はてなブックマーク

どうも おかしん です。 今日は、NIST IR 8286 Rev.1を、情シスや情報セキュリティがサイバーリスクを経営判断につなげるための文書として読みます。 正式なタイトルは Integrating Cybersecurity and Enterprise Risk Management (ERM) です。日本語にすると、「サイバーセキュリティとエンタープライズリスクマネジメントを統合する」くらいでしょうか。 この文書は、サイバーリスクを情報システム部門やセキュリティ部門の中だけで閉じず、企業全体のリスク管理に接続するための考え方を示しています。 この記事で言いたいことはシンプルです。 情シスや情報セキュリティがやるべきことは、リスクを見つけて「危ないです」と報告するだけではありません。そのリスクが事業目的にどう影響するのか、どの対応を取るとどの程度リスクが残るのか、経営に何を決めてほ

※2026/06/24時点で、要求事項数は★3が約26項目、★4が約43項目ですが、最終的な確定値は評価ガイドでの確認を待ちたいところです。 7. SCS評価制度の取得を目指す際の事前チェックリスト 本節では、SCS評価制度の要求事項の中から★4を目指す上で、準備に時間がかかり、事前にある程度用意ができていると取得支援や相談、対応がスムーズに行える項目をピックアップし、チェックリストにしました。項目は多いですが、これらは遅かれ早かれ行う必要があることです。 セキュリティに関連して、自社に関連する法令（事業法、個人情報保護法など）や所管省庁および関係団体のおける基準、取引先が提示する制限事項および要求事項を整理したセキュリティと統括する役員とセキュリティを担当する部署の役割と責任を定めたセキュリティリスクへの対応について、経営層が参加する情報セキュリティ委員会等の経営判断ができる体制を設置し

シンジです。2026年6月23日、AnthropicからClaude Tagがリリースされました。Claudeをチームかエンタープライズプランで契約していて、Slackを使っている場合にのみ使える機能です。Slack のチャンネルで、Claudeが自分のアカウント（アイデンティティ）を持ち、文脈を覚え、自律的に動く「同僚」として常駐させられる機能です（従来の「Claude in Slack」を置き換えるもの）。 そこで弊社（株式会社クラウドネイティブ）では、自社のSlackへ導入し、設定 → 実テスト → 監査ログ → 自律機能の挙動確認までを一通り検証しました。「何ができるか」に加えて「できてはいけないことが、ちゃんとできないか／すべて追えるか」です。 Claude Tagの目玉機能は2つ、 1人のClaudeをチーム全員で共有でき、文脈を保ったまま日を跨いで会話が続く自律的に動き、自分

シンジです。社内でClaude Codeを本格展開するときに、何も考えずにアカウントだけを渡していませんか？Claude Codeは社内システムを破壊するほどの強力な道具です。本来は配布前に以下のような課題があるはずです。 社内の誰がClaude Codeを使えるのか会社管理アカウントだけに寄せられるのかどのコマンドを実行してよいのかどのファイルを読ませてよいのかMCPサーバーを自由に追加させてよいのか利用状況やコストをどう可視化するのか開発者ごとにバラバラな設定になるのをどう防ぐのか それらを解決するアプローチのひとつとして、 claude-code-starter-kit をOSSとして公開・運用しながら、同時にClaude Codeを組織でどう配布・管理するべきかを検討してきました。 1行コピペで社員全員プログラマーになれるClaude Codeセットアップを作った | CloudN

シンジです。Microsoft CEOのサティア・ナデラ氏が、AI時代における企業のあり方を論じた長文をXに投稿し、国内外の複数のメディアが取り上げました。論調は「人的資本とトークン資本」「学習ループの所有」という経営・AI戦略の言葉で語られています。 この投稿の中身は実のところ情シス・セキュリティの所掌そのものです。「自社の知識・判断・評価・ログをどこに置き、誰がアクセスでき、どう監査するか」という問いは、AI戦略の皮をかぶったデータガバナンスとアクセス制御の問題です。そして、その土台にあるのは、多くの企業がまだ整理しきれていないSaaS・IDガバナンスの足元です。この記事では、ナデラ氏の主張を実務の設計問題に翻訳し、特に「学習ループを所有する前に整えるべき足元」に踏み込みます。 ※本記事が参照するナデラ氏の投稿は米国時間2026年6月14日（日）になされたと報じられています（投稿原文上

