JALが苦闘して見つけた、ローコード／ノーコード開発導入の現実解：「kintone成功方程式」から導き出されたものとは（1/2 ページ） IT部門の負担を減らす取り組みとして注目されるローコード／ノーコード開発ツール。だが、ガバナンスをどのように効かせるのか、事業部門をどのように巻き込むのかなど、気になることは多い。サイボウズのセミナー「kintone IT Special Seminar 2022」からその答えを探る。 企業のITを支える縁の下の力持ちとして期待されているIT部門だが、その守備範囲は広い。経営の視点で“新しいビジネスを創出するための仕組み”を考えることはもちろん、事業部門の業務を効率化させるための施策の検討も必要だ。とはいえ、リソースには限界があり、手が足りない状況が増えてくる。 こうした背景もあり、「アプリケーション開発はIT部門がするもの」というこれまでの常識が見直さ

CDN（Content Delivery Network）やインターネットセキュリティサービスなどを手掛けるCloudflareは2022年9月28日（米国時間）、「CAPTCHA」に代わる無料の認証API「Cloudflare Turnstile」のオープンβ版を発表した。 CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）は主にWebサービス上で、自動化されたプログラム（bot）によるサービスの不正利用を防ぐための仕組みを指す。数種類の方式があるが、読みにくい文字列（ゆがんでいたり、ノイズが混じっていたりする）が含まれた画像を表示し、ユーザーがその文字列を正しく入力できたかどうかで、人間か否かを判定するものが有名だ。 だが、こうしたCAPTCHAはユーザーにとって煩雑で面

＠IT編集部は2022年8月22日、デジタルイベント「＠IT ソフトウェア品質向上セミナー」を開催した。基調講演では、「SBOMによるサプライチェーン攻撃対策～自社ソフトウェアのリスク、把握していますか？～」と題して、JFrog Japanの横田紋奈氏（デベロッパーアドボケイト兼Java女子部・JJUG運営）が、企業におけるオープンソースソフトウェア（OSS）の使用に潜むリスクにはどのようなものがあり、それにどう対処していけばよいかについて解説した。 ソフトウェアのセキュリティで注目されるソフトウェアサプライチェーン攻撃 SBOMとソフトウェアサプライチェーンの話題の前に、横田氏はDevSecOpsとは何かから話を始めた。DevOpsは、開発者と運用者が協力してサービスを改善していくもの。ユーザーからのフィードバックなどを受けて取り組みを繰り返し、改善を継続する。そのための考え方であり、組

「オンプレシステム移行は今もAWSやAzureの方がやりやすい」なら、Google Cloudは日本でどう使われているか：大日本印刷、みんなの銀行やインテグレーターに聞いた（1/4 ページ） 国内のAWS専業インテグレーターがGoogle Cloudを扱う動きが相次いでいる。第3のメジャークラウドであるGoogle Cloudの使われ方が変化してきたということなのだろうか。だとすれば具体的にどう使われているのか。ユーザーやインテグレーターに聞いてみた。 3大パブリッククラウドで最後発のGoogle Cloud。日本に進出後、ゲームをはじめとするテック企業の世界でこそ存在感を示してきたが、現在も「一部の人が使うクラウド」というイメージが強い。一般企業には浸透してきているのだろうか。 グーグル・クラウド・ジャパンは、他の主要クラウドと同様、日本での売り上げや成長率を明らかにしていない。だが、A

こんにちは、リクルートでエンジニアリングマネジャーをしている高橋陽太郎です。 エンジニアリングの知識と経験を総動員してワンオペ家事＆育児をカイゼンしていく連載「家事場のシスぢから」。前回はプロトタイピングを利用して自分の現在位置を計測し、その上で「自分1人で運用を仕切るのは恐らく不可能（月曜日は朝5時には起きないと、子どもをオンスケで登校させられない）」と現状認識できました。今回はこの課題に向き合います。 重大な変更があったら全体のバランスを見直す この状況って何か見覚えがある気がして手元のアジャイルサムライを読んでみると、そのものずばりの内容が書いてありました（※1）。 かけがえのないチームメンバーを失ってしまったとき、その影響を測ることは一筋縄じゃいかない。チームにとって大きな打撃となることは分かりきっている。だけど、どれぐらいの打撃なんだろうか？ チームメンバーの変更にまつわる期待マ

