CyberFix Note
ガバナンス・コンプライアンス
個人情報保護法の要点。エンジニアが知っておくべきこと
個人情報の定義、安全管理措置、漏えい時の報告義務を、開発・運用の現場目線で整理します。何が個人データに当たり、何を実装で担保し、漏えい時に誰へ何日以内に報告するかを一次情報で確認します。
記事一覧（9ページ目）
攻撃手法・脅威動向
マルウェアの種類と感染の仕組みを理解する。ウイルス・ワーム・トロイ・RAT・スパイウェアの違い
マルウェアはひとくくりの「悪いソフト」ではありません。ウイルス・ワーム・トロイの木馬・RAT・スパイウェアといった分類が何を意味するのか、どこから感染し何をされるのかを、原理から噛み砕いて整理します。
インシデント対応・フォレンジック
情報漏えい発生時の対応と公表。委員会への報告義務と本人通知をどう判断するか
個人データの漏えいが疑われたとき、経営はいつ何を判断すべきか。個人情報保護委員会への報告（速報・確報）と本人通知の義務、公表の判断、再発防止までを、個人情報保護法と委員会の公式資料をもとに実務目線で整理します。
攻撃手法・脅威動向
ランサムウェアの感染経路と被害最小化。初期侵入を断ち、復旧できる備えをつくる
ランサムウェア被害の大半はVPNやリモートデスクトップからの侵入で起きます。初期侵入経路、二重恐喝の仕組み、そしてバックアップと隔離による被害最小化を、実務で判断できる粒度まで噛み砕いて解説します。
防御・ハードニング
ハードウェアセキュリティキー（FIDO2）の選び方とおすすめ。フィッシングに原理的に強い認証
FIDO2対応のハードウェアセキュリティキーは、フィッシングに原理的に強い最高水準の認証手段です。仕組み・選ぶ基準・対応サービスの確認方法から、YubiKeyなど実在製品の使い分けまでを実務目線で解説します。
セキュアコーディング
オンラインで学べるセキュリティ講座・教材まとめ。無料の一次情報から実践プラットフォームまで
セキュリティをオンラインで学びたい人へ。IPAやJPCERT/CCの無料教材、TryHackMe・Hack The Boxなどの実践プラットフォーム、補強用の書籍を、用途とレベル別に整理して紹介します。
脆弱性・CVE解説
CVE・JVNの読み方と脆弱性情報の追い方。採番の仕組みからNVD・ベンダー情報までを整理する
CVEはどう採番され、JVN・JVN iPedia・NVD・ベンダーアドバイザリはそれぞれ何を担うのか。脆弱性情報の流れと読み方、自社製品に関係する情報を取りこぼさず追うための実務的な手順を入門者向けに整理します。
防御・ハードニング
パスワードマネージャーの選び方とおすすめ。方式・同期・共有を実務目線で比較
クラウド型かローカル型か、同期や共有はどう設計するか。ゼロ知識暗号やパスキー対応といった判断軸から、自分や組織に合うパスワードマネージャーの選び方を入門者にも噛み砕いて整理