この整理で見ると、Notion AIは「AIチャット」ではなく、Notion上の業務データを使って、調べる、書く、判断する、実行するための機能群になっています。 一方で、できることが増えるほど、管理者が見るべき範囲も広がります。AIがページを読むだけなら入力情報の管理が中心です。しかし、AgentやCustom Agentsがページやデータベースを編集し、外部サービスに接続し、Workersを呼び出すようになると、権限、承認、ログ、コスト、停止手順まで含めて考える必要があります。 Notion AI以前に、なぜNotionを社内基盤にするのか Notion AIの話をすると、そもそもNotionをまだ使っていない組織では「なぜNotionなのか」という話になります。 Notion AIを考えるときに大事なのは、AI単体ではなく、Notionに業務コンテキストが残っているかです。議事録、プロ

kaname (@kanametunes) on X 経験上「セキュリティ組織は独立させない方が良い」という結論 分けると、 すべてのセキュリティ関連の判断が安全側に倒される ↓ 業務担当と折り合いがつかないか業務がやりにくくになる ↓ 問題発生 ↓ （上に戻って繰り返し） ↓ https://x.com/kanametunes/status/2064882136906432982 経験上「セキュリティ組織は独立させない方が良い」という結論 分けると、 すべてのセキュリティ関連の判断が安全側に倒される ↓ 業務担当と折り合いがつかないか業務がやりにくくになる ↓ 問題発生 ↓ （上に戻って繰り返し） ↓ セキュリティ担当は業務の責任を負わないから、このループが加速 ↓ 最終的にクチだけ出す偉そうな人ができあがる ↓ なんでそんな意味わからん業務やってんの？みたいな業務ができあがる ↓ 業務

どうも おかしん です。 情シスやIT企画の仕事では、全体最適を考えることがとても大事です。 部門ごとに個別最適された仕組みをバラバラに作ると、同じようなマスタが複数できたり、似たような機能が別々のSaaSやシステムに作られたりします。最初は小さな便利さに見えても、組織が大きくなるほど、どれが正本なのか、誰が直すのか、どこへ連携するのかが分からなくなります。 一方で、全体最適にこだわりすぎると、今度は何も前に進まなくなります。 「全社の完成形を設計してからでないと始められない」「全体アーキテクチャが決まっていないから現場改善は待つべきだ」という状態が続くと、現場の困りごとは放置され、情シスは意思決定と実行に接続されない調整や分析を繰り返すことになります。 この記事で言いたいことはシンプルです。全体最適は、全部を先に決めることではありません。後で組織を壊さないための要所を押さえながら、実行を

どうも おかしん です。 近年、X（旧Twitter）などのSNSで、情シス（情報システム部門）の方々が「SSO（シングルサインオン）やMFA（多要素認証）を実装してほしい」と、様々なWebサービスに対して要望や苦言を発信しているのをよく目にします。 私自身も、先日 2026年の今、なぜSSOが重要なのか という記事を書きました。 その中で私は、SSO、MFA、最低限の監査ログ、管理者保護は、できるだけ基本機能側へ寄っていってほしいと書きました。高度な自動化、詳細な権限、長期ログ保持、SIEM連携、複雑なワークフロー、専任サポートを上位プランにするのは分かる。ただ、会社として安全に使うための最低条件まで高いプランに閉じ込めるのは健全ではない、という話です。 前回の記事の主張は、今でも変わっていません。SSO、MFA、ログは、セキュリティ上は「高級機能」ではありません。会社でWebサービスを

これは、特定ベンダー製品を購入しようという話ではありません。AIエージェントを業務に入れるなら、どの層で検証し、どの層で止め、どの層で復旧するかを決める必要がある、という話です。 「誰が使ったか」だけでは足りません。「どのエージェントが、どの権限で、どのツールを、どの入力に基づいて、何の判断で、どこへ出力したか」まで追えないと、統制としては不完全です。 AIエージェントはNHIを爆発させる NHI、つまりNon-Human Identityは、人間ではない主体のIDです。サービスアカウント、APIキー、OAuthアプリ、CI/CDのトークン、Bot、RPAなどが該当します。 AIエージェントは、このNHIを一気に増やします。 Claude Code、GitHub Copilot、Cursor、SaaS内蔵AI、RPA、社内Bot、MCPサーバー、社内ナレッジ検索エージェント。これらはそれぞ

