答えが見つかれば、Step2とStep3を繰り返して徐々に範囲を広げていく。この手法は、Step2で述べられたアジャイルの手法であり、企業に置き換えればリーンスタートアップの手法とも共通する手法となる。

　アジャイルだからPDCAが無くスピードが速いという表現をしているレポートもあるがPDCAが個々のメンバーの中に浸透しているから必要ないのであって、本質的なアジャイルの手法ができないうちは、組織に定着させるループを実践する方が現実的であろう。

これらにリスクを感じることもあるだろう。 データの誤用や蓄積したデータ資産が流出することなどがあげられる。

しかし、我々の考察によるとそれらは文化の創造、リスクの把握、テクノロジー等によって解決できる可能性がある。 例えば、データシェアリングのビジネスにおける必要性の定義を検討してみたり、何がリスクになるのか？というリスクの評価を行って実際にどれぐらいのリスクがあるか？を検証してみたり、ブロックチェーンを活用した信頼性の担保や、AIによる運用マネジメント、証跡管理などが挙げられる。

データの価値は？

デジタルビジネスが成功している状態とは、「デジタルビジネスで価値を創造している」状態と定義する。デジタルの特徴を考えた場合、データ化（可視化）されている事が最大の特徴である。これまでのビジネスでは、全てのデータが「守るべきもの」という前提でオペレーションされてきた。

しかし、「デジタルビジネスで価値を創造している状態」はデータを守るだけで実現できるものであろうか？以下の事例をご覧いただくと、ビジネスの規模やデジタルビジネスの加速のためには「データの共有によって生み出される価値」と「データ共有の文化を構築する」ことの大切さが理解いただけるであろう。

実体を持っている企業がM＆Aやアライアンスを通じて企業価値を最大化しているように、データの価値を最大化するためにはデータとデータの間に信頼関係を構築し、発見する機会を増やす事でそれらを活用する文化の創造が必要不可欠なものとなってきている。

データ共有の従来の見方は否定的である

　従来の企業文化は、組織内であってもデータ共有に反対している。 データ共有を妨げる慣行は報われた。（データ共有を行わないことつまりデータを保護する事は、企業を守る行為という認識をされてきた。） その結果、データ共有に対しては懸念事項が多い事が一般的である。 データ共有を促進するために、組織はこれらのリスクと目に見えない恐怖を軽減する必要がある。 対処する必要のある一般的な懸念は、神経質な利害関係者、データ管理の懸念、ガバナンスポリシーの恐れ、ツールとテクノロジーの欠如の恐れ、および認識されている規制上の制約である。 専門家は、これらの問題に対処するために企業文化の変更を推奨している。 組織は、データを共有しないという態度から共有するという態度に切り替える必要がある。

幹部や組織はデータ共有についてリスクがあると認識をしているが、データ共有の有効性については無視できなくなる

　データ共有は、デジタルビジネスに関して特に重要であることが示されている。 データ共有は、AIのような高度な技術開発を加速する推進力であり、デジタルビジネスを成功させるために必要な洞察を生み出すために必要であると考えられている。 COVID-19に対応して、調査対象の経営幹部の69％が、組織がデジタルビジネスを加速していると回答した。 また、データ共有を促進する組織は、2023年までに同業他社を上回る成果を上げていると予測されている。この傾向にもかかわらず、組織の70％は、組織がデータ共有で効率的ではないと答えている。

　ほとんどの経営幹部は、データ共有が価値創造にとって重要であることを認識している。 世界中の政府も同様である。 調査結果は、内部および外部のデータ共有を促進するD＆Aリーダーがより成功していることを示している。競合他社間でのデータ共有の事例があり、競合他社の競争優位性を高め、業界全体のデジタルビジネスを加速させている。

