意思決定と業務執行をシームレスにした話（概要編） - LayerX エンジニアブログ
ご挨拶 毎々お世話になっております、LayerXから三井物産デジタル・アセットマネジメント（以下、MDM）に出向中の片桐（@akinama3）と申します。 普段は象のアイコンで活動しつつ、ねぎしを世の中に広める仕事をしています。 MDMの概要については、昨日@peroyuki_ がご紹介しているので、ぜひご覧ください。 tech.layerx.co.jp さて、世の中には「銀の弾丸」と思しきデジタル化のバズワードが溢れかえっておりますが、 実際には「業務とはなにか」をひたすら考えぬき、徹底的にSaaSを活用したり泥臭く自分でシステムを作ったりして改善するしか幸せになる道はありません。 というわけで、MDMで徹底的に拘って取り組んだ社内業務効率化の事例として、「意思決定機関である稟議」と「稟議に基づく業務の自動執行」について、ご紹介したいと思います。 実はこのときの実装経験がMDMで進めてい
知っておくべき新しい用語!FedRAMPというのはどういう意味? | CloudHeroes
新しい技術などが登場していく中で、それに伴う新しい用語なども次々に登場しています。 ビジネスシーンなどで登場することも多いので、常にチェックしておかなくてはいけないでしょう。 今回は、新しい用語の1つであるFedRAMPについて解説します。 FedRAMPとは? クラウドサービスについての説明で、FedRAMPという言葉を耳にすることがあります。 これは、どのような意味があるのでしょうか? FedRAMPは、米国政府でのクラウドサービスの調達基準のことであり、Federal Risk and Authorization Management Programの略です。 2011年に、クラウドサービスとそれに伴う商品のセキュリティについて、そのコントロールと評価に関しての標準アプローチとして制定されたものです。 これは米国政府全体のプログラムとなっていて、FedRAMPの認証を受けて登録してあ
Single Packet Authorization with Fwknop
March, 2014, Note: This article proposed the fwknop vision for SPA in 2005, and concept has been greatly extended and enhanced since then. The most updated information about SPA can be found in the fwknop tutorial and the fwknop design goals. Michael Rash Founder | Cipherdyne.org December, 2005 Introduction: One year ago in the December, 2004 issue of USENIX ;login: Magazine, I described a techniq
DevSecOpsとは何か — 導入する組織が増加している理由 | メルカリエンジニアリング
Mercari Advent Calendar 2020 の15日目は、メルカリ Product Security チームの Gloria Chow がお送りします。 こんにちは、Product Securityチームの@gloriaです。以前、オープンソースとして公開しているTestdeckという、マイクロサービスの自動化テストのための社内ツールについて記事を書きました。 今回は、2020年のAdvent Calendarの記事として、DevSecOpsについてお話をしたいと思います。近年、耳にする機会の多い話題の一つなので既にご存じの方もいらっしゃるかもしれませんが、DevSecOpsの基本的なコンセプト、注目されている理由、よくあるチャレンジとメルカリにおけるDevSecOpsの実践事例を紹介したいと思います。 DevSecOpsとは? DevSecOps以前から提唱されているDev
Kona Site Defender | エンタープライズ | Akamai JP
コンピューティング あらゆるワークロードに対応した VM により、構築、リリース、スケーリングを迅速に実行
伊藤春香（はあちゅう）さんと学ぶ！ 発信者情報開示門前払い入門｜山本一郎（やまもといちろう）
みんな大好き、伊藤春香（はあちゅう）さんから大量の発信者情報開示請求が各接続プロバイダさんに流れて行っていることが確認されました。しかしながら、誠に遺憾なことに、私には発信者情報開示請求が届いておりません。何ということでしょう。悲しみに包まれております。 私は全部実名で書いているので掲示板を利用する必要もないだけなんですが、どうも周辺から聞くに「これだけ大量にある侮辱で発信者情報開示請求が通れば、一件ぐらいは山本一郎の手によるものに違いない」と思っていたのだそうです。残念でした、私はまったく書いていません。何で私が匿名で掲示板に感想を書く必要があると思っているのかさっぱり分かりませんが、ただ、発信者情報開示請求が着弾をしている人にとってはびっくりですよね。法的措置童貞はいきなりテレサ文書がプロバイダから送られてきたら勃つものも勃たず、思わず伊藤さんに謝罪のメールでも送ってしまいかねないので
転職活動 - mala
