ドメインモデリングで全システムの設計をゼロからやり直す。リアーキテクチャに挑む2年間の全貌【モノタロウCTO普川】 | レバテックラボ（レバテックLAB）
株式会社MonotaRO CTO 普川 泰如 慶應義塾大学環境情報学部卒業。SIer企業を経て2009年にオイシックス・ラ・大地に入社し、2016年にシステム副本部長に就任。2019年にモノタロウに参画。2021年1月にECシステムエンジニアリング部門長、2022年4月に執行役CTO/VPoEに就任。 X 多くの企業で、10年以上前に開発されたシステムが、事業拡大に伴い続々と限界を迎え、リアーキテクチャに取り組み始めています。 間接資材のネット販売ビジネスを展開するモノタロウ社もその1つです。約20年前の創業期から内製で開発してきたモノリシックなシステムは、事業成長とともに度重なる機能追加を経て、2015年頃にはコードの変更すら容易にできない状態に。一度はパッケージシステムの導入も試みますが、2022年頃から、再度内製開発による抜本的なリアーキテクチャに取り組んでいます。 今回のリアーキテ
NIST サイバーセキュリティフレームワーク 2.0を解説｜約10年ぶりの大幅改訂、押さえるべき要点とは？
2024年2月26日、NIST（米国立標準技術研究所）は、「NIST サイバーセキュリティフレームワーク（NIST Cybersecurity Framework：NIST CSF）」のバージョン2.0を正式に公開した。2014年4月に初版であるNIST CSF 1.0が公表されて以来、約10年ぶりの大幅改訂である。 本記事では、NIST CSF 2.0における主な改訂のポイントと、特にインパクトの大きい6つ目の新機能「GV（統治）」について解説する。 はじめに 2020年代に入り、新たな生活様式の変化に起因する脅威の発生、世界各国での深刻かつ大規模なサイバー攻撃の急増、生成AIなど新技術の普及に伴うリスク増加など、セキュリティ脅威が多様化・複雑化している。そのような状況に合わせて、各国でサイバーセキュリティに関する法規制・号令の発出、ガイドラインなどが整備されてきた。 直近10年間の脅威
CVSSに代わる脆弱性の評価手法「SSVC」とは｜迅速な脆弱性対応を目指して
発見されている脆弱性の数が年々増えていることを皆様ご存じでしょうか。以下のグラフをご覧ください。 このグラフは、「CVSS v2」という評価手法を使って、脆弱性の重大度合いを分類したグラフです。現在は、CVSS v2の改良版である「CVSS v3」が主流になっているため、2022年7月を境にNVDではCVSS v2の集計を中止しており、2022年の脆弱性の数が低くなっています。しかし、近年の傾向を考慮すると、非常に多くの脆弱性が発見されていると推測できます。 多くの脆弱性を正確に判断し対応することが求められている一方で、CVSSを用いた対応に課題があることもわかってきています。 本稿では、CVSSに代わる脆弱性の評価手法「SSVC」についてご紹介します。 図1.2013年から2022年までの脆弱性数の推移[1] 出所）NVD[2]のCVSS Severity Distribution Ov
もうOSS保守者に頼らない OpenSSFが「オープンソース消費マニフェスト」を公開
Open Source Security Foundation（以下、OpenSSF）の専門家グループによると、ソフトウェアサプライチェーンにおける大規模なセキュリティ問題を解決する鍵は、オープンソースソフトウェア（以下、OSS）の主要な使用者にあるという。 オープンソース消費マニフェストが呼びかけるOSSとの“付き合い方” OpenSSFのエンドユーザーワーキンググループの意見を代表する形で2023年8月24日（現地時間）に発表された文書「オープンソース消費マニフェスト」は（注1）、商用および非商用の開発組織に対し、次のことを呼びかけている。 安全なソフトウェアサプライチェーンを構築する上で、OSSの使用に関する重要な役割を考慮すること OSSの使用とリスク許容度や規制の状況などの要因に依存するリスクプロファイルとのバランスをとること 脆弱（ぜいじゃく）性や悪意のあるソフトウェア、コンポ
GitHub、GitHub Innovation Graphを公開 ―世界各国の開発者の動きを見える化 | gihyo.jp