株式会社小松製作所は建機市場において世界初の実用化されたIoTである「KOMTRAX（コムトラックス）」を開発し、顧客の利便性を上げるため、競合他社とデータシェアリングし、より強いプラットフォームを構築することができた。GoogleやAmazonのような大手プラットフォーマの下請けにならないように、プロダクト戦略からプラートフォーム戦略への早期シフトを実現。建機市場のデータシェアリングが注目を集めることで、2017年に株式会社ランドログ（小松製作所、NTTドコモ、SAPジャパン、オプティムの4社による合併会社）が誕生するきっかけとなった。

Penskeは、米国を拠点とするトラックリース会社である。 Fleet Insightというウェブサイトを立ち上げた。 顧客は自分のトラックデータをWebサイトにアップロードできる。これにより、顧客はトラックの効率、コスト、および日常のメンテナンスを調べることができる。 Penskeもデータを使用できる。 Penskeが受け取るデータは、トラックの動態管理とパフォーマンスを向上させることができる。 目標は、これにより最終的にPenskeが予測分析を利用できるようになることである。

HERE Technologyは、ドイツのさまざまな自動車メーカーが所有するオランダの会社である。 HEREの主な事業は、GPSデータを使用してマッピングデータを収集することである。 HEREは、そのデータをBing、Facebook、Yahoo、Amazonなどの企業にライセンス供与していますが、それらは他の目的でデータを使用している。 自動運転車の開発にも使用されている。 Volkswagen、BMW、Daimler、Mitsubishiは、HEREに関与している自動車メーカーの一部である。 このコラボレーションの理由の1つは、Googleなどの自動運転車の技術を開発しようとしている他の企業と競争することである。

上記のように企業だけではなく、各国政府間も積極的にデータシェアリングを行っている。

2017年エストニアとフィンランドは各国政府間のデータシェアリングのためNordic Institute for Interoperability Solutions(NIIS)研究所を設立しX-Roadを共同開発した。X-Roadはデータ交換を提供するオープンソースソフトウェアおよびエコシステムである。ヨーロッパの政府が徐々に国民を中心としてデジタル化を進めており、より良いサービスを提供するため各国政府間のデータシェアが重要だろう。その後アイスランドとフェロー諸島はNIISプロジェクトのパートナーになり、X-Roadの機能をもっと有効に活用されるだろう。

データシェアリングの課題と対策

　このように、データシェアリングの課題は複数取り上げられる。組織内のデータシェアリングにおいて、「データマネジメント」と「ツールとテクノロジーの不足」の二つの課題がある。一方、外部のデータシェアリングにおいては「規制の禁止事項」と「セキュリティのリスク評価」が主要の課題である。ただし、「利害関係者の抵抗」は内部と外部のデータシェアリングに共通する課題となっている。 そういった課題をどうやって対応するのか、下記の内容が考えられる。

データの所有権ではなく、データシェアリングの文化を醸成

　内部のデータシェアリングと外部のデータシェアリングの共通課題として、利害関係者の抵抗が取り上げられたが、この課題を解決するには、データシェアリングの文化を組織内ないし全社会の中で醸成しないといけない。 　内部でデータをシェアリングすることにより、社内プロセスの効率向上、人材マネージメントや、売上の増加に役立つ。チャレンジするときには、組織をまたがって、合同に対応する必要がある。その際に、データを自分のところだけに蓄積しない仕組みを作る必要がある。データの蓄積は一般的な考え方だが、蓄積したデータに対応する計画がなければ、データの価値とデータ分析に対する投資のリターンも低下する。データシェアリングは運営の効率向上、コストの低減や顧客体験にいかなるメリットがあるのか、利害関係者に説明する必要がある。