piyokango氏に聞く、ハードウェア脆弱性やクラウド誤設定はどうすべき？　CISA公開リスト「KEVC」とは？――ゼロデイそして「Nデイ」対策へ：特集：1P情シスのための脆弱性管理／対策の現実解（2） いまの時代に即した脆弱性管理／対策の在り方を探る特集「Log4j 2、クラウド設定ミスだけじゃない―1P情シスのための脆弱性管理／対策の現実解」。初回に続き、インシデント情報をまとめて記録する「piyolog」を運営するpiyokango氏に、“脆弱性”をどう認識すべきか、そして新たな情報ソースから考える脆弱性対策の在り方について聞いた。 脆弱（ぜいじゃく）性が企業組織に与える影響は、想像よりも大きく、想像よりも“面倒くさい”状況にある。そもそも「脆弱性」という言葉の認識も、もしかしたら人によって大きく異なり、対処を想定していない脆弱性が存在する可能性もある。 インシデント情報をまとめ記

「アジャイルやスクラムはソフトウェア開発に適用するもの」というイメージが強いかもしれない。しかし、イーロン・マスク氏が率いるTeslaやSpaceXでは、電気自動車やロケットというハードウェアにもアジャイルやスクラムの考え方を取り入れ、これまでのモノ作りでは考えられないような短期間で新しいバージョンの製品をリリースするサイクルを確立している。そして今、その先を目指そうとしているという。 認定スクラムトレーナーとして活躍し、MicrosoftやAmazon、TeslaやSpaceXでアジャイル導入支援の経験を持つAgile Business InstituteのCEO、Joe Justice（ジョー・ジャスティス）氏が2022年7月に開催された「Agile Tech EXPO 2022」の基調講演に登場し、その「凄さ」を紹介した。 「アジャイルは何もソフトウェアだけのものではありません。もち

「あるサービス用に開発した仕組みを全社共通の仕組みに変える」といったアプローチは決して珍しくない。一から仕組みを構築するよりは、先行事例としてうまくいっているものを流用したり機能拡張させたりする方が失敗は少ないからだ。 ただ、特定の目的に合わせて作った仕組みに汎用（はんよう）性を持たせることは簡単ではない。関係者なら誰でも使えるように環境を整備する必要があるし、運用の方法も全社での利用に合わせて変更しなければならない。 Cloud Operator Days Tokyo 2022のセッション「DMMプラットフォーム ゼロから始めるKubernetes運用 課題と改善」でDMMのpospome（ぽすぽめ）氏（マイクロサービスアーキテクトグループ　SRE＜Site Reliability Engineering＞チーム）は、そうした「別の目的で構築された仕組み」の運用を引き継ぐときに起きた課題

クラウドストレージやクラウドバックアップサービスを提供するBackblazeは2022年8月2日（米国時間）、2022年第2四半期の自社データセンターにおけるHDD使用統計レポートを発表した。 2022年第2四半期末時点で、Backblazeは世界中のデータセンターで21万9444台のHDDとSSDをモニタリングしている。そのうち4020台が起動ドライブ（2558台がSSD、1462台がHDD）、21万5424台がデータドライブ（全てHDD）だ。起動ドライブ4020台は、ストレージサーバ4020台に相当する。 レポートではこれらのデータドライブについて3点、すなわち、（1）生涯故障率、（2）2022年第2四半期の故障率、（3）第2四半期故障率に関する考察――を報告している。 HDDの生涯故障率はどの程度なのか Backblazeは、2022年第2四半期末時点でデータドライブとして使用してい

人気連載を電子書籍化して無料ダウンロード提供する＠IT eBookシリーズ、今回は一生食べられるエンジニアになるための超IT用語解説漫画――略して「食べ超」のvol.2です。 食べ超は、プロフェッショナルなIT技術者、管理者のための問題解決サイト「＠IT」で10年以上にわたり、ITの基礎用語から旬の用語まで独自の解釈で解説し、読者をケムに巻いてまいりました。 vol.2は、2013年4月から2014年1月の間に掲載した20本を収録。「終わりなきシャドーITボクシング」や「不思議の国のクラウドファンディング」など、約10年前に書かれたとは思えないほど“おナウ”なテーマがてんこ盛りです。 （編）が特にシビれたのは、第35回の「バベルのドキュメント作成」。究極のドキュメント書きを目指す猛者たちが毎日ひたすらドキュメントを書き続ける秘密の地下牢（ろう）。そこでは設計書は与えられず、毎日天井から落ち

