セキュリティチェックシートに回答する“つらみ”はLLMで解消 セキュリティ担当者に「本格運用できるんじゃない？」と言わせた仕組み
LLMを活用したサービスを社内外でリリース・運用した経験のある3社のエンジニアが登壇し、実運用を経たからこそ見えた課題やその解決策、運用を見据えた設計・実装の知見などについて語る「LLM in Practice -3社の実例から見るLLM活用サービスを運用した課題と学び -」。ここで株式会社LayerXの白井氏が登壇。「セキュリティチェックシート」をLLMに回答させる取り組みについて紹介します。 白井氏の自己紹介 白井仁美氏（以下、白井）：「LayerX Biz Boost 〜セキュリティチェックシート一次回答の取り組み〜」と題して、LayerXの白井から発表します。 自己紹介です。ハンドルネームは「yakipudding」で活動しています。2023年3月にLayerXに転職してきて、機械学習エンジニアをやっています。 LayerXは法人向け支出管理サービス「バクラク」シリーズを提供してい
たくさんセキュリティチェックシートを書いていて悟りが開けそうなので途中経過を書いてみる - Qiita
セキュリティチェックシートって大変ですよね 「契約締結目前で、今日もらったチェックシートを3日後までに出せば決まりです！」 「これNGだと契約できないんですけどなんとかならないですか？」 「（書いてもらったシートをレビュー中）え！？これOKじゃなくてNGですよ！？」 「書き始めたら8時間以上かかってるんですけどこれ無償対応なんですか・・・？」 っていうことありませんか！？ない！？良かったですね！！（血涙） ということで、結構セキュリティチェックシートで苦労しています。 過去にISMS認証を取得したときには「これでちょっとは楽になるな！よかった！」と思ったもんですが、 大きく楽になった感じはありません。 といっても、セキュリティチェックシートは次々来るので、なんとなく悟りが開けてきました。 ということで、道半ばではありますが、 そもそもセキュリティチェックシートってなんだっけ？ なんで苦労し
Cloud FirestoreからPostgreSQLへ移行したお話 - ZOZO TECH BLOG
はじめに こんにちは。ブランドソリューション開発本部FAANSバックエンドブロックの田村です。普段はサーバサイドエンジニアとしてFAANSのバックエンドシステムの開発をしています。 FAANSとは、弊社が2022年8月に正式ローンチした、アパレル店舗のショップスタッフの販売サポートツールです。FAANSでは、データベースとしてGCPのサーバレスでドキュメント指向のNoSQLデータベースであるCloud Firestoreを当初採用していました。Cloud Firestoreはサーバレスなので運用負荷が掛からず、また安価でスケーラビリティにも優れたハイパフォーマンスなデータベースです。 しかし、Cloud Firestoreを使用して開発・運用していく中で直面した様々な課題からGCPのフルマネージドのリレーショナルデータベースであるCloud SQLのPostgreSQLにデータベースのリプ
内閣サイバーセキュリティセンター（NISC）、「インターネットの安全・安心ハンドブックVer 5.00」を公開 | gihyo.jp
内閣サイバーセキュリティセンター（NISC）、「インターネットの安全・安心ハンドブックVer 5.00」を公開 テレワーク・リモート活動が積極的になり、全世代にとってネットが身近になった「現在」に即した、誰もがインターネットを安全・安心に使うためのハンドブック 内閣サイバーセキュリティセンター（NISC）は2023年2月24日、サイバーセキュリティに関する普及啓発活動の一環として公開している「インターネットの安全・安心ハンドブック」の改訂版、「インターネットの安全・安心ハンドブックVer 5.00」を公開した。 インターネットが社会インフラの1つとなった今、誰もが安心して、安全にインターネットを使えるよう、その時々に合ったサイバーセキュリティに関する知識を身に付け実行するとともに、家族や友人、職場など、身の回りの人たちと共有し、安全なネット社会の構築を実現することを目的に公開されているも