データシェアリングのビジネス上の必要性を示す

　調査によると、データの使用を促進するデータ分析チームはより成功している。その内の大多数は、内部でデータをシェアリングすることにより、内部のプロセスを改善している。例えば、販売や製造、人材管理などを改善した。しかも効果は定量的に測れる。ただ、それだけでは十分でない。ビジネスの新しい価値を作るために、所有権や管理の及ばない組織とデータをシェアリングする必要もある。 　上記の事例はビジネスパートナーとデータシェアリングすることで測定可能な経済的な利益を生み出していることを証明している。 　ただ、調査によると、この比率はまだ31％に止まっているとのこと。 　ビジネスパートナーデータシェアリングすることで、商品、サービスまたは有益な契約条件などにおいて、測定可能な経済利益を得ている。さらに、顧客に対して、製品やサービスの価値を高めて、カスタマーエクスペリエンスの向上に貢献している。 　外部のデータシェアリングの対抗に対応するために、外部データシェアリングの成功事例の研究を積み重ねて、ビジネス上の必要性を浸透させる必要がある。

リスクを正しく評価

　 調査によると、ツールとテクノロジーの欠如を成功への主要な障壁として報告している組織は、チームのパフォーマンスが低いとのこと。これらの課題を軽減するのに、テクノロジーではなく、マスターデータ管理、データカタログ、データ品質などに重点を置きたい。同様に、パフォーマンスの低いデータ分析チームは、パフォーマンスの高いチームよりもリスクとセキュリティの問題を障壁として挙げる傾向がある。リスクは実際より大袈裟で過剰に評価されることが多い。実際のリスクを客観的に評価するよりも、「リスクが高すぎる」と言う方が簡単ではあるが、それでは何も生まれない。規制違反またはセキュリティの脆弱性のリスクを対処するときは、「実際のリスク」と「自分が思っているリスク」を明確にする必要がある。多くの組織はリスク回避的すぎて、共有しないアプローチになっている。そのようなアプローチがデータのバリューと企業価値を推進する機会を喪失させてしまう。

ーーーーーーーーーーーーーーー

ここまで、データの共有の有効性、事例や課題、その解決策について調査、考察してきた。 抵抗する勢力に争うよりも、データシェアリングがもたらす可能性に目を向けるようなビジネスや文化、有効性の構築を行う事が、デジタルビジネス加速への有効なアプローチとなるだろう。

The revelations of Facebook having provided data to a 3-party without users' consent has brought much due attention, again, to the matter of... what the hell are these companies doing?!!!

Firstly, let's get this out of the way. Many refer to Google, Facebook, as technology companies. When in fact, the are advertising companies who use/develop technology. They make money from advertising, not technology.

Let's now survey Internet advertising and see what's currently happening.

Internet companies with hyper-scale user-bases are sucking up as much data about those users, sometimes without express consent, so as to target advertisements to them which are paid by entities selling something.

Online advertising is rot with fraud whereby companies pay for their brands to reach eyeballs via online ad exchanges, receive reports of the numbers of eyeballs having seen the those costly ads, and yet actually it's it's not possible to know because human and bot attention can't be proven distinguishable. And ad providers, platforms, etc. have incentive to use such attention bots.

There's "ad wars". This nonsense amounts to recursive blocking of ads, ad-blockers, ad-blocking blockers, ad-blocking-blocker blockers, etc. ad infinitum (pun intended).

Then there's malvertising. Yeah, that's a thing, whereby ad platforms are used as vectors for malware (e.g. ransomware, etc.).

And very sadly just yesterday, there was the incident at Youtube's headquarters involving shootings. Which it now appears to have been aggravated by... advertising.

One struggles to find anything good about any of this. Except perhaps those Internet, ahem, advertising companies with hyper-scale user-bases. The negative aspects of it all for society now seemingly outweigh it's benefits. Perhaps we need not online advertising anymore anyway; maybe never did? With "Web 3.0" technologies maturing, this might finally be realized.

I understand the New York Department of Financial Services enacted laws, originally from March 2017 but are now in-effect, to create more accountability for cyber security efforts of major corporations - banks, insurers, financial service organisations, etc. Which require senior executives, Chairman of the Board of Directors, or senior officers (e.g. CEO) to personally certify their computer networks are protected by a cyber security program appropriate to their risk. A cyber security Sarbanes-Oxley, if you will.

