「正解」と「現象」

 

先に「正解」を作ってロードマップなのか、実際の「現象」から調査するのか。

さて、LLMに「帯状疱疹って、そんなに誰もがかかる病気？」と質問した。

-----------------Gemini、ChatGPT、Grok-------------------
どれも似たり寄ったり・・・

日本では、80歳までにおよそ3人に1人が帯状疱疹を経験すると推定されています。85歳では、約半数に罹患歴があるという報告もあります。特に発症は50歳代から増え、70歳代が多くなります。

https://www.mhlw.go.jp/content/10900000/001328116.pdf?utm_source=chatgpt.com

原因は、子どもの頃などにかかった水ぼうそうのウイルスが、神経の中に何十年も潜伏していることです。加齢、疲労、強いストレス、病気や治療による免疫低下などを契機に、再び活動し始めます。つまり、新しく外から帯状疱疹をもらうというより、自分の体内に残っていたウイルスが再始動する病気です。

https://qa.dermatol.or.jp/qa5/q11.html?utm_source=chatgpt.com

注意したいのは、発疹が治っても痛みが残る「帯状疱疹後神経痛」です。発症者の約10～20％で起こり、特に60歳以上、発疹や初期の痛みが強い人ほど起こりやすいとされています。

片側だけにピリピリ、チクチク、焼けるような痛みがあり、その後に赤い発疹や水ぶくれが出た場合は、早めに皮膚科を受診した方がいいです。顔、目の周囲、耳に出た場合は特に早めです。帯状疱疹ワクチンは発症や重症化の予防に使われ、日本では2025年度から65歳などを対象とする定期接種も始まっています。

----------------------------------------------------------------------

ね、この帯状疱疹って「誰が集めた数字なのか」気にならない？

https://pubmed.ncbi.nlm.nih.gov/19856466/
中心になったのは、「宮崎県皮膚科医会」「外山望医師」「白木公康・富山大学医学部教授」らだよね。「宮崎スタディ」と呼ばれてさ、1997年から宮崎県内の皮膚科を受診した帯状疱疹患者を継続的に集計したんだと。最初の10年間では4万8,388例、1997～2011年の15年間では7万5,789例が報告されているんだけど、どう計算したのか気になるじゃん。

計算は、

「その年、その年齢層で皮膚科を受診した帯状疱疹患者数」
÷
「宮崎県の同じ年齢層の人口」だってさ。

これによって「人口1,000人当たり、1年間に何人発症したか」を計算する。15年間の全体平均は、1,000人当たり年間4.38人。

みたいな感じ。

https://id-info.jihs.go.jp/niid/ja/typhi-m/iasr-reference/4014-dj4048.html

かなり粗く全体平均だけでも、

4.38人 ÷ 1,000人 × 80年 ＝ 約35％

となり「年間0.4～0.5％程度の発症が長年積み重なると、約3分の1になる」という発想。

ただし、本来の累積リスク計算では、すでに発症した人を翌年の未発症者から除き、年齢別発症率や死亡なども考慮するため、単純な掛け算とは少し違う。公表された一般向け解説には、3分の1を算出した詳細な数式までは示されていないんだよ。

宮崎県民の帯状疱疹発症者全員ではなく、調査に参加した皮膚科で帯状疱疹と診断された患者

皮膚科へ行かなかった軽症者は入らなかった可能性
内科や眼科などだけを受診した人は漏れる可能性
同じ患者が複数の医療機関を受診すると（はしご）、重複し得る

発症数なのか、通院数なのか明確に示されていない
再発患者を「新しい発症」と数える場合がある
診断の多くは臨床診断で、全例PCR確認ではない
宮崎県の人口構成や受診習慣を全国へ当てはめている
80年間、同じ人を追跡した研究ではない

調査側は宮崎県全体の患者の約85％を捕捉したと推定しているけど、この85％自体も厳密な全数確認じゃないよね。また研究者自身が、健康保険データを使った別調査では発症率が宮崎スタディの約2倍になり、重複受診、再発、他疾患の混入などを整理しないと信頼性が上がらない、と指摘してるのは何？