GitHub、GitHub Innovation Graphを公開 ―世界各国の開発者の動きを見える化 GitHubは2023年9月21日（米国時間）、GitHubを利用している世界中のソフトウェア開発者の動きや影響をオープンデータとインサイトとして可視化するGitHub Innovation Graphを公開した。 GitHub Innovation Graphを公開 -GitHubブログ GitHub Innovation Graph URL：https://innovationgraph.github.com/ GitHub Innovation Graphは、2020年にさかのぼり、gitプッシュ、開発者、組織、リポジトリ、プログラミング言語、ライセンス、トピックおよび経済的な関係国に関する四半期ごとのデータをWebページでビジュアルに提供するもの。さらに深く知りたい利用者
RFC 9116 から読み解く正しい security.txt の書き方
security.txt は非常にシンプルな text/plain ファイルであり、既成のものをコピペして .well-known/security.txt として配置するだけであれば、ものの数分で対応できることでしょう。 また、自動で作成してくれる Web アプリも公式で用意されています。 ですが、例えば「Preferred-Languages に優先順位はあるの？」、「攻撃者によって security.txt が改ざんされたらどうなるの？」といったことは気にならないでしょうか。 私はとても気になります。 というわけで、早速 RFC9116 を読んでいきましょう。 tl;dr はこちら Abstract Section 1 は割愛すると書きましたが、概要にだけは最初に触れておきます。security.txt は第三者であるセキュリティリサーチャーのために書かれたものであり、この RFC
ルータやVPNがサイバー攻撃者に狙われている、IPAが企業に注意喚起
情報処理推進機構(IPA: Information-technology Promotion Agency, Japan)は8月1日、「【注意喚起】インターネット境界に設置された装置に対するサイバー攻撃について～ネットワーク貫通型攻撃に注意しましょう～｜情報セキュリティ｜IPA 独立行政法人 情報処理推進機構」において、企業や組織のネットワークとインターネットの間に設置されるセキュリティ製品が狙われ、ネットワーク貫通型攻撃として持続的標的型攻撃(APT: Advanced Persistent Threat)に利用されているとして、注意を促した。 【注意喚起】インターネット境界に設置された装置に対するサイバー攻撃について～ネットワーク貫通型攻撃に注意しましょう～｜情報セキュリティ｜IPA 独立行政法人 情報処理推進機構 企業内部のネットワークへ不正アクセスされた場合、企業情報の漏えいや改ざ
日本でも初摘発された“SIMスワップ” 確実な防御策がない中でも“できること”
今でこそ“ランサムウェア”はメジャーなサイバー攻撃ですが、2007年頃は欧州圏を中心に猛威を振るっており、日本から見れば対岸の火事でした。その後、日本でも個人を標的としたランサムウェアが登場し、生々しい被害が報告されたのを覚えています。 このように海外で大きく注目された攻撃手法はいずれ日本にもやってきます。その中でも最近、個人的には日本に来るとは思えなかった手法が、とうとう上陸してしまいました。「SIMスワップ」攻撃です。 日本に上陸したSIMスワップ その手口は 「SIM」には自分の携帯電話番号や接続情報が書き込まれています。SIMスワップとは文字通り、携帯電話に差し込まれたSIMを交換する／奪うことで実行される攻撃です。かつては物理的にSIMを抜き、電話番号を奪う手法が海外で話題になっていました。 電話番号は今では本人認証の一つとして使われています。二要素認証における「所持情報」として
「Microsoft Teams」の一部機能、2月開始の有料プランに移行へ
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Microsoftの「Teams」を使っている個人や組織はまもなく、一部の機能を利用するのに追加料金を支払わなければならなくなる。Microsoftはキャプションのライブ翻訳などの機能を、2月に登場する新たな有料プラン「Teams Premium」に移行する予定だ。 MicrosoftはTeamsのライセンスに関する説明の中で、以下の機能をTeams Premiumに移行することを明らかにした。 キャプションのライブ翻訳 ユーザーが会議を退席したときや参加したときに、Teams会議記録に時間マーカーを追加する機能 組織のTogetherモードのシーンをカスタマイズする機能 「Virtual Appointments」機能：SMS通知 同
「外部委託中心、コードはほぼ書かない」開発部門がアジャイル内製開発組織に変貌できた理由――KDDIの実例に学ぶ、自律型組織の作り方