3,000+ firms must have a very top-level executive formally attest to having the following:

• cyber security program appropriate to their risk profile
• cyber security policies to protect information systems and customer data
• chief information security officer responsible for overseeing and implementing cyber security and enforcement thereof
• qualified cyber security staff or contractors to work with the CISO
• incident response plan
• control of privileged access to its IT network
• either continuous monitoring or periodic penetration testing
• vulnerability assessment for their network
• full-scale risk assessment of their information systems
• multi-factor authentication for remote access
• regular cyber security awareness training for staff
• annual reporting from the CISO to the board of directors

This is all well-and-good, but for one thing; the CISO appointment. This poor sole has unattainable responsibilities for which they'll be sacked when there's a security incident, which will likely be caused by lapses from others. See, a CISO can't possibly, constantly oversee actions (e.g. development, operations, and use) of every single person within an organisation. Security should be equal and great responsible of every single staff member. And assigning such responsibility to a single individual would reduce others' sense of having such responsibilities themselves.

It's only fitting to use this month's article to call attention to Linux Journal Ceases Publication

Publishing in general is going through transformations that jeopardize known sustainable business models, very sadly. Until sustainable models in the Internet age can be determined, some great publications may not survive to adopt them.

If anyone can assist the good people at Linux Journal and their readership, please do. Linux Journal has been a valuable source of news and useful information to the Linux community for a long time, and has so much more to offer in the future.

Sincerely,

MRD

It's with great pleasure I can update that Linux Journal received backing to continue publishing.

So yesterday I came across an article on CNN Money which discussed users of Google Docs loosing permissions on their own documents because Google pushed out a technological change that deemed a "small percentage" of documents as abusive. Apparently the activity on Twitter suggested it was more than what Google was letting on.

Anyway, the news article seemed to focus on the matter at hand and unfortunate users, while I couldn't help but think - Geez, my suspicions of Google scanning documents in Google Docs is true. Guess I could have just read the policy, but would rather not and hope for the best. Oh, and Google's deciding what people can put in those documents; huh?

It's one thing for Facebook, Twitter, etc. to scan and ban because it goes out to the public. But Google Docs doesn't... does it? Maybe it's just me, but this feels like the SaaS "Public Cloud" equivalent of not only being told what one can't say, but what one can think. And negative reinforcement should breach occur.

Sigh.

On September 18th, The EFF wrote "An open letter to the W3C Director, CEO, team and membership" to tender their resignation from the W3C, and express reasons for doing so.

After careful review of the letter, related publications, and recent events, an official response is imperative - HOLY CRAP!!!

Like just about everything on the Internet, most users have no idea what's going on behind the scenes, within the technology, and the implications for us all. I would never claim to know all about these myself, but understand the EFF's resignation stems from DRM (digital rights media) and how the EME (encrypted media extensions) specification to be adopted by the W3C as an HTML5 standard would allow corporations to impose their own 3rd-party technology onto user's via browsers. Further deincentivising corporate innovation and possibly giving corporations a legal foothold to charge legitimate security researchers, who make the Internet more secure for us all, with the already very controversial CFAA. And in so doing, seemingly undermining the whole open Internet ethos itself!

It's imperative to support media creation or it won't even be around for us, and thank God .com is a PART of the Internet. But they are NOT the whole Internet. EME seems some further expression of super sour grapes from corporations after having done too little too late to leverage the Internet with innovation for their own customers to consume media, and has no place on an "open Internet".

Besides, how are you going to control 0s and 1s anyway. I mean, once any media is decrypted, it can be copied into any format to anywhere anyway. EME ain't even gonna work people.

It's clearly understandable from where the EFF are coming and where I stand on this. But perhaps their reasons for resigning are the very reasons they should remain in the W3C. We clearly need them there, now more than ever.