結局、「3人に1人」は何なのか？正確には、1997～2011年ごろの宮崎県における皮膚科受診患者の年齢別発症率が、将来も同程度続くと仮定した場合の累積推計なんじゃないの？

じゃ、いいよ。

たとえば、セキュリティーの世界でそんな事がまかり通ったらどうなる？

たとえば、同じ攻撃者が1台のPCに1万回ログインを試みたとするよね。
実際の攻撃者：1人
実際の侵入成功：0件
ログ上の認証失敗：1万件
ここで「サイバー攻撃を1万件防御しました」と発表することはできる。数字は嘘じゃないでしょ。でも実態は、同じ相手の自動試行を1万行数えただけ。

さらにひどい例なら、
ファイアウォールが同じ通信を何度も記録
EDRが同じ不審ファイルを端末ごとに検出
SIEMが同じ元ログから複数の相関アラートを生成
SOC担当者がそれぞれを別インシデントとして集計

こうなると、1つの現象が10件、100件、1000件に増殖しない？
すると経営層には、「今月は攻撃を12万件検知しました」「前月より防御件数が30％増えました」「新製品導入により脅威検知能力が向上しました」と報告できちゃう。

でも、本当に見るべきなのは、
攻撃者は何者だったか
何台が実際に侵害されたか
情報は外に出たか
同じ攻撃を何度繰り返されたか
検知できなかった侵入はないか
復旧に何時間かかったか

じゃないの？

ここでも、イベント数とインシデント数を混ぜると全部が壊れないかって話よ。
イベント：ログ1行
アラート：製品が反応した単位
インシデント：人が調査すべきまとまり
侵害：実際に防御を突破された事象
被害：情報流出、停止、改ざんなどの結果

これらは全く別物だよ。しかも都合のいい指標を選べば、どちらの物語も作れちゃう。
・製品を売りたい側は「脅威を100万件検知しました」
・管理部門が成果を見せたい側「99.99％の攻撃を遮断しました」
・予算を増やしたい側「サイバー攻撃が前年比300％増えました」
・事故を小さく見せたい側「影響を受けたシステムは1件だけです」

全部、定義次第で成立しちゃわない？
極端に言えば、玄関を1人が100回ガチャしたら、「不審侵入100件を阻止」とも言えるし、「侵入者は1人」、「侵入成功なし」とも言えてしまうわけ(笑)

FW、EDR、SIEM、SOCの各レイヤーで1つの現象が雪だるま式に1000件のアラートに化け、「検知数が30%向上しました！」と新製品の成果にすり替わる構造が、ベンダーやMSSPのマーケティングとまでは言わないよ。

セキュリティではそんな「水増しされた記号」で経営陣を騙せても、実際に一発本物の侵入（現実の差分）を見落とせば、システムは全停止して会社が傾くんじゃないの？だから本質的な現場は、そんなゴミ数字を削ぎ落として「本当に侵害されたか、漏洩はあるか」という生の実態を死に物狂いで追わざるを得ないわけだ。

4月13日のblogの冒頭に書いた内容ってのもさ、先に都合の良い「正解」に寄せて「実際の現象」は無視してるんじゃないの？って話だよ。（何を書いてもそっちに繋がるｗ）

いいよなぁ、国は呑気で。
「ちゃんとやってる」しか言わなくても罪にならないでしょ。

民間の企業の少なくとも経営者と自負している人なら、「自分の会社の実際の現象」と「力を持った正解に寄せている組織」との差分は調べるべきだよ。セキュリティで考えた場合、その構造を真に受けて、そのリスクを背負うのは誰で、利益を得るのは誰なのかくらいは、知っておくべきだよ。

もう、ＴＶ観て信じてる個人のことまではどうこう言わないよ。

こういうのを何ていうか知ってる？

国のシステムというんだよ。