情報セキュリティ基本方針の策定とリスクアセスメント（評価手法）

おい、ちょっと手を止めてこっちを向いてくれ。クラウド移行を進める現場で、こんな会話をよく耳にする。「Terraformで綺麗にインフラをコード化したから、インフラの品質は担保されている」「CloudFormationのテンプレートがあるから...

おい、ちょっと手を止めてくれ。最近、開発チームから「自社で数千万円かけてファインチューニングしたLLM（大規模言語モデル）のAPIを公開したら、なんだか急にトラフィックが増えてコストが高騰している」という相談を受けた。お前らも、生成AIのA...

クラウド移行の落とし穴：鍵（KMS）を握られていれば、どれだけ分厚い城壁も意味がないおい、最近のクラウド移行ブームに乗っかって、AWSやGCPにシステムの丸ごと移管を進めているチームが増えているようだな。だが、ちょっと待て。オンプレミス時代...

おい、ちょっと手を止めてこっちを向いてくれ。最近、社内のあちこちで「生成AIを業務プロセスに組み込みたい」「LLMのAPIを叩いて自動で顧客対応やコードレビューをさせようぜ」という威勢の良い声が聞こえてくるよな。経営陣も「AI駆動型ビジネス...

お疲れ様です。インフラのオートスケーリングとコンテナの寿命の短さに頭を悩ませつつ、「監査要件のために全ログを永久保存しろ」という無茶な上層部からのパスに直面していませんか？数々のインシデント現場を渡り歩いてきた私から言わせれば、クラウドネイ...

生成AIをプロダクトのコアに据える開発が当たり前になった今、君たちも日夜、LLMのファインチューニングやRAG（Retrieval-Augmented Generation）の構築に奔走していることと思う。だが、少し立ち止まって考えてみてほ...

クラウド移行の罠：境界防御の幻想とマイクロセグメンテーションの現実おい、ちょっと手を止めてくれ。お前たちが今進めている「オンプレからクラウドへの移行プロジェクト」、本当に安全だと言い切れるか？「AWS（やGCP）に移したから安全」「VPCで...

お疲れ。インシデント対応の合間に、ちょっと耳を貸してくれ。最近、社内のあちこちで「生成AIを社内システムに組み込こう」「RAGで社内文書を検索させよう」という威勢の良い声が聞こえるよな。経営陣も「時代に乗り遅れるな」と前のめりだ。だが、現場...

おい、ちょっと手を止めてこっちを向いてくれ。昨日、あるチームのクラウド環境の監査ログを見ていて、また血の気が引くような光景に出くわしたんだ。開発環境の検証用にと作成されたAWSのS3バケットが、設定ミス（Misconfiguration）に...

おい、最近の生成AIブームに乗っかって、社内の業務効率化だ、自動化だと、ろくにリスク評価もせずAPIをシステムに組み込んでいるチームが多すぎる。「AIの回答だから中立で公平だ」なんて、ハッカー崩れの俺から言わせればお花畑の極みだ。学習データ...