「外部委託中心、コードはほぼ書かない」開発部門がアジャイル内製開発組織に変貌できた理由――KDDIの実例に学ぶ、自律型組織の作り方：「組織の伝統」を変えるヒント 外的環境やニーズが目まぐるしく変わり、これまでの経験が通用しない予測不能な「VUCA」の時代といわれる今、企業として変化に適応するためどのような取り組みが重要なのか。そして、どう始めればよいのか。KDDIの法人向けサービスの企画、開発部門でアジャイル開発の推進に携わり、現在はKDDIアジャイル開発センターで開発部長を務める岡澤克暢氏に話を聞いた。 デジタルビジネスの推進、拡大に向けてクラウドネイティブを実践する企業は増えつつある。スキルなど成熟度も着実に上がりつつあり、実践している企業とそうでない企業の差は日々拡大している状況だ。外的環境やニーズが目まぐるしく変わる中、状況変化に機敏に対応できなければ、立ち行かなくなる状況にあると
「デジタルスキル標準」をとりまとめました！ （METI/経済産業省）
経済産業省と独立行政法人情報処理推進機構（IPA）は、企業・組織のDX推進を人材のスキル面から支援するため、DXを推進する人材の役割や習得すべきスキルを定義した「DX推進スキル標準（DSS-P）」を今回新たに策定し、今年３月に公開した「DXリテラシー標準（DSS-L）」と合せて、個人の学習や企業の人材育成・採用の指針である「デジタルスキル標準（DSS）」ver.1.0として、取りまとめました。 1．背景・目的 データ活用やデジタル技術の進化により、我が国や諸外国において、データ・デジタル技術を活用した産業構造の変化が起きつつあります。このような変化の中で企業が競争上の優位性を確立するためには、常に変化する社会や顧客の課題を捉え、デジタルトランスフォーメーション（DX）を実現することが重要です。 一方で、多くの日本企業は、DXの取組みに遅れをとっていると考えられます。その大きな要因のひとつと
中国はソフトウェアの脆弱性を報告せずにまとめあげてサイバー兵器にしようとしている
Microsoftが中国で制定された2021年の法律によって、中国のサイバー攻撃の能力が向上したと指摘しています。 China likely is stockpiling vulnerabilities, says Microsoft • The Register https://www.theregister.com/2022/11/07/china_stockpiles_vulnerabilities_microsoft_asserts/ 中国政府が制定した2021年の法律では、企業がセキュリティー上の脆弱(ぜいじゃく)性を公表する前に地元当局に報告することが義務づけられました。一方でこの法律では政府が現地の報告を利用することで脆弱性に関する情報をため込むことができるとされています。 2022年には、アトランティック・カウンシルの研究者が、中国から報告される脆弱性の減少と匿名の報告の増
アプリ不可視化、アクセスコントロール、戦略まで--ゼロトラストでランサムウェアを阻止する10の方法
ランサムウェアはこの2年間で爆発的に氾濫した。かつては個人が個人や組織を攻撃するパターンが多かったが、今では、組織化された犯罪者たちがお互いに専門的なスキルやツールキットを売買して、ビジネス目的で攻撃を仕掛けてくる。暗号化して脅すだけでなく公開することで脅す「二重の脅迫」が約半分を占めるなど、犯罪はエスカレートする一方だ。ランサムウェア攻撃の被害を最小限に抑えるために組織が採用できる基本的な戦略に「ゼロトラスト」がある。ゼロトラストでは、セキュリティ侵害が既に発生しているという概念に基づくセキュリティアプローチで、アーキテクチャ、アクセスコントロールポリシー、モニタリングと認証の戦術を導入することで、攻撃による被害額と深刻さを軽減する。 本資料では、ゼロトラストによりランサムウェアを防御する10の方法として「アプリの不可視化」「暗号通信の検査」「コントロール機能」「アクセスコントロールポリ
日本のソフトウェア企業でよく見るエンジニア組織の構造と、近年推奨されるエンジニア組織の構造について
はじめに 恥ずかしながらスクラム開発の開発チームへの導入を何度も経験しているのだけれど、どうしてもチームの成熟レベルが高い位置までもっていくことができませんでした なぜうまくいかないのか？ これを深掘りする過程で教科書どおりに実行するには組織の構造がスクラムガイドで書いてある構造と根本的に異なっているのではないか？と考えるようになりました。 よくあるエンジニア組織の構造 大きめのWebソフトウェア企業の内製型エンジニア組織の構造はだいたいどこもこのような感じになっています この組織構造の問題点 スクラムを導入する場合、リーダー自身かあるいはメンバーの一人がスクラムマスターとなります リーダー自身がスクラムマスターになる場合でもアンチパターンと言われる開発者との兼任になります。 スクラムマスターの最も重要な職務である「観察」が行えなくなります。 スクラムマスター自身が観察を行わない場合、各メ
