セキュリティ基礎
このタグの記事 19 件
閲覧履歴・Cookie・保存パスワードの消し方（Chrome・Safari・Edge・Firefox、パソコンとスマホ）：情報が漏れたときに消すもの、消す前に残すもの
ブラウザの閲覧履歴・Cookie（サイトデータ）・キャッシュ・保存パスワード・自動入力の消し方を、Chrome（Windows・Mac・Android・iPhone）、Safari（Mac・iPhone・iPad）、Edge、Firefoxごとに、各社の公式ヘルプの表記で整理した。閲覧履歴を消しても、すでに他人にコピーされたものは取り戻せず、脅迫への対策にもならない。被害を減らすのは、ログイン状態（Cookie）と保存パスワードへの対応、つまり安全な端末からのパスワード変更と全セッションのログアウトである。警察に相談するなら、消す前に脅迫メールや不審な拡張機能の記録を残す。同期がオンのまま消すと同じアカウントの他の端末からも消える。2026年10月のお名前.com デスクトップクラウドの事案では、GMOインターネットが第6報で、点検が終わるまでブラウザの同期をオンにしないよう求めている。
GDPR とは：EUの個人データ保護規則と、漏洩時の通知義務
GDPR(General Data Protection Regulation)は、EU域内の個人データを保護するEUの包括的規則。EUの人々にサービスを提供すれば域外の事業者にも及び得る。適法な根拠(同意など)・目的の明確化・データ最小化・本人の権利(開示/削除)・漏洩時の当局通知(原則72時間)などを求め、重大違反には高額の制裁金がある。技術的な要点は『必要な個人データしか集めない・持たない・安全に守る・漏れたら速やかに検知して通知できる』ことに集約される。
OWASP Top 10 とは：Webアプリで最も重大な10のリスクをまとめたリスト
OWASP Top 10 は、非営利団体 OWASP が数年ごとに公開する『Webアプリで最も重大な10大リスク』のリスト。開発者・運営者の共通言語として広く使われる。最新の2025年版(2025年11月発表)でも筆頭は『アクセス制御の不備(Broken Access Control)』で、設定ミスが2位に上がり、ソフトウェアのサプライチェーンの不備と、例外状態の不適切な処理が新たに加わった。SSRF は1位のアクセス制御の不備に統合された。個別の攻撃手法ではなく“リスクのカテゴリ”なので、自分のアプリを点検する観点として使うのが正しい。
公開鍵暗号とは：公開鍵と秘密鍵のペアで暗号化・署名するしくみ
公開鍵暗号＝『公開鍵（誰に配ってよい）』と『秘密鍵（本人だけが持つ）』のペアを使う方式。公開鍵で暗号化したものは対応する秘密鍵でしか復号できず、秘密鍵で作った署名は公開鍵で検証できる。この非対称性が、TLS(HTTPS)の鍵交換・電子署名・パスキーの基礎。守りの要点は、暗号を自作しない（実績のある実装を使う）／秘密鍵を厳重に管理・失効できるようにする／鍵長とアルゴリズムを最新の推奨に保つこと。
認証と認可の違い：ログイン機能だけでは他人のデータは守れない
認証＝『誰か』を確かめること、認可＝『その人が何をしてよいか』を決めること。両者は別物で、ログインを付けただけでは認可にならない。データに所有者（user_id）でのスコープが無いと『ログイン＝全データ閲覧』になる（OWASP最上位の Broken Access Control）。さらに認証スキャフォールドの登録開放が重なると、第三者が登録して中に入れる。守りは、全クエリを所有者で絞る／不要な登録を閉じる／多層防御／監査・アクセスログを事故の前から残す／新規登録を検知。
パスワードの保管、みんなどうしてる？データで見る実態と安全な方法
代表的な調査では、約54%が記憶頼み・約33%が紙にメモ・パスワードマネージャー利用は約36%にとどまる。使い回しも約25%。一方 Verizon DBIR では漏洩の約38%に認証情報の侵害が関与し、漏洩DB内パスワードの約74%が使い回しだった。つまり、よく使われる保管法ほど攻撃者に悪用されやすい。安全な基本は、マネージャーで全部を別パスワードにし、重要アカウントはパスキー/MFAで守ること。
AI時代のセキュリティ対策｜個人開発者がいま固めるべき基本（優先順チェックリスト）
AIは“新しい弱点”より“既存の弱点を自動で・大量に突く”側を強くする。だから特別な新対策より、基本を正しい順で固めるのが最善の備え。CVE即パッチ＋依存監視、使い回しの解消＋MFA、露出した秘密の除去、最小権限、公開面の縮小、ログ/IOCの備え、バックアップ——優先順チェックリストで。
AI時代に効くセキュリティ対策と効かない対策：小規模サイトでも狙われる理由
AI時代の4つの誤解を正す。①小さいから狙われない→自動化された攻撃は人間が標的を選ばない ②特別な新対策が要る→基本対策が最も効く ③製品を入れれば安心→検知より事故を起こさない設計が先 ④AI生成コードは速くて安全→脆弱性を含んだまま公開されることがあり、公開前レビューが必須。効くのは地味な基本対策を正しい順で進めること。
バックアップの基本：3-2-1ルールとランサムウェアに耐える復元計画