Decisions having ubiquitous consequence with the way the Internet or services thereon work happen all too often without almost all who use the Internet even knowing. Ignorance doesn't mean not caring though. It more likely means blissfully unaware; and in some cases, to our own detriment. Hence this blog posting, and for the chance that even a single reader may benefit from learning a bit more about what happens behind the scenes. And perhaps motivate them to seek more information on its content, the Internet, how it works, and when key players make consequential changes to innerworkings.

We're talking about the stuff WE ALL use EVERY time our browser connects to sites on the Internet requiring secure connections, within which sensitive data is transmitted. You know... that HTTPS stuff (S is for security). Or at least, those sites that should be using HTTPS, TLS, and key agreement (e.g. Diffie-Hellman key agreement). The latter two are implementations and applications of mathematics respectively for the former, and the topic at hand.

Key (Diffie-Hellman) agreement is necessary for two computers over a network (e.g. the Internet) to transmit data securely. As it happens, there are two types - ephemeral and static. The former produces a new key for each session of data transition, and thus provides what's called PFS (Perfect Forward Secrecy). Meaning should any session's key be compromised and security of the data along with it, all other secure sessions should still be securely OK. The latter, static... any compromise means henceforth, your cover is blown. That is if the key is not regenerated, which would be unlikely.

If what I understand is correct, the IETF Internet Engineering Task Force are considering reintroducing ciphersuites with static key agreement back into the TLS specification, so as to appease the network monitoring industry into adoption of the specification, rather than ephemeral key agreement having PFS. As this would require no change to the client-side of key agreement, and prior versions of TLS have such static key agreement ciphersuites, one would never know if they've PFS or not. And implications don't stop there. It invites other vulnerabilities, such as replay attacks.

This smells like yet another use case for distributed consensus key agreement. Although not plentiful, there has been such research. No doubt the monitoring industry is important and deserve a say in this matter. But reintroducing static key agreement ciphersuites back into a specification that's meant to be moving forward, simply seems a step backward.

APサーバとDBサーバを分けられないか？と考えている。書き込みの多いDB処理をSDカード内で行う、ということに不安を覚えているからである。

考えている手段は以下の通りである。
・Raspberry PiをHDDから起動する
・DBのデータを外付けのストレージに移し、そこから読み書きさせる
・データは外部サーバやクラウドに任せる
今回は、3番目を採用する。

用意するもの

Raspberry Piとクラウドを用意すればよかったのだが、まずは仮想環境間でやってみることにする。

・仮想端末2台　Virtualboxにて作成
　OS:CentOS7.2
　メモリ:1GB
　ストレージ:40GB
　ネットワーク:ブリッジネットワーク
ブリッジネットワークを選んだ理由だが、後々Raspberry Piと相互で処理させたいためである。 なお、ホスト名だが「Tone」と「Chikuma」にした。ToneがAP、ChikumaがDBである。ホストの命名については、個人のみで使う分にはどうやってもよいと思う。名前だけで判別できるなら全く問題ない。

Redmineをインストールする

Redmineのインストールについては、GitHubにあるインストール方法を採ることにした。

https://github.com/farend/redmine-centos-ansible

入力するコマンドが少ないので、非常に楽である。しかし、今回の目的は「RedmineにてAPサーバとDBサーバを分離させる」ことなので、これだけでは終わらない。

Redmineの設定を確認する

上記のインストール方法を採った場合、Redmineのインストール先は/var/lib/redmineになる。中を見てみることにする。

[root@Tone config]# cat /var/lib/redmine/config/database.yml
production:  
  adapter: postgresql
  database: redmine
  host: localhost
  username: redmine
  password: "*****"
  encoding: utf8
  pool: 5
[root@Tone config]#

・・・おそらくだが、「host:」の値を変更すれば、別サーバのDBから読み込んでくれるのではないか？と思っている。

続きは後ほど。