脆弱性の公表から15分で動き出す攻撃者、知らずに放置する企業の危なすぎる現状
ソフトウエアの脆弱性（セキュリティー上の欠陥）を悪用するサイバー攻撃が後を絶たない。 セキュリティー企業の米Palo Alto Networks（パロアルトネットワークス）が2022年7月下旬に公表したリポートによると、ランサムウエア攻撃の半数近くは初期侵入の手段として脆弱性を悪用している。 また新しい脆弱性が公表されると、平均15分で攻撃者による調査（スキャン）が始まるとしている。企業や組織では脆弱性対応が急務だ。 その一方で国内のセキュリティー組織であるJPCERTコーディネーションセンター（JPCERT/CC）は、企業や組織に正しい情報が届かないために脆弱性が放置される場合があるとリポートで指摘している。 そこで本記事ではこれらのリポートを基に、脆弱性に関する危険な現状を解説しよう。 ランサムウエア攻撃の端緒は脆弱性悪用 今回パロアルトネットワークスが公表したのは、過去1年間に同社が
自社開発×アジャイルだからこそ、「スケジュールを決めない」 “組織全体で分担する”プロジェクトマネジメントの考え方
登壇者の自己紹介 南里勇気氏（以下、南里）：登壇者の自己紹介を進めたいので、登壇者の方々に上がってもらいます。本日はよろしくお願いします。 野田克樹氏（以下、野田）：お願いします。 鈴木伸緒氏（以下、鈴木）：お願いします。 坪田朋氏（以下、坪田）：お願いします。 南里：司会のフードテックキャピタルCTOの南里勇気と申します。よろしくお願いします。ふだんはエンジニア・経営者としていろいろやっていますが、今回のテーマはPM×デザインで、もの作りの観点から登壇者の方々にいろいろ聞きたいと思うので、よろしくお願いします。それではdely株式会社の坪田さん、紹介をお願いします。 坪田：今回はCXOというタイトルで「クラシル」を運営するdely株式会社でクラシルの開発責任者としてサービスの方針を決めたり、意思決定しています。 僕自身はデザインを軸としていろいろな事業を作ったり、会社を作ってそれが丸ごと
Windowsを自動更新する「Windows Autopatch」が2022年7月に登場
多数のPCを導入している企業や組織では、それぞれのPCでちゃんとWindows Updateが行われているかどうかを確認するのにIT担当者が苦労することになります。この手間を省くため、WindowsやOfficeを自動的に最新の状態に更新する「Windows Autopatch」が登場します。 Get current and stay current with Windows Autopatch - Microsoft Tech Community https://techcommunity.microsoft.com/t5/windows-it-pro-blog/get-current-and-stay-current-with-windows-autopatch/ba-p/3271839 Microsoft: Windows Autopatch steals the 'fun' fro
責任あるAI（Responsible AI）とは？
用語「責任あるAI」について説明。倫理的な問題やプライバシー、セキュリティーなどの潜在的なリスクに企業や組織が責任を持って取り組み、作成したAIが安全で信頼できバイアスがないことを保証すること、またはそのための指針として掲げる基本原則やプラクティスのことを指す。 連載目次 用語解説 AI（人工知能）は、倫理的な問題やプライバシー、セキュリティーなどにおいて、意図せずに社会や個人に深刻な影響を与える潜在的なリスクを抱えている。責任あるAI（Responsible Artificial Intelligence）とは、そういったAIの潜在的なリスクに企業や組織が責任を持って取り組み、作成したAIが安全で信頼できバイアス（偏見／偏り）がないことを保証すること、またはそのための指針として掲げる内部ポリシー（方針）や基本原則、プラクティスのことを指す（図1）。 公平性（Fairness）： AI／機
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Oktaで昨年に続く2度目の不正アクセス、セキュリティ体制の不備に顧客らが厳しい目
価格がなんと3.5倍に！「Docker」のTeamプランが値上げ＆ユーザー数制限追加／101ユーザー以上で使っていた組織はBusinessプランが必須に ～Businessプランも値上げ【やじうまの杜】
