情報セキュリティ基本方針の策定とリスクアセスメント（評価手法）

AI時代の監査ログ：なぜ「プロンプト」を記録しないエンジニアは、爆弾を抱えて眠るのか現場のエンジニア諸君、お疲れ様。最近、開発チームから「AI連携機能を実装した」という報告を耳にする機会が増えた。だが、その報告のあとに「で、プロンプトとレス...

エンジニア諸君、現場の最前線は今日も戦場だ。生成AIの導入が「とりあえずAPIを叩いて動くものを作る」段階から「ビジネスの核心として可用性を維持する」段階へと移行する中、セキュリティ担当として一つだけ断言しておく。「トークン消費量＝コスト」...

AIの「盲点」を突く敵対的攻撃：現場のエンジニアが今すぐ取り組むべき防衛戦略エンジニアの皆さん、お疲れ様です。最近、多くのプロジェクトで生成AIや機械学習モデルを組み込む機会が増えていますよね。「APIを叩いてレスポンスを返すだけだから安全...

コンテナの「中身」を誰が保証するのか？――サプライチェーン攻撃を無効化する署名検証とスキャンの極意現場でコードを書いていると、「動けば正義」という誘惑に駆られることがある。だが、セキュリティの最前線にいる我々から見れば、その「動いているもの...

ゼロトラストの「お守り」はなぜ突破されるのか？デバイスポスチャチェックの真実現場でインシデント対応をしていると、よくこんな相談を受ける。「ゼロトラストを導入したから、VPNもやめて社内システムをSaaS化して万全です」と。だが、現実は甘くな...

「IaCスキャンはただの儀式じゃない」— インフラの穴をCI/CDで塞ぐ、現場の実践知現場のエンジニア諸君、お疲れ様。今日もプルリクエスト（PR）のレビューに追われているか？「設定ミスによるS3バケット公開」や「IAM権限の過剰付与」。これ...

攻撃者は「権限の過剰付与」を一番の好物にする：IAM最小特権化の生存戦略現場のエンジニア諸君、お疲れ様。今日もクラウドのコンソール画面と格闘していることだろう。多くのエンジニアは「動けば正義」という開発フェーズの魔力に負け、IAMポリシーに...

LLMセキュリティの「泥沼」から脱出せよ：OWASP Top 10 for LLMを実戦で攻略する現場でセキュリティを見ていると、最近のエンジニアは「LLMを導入すれば魔法のように便利になる」という幻想に捉われすぎていると感じる。だが、忘れ...

生成AI時代のDLP：プロンプトに潜む「デジタルな生贄」をどう防ぐか現場で戦うエンジニア諸君、お疲れ様。最近、「社内ツールにChatGPTを組み込んだので、あとはよろしく」という無茶振りをされたことはないか？ 多くの現場で、LLMの利便性に...

AIガバナンスの「建前」を捨てろ：モデルカードとシステムカードで防ぐ現場の急所エンジニア諸君、お疲れ様。今日もどこかでAI APIを叩き、LLMをプロダクトに組み込んでいることだろう。最近、経営陣から「AIガバナンスを策定しろ」「モデルカー...