Security Basics– category –
-
FTPのセキュリティリスクとSFTP・FTPS移行ガイド｜平文通信が招く危険と安全なファイル転送への移行手順
「FTPって古いとは聞くけど、うちのサーバーはまだ使っている。今すぐやめないといけないの？」インフラを引き継いだ直後、こんな状況に直面したエンジニアは少なくないはずです。 Webサーバーへのファイル転送、取引先とのデータ受け渡し、レガシーシステ... -
パスワードのハッシュ化とソルトとは？bcrypt・Argon2・scryptで安全なパスワード保存を実現する実践ガイド
パスワード漏洩インシデントのニュースが絶えない昨今、「ハッシュ化して保存しているから大丈夫」と思っていませんか。残念ながら、MD5やSHA-1で単純にハッシュ化するだけでは、攻撃者に対して十分な保護になりません。 2012年のLinkedIn流出事件では約60... -
Windowsサーバーのハードニング入門｜情シス1人でもできるOS強化とセキュリティ設定チェックリスト
管理しているWindowsサーバーが「インターネットにつながっている」だけで、日々無数のスキャンや攻撃プローブにさらされています。IPA（情報処理推進機構）の調査でも、ランサムウェアや不正アクセスの侵入口として「OSのデフォルト設定や未適用パッチ」... -
脆弱性管理とは？発見・評価・修正・検証の4ステップと中小企業での実践ガイド
「うちの会社、脆弱性管理って結局何をすればいいんだろう…」 「パッチを当てているだけじゃダメなの？」 情シス担当者なら一度は感じる疑問ではないでしょうか。実は「パッチを当てること」は脆弱性管理の4分の1にすぎません。残り3つのステップを理解し... -
GRC（ガバナンス・リスク・コンプライアンス）とは？セキュリティ管理を統合する3本柱と中小企業での実践ガイド
「セキュリティ対策はやっているはずなのに、担当者が個人の判断で動いていて経営層は実態を把握していない」「個人情報保護法への対応と技術的な脆弱性対策が別々に動いていて、全体像がつかめない」 こうした状況に陥っている中小企業は少なくありません... -
職務分離（SoD）とは？内部不正を防ぐアクセス権限の設計と情シス実践ガイド
セキュリティの教科書では「最小権限の原則」がよく語られますが、中小企業の現場でより見落とされがちな概念があります。それが「職務分離（SoD: Segregation of Duties）」です。 「うちには1人しか情シスがいないから無理」「小さな会社に職務分離なん... -
OSI参照モデルとセキュリティ｜各レイヤーに潜む脅威と防御策をわかりやすく解説
ネットワークの勉強でOSIモデルを学んだものの、「セキュリティとどう結びつくのかイマイチわからない」という声は現場でもよく聞きます。実は攻撃者はこのOSIの各レイヤーをよく理解した上で、レイヤーごとに最も効果的な攻撃を仕掛けてきます。 この記事... -
セキュリティ監査とは？内部監査・外部監査・ペネトレーションテストの違いと中小企業での実施ガイド
「自社のセキュリティ対策は本当に機能しているのか」——そう問われたとき、自信を持って答えられる情シス担当者は多くないはずです。対策を"導入した"ことと、対策が"有効に機能している"ことは、まったく別の話だからです。 この確認作業を体系的に行うの... -
暗号鍵管理とは？生成・保管・ローテーション・廃棄の手順と中小企業でもできる実践ガイド
暗号化システムを導入したはいいが、「鍵をどう管理すればいいか分からない」「鍵が漏洩したらどうなるのか」と頭を抱えている情シス担当者は多い。パスワードと違い、暗号鍵は目に見えにくく、気づかないうちにセキュリティの穴になっていることがある。 ... -
セキュアコーディングとは？安全なWebアプリを作るための基本原則と脆弱性を防ぐ実装ガイド
開発者が書くコードには、意図せず脆弱性が紛れ込みます。SQLインジェクションやXSS（クロスサイトスクリプティング）の多くは、高度な攻撃ツールの産物ではなく、日常のコーディング習慣の中に潜む「穴」を突いたものです。 IPAが公表する「情報セキュリ...
