セキュリティ基礎
このタグの記事 18 件
GDPR とは — EUの個人データ保護規則と、漏洩時の通知義務
GDPR(General Data Protection Regulation)は、EU域内の個人データを保護するEUの包括的規則。EUの人々にサービスを提供すれば域外の事業者にも及び得る。適法な根拠(同意など)・目的の明確化・データ最小化・本人の権利(開示/削除)・漏洩時の当局通知(原則72時間)などを求め、重大違反には高額の制裁金がある。技術的な要点は『必要な個人データしか集めない・持たない・安全に守る・漏れたら速やかに検知して通知できる』ことに集約される。
OWASP Top 10 とは — Webアプリで最も重大な10大リスクの定番リスト
OWASP Top 10 は、非営利団体 OWASP が数年ごとに公開する『Webアプリで最も重大な10大リスク』のリスト。開発者・運営者の共通言語として広く使われる。最新版(2021)の筆頭は『アクセス制御の不備(Broken Access Control)』で、以下インジェクション・設定ミス・脆弱で古いコンポーネント・認証の不備などが並ぶ。個別の攻撃手法ではなく“リスクのカテゴリ”なので、自分のアプリを点検する観点として使うのが正しい。
公開鍵暗号とは — 公開鍵と秘密鍵のペアで暗号化・署名するしくみ
公開鍵暗号＝『公開鍵（誰に配ってよい）』と『秘密鍵（本人だけが持つ）』のペアを使う方式。公開鍵で暗号化したものは対応する秘密鍵でしか復号できず、秘密鍵で作った署名は公開鍵で検証できる。この非対称性が、TLS(HTTPS)の鍵交換・電子署名・パスキーの土台。守りの要点は、暗号を自作しない（枯れた実装を使う）／秘密鍵を厳重に管理・失効できるようにする／鍵長とアルゴリズムを最新の推奨に保つこと。
ログインを付けただけで安心していないか — 認証と認可の違い
認証＝『誰か』を確かめること、認可＝『その人が何をしてよいか』を決めること。両者は別物で、ログインを付けただけでは認可にならない。データに所有者（user_id）でのスコープが無いと『ログイン＝全データ閲覧』になる（OWASP最上位の Broken Access Control）。さらに認証スキャフォールドの登録開放が重なると、第三者が登録して中に入れる。守りは、全クエリを所有者で絞る／不要な登録を閉じる／多層防御／監査・アクセスログを事故る前に／新規登録を検知。
パスワードの保管、みんなどうしてる？データで見る実態と安全な方法
代表的な調査では、約54%が記憶頼み・約33%が紙にメモ・パスワードマネージャー利用は約36%にとどまる。使い回しも約25%。一方 Verizon DBIR では漏洩の約38%に認証情報の侵害が関与し、漏洩DB内パスワードの約74%が使い回しだった。つまり“定番の保管法”ほど攻撃者に効く。安全な土台は、マネージャーで全部を別パスワードにし、重要アカウントはパスキー/MFAで守ること。
AI時代に効くセキュリティ対策と“効かない”もの｜小規模でも狙われる理由
AI時代の4つの神話を正す。①小さいから狙われない→自動化が『人間が選ぶ』を消す②特別な新対策が要る→基本が最強③製品を入れれば安心→検知より起こさない設計が先④AI生成コードは速くて安全→脆弱性ごと出荷・公開前レビュー必須。効くのは地味な基本を正しい順で。
AI時代のセキュリティ対策｜個人開発者がいま固めるべき基本（優先順チェックリスト）
AIは“新しい弱点”より“既存の弱点を自動で・大量に突く”側を強くする。だから特別な新対策より、基本を正しい順で固めるのが最善の備え。CVE即パッチ＋依存監視、使い回し撲滅＋MFA、露出した秘密の除去、最小権限、公開面の縮小、ログ/IOCの備え、バックアップ——優先順チェックリストで。
バックアップの基本：3-2-1ルールとランサムウェアに耐える復元計画
バックアップは『取ってある』では不十分で、『復元できると確認済み』だけが本物。基本＝3-2-1ルール(3コピー・2種類のメディア・1つはオフサイト)。さらにランサム対策には、常時接続でない『オフライン/不変(immutable)』のコピーが少なくとも1つ要る——常時繋がったバックアップは本体ごと暗号化される。クラウド同期はバックアップではない(誤削除や暗号化も同期する)。世代管理と定期的な復元テストまでが運用。
Windows 10をまだ使っている人へ：サポート終了後のセキュリティリスク