どうも おかしん です。 先日、夜に代表のシンジと話していました。我々は夜な夜なシンジ宅のSynologyでコンテナとしてホストされてるTeam Speakで通話しながらApex Legendsをプレイしてまして、その際仕事の話をすることも多いのですが、その時に出たのが、CodexとClaude Codeのコンテキスト管理の話でした。 シンジは普段Claude Codeを使っていて、たまにCodexも触っています。その彼が言っていたのが、「Codexの方がコンテキスト管理がシビアに感じる」という話でした。 一方で、私の実感は少し違います。私はどちらかというとメインではCodexを使っていて、その際コンテキストウィンドウをそこまで強く意識していません。長い会話になっても、コンテキスト圧縮によって「前に言った大事なことが切り捨てられた」という感覚が、少なくとも私の使い方ではあまりありません。

どうもおかしんです。 今日は「ChatGPTやClaudeに個人情報や機密情報を入れてよいのか」という話をします。 この問い自体は、最近よく見かけるようになりました。会社で生成AIを使いたい。けれど、個人情報を入れてよいのか分からない。顧客情報や契約書、ソースコード、社内資料を入れてよいのか分からない。だから、とりあえず「個人情報や機密情報はAIに入れないでください」というルールになる。 気持ちは分かります。雑に使えば危ないですし、個人向けアカウントに何でも入れてよいとは私も思っていません。 ただ、その議論が「AIだからダメ」で止まっているなら、それは少しおかしいと思っています。 なぜなら、これはAIだけの話ではないからです。 私たちはすでに、Google Workspace、Microsoft 365、Box、Salesforce、Slack、AWS、Azure、Google Cloud

シンジです。金融機関等の経営層に向けた短期的な対応要請が公開されました。実務者においてもこの文章がいったい何を求めているのか解説します。 「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」に係る要請について https://www.fsa.go.jp/news/r7/sonota/20260522-5/20260522.html 結論（要点） 2026年5月22日、金融庁は日本銀行と連名で「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」に係る要請を公表しました。政府全体パッケージ「Project YATA-Shield」（5月18日公表）の金融分野における実装です。要請文の実務的な完成度は高く、外部公開資産の優先特定から契約のSLA/SLO、能動的なシステム停止まで、現場を理解した構成になっています。主な論点は項目6（パッチ適用のリスクベース化）にあり

シンジです。2026年4月7日、Anthropicは「危険すぎて一般公開できない」と判断したAIモデル Claude Mythos Preview を発表し、AWS・Microsoft・Google・Apple・CrowdStrike・Palo Alto Networksなど12のパートナー企業にのみ限定提供する Project Glasswing を立ち上げました。 AIの進化に注目が集まる中で、シンジが思ったのはこういうことです。 「一部のIT企業にしか提供されない超強力AIが登場したなら、我々顧客はそのIT企業への依存度がさらに高まるのではないか」 この記事では、複数の公式発表と周辺分析をもとに、Project Glasswingの全体像、その裏にあるビジネス構造、そしてセキュリティ業界・SaaS市場に生じうる構造変化を整理します。 まず「Mythos」とは何か 命名はAnthrop

ただし、これらはすべてAIを売る側の数字です。AIを使って自社の生産性を上げた結果ではなく、AI製品・サービスを顧客に販売した売上です。 「AIを使う側」の全社PL改善は、公開情報だけでは因果の同定が極めて難しいのが現状です。Atlanta連銀のBaslandze et al.（2026年3月）が750人の企業幹部を調査した結果、高スキルサービス・金融セクターで2025年に約0.8%、2026年に2%超の生産性向上を確認していますが、これはコスト削減ではなく、イノベーションと需要開拓チャネル（新製品開発・顧客アプローチ）によって牽引されています。 つまり、売上に届かせている少数の企業は、AIをコスト削減ツールとしてではなく、価値創造の手段として使っています。 日本はさらに厳しい状況 PwC Japanの「生成AIに関する実態調査2025春」（5カ国比較）によると、日本は活用の推進度こそ平均

（注: Aembitの調達額はSeries A公式発表時点で「nearly $45M」。） さらに、既存の大手も動いています。CyberArkは2024年5月、マシンアイデンティティ管理を手掛けるVenafiを 約15.4億ドル（$1.54B） で買収すると発表しました（CyberArk公式プレスリリース）。SailPoint、Saviynt、Silverfortといった既存IAM/PAMベンダーもNHI機能の追加・拡張を進めています。 MarketsandMarketsの予測では、NHIアクセス管理市場は2024年の$9.45Bから 2030年に$18.71Bへ拡大し、CAGR 11.9%で成長 するとされています（MarketsandMarkets公式プレスリリース）。 Gartnerは2025年のサイバーセキュリティ動向のひとつとして 「Managing Machine Identi