セキュリティーチェックシートという闇への防衛術 - Qiita
といった感じです。（この例、下で問題例として取り上げるため、実はおかしなチェック内容にしています。） "No.～基準"までがシートに記載されていてます。回答する発注先企業は"Yes,No,N/A"を3択で✅をつけ、備考欄にNoやN/Aの理由のほか、注記を記載できます。こういう項目が20～500項目あるExcelのシートに、発注先企業の回答担当は自社の状況、対応を確認しながら、ひたすら記載してゆくわけです。 知ってる人は知っているが、知らない人はぜんぜん知らない 最近参加したエンジニアがぞろぞろいらしたカンファレンスで、私が 「……あの セキュリティーチェックシート ってあるじゃないですが、あの 面倒なアレ です。アレにこの規格を採用するよう書いてあったら、各企業に規格の採用が広がるかもですね。あはは。」 と話したことがありました。その瞬間、 嫌なことを思い出したのか顔を曇らせたり苦笑いをす
ロシアでインターネットアクセス切断、米通信大手Cogentが決断した背景
ロシアが現地時間2月24日にウクライナへの侵攻を開始する前から、Cogent Communicationsの最高経営責任者（CEO）Dave Schaeffer氏は大きな問題に直面していた。 インターネットの大規模なバックボーンを運営し、接続サービスを提供するCogentは、ロシア軍参謀本部情報総局（GRU）がインターネットを使ってオンライン攻撃を仕掛けていることを確認していた。攻撃の一部は、Cogentのシステムを経由していたことを突き止めた。 Schaeffer氏は、ウクライナ、米国、そしてインターネット全体が標的となる恐れのある、より深刻な攻撃について懸念し始めた。そのような攻撃の経路にCogentのネットワークが使われる可能性を憂慮した。数日間の議論を経て、Cogentは現地時間3月4日より、ロシアの顧客に対し、国外インターネットへの接続を停止することを決定した。 「私の最大の懸念
TechCrunch
Welcome back to The Station, your central hub for all past, present and future means of moving people and packages from Point A to Point B.
ユニクロ、約46万件の個人情報に不正アクセス--通販サイトで「リスト型攻撃」被害
ファーストリテイリングとその傘下のユニクロ、ジーユーは5月14日、同社オンラインストアへの不正ログインが発生したと発表した。 これは、「リスト型アカウントハッキング（リスト型攻撃）」と呼ばれるもので、他社サービスで漏えいしたIDやパスワードの情報をもとに、他のウェブサイトにログインを試みる手法。さまざまなウェブサービスでIDやパスワードを使い回している場合、リスト型攻撃の被害に遭遇する可能性が高まる。 同社では、4月23日から5月10日にかけて、46万1091件のアカウントが不正ログインに被害に遭ったと報告。ユーザーから「身に覚えのない登録情報変更の通知メールが届いた」という申告があり、不正ログインの試行を確認したという。 現在は、不正ログインが試行された通信元を特定してアクセスを遮断し、その他のアクセスについても監視を強化。個人情報が閲覧された可能性のある46万1091件のユーザIDにつ
NISC | みんなで使おうサイバーセキュリティ・ポータルサイト
みんなで使おうサイバーセキュリティ・ポータルサイト
インターネットの安全・安心ハンドブック - NISC
内閣サイバーセキュリティセンター（NISC）では、サイバーセキュリティに関する普及啓発活動の一環として、「インターネットの安全・安心ハンドブック」を公開しています。みんなが安心して使えるネット社会を実現するためには、その時々のサイバーセキュリティに関する正しい知識を身に付け、実行するとともに、家族や友人など身の回りの人達にも伝えていくことが大切です。本ハンドブックは、みなさんにサイバーセキュリティに関する基本的な知識を紹介し、誰もが最低限実施しておくべき基本的なサイバーセキュリティ対策を実行してもらうことで、更に安全・安心にインターネットを利活用してもらうことを目的に制作したものです。 ※このVer.5.00は、2023年1月にサイバー空間の最新動向や、今特に気を付けるべきポイント等を踏まえて改訂されました。 【活用例】 本ハンドブックの著作権は NISC が保有しますが、サイバーセキュリ