バックアップは『取ってある』では不十分で、『復元できると確認済み』のものだけが役に立つ。基本＝3-2-1ルール(3コピー・2種類のメディア・1つはオフサイト)。さらにランサム対策には、常時接続でない『オフライン/不変(immutable)』のコピーが少なくとも1つ要る——常時繋がったバックアップは本体ごと暗号化される。クラウド同期はバックアップではない(誤削除や暗号化も同期する)。世代管理と定期的な復元テストまでが運用。
多要素認証(MFA)の選び方：SMS・認証アプリ・パスキーの違い
MFAは異なる種類の要素を2つ以上使う認証で、2FAはそのうち2種類を使うもの。手順が二段階あるだけではMFAとは限らない。手入力のコードはフィッシング耐性がなく、SMSではSIMスワップにも注意する。重要なアカウントはフィッシング耐性のある方式を優先し、パスキーのPIN・生体認証による利用者確認、同期・復旧の条件も確かめる。
Windows 10をまだ使っている人へ：サポート終了後のセキュリティリスク
通常のWindows 10 Home/Pro系22H2のサポートは2025年10月14日に終了。2026年10月16日確認の公式案内では、個人向けESUは2027年10月12日までで、登録済みの場合は自動継続されます。端末の登録・更新状態と地域別条件を確認し、更新が続くOSへの移行を優先してください。LTSC/IoTや企業向けESUは別制度です。
ノートパソコンを持ち歩くときのセキュリティ対策 — 盗難・紛失・覗き見への備え
ノートPC持ち歩きの前提は『いつか失くす・盗まれる』。最も重要なのは、失くしても中身が漏れない設定＝①ディスク暗号化(BitLocker/FileVault) ②強いログイン+短い自動ロック ③遠隔ワイプ/位置追跡。公共Wi-FiはHTTPS普及で盗聴リスクが下がり、本当の脅威は偽AP・覗き見・離席。VPNを過信せず、暗号化とロックを最優先に。
パスワードマネージャーは安全？仕組みとクラウド・ローカルの違い、選び方
パスワードマネージャーは、サービスごとに強い別パスワードを使うための道具です。ゼロ知識暗号は提供元から暗号化データが漏れた際にも内容を守る設計ですが、安全はマスターパスワードの強さや暗号化設定、端末の安全性にも左右されます。MFAで不正ログインも防ぎ、クラウド型とローカル型を用途で選びます。
公共Wi-Fiの危険性：盗聴より注意すべき偽のアクセスポイントと証明書の警告
公共Wi-Fiの『盗聴』はHTTPS普及で大半が暗号化され、優先度は下がった。本当のリスクは①偽AP(evil twin)に自分から繋ぐ②証明書警告を無視する③同じネットワークに端末を晒す。効果の高い対策はシンプルで、スマホのテザリングを使う・HTTPSと証明書警告を信じる・知らないSSIDに自動接続しない。VPNはその次の追加策。
個人開発・小規模運営のセキュリティ最低限：業界標準の対策と優先順位
最低限の対策は『全部同じ重さ』ではない。当サイトの優先順位＝①管理者アカウント・ドメイン・メール（多要素認証）②秘密とコード③アプリ本体④パッチ・検知・復元。リソースが有限な個人は、この順で上から埋めるのが正解。多くの事故は新種の攻撃ではなく、これら基本対策の抜けから起きる。
組織のセキュリティ対策の最低限：2026年の国内事故から逆算した6つの優先順位
組織向けの『最低限』は、製品の一覧ではなく、実際の事故で破られた場所から決めるべき。2026年の国内事故を並べると、入口はVPN機器・第三者製ソフト・照会機能・非公表とバラバラでも、被害を広げた原因は6つにまとまる。①入口の機器を期限つきで塞ぐ②保守・委託・退職者のアカウントを狭く③量と時間を見張る④ログを遡れる期間残す⑤要らないデータを持たない⑥優先度をKEVで付け直す。当サイトの結論＝組織の最低限とは『誰が・どの数字で・いつ気づくか』を決めること。
セキュリティの棚卸し：複数サーバーを個人運用する人が見落とす点検7項目
複数サーバーを個人運用する人の事故は「足りない対策」より「把握していない状態」が原因になりがち。守る境界は鍵を置いたPC。2FAはメール→ドメイン→課金の順に優先、SSH鍵は「どの鍵でどのサーバーに入れるか」を表にして重複・未使用・用途が消えた登録を消す、平文パスワードはクラウドから消す、是正は可逆に1つずつ、台帳に機密は書かない。派手な新ツールより棚卸しが先。
スマホを安全に使う基本：パスワード・決済・本人確認が1台に集まる端末の守り方
スマホは二要素・メール・銀行・身分証が1台に集中しており、失うと多くのサービスに影響する（単一障害点）。最も効果のある対策はセキュリティアプリではなく、①強いロック＋短い自動ロック（パスコードが暗号化の鍵）②OS/アプリ自動更新 ③公式ストア＋権限見直し ④紛失時の遠隔ロック/ワイプを事前設定 ⑤二要素の予備（紙のバックアップコード）。OSは標準で暗号化・サンドボックス済み。
パスワードをGoogleドライブに保存するのは安全？正しい保管方法
平文のGoogleドキュメント/スプレッドシートにパスワードを一覧保存するのは危険。理由：Googleアカウント1つが全パスワードの単一障害点になり、乗っ取り・不正連携アプリ・フィッシングで一気に全部漏れる。最も安全なのは専用パスワードマネージャ（端末間でも中身は暗号化）。どうしてもDriveを使うなら暗号化済みの管理ファイルだけ＋アカウントにフィッシング耐性MFA。