あくまで有志の善意によって公開されているツールであり、Microsoftのサポート対象外であること（また、公開者の負担となるような問い合わせ等は避けること） Intuneの仕様変更により、突然使えなくなる可能性があるため、常にGitHub等の最新リリースを確認すること Graph APIを利用するツールの場合、どのような権限（スコープ）を要求されるかを理解して利用すること IntuneManagement (by Mick Pletcher) URL：https://github.com/Micke-K/IntuneManagement 概要 Intune上のほぼすべての設定（プロファイル、アプリ、スクリプト等）を、GUIベースでエクスポート・インポートできます エクスポート元のグループ情報を保持しておき、インポート時に自動割り当てすることもできる 活用シーン 検証環境で作った完璧な設定を

はじめに どーもみなさんこんにちは。ねもてぃです。 macOS Tahoe 26、リリースされましたねー。 WWDC 2025でも発表がありましたが、従来のMDMによるソフトウェアアップデートは廃止され、宣言型デバイス管理(Declarative Device Management/DDM)への移行が行われています。 What’s new in Apple device management and identity macOS Tahoe 26 Tahoeのリリースノートでも、 Software update management using mobile device management commands, restrictions, the com.apple.SoftwareUpdate payload, and queries is deprecated and will be

はじめに こんにちは！mikuです。前回の入社ブログから、気づけばもうすぐ入社半年になります。 実は少し前、当社で「全社でAI活用を本格的に進めていく」という方針が決まり、全社員向けのGemini勉強会が開かれました。 個人的には誤字修正や今日の夜ご飯のメニュー考案など、日常的にAIを楽しく活用していましたが、正直なところ「IT初心者の私に会社のために何ができるんだろう…」と、かなり不安に感じていたのを覚えています。 しかし、そんな私でも簡単にGeminiでBtoB向けの会社分析ツール「Gem」を開発することができました。 今回は、非IT部門の私がAIを活用して、新規のお客様との打ち合わせの事前準備をどのように効率化したのかをご紹介します。 3行まとめ このブログでは、非IT部門の私がGeminiを活用して会社分析ツールを開発した体験を紹介しています。このツール作成では、AIによる誤った情

IDチームの前田です。先日NuPhy Air 75 V3が発表され、NuPhy Air 60 V1/V2ユーザーとしては大変気になっています。V3からはJISモデルもありますので、NuPhyキーボードのデビューにおすすめです。 さて、今回はmacOSで利用できる次世代 日本語IME「azooKey」を業務でも使い始めたという話です。 azooKeyとは azooKeyは、2024年に「ニューラルかな漢字変換」でIPA未踏IT事業に採択されたプロジェクトで、iOSやmacOS向けに開発されているオープンソースの日本語入力システム（IME）になります。 今回はmacOS版azooKeyの話をしています。 https://github.com/azooKey/azooKey-Desktop ダウンロードもGitHub上からできます 2025年7月時点の主な特徴： macOS 14以降に対応 ライ

はじめに こんにちはおかしんです。 今日はAIのお話をしようかなと思います。いやほんとに大規模言語モデル（LLM）の進化は目覚ましいものがありますね。 新たなモデルが出るスピードも早いですし、賢くなっていくスピードが尋常じゃないです。数ヶ月前「うわ、これやばいな。まじで世界変わる。優秀すぎ。」と思ってたモデルが今では「Gemini 2.5 Proやo1 Proと比べちゃうとなー」みたいな状況ですし、それはこれからも数ヶ月単位で繰り返されていくんだと思います。 ちなみに私は最近GoogleのNotebookLMにお熱です。 さて、そんな進化の激しいLLMですが、最近ではもっぱら「MCP（Model Context Protocol）」が話題なので、今日はMCPについて自分の学習のまとめも兼ねて解説してみたいと思います。 私は日常的にAIコーディングで何かプロダクトを作ったりということしている

こんにちは！tsuji です！ 今回は Windows Autopatch について解説します。Windows Autopatch は一般提供が開始されてから約 2 年半ほど経ちましたが、提供当初から動作や仕様が結構変わっており、変更点にも触れていきながら説明していきます。 なお、主要機能をサクッと把握したい方は簡易版の「Windows Autopatch を始めよう！主要機能クイックガイド」をお読みください。 2025/05/16 ブログ更新 概要 Windows Autopatch とは Windows Autopatch は 2022 年 7 月に Intune に追加された機能で、当初は更新プログラムやドライバー、Microsoft 365 Apps、Edge といったアップデートを一元的に管理できる機能として登場しました。今日では、Intune の各種更新管理機能で統合・最適化が

