情報セキュリティ基本方針の策定とリスクアセスメント（評価手法）

メトリクスは経営への免罪符ではない：現場の防衛を死なせないKPI設計の極意世の中のセキュリティマネジメントの多くは、実につまらない数字のゲームに成り下がっている。「今月は脆弱性スキャンの検知数が先月比15%減りました」「パッチ適用率は99....

脅威モデリング（STRIDE）の現場的実用論：設計段階でバグの芽を摘み取るアーキテクチャ防衛コンプライアンス対応としての形骸化したセキュリティチェックシートや、ペネトレーションテストの段階になって見つかる致命的な設計ミスに、頭を悩ませていな...

DPIA（データプライバシー影響評価）を「形骸化したお題目」から生きた防衛要塞へ変える技術的アプローチ組織の法務部門やコンプライアンス担当者がExcelのシートを埋めるだけのDPIA（Data Protection Impact Asses...

サプライチェーンの「死角」を断つ：生成AI・SaaS時代におけるSCRMと責任分界点のアーキテクチャ設計インシデントレスポンスの現場で泥にまみれた経験があるセキュリティエンジニアなら誰もが知っている真理がある。それは、「最も強固な要塞も、最...

抽象的な倫理指針はなぜ現場で殺されるのか「責任あるAI（Responsible AI）」という言葉が、企業のガバナンス資料や経営陣のプレスリリースに踊らない日はない。公平性、透明性、説明責任。これらは美しく、誰も反対できない崇高な理念だ。し...

LLMセキュリティの幻想と、現場のエンジニアが直面する現実生成AI、そして大規模言語モデル（LLM）の導入スピードは、経営層の焦燥感と相まってアクセルを踏みっぱなしの状態だ。しかし、セキュリティアーキテクトやテックリードの席に座る我々が直面...

生成AIセキュリティの泥沼：情報セキュリティ基本方針とリスクアセスメントのパラダイムシフト世界中のインシデントレスポンスの現場を渡り歩いてきた私にとって、近年の「生成AIブーム」は、セキュリティの歴史において最も制御し難いパンドラの箱が開い...

資産台帳という名の「呪物」をいかに解体するか「情報セキュリティ基本方針に基づき、全社的な情報資産台帳を作成し、CIA評価を実施すること」このお題目を前にして、どれほどのエンジニアが絶望的なため息をついたことか。Excelを開き、果てしない行...

はじめに：枠組みの綺麗事と、現場の泥臭い現実の乖離セキュリティ界隈の人間なら、NIST Cybersecurity Framework (CSF) の名前を聞かない日はないだろう。初代のCSF 1.0から、2024年にリリースされたCSF ...

経営の免罪符か、現場の足枷か：ISO/IEC 27001に基づく「生きた」セキュリティ基本方針のアーキテクチャ世の中の多くの組織において、ISO/IEC 27001の認証取得は「お題目」と化している。監査の季節が近づけば、埃をかぶったWor...