2020年7月現在、転職活動をしています。お気軽にお問い合わせください。 https://docs.google.com/forms/d/e/1FAIpQLSfNuWiDVcCCZ58XjPn2nZIqtYOHo0XAuTMgIZisSYLbfiIcnA/viewform https://twitter.com/bulkneets/status/1279236615546654720 いわゆる履歴書や職務経歴書 要するに mala とは何者なのか？ プログラマ、デザイナー、ライブドアの残党 専門領域はWebに関わること全般 セキュリティエンジニアとして認識されることを本人は嫌っていますが、そのように認識されることも多いようです 説明が面倒くさい時に自分からsecurity researcherを名乗ることはたまにあります 実績は CVEや、善行からリンクされているページを見てください。 実
政府情報システムにおけるゼロトラスト適用に向けた考え方 | 政府CIOポータル
本サイトは、過去のIT総合戦略室の情報発信サイトです。2022年6月30日に更新を停止しました。 現在のデジタル政策に関するデジタル庁の公式サイトはこちらをご覧ください。 境界型セキュリティの限界を示し、ゼロトラストと呼ばれるこれからのセキュリティの考え方を紹介し、政府情報システムにおけるゼロトラストの適用の取り組みを取りまとめました。 パブリック・クラウドの利用、働き方改革、APIによる官民連携等が政策上の大きなテーマとなっていますが、これらを推進するには、これまでの境界型セキュリティの考え方だけでは、その実現が困難です。 本文書では、上記のとおり境界型セキュリティの限界を示し、ゼロトラストと呼ばれるこれからのセキュリティの考え方を紹介し、政府情報システムにおけるゼロトラストの適用の取り組みを1)パブリック・クラウド利用可能システムと利用不可システムの分離、2)システムのクラウド化徹底と
LANケーブルをニッパーで切断し５秒でネットワークへ侵入・盗聴できるか実験してみました
サイバーセキュリティにおいてLANケーブル(有線LAN)からの侵入について考えたことがあるでしょうか？本稿では、LANケーブルをニッパーで切断してネットワークへ侵入・盗聴した実験結果を紹介します。切断してから何秒で侵入・盗聴できたのでしょうか？ 本記事は、ケーブルを切断してネットワークへ侵入・盗聴されるリスクがある事を知っていただく事を目的としています。 ご自身の環境以外では試さないようお願いします。 なぜLANケーブルからの侵入？ 技術部の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。制御システムの業界では、近年外部ネットワークを経由しての侵入や内部に持ち込まれたUSBメモリからの侵入が注目されています。一方で、なぜかネットワークを構成する大きな要素であるLANケーブルや光ケーブルからの侵入への注目度は低いようです。制御システムに関わらず
SREやクラウドエンジニアが読むと良さげな本まとめ - Qiita
一年半ぐらい前にアプリケーションエンジニアからSREにコンバートした筆者が、いま役に立ってるなぁっていう本を紹介します。アプリケーションコードを書いてるときは下のレイヤの技術に興味なかったんですが、改めて勉強してみると楽しいです。 コンピュータシステム クラウド全盛とはいえ、コンピュータの仕組みはおさえておくと役立ちます。コレ系の本はわりと小難しいものが多いですが、個人的に楽しく読めた本を紹介します。 Raspberry Piで学ぶコンピュータアーキテクチャ Raspberry Piと銘打たれてますが、コンピュータアーキテクチャの歴史的な背景も踏まえて解説されています。プロセッサ・メモリ・ストレージ・ネットワーク・OS・プログラミングなど、コンピュータ単体の基本的な知識を学べます。 歴史をあわせて知ることができるため、知的好奇心がおおいに刺激され、楽しく読むことができます。この本が難しく感
SMSで送信元を偽装したメッセージを送る
送信元表記が送信者IDのケース SMSのメッセージを受信した際に表示される送信元には、電話番号の代わりに任意の英数字も表記できる。この英数字の送信元表記を「送信者ID（Sender ID）」という。JC3の図では 通信事業者Ａ が送信者IDに当たる。 なお送信者IDの利用可否は受信側の通信事業者の対応状況によって異なる。Twilioの販売パートナーであるKWCの説明によると、日本国内ではNTT DOCOMOとSoftBankが送信者IDに対応し、KDDIは対応していないとのこと²。私はKDDIの回線を所有していないため、受信側がKDDIの電話番号を使用している場合の挙動は検証できていない。 まずはiOSの公式メッセージアプリに届いていたAmazonからのメッセージのスレッドで偽装を試みる。送信者IDは Amazon となっているため、TwilioでSMSを送信する際のFromの値に Ama
ユーザー企業における情報システムとセキュリティ #seccamp2019
ユーザー企業ではユーザーとビジネスを守る（Protect）ため、様々なリスク管理を実施しています。それ自体の変化はありませんが、業務システムやサービスをホスティングする環境が多様化するかたわら、新しいリスクが生まれてきているのも事実です。 本講義では、ビジネスを継続成長させていく中で、経営的なお話、新し…
徳丸浩の日記: ECサイトからクレジットカード情報を盗み出す新たな手口
エグゼクティブサマリ 聖教新聞社が運営する通販サイト「SOKAオンラインストア」から2,481件のクレジットカード情報が漏洩した。リリースによると、漏洩に使われた手口は従来とは異なるもので、改正割賦販売法の実務上のガイドラインである「クレジットカード情報非保持化」では対策できないものであった。 はじめに 今年の9月4日に聖教新聞社の通販サイトSOKAオンラインストアからクレジットカード情報漏洩の可能性がリリースされました。以下は聖教新聞社から運営委託されているトランスコスモス株式会社のリリースです。 「ＳＯＫＡオンラインストア」の件 このたび、弊社が聖教新聞社様より運営を委託されている「ＳＯＫＡオンラインストア」において、クレジットカード情報を入力して商品をご注文いただいた一部のお客さまのクレジットカード情報が、第三者によって不正に取得された可能性があることが発覚い たしました。 http