IDチームの前田です。Cursor使っていますか？ 今回はCursorのプライバシーモードの挙動について調査し、実際に不明な点を問い合わせて確認したので、そちらについて書きます。 筆者はCursorを正式リリース前から利用していたので、昨今のCursorの盛り上がりをインディーズバンドの古参ファンのような目線で見ております。 3行まとめ 自前でAIサービスのAPIキーを持ち込んでも、Cursorのインフラを経由して各AIサービスにアクセスしているCursor自体はデータを保持しないが、Cursorから先のAIサービスのデータの扱いはサービスごとで異なるユーザのリクエストはCursorのバックエンドサーバを経由することで、質の高い回答、素早いレスポンスを得ている AIコードエディタ Cursor とは Cursorエディタは、AI技術を統合したコードエディタで、プログラミングの効率化を目的と

はじめに こんにちはおかしんです。SaaSのSSOに関するお話がXで話題になっていたので、もう少し幅広いテーマでクラウドサービスを選定する際に考えるべきことについて書いてみました。 クラウドサービス活用の背景 近年、DX（デジタルトランスフォーメーション）推進や業務効率化の流れを受け、クラウドサービスの利用が急増しています。しかし、適切な選定基準を設けないと、導入したクラウドサービスの恩恵を十分に受けられなかったり、セキュリティリスクの増大、コストの増加、運用負荷の増大といった問題が発生する可能性があります。 本記事の目的・対象読者 本記事では、クラウドサービスの選定基準について、企業が検討すべき主要なポイントを整理します。対象読者は以下のような方々を想定しています。 情報システム部門 や セキュリティ部門 の担当者スタートアップの 経営陣 や 管理部門長エンタープライズ向けのクラウドサー

はじめに どーもみなさんこんにちは。ねもてぃです。 ついに日本にもやってきましたねー！Kandji！！！ 海外では数年前からAppleデバイスを管理するMDM製品として台頭してきていたKandjiですが、正式に日本展開が始まりました。 Appleデバイスの管理といえばJamf Proという製品がほぼ一強で独走していましたが、いよいよ比較対象になり得る製品が来たな、という感じです。 まだまだ国内では情報が少ないと思いますので、実際に触ってみた感想を持って「Kandji、ぶっちゃけどうなのよ？」について書いてみようと思います。 ※2024年12月時点での情報となります。 Kandjiとは 公式Webサイト：Kandji Kandjiは、企業向けのAppleデバイス管理（MDM）プラットフォームで、Mac、iPhone、iPad、Apple TVなどのデバイスを一元的に管理・セキュリティ強化する

はじめに こんにちは、Identity チームのすかんくです。最近エリミネーター400SEを購入しました。 「corp-engr 情シスSlack（コーポレートエンジニア x 情シス）#1 Advent Calendar 2024」16日目の記事（以降 “まゆかずさん記事” と表記）を拝見して、逆バージョンを書いたら面白そうだと思ったので、今回はOktaについて語ってみます。 本記事を読まれる前に、是非まゆかずさん記事もご覧ください。 前書き 自分はキャリアスタートからMicrosoft製品を触れる機会が多く、縁あって2020年からID/デバイス領域でMicrosoft MVPを受賞いただいております。 一方で弊社（クラウドネイティブ）はベストオブリードなスタンスですので、Microsoft製品が得意だからと言ってそれだけを仕事しているというわけではなく、日頃からOktaやその他IDaaS

おいおい、Notion神じゃん どーもばるすです。 NotionがWebhookアクションを新たにリリースしました。 全人類が待望していたWebhookです。 何ができるようになったのか。なぜばるすがこんなに興奮しているのかも添えて解説します。 Webhookとは？ Webhookとは、特定のイベントが発生した時に、自動的に他のシステムへ通知を送る仕組みです。 NotionのWebhookアクションを使用すると、データベースの更新やボタンのクリックをトリガーとして、外部システムと連携できるようになります。 Webhookアクションの特徴 POSTリクエストによる外部システムとの連携 makeやWorkatoなどの自動化ツールとの統合が可能 データベースの項目やプロパティ値を送信可能 カスタムヘッダーの追加に対応 要はNotion側での操作をきっかけに色々できるようになったってことなんです。