情報セキュリティ基本方針の策定とリスクアセスメント（評価手法）

AI時代の「脆弱性スコアリング」：CVSSをAIに当てはめてはいけない理由と、実戦的な防御戦略エンジニア諸君、お疲れ様。最近、あちこちで「AI導入時のセキュリティリスク」という言葉を耳にするが、君たちは本当に「数値」でリスクを語れているか？...

ISO/IEC 42001を「お題目」で終わらせない：現場が直面するAIリスクと防衛の実践「AIを導入すれば効率化できる」——経営層からそう言われて、現場のエンジニアが頭を抱えるのは決まり文句だ。ISO/IEC 42001（AIマネジメント...

AIセキュリティの「綺麗事」を終わらせる：NIST AI RMF 1.0を現場で実装する泥臭い戦術「AIを導入します」という決定が経営層から下りた瞬間、現場のエンジニアが抱えるのは期待よりも「得体の知れない脆弱性への恐怖」だろう。NIST ...

AIエージェントの暴走を止める：ツール実行の「ホワイトリスト・サンドボックス」極意やあ。現場で泥水をすすりながらインシデント対応をしている諸君、ご苦労様。最近、社内Slackで「AIに自律的にツールを叩かせて業務効率化したい」という要望が増...

現場のエンジニア諸君、お疲れ様。今日もどこかでRAG（Retrieval-Augmented Generation）のパイプラインを組んでいることだろう。「社内ドキュメントをLLMに食わせて賢いチャットボットを作る」。一見、現代的で素晴らし...

現場のエンジニア諸君、お疲れ様。今日は「生成AIを業務にどう組み込むか」という、今の開発現場における最大のホットトピックについて話そう。経営層や法務からは「著作権だのGDPRだの」と抽象的な注文が飛んできているだろうが、我々エンジニアが向き...

生成AIの「差別」をハックされるな：バイアス評価と防御の最前線現場のエンジニア諸君、お疲れ様。CISOの視点から言わせてもらうが、今、君たちがAPI越しに叩いている生成AIは、単なる「便利な道具」ではなく「予測不能な変数」だ。特に、AIモデ...

LLMのAPIを「丸裸」で公開するな：WAFによるプロンプトインジェクション防衛の最前線現場で多くのインシデントを見てきたが、LLM（大規模言語モデル）のAPIを運用するエンジニアが最も陥りやすい罠は、「LLMを魔法の箱だと信じすぎること」...

AI時代の脅威モデリング：STRIDEを「LLMアプリケーション」にどう適用するか現場のエンジニア諸君。最近、「AIを組み込んだアプリを作れ」という号令で、とりあえずAPIキーを叩いてプロンプトを投げるだけのコードを書いていないか？ 正直に...

LLMのハルシネーションを「信頼性スコア」で飼い慣らす：RAGパイプラインの防衛戦現場でLLMを導入する際、最も恐ろしいのは「自信満々に嘘をつく」ハルシネーション（幻覚）だ。これが単なる誤情報ならまだいい。だが、社内の機密ドキュメントをRA...