「お金を払ってセキュリティを学ぶ」のは平成で終わり？ ある無料教本が神レベルで優れている件
毎日のように企業や組織を狙ったサイバー攻撃が繰り返され、その方法も次々と新しくなっています。皆さんの中にはひょっとして、小さな企業を十分守るだけのセキュリティの知識を身に付けるには「ある程度お金がかかるはず」と思っている方もいるのではないでしょうか？ 実は、そんなことはありません！ 内閣サイバーセキュリティセンター（NISC）は2019年4月19日、新たに「小さな中小企業とNPO向け情報セキュリティハンドブック 初版（Ver.1.00）」を公開しました。その内容は、セキュリティ本を上梓している筆者が「ぐぬぬ」とうなったほどです。これは、素晴らしい！ 「どうしてこの人は、他人の本をそこまで推すの……？」と面食らった読者もいるかもしれません。この本を読んでほしいと私が考える根拠を、これから詳しく説明していきましょう。 NISCはこれまでも、個人向けに黄色い表紙の「インターネットの安全・安心ハン
ISMS運用｜「情報セキュリティリスク対応計画」の考え方
前回までの連載記事で、ISO27001のリスクアセスメントを行い、必要な管理策を決定する部分までお伝えいたしました。 ▷ISMS最大の課題「管理策の考え方」 でも決定したとはいえ、必要な管理策が“既に実施していること”や、“すぐに実施できるもの”だけとは限りませんよね。時間やお金などのコストが発生する類のものであれば、管理策実施までの計画を立て、しっかり管理していかなければなりません。 そこで今回は、管理策実施までの具体的計画「対応計画」についてお話していきたいと思います。 情報セキュリティリスク対応計画とは まず、よくある誤解の一つに「情報セキュリティリスク対応計画は、できるだけ“ゼロ”にしなければならない」というものがあります。 これは、「審査の際に突っ込まれるのがイヤなので、無ければ詳しく見られないだろう」という意識から来ているものと考えられますが、真っ当な審査員の視点からすれば全く
【2019年版】情報セキュリティに関係する資格まとめ
人事総務としては、セキュリティ担当者のキャリアアップを応援したいものです。 いまや企業にとって、インターネットをはじめとするITは欠かせないものになりました。しかしながら、同時に顧客情報の漏洩など情報セキュリティに関するリスクも増大しています。情報セキュリティの問題は、企業の存続に関わる重大な事項であるのはもちろん、取引先や顧客にも影響を及ぼすセンシティブな問題です。そのため、社内に情報セキュリティの専門家を配置する必要があります。 セキュリティ担当者が常にスキルアップしていくためには、人事労務担当者のフォローが不可欠です。そこで今回は、情報セキュリティに関する資格をまとめました。なお、この記事では「エンジニア向け」のものと「マネジメント向け」の2つに分けてまとめています。人事総務担当者による人材育成のヒントとなれば幸いです。 ①エンジニア向け シスコ技術者認定シスコ技術者認定プログラムと
セキュリティの資格26選！選び方を徹底解説【目的・難易度マップ付き】
多種多様なサイバーセキュリティ・情報セキュリティ関連の資格。 どの資格を取得すれば仕事にメリットがあるか、悩んでしまいます。 セキュリティ関連の資格は、目的がそれぞれ異なるだけでなく、資格の活用方法や取得難易度も異なるためです。 よって、資格選びのポイントは、自分自身にとってどのような知識が必要か、資格の目的や内容を把握することにあります。 本記事では、あなたに必要な資格はどれか、その難易度や合格率、資格取得にかかる費用も含めて解説します。自分に必要なセキュリティ資格を見極めましょう。 26種類のセキュリティ資格を難易度マップで俯瞰する セキュリティ関連の資格を選ぶときにまず目を向けたいのが、エンジニア向け資格かマネジメント向け資格かという点です。 次に、取得の難しさ、難易度です。 26種類のセキュリティ関連資格を、縦軸に難易度、横軸に対象者（エンジニアかマネジメントか）で分類したマップ図
