情報セキュリティ基本方針の策定とリスクアセスメント（評価手法）

おい、少し手を止めてこっちを向いてくれ。今、お前たちが必死こいて開発しているその生成AI機能、あるいは社内データを突っ込んで効率化を狙っているLLMの裏側、本当に安全だと言い切れるか？ 「クラウドベンダーの規約で学習には使われないから大丈夫...

現場の最前線でコードを叩き、深夜のインシデント対応に追われてきたエンジニア諸君。今日は、多くの企業が「魔法の杖」として飛びついている生成AI、その足元をすくう「プロンプトインジェクション」という厄介な怪物について話そう。経営層は「AIで効率...

AIモデルの「ブラックボックス」を剥ぎ取れ：SBOMを活用した生存戦略現場のエンジニア諸君、お疲れ様。最近、開発の現場で「Hugging Faceからとりあえずこのモデル落としてきて」という会話が飛び交っていないか？ もし君が「動くからOK...

「クラウドは安全」という幻想を捨てろ：共有責任モデルの泥臭い現実エンジニアの皆さん、お疲れ様。今日もAWSやAzureのコンソールと睨めっこしていることだろう。多くのプロジェクトで「クラウドに移行すればセキュリティは勝手に担保される」という...

レガシーからの脱却：ゼロトラスト移行で「境界防御」の亡霊を葬り去るオンプレミスの「城壁」の中に閉じこもっていたシステムをクラウドへ移行する際、多くのエンジニアが陥る罠がある。それは、「クラウドを単なる巨大なデータセンターとして扱い、従来の境...

AI時代のデータガバナンス：著作権地雷を踏まないための「防衛的データ管理」現場のエンジニア諸君、お疲れ様。最近、開発チームから「社内AIツールに最新のWeb記事を学習させたい」という相談が増えていないか？ 経営層は「AIで生産性向上だ」と息...

EU AI Actを「絵に描いた餅」にしないために：エンジニアが今すぐやるべきリスクベース・ガードレール実装現場でシステムを組んでいるエンジニアにとって、EU AI Actのような法規制は「遠い国の話」に聞こえるかもしれない。だが、世界中の...

LLM時代のレッドチーミング：お前たちのAIアプリは「脆弱性の宝庫」かもしれない現場でエンジニア諸君と話していると、「RAG（検索拡張生成）を組んだから大丈夫」「プロンプトを少し隠したから安心」という声をよく聞く。だが、セキュリティの最前線...

AIの「公平性」はセキュリティの最前線だ：バイアス攻撃からシステムを守る実務論やあ、現場で泥をかぶっているエンジニアのみんな。今日は少し趣向を変えて、生成AIの「バイアス」をセキュリティの観点から掘り下げる。「AIの差別的発言？ それは広報...

「ハードコードされた認証情報」はもはや遺物：動的シークレットで実現する「奪われても無効化される」世界線現場でインシデント対応をしていると、いまだにGitHubのコミット履歴からAWSのアクセスキーやDBのパスワードが見つかるケースに遭遇する...