情報セキュリティ基本方針の策定とリスクアセスメント（評価手法）

現場のエンジニア諸君、お疲れ様。今日は、多くの開発者が「なんとなく」設定してしまっているCookie属性について、本気で噛み砕いて話そうと思う。インシデント対応の現場に立つと、たかだか数行のヘッダー設定漏れが原因で、数千万円規模の損害や顧客...

その認証、まだ「穴」だらけだ。FIDO2/WebAuthnでフィッシングを過去の遺物にする方法エンジニア諸君、日々お疲れ様。今日もコードを書き、サーバーを守り、頭を悩ませていることだろう。さて、読者の中には「うちはTOTP（6桁の数字を入力...

「設定ミスはコードで殺せ」――IaC時代のセキュリティとS3公開事故を防ぐ絶対防衛ライン現場のエンジニア諸君、お疲れ様。今日もコードを書いて、クラウドをデプロイしていることだろう。最近、S3バケットの設定ミスによる情報漏洩事故が後を絶たない...

SOARによる「自動隔離」の罠を越えて：現場が本当に恐れるべきインシデントハンドリングの真実現場のエンジニア諸君。セキュリティの教科書には「インシデント発生時は速やかに隔離せよ」と美しく書かれているが、現実はどうだ？ 3時のアラートで叩き起...

現場のエンジニア諸君、今日も泥臭い戦い、お疲れ様。「TDEを導入しているからデータは安全だ」という経営陣の甘い言葉を鵜呑みにしていないか？ 今日は、データベースのセキュリティにおける「安心の罠」と、現場で本当に守るべき防衛ラインの話をしよう...

現場のエンジニア諸君、お疲れ様。今日もどこかでAPIが叩かれ、どこかで誰かが認証を突破しようと血眼になっている。「APIゲートウェイがあるから安心」と高を括っているなら、今すぐその考えを捨ててくれ。ゲートウェイは魔法の杖じゃない。正しく設定...

LLMの「いいなり」になるな：ガードレールで防ぐ、生成AI時代のインジェクション攻撃現場のエンジニア諸君、お疲れ様。最近はAPIを叩けば優秀なAIがコードを書いてくれる時代だ。だが、その便利さの裏で「プロンプト・インジェクション」という名の...

現場のエンジニア諸君、日々お疲れ様だ。セキュリティの現場に長くいると、「AIに何をさせればいいか」を考えるエンジニアは多いが、「AIに何をさせてはいけないか」という視点が欠落しているプロジェクトの多さに絶望することがある。特に「プロンプトイ...

コンテナ環境の「見えない侵入者」を狩る――FalcoとCI/CDで構築するランタイム・ディフェンスの要諦現場のエンジニア諸君、お疲れ様。「コンテナはイミュータブル（不変）だから、一度デプロイしてしまえば安全だ」なんて幻想を抱いていないか？ ...

現場のエンジニア諸君、日々のアラート対応やデプロイ作業、ご苦労様。セキュリティの世界では「暗号化しました」という言葉が免罪符のように使われることがあるが、真のプロは「鍵をどこに置き、どう捨てたか」しか見ていない。どれほど強力なAES-256...