Yahoo! JAPAN IDをパスワードレスに ユーザビリティとセキュリティを両立させるためにやったこと
Yahoo! JAPAN IDのパスワードレス普及への取り組み 三原一樹氏：このセッションでは全体を通してYahoo! JAPAN IDの取り組みについてご紹介させていただきます。まず、私、IDソリューション本部の三原から「Yahoo! JAPAN IDのパスワードレス普及への取り組み」について発表いたします。 まず自己紹介させてください。三原一樹と申します。 Yahoo! JAPANには2008年に新卒で入社し、エンジニアとして丸10年が経ちます。入社後はメディア系のサービス開発を複数行ってきましたが、1年ほど前に現IDソリューション本部に異動となりました。 現在はログインや認証技術関連の設計・開発、そしてチームマネジメントをしています。趣味はランニングで、業務外ではiOSアプリ開発などをしています。 今回の発表でのアジェンダはこちらです。 「Yahoo! JAPAN IDの現状」につい
「macOS Mojave」の脆弱性で「Safari」のブラウズ履歴が閲覧可能に？--開発者が報告
Catalin Cimpanu （Special to ZDNET.com） 翻訳校正： 矢倉美登里 吉武稔夫 （ガリレオ） 2019-02-14 12:55 「macOS Mojave」の開発者向けAPIに新たなバグが見つかったと報告されている。攻撃者はこの脆弱性を利用して、macOS Mojaveにインストールされた悪意あるアプリで、通常なら保護されているフォルダにアクセスし、「Safari」のブラウジング履歴のデータを引き出せる恐れがあるという。 このバグは、「Mac」および「iOS」向けアプリ「Underpass」やSafariの拡張機能「StopTheMadness」の開発者であるJeff Johnson氏が先週発見した。Johnson氏によると、macOS Mojaveの全バージョンに影響する。 Johnson氏は米国時間2月9日、短いブログ記事でこの脆弱性について次のように説
「クレジットカード情報の非保持化は、脆弱性があれば意味がない」――徳丸浩氏が指摘
日本PHPユーザ会は2018年12月15日にPHP Conference 2018を開催した。本稿では、EGセキュアソリューションズ 代表取締役 徳丸浩氏の講演「安全なWebアプリケーションの作り方2018」の内容を要約してお伝えする。 徳丸氏は、割賦（かっぷ）販売法の改正や、経済産業省が推奨する「クレジットカード情報の非保持化」を紹介。重大なセキュリティリスクを無視した場合、クレジットカード情報（以下、カード情報）を非保持化するシステムでも、カード情報を盗まれる可能性があると指摘する。 クレジットカード周りのセキュリティ対策の動向 徳丸氏は、カード情報に関連する法律の動向として、割賦販売法改正と経済産業省の実行計画を抜粋して紹介。割賦販売法とは、クレジットカードなどによる信用取引に関する法律だ。2018年6月1日に改正され、クレジットカードを取り扱う事業者に対して、カード情報を漏えいさせ
入力された認証情報の漏えいをチェックする「Chrome」拡張機能がリリース
Googleは、Safer Internet Dayにあたる米国時間2月5日、「Password Checkup」という新しい「Chrome」拡張機能をリリースした。ログインフォームに入力されたユーザー名とパスワードの組み合わせが、過去のデータ漏えいやセキュリティ事件によって、オンラインに流出していないかどうかをチェックするものだ。 この拡張機能は、ユーザーがオンラインサービスにログインしようとするたびに動作する。ログインフォームに入力されたユーザー名とパスワードを、過去の公開流出データからGoogleが作成した40億件を超える認証情報のデータベースと照合する。 ユーザー名とパスワードの組み合わせが、Googleの社内データベースの中の安全でない認証情報と一致した場合、認証情報を変更する必要があることを示すポップアップ警告が表示される。 Googleによると、この拡張機能はプライバシーを念
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch
PenTesterが知っている危ないAWS環境の共通点
