情報セキュリティ基本方針の策定とリスクアセスメント（評価手法）

現場のエンジニア諸君、お疲れ様。CISSPとして数々の修羅場をくぐってきたが、最近の「AI学習データ」を巡るリスク管理の甘さには正直ヒヤヒヤさせられる。「社内のAIモデルに、ネット上のコードや文章を学習させれば便利じゃないか？」……その判断...

「禁止したはずのChatGPT」が機密情報を食い荒らす：シャドーAIを封じ込める実戦的ガードレール現場のエンジニア諸君、お疲れ様だ。「うちの会社はAI利用禁止だから大丈夫」なんて甘い考えでいるなら、今日でその認識を改めろ。今の時代、ブラウザ...

現場のエンジニア諸君、お疲れ様。セキュリティチームのチーフだ。最近、「AIを導入したい」という企画書が山のように届くが、その裏側にある「AI特有のインシデント」について真剣に考えたエンジニアはどれくらいいる？従来のWebアプリなら、SQLイ...

生成AIを「信じるな」：ガードレール実装を評価するための実戦的リスクアセスメントやあ。現場で泥臭いインシデント対応をしていると、最近は「AIを導入したいが、プロンプトインジェクションが怖くて夜も眠れない」という相談が後を絶たない。結論から言...

生成AI時代の「やってはいけない」をコードで縛る：現場主導のセキュリティガバナンス現場のエンジニア諸君、お疲れ様。最近は「ChatGPTを業務で使え」というトップダウンの号令と、「機密漏洩するな」という現場の悲鳴が交差する、胃の痛い日々を送...

現場の諸君、お疲れ様。今日もどこかで脆弱性が叩かれ、誰かの認証情報が闇サイトに流れている。管理職や経営層に「セキュリティのKPIを策定しろ」と言われて、とりあえず「パッチ適用率100%」なんて数値を並べていないか？ それはただの自己満足だ。...

現場のエンジニア諸君、日々のアジャイルな開発と終わりの見えない運用、本当にお疲れ様。今日は「STRIDE」の話をする。教科書には「脅威モデリングのフレームワーク」なんて小難しいことが書いてあるが、俺たちにとってのSTRIDEは、「泥沼のイン...

AI時代のデータプライバシー：DPIAを「形骸化した書類」から「最強の防御壁」へ変える技術論現場でエンジニアと話していると、「DPIA（データプライバシー影響評価）？ ああ、法務から回ってきたあの面倒なチェックリストのこと？」という反応が返...

サプライチェーンの脆弱性は「契約書」と「コード」で防げ：AI時代のSCRM実践論いいか、現場のエンジニア諸君。君たちが普段何気なくAPIキーを叩いているその外部AIサービスやSaaS、君たちの会社にとって「最大の弱点」になり得るという自覚は...

AIガバナンスの「建前」をぶち壊す：現場で使える「責任あるAI」の防御実装「AI倫理指針」なんて、厚い資料を作ってハンコを押せば安心だと思っているなら、今すぐその考えを捨てたほうがいい。現場のエンジニアにとって、Responsible AI...