Windows 10は2025年10月14日でサポート終了済み。使い続ける最大のリスクは『見つかっても二度と直らない穴（forever-day）』が積み上がり、攻撃者に狙われやすくなること。個人向けESU延長は2026年10月13日までの1年だけ・セキュリティ修正のみの時間稼ぎ（無料の登録ルートあり、ただしEEA初年度無料は日本対象外）。本筋はWindows 11への移行か機器更新で、ESUはその移行を終わらせるまでの橋として使う。
二要素認証(MFA)の正しい選び方：SMSより強い「フィッシング耐性」とは
MFAは『パスワードが漏れても入られない』ための二重ロックだが、何を付けたかで強さが3段違う。SMS/メールはフィッシング中継・SIMスワップで破られる弱い方式、認証アプリ(TOTP)は中、パスキー/物理キー(FIDO2)は偽サイトに出せない『フィッシング耐性』で別格。最優先は王国の鍵（メール・ドメイン・決済）にフィッシング耐性MFAをかけること。リカバリーコードの保管とバックアップ手段の用意までが正しい運用。
セキュリティの棚卸し — 複数サーバーを個人運用する人が見落とす点検7項目
複数サーバーを個人運用する人の事故は「足りない対策」より「把握していない状態」が原因になりがち。守る境界は鍵を置いたPC。2FAは信頼の連鎖でティア化、SSH鍵はマトリクス化して重複・未使用・孤児を消す、平文パスワードはクラウドから消す、是正は可逆に1つずつ、台帳に機密は書かない。派手な新ツールより棚卸しが先。
スマホを安全に使う基本 — 守るべきは『鍵束・金庫・身分証』が1台に詰まった端末
スマホは二要素・メール・銀行・身分証が1台に集中した単一障害点。守りの本命はセキュリティアプリでなく、①強いロック＋短い自動ロック（パスコードが暗号化の鍵）②OS/アプリ自動更新 ③公式ストア＋権限見直し ④紛失時の遠隔ロック/ワイプを事前設定 ⑤二要素の“予備”（紙のバックアップコード）。OSは標準で暗号化・サンドボックス済み。
パスワードをGoogleドライブに保存するのは安全？正しい保管方法
平文のGoogleドキュメント/スプレッドシートにパスワードを一覧保存するのは危険。理由＝Googleアカウント1つが全パスワードの単一障害点になり、乗っ取り・不正連携アプリ・フィッシングで一気に全部漏れる。正解は専用パスワードマネージャ（端末間でも中身は暗号化）。どうしてもDriveを使うなら暗号化済みの管理ファイルだけ＋アカウントにフィッシング耐性MFA。
ノートパソコンを持ち歩くときのセキュリティ対策 — 盗難・紛失・覗き見への備え
ノートPC持ち歩きの前提は『いつか失くす・盗まれる』。本命は“失くしても中身が漏れない”設計＝①ディスク暗号化(BitLocker/FileVault) ②強いログイン+短い自動ロック ③遠隔ワイプ/位置追跡。公共Wi-FiはHTTPS普及で盗聴リスクが下がり、本当の脅威は偽AP・覗き見・離席。VPNを過信せず、暗号化とロックを最優先に。
パスワードマネージャーは安全？仕組みとクラウド・ローカルの違い、選び方
パスワードマネージャーは、使い回し・平文保存より確実に安全。鍵はゼロ知識暗号＝マスターパスワードで端末側だけが復号でき、提供元は暗号文しか持たないので、提供元が破られても中身は出ない。本当の単一障害点はマスターパスワードと金庫のMFA。クラウド型(Bitwarden/1Password)とローカル型(KeePass)を用途で選ぶ。
公共Wi-Fiの危険性 — 本当に怖いのは『盗聴』ではなく、偽APと証明書警告の無視
公共Wi-Fiの『盗聴』はHTTPS普及で大半が暗号化され、優先度は下がった。本当のリスクは①偽AP(evil twin)に自分から繋ぐ②証明書警告を無視する③同じネットワークに端末を晒す。最強の対策は意外とシンプル＝スマホのテザリングを使う・HTTPSと証明書警告を信じる・知らないSSIDに自動接続しない。VPNはその次の追加策。
個人開発・小規模運営のセキュリティ最低限：業界標準の対策を全部セットで
最低限の対策は『全部同じ重さ』ではない。当サイトの優先順位＝①王国の鍵（多要素認証・ドメイン・メール）②秘密とコード③アプリ本体④パッチ・検知・復元。リソースが有限な個人は、この順で上から埋めるのが正解。多くの事故は新種の攻撃ではなく、この土台の抜けから起きる。
中規模〜大規模組織のセキュリティ最低限：チームで守る標準の土台
規模が上がると最低限は『チェックリスト』から『オーナーのいるプログラム』に変わる。優先順位は個人版と同じ＝①アイデンティティ②秘密とサプライチェーン③アプリと基盤④検知と対応＋横断の人とガバナンス。最大の変化は、事故の主因が『うっかり』から『人・プロセス・退職者の権限・第三者』へ移ること。