同社は「意図的であれ、偶発的であれ、こうしたプロトコルを通じてサイバー攻撃者によるネットワークへの侵入が容易になり、企業に対する攻撃リスクが増大する」と警告している。 非推奨のTelnetだが、12％の企業が利用 このレポートは、ExtraHop Networksが世界の企業のIT環境を分析して、開いているTCP／IPポートと、インターネットに公開されている通信プロトコルを観点に、企業のサイバーセキュリティ体制を調べたもの。それによると、企業が公開しているプロトコルとセキュリティには幾つかの特徴があるという。 関連記事 「脅威ベースアプローチ」のリスク評価とは何か――MITRE ATT&CKとNavigatorで攻撃グループと対策を特定してみた ここ数年一気に注目度が高まり進化した「脅威ベースのセキュリティ対策」。その実現を支援する「MITRE ATT&CK」（マイターアタック）について解

元任天堂開発者が伝授、3つのモノサシを使ってアイデアの「いい／わるい」を計測する：それは、発想か着想か（1/4 ページ） 相対性理論、印刷、iPhone――世の中を変える発明は、全て優れたアイデアから生まれた。では優れたアイデアとは何なのだろうか。あなたのそのアイデアは、いいアイデアなのか、そうではないアイデアなのか、「アイデアの測り方」と「アイデアの見極め方」を、WiiやSwitchの開発者が伝授する。 いいアイデアとは何でしょう？ これまでは、「シンプルで分かりやすい」「実現可能性が高い」「費用対効果がある」「新規性や意外性がある」などを基準として、アイデアの「いい／わるい」を評価してきたと思います。こういった基準は、製品やサービスのアイデアを判断する際に確かに役に立ちます。 では、新たな領域の開拓を目指すプロジェクトやスタートアップ企業のビジネスなど、まだジャンルも確立されていないよ

企業でのクラウド活用は当たり前となった。ただ、導入のハードルが低いといわれるクラウドであっても「オンプレミスと異なる運用に戸惑っている」「今まさに勉強している」というインフラ運用担当者は多いだろう。 また、クラウドサービス自体は使ったことがあるという人でも、会社の方針で新しいクラウドを使うということは十分あり得る。そうなれば一から「クラウドの運用」を勉強し直す必要がある。 Cloud Operator Days Tokyo 2022のセッション「AWSを触ったことのない運用者が、AWS環境のインフラ運用巻取りを通じて、運用改善をできる様になるまでのお話」では、Amazon Web Services（AWS）での運用経験がないのに運用チームリーダーを任されることになったSCSKの小出泰介氏（ソリューション事業グループ　マネジメントサービス第一事業本部　製造マネジメントサービス第二部　チームリ

連載目次 本連載では、前提知識が不要で誰でも簡単に使えるAIや機械学習のツールなどを紹介している。今回は、画像を説明する任意の文章（テキスト）から画像を生成できる「Craiyon」（クレヨン）というAIツールを紹介する。とても手軽に使えて基本的に無料（※詳細後述）なのでお勧めである。ぜひ本稿を参考に試してみてほしい。 最近（2022年8月現在）、テキストから画像を生成できるAIツール、例えばDALL・E 2（ダリ・ツー）やMidjourney（ミッドジャーニー）などで生成した画像の内容が「すごい」とSNSなどで大変盛り上がっている。実は、こういったAIツールは一般の人向けにも公開されているものの、「誰でも、手軽に」とまでは言えない。DALL・E 2は招待制で筆者はまだ使えないし、MidjourneyはDiscordのサーバーを利用するようで使用のハードルが少し高い。そんな中で、最も手軽に誰

実践的な「Trivy」利用方法～「VSCode」によるスキャンからCI/CDパイプライン、「Trivy Operator」による継続的なスキャン～：Cloud Nativeチートシート（18） Kubernetesやクラウドネイティブをより便利に利用する技術やツールの概要、使い方を凝縮して紹介する連載。今回は、Trivyの代表的な利用シーンを取り上げながら、実践的に利用するための検討ポイントを解説する。