イープラス「チケット購入アクセスの9割がbotだった」――アカマイの検知システムで判明
アカマイ・テクノロジーズは8月23日、同社のbot検知システムをチケット販売サイト運営会社のイープラスに導入した結果、悪質なbotによるアクセスのブロックに成功し、チケット買い占め問題を改善できたと発表した。チケット購入のアクセスのうち9割超がbotだったという。 チケット販売サイト「e+」（イープラス）を運営するイープラスは、以前からチケットの転売目的と疑われるWebサイトへのアクセスに悩まされていた。これまで、難読文字や図形問題をユーザーに解かせる方法などを検討してきたが、難読文字は自動解析で突破されるためほぼ効果がなく、図形問題を提供する外部サービスも止まることがあったりと、期待する効果は得られなかった。 そこで、同社はキー入力やマウスの動きなどの振る舞いを機械学習してbotを検知・制御できるアカマイの「Bot Manager Premier」（BMP）を導入。BMPで、ある先行販売
仮想通貨マイニング（Coinhive）で家宅捜索を受けた話 - Webを楽しもう「ドークツ」
表題の通り、お恥ずかしい限りではありますが、人生ではじめて警察（神奈川県警！）のお世話になる運びとなりました。 罪状としては「不正指令電磁的記録 取得・保管罪」、通称ウイルス罪とのことで、まさに青天の霹靂の思いです。 以下ではこの度起こったことを可能な範囲でありのまま共有できればと思います。 この記事の目的まず、この記事を公開した目的は「他のクリエイターの人に同じ経験をして欲しくない」という一点に尽きます。 手前味噌ではありますが、私はこれまで多くの尊敬するクリエイターの方々と同じように「良いクリエイターであろう」と腐心し、できうるかぎりの努力をしてきたつもりです。 今回の件に関しても決して私利私欲のためではなく、あくまでユーザーのためにできることを、と模索した結果でした。 それがこのような形で取り沙汰されることとなり、残念という他ありません。 忸怩たる思いではありますが、この件から何かし
総務省｜平成29年版 情報通信白書｜越境データに関する規制等の法制度の動向
（2）越境データに関する規制等の法制度の動向 企業における事業活動がグローバル化し、国境を越えて多くのデータが流通している一方で、諸外国の一部では、①プライバシーの保護、②自国内の産業保護、③安全保障の確保、④法執行／犯罪捜査などを目的として、越境データ流通を規制する動き、いわゆる「データローカライゼーション」に関する法制度の制定・施行が進行している。データローカライゼーションとは、例えばインターネット上のサービス等について、当該サービスを実行する物理的なサーバーはサービスを提供する国内で運用しなければならない、すなわちサービス提供に必要なデータはすべて当該国内に存在しなければならないという考え方に基づくルールであり、その対象はパーソナルデータや産業データなど、目的や理由に応じて整理されるものである。 データローカライゼーションには、①データの移転そのものを制限するもの、②自国内に顧客など
なぜ「何を言ったか」よりも「誰が言ったか」のほうが圧倒的に重要なのか、ようやくわかった。
私が知る限り、もっとも人心掌握に秀でたマネジャーの一人は、あるSIerのMさんだ。 といっても、Mさんは特に人望があるわけでも、人徳が高いわけでもない。 そういった定性的な話ではない。もっと実務的なのだ。 実は、彼が人心掌握に優れていると判断する理由は、「人を動かすこと」の巧みさゆえである。 私が言わない方がいい、彼に言ってもらおう 私がMさんの人心掌握術の巧みさを知ったのは、「情報セキュリティ対策プロジェクト」の時だった。 ご存じの方も多いと思うが、セキュリティ対策はさまざまな日常の手続きを煩雑化することがある。 例えばお客さんとの情報のやり取りに関する制限がかかったり、記録をつけなければならなかったりなどだ。 Mさんの部下も例外ではなかった。 現在進行中のプロジェクトの情報のやり取りに問題がある、とセキュリティ監査で指摘され、その改善策として上から提示されたルールが、かなり煩雑なものだ
ありがちな生活 私はこれでCISSPのCPE 120ポイントを稼ぎました
CISSP(Certified Information Systems Security Professional)という資格をご存知の方って、どのぐらいいるだろうか？ アメリカの(ISC)2（International Information System Security Certification Consortium：国際情報システムセキュリティ認証コンソーシアム）という団体が認定している情報セキュリティに関する資格である。 私が勤務している会社では３，4年前に、これからはセキュリティの資格が必要とのことで、猫も杓子もこの資格試験を受けさせられたのだ。 一応難易度はそれなりに高いのだけど、回答は4択なのでどうにか受かってしまった。 資格をとったことで給与があがったりとか、一時金をもらったりとかは全くなかったが、それでも転職に有利かも、ということで、受かった時は嬉しかった。 が、その
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Tカード情報令状なく捜査に提供 規約明記せず、当局は保秘 ｜ 共同通信
セキュリティ入門