MITRE ATT&CK（マイターアタック）とは？　「今のサイバー攻撃って何してくるの？」が分かる6つの利用方法：MITRE ATT&CKで始める脅威ベースのセキュリティ対策入門（1） ここ数年一気に注目度が高まり進化した「脅威ベースのセキュリティ対策」。その実現を支援する「MITRE ATT&CK」（マイターアタック）について解説する連載。初回は、概要や6つ使用方法について、具体例を挙げて解説する。 サイバー攻撃は日々進化もしくは変化し続けており、近年ではランサムウェアやオープンソースソフトウェア（OSS）の脆弱（ぜいじゃく）性を突いた攻撃など、全く新しい手法というよりも、従来の手法の発展形といった形態が見られます。こういった攻撃への対策として世の中にはセキュリティ対策の基準やフレームワークが存在しますが、それらを用いて網羅的に対応しようとすると膨大な投資が必要となります。 そこでここ数

サービスの信頼性を守るため、オンコール対応は重要な仕事だ。だが、夜中に何度も呼び出されるような状況ではエンジニアの肉体的、精神的な疲労は計り知れない。Cloud Operator Days Tokyo 2022のセッション「信頼性を落とさず効果的にオンコールを減らす取り組みを目指して エンジニアの睡眠時間を守ろう」では、こうしたオンコール対応におけるエンジニアへの負担を軽減させる取り組みを紹介した。 「常に何らかのアラート情報が流れている」 GMOペパボの渡部龍一氏（技術部プラットフォームグループ）の役割は、GMOペパボの各種サービスの可用性を確保しビジネスの成長に合わせて適切な環境を提供することだ。そのためのさまざまな業務をこなす中で、オンコール対応は悩みの種になっていた。 「私のチームで対応するサービスだけでも100を超えており、平均すると2、3日に1回のペースで何らかのアラートが発生

AI（人工知能）利活用が珍しいものではなくなった昨今、AIが開発者の意図しない挙動を起こしてしまう事例が度々問題となっています。女性の求職者を不当に低く評価してしまったAmazon.comの人材採用システムや、黒人の写真をゴリラと誤認識してしまう顔認証AIの事例などは、記憶に新しいことと思います。 このような問題を受けて、主に欧米を中心にAI利活用で生じるさまざまなリスクを低減させるべく「AI倫理」や「AI原則」を守るための法律やガイドラインの整備が進んでいます。日本でも経済産業省が2021年にガイドラインを公開するなど、AI利活用で生じる問題を予防する動きが高まりつつあります。 では一体、AI倫理を守るためには何をすべきなのでしょうか。この電子書籍では、連載「エンジニアが知っておくべきAI倫理」全4回を収録。「AI開発中に内在する代表的なバイアスやリスク」「データ収集段階でのバイアスへの

「Windows Autopatch」はMicrosoftに“丸投げ”できる更新管理の新たなカタチ：企業ユーザーに贈るWindows 10への乗り換え案内（128） Microsoftは2022年7月から、Windows 10/11 EnterpriseのE3/E5ライセンスを持つ企業や組織に向けて、WindowsやMicrosoft 365 Apps、Microsoft Edgeなどの更新を管理する新サービス「Windows Autopatch」の一般提供を開始します。 企業ユーザーに贈るWindows 10への乗り換え案内 企業や組織における更新管理はIT部門の大きな負担に MicrosoftはWindowsの品質更新プログラムや機能更新プログラムのクライアントデバイスへの配布方法として、個人ユーザーと同じ「Windows Update」の他に、「Windows Update for

サイバー攻撃者が狙う穴を、防御側はふさぐよう努力する。するとサイバー攻撃者も工夫に工夫を重ね、新たな攻撃手法を使い出し、かつての常識はいつの間にか非常識に変化する――そういった“いたちごっこ”が、サイバーセキュリティの世界では繰り返されている。この歴史を読み解くと、見えてくるものもあるかもしれない。 「Webアプリケーションセキュリティのバイブル」ともいえる“徳丸本”こと『体系的に学ぶ 安全なWebアプリケーションの作り方』（SBクリエイティブ）の筆者、徳丸氏が、クレジットカード情報の漏えい対策、そしてマルウェア対策のこれまでの歴史から、この“いたちごっこ”を総括した。私たちが進むべき次の一歩を考えるためのセッションとなった。 セキュリティはいたちごっこの連続 徳丸氏は、「いたちごっこ」の事例として昨今も報道が絶えることのない「クレジットカード情報漏えい」を取り上げる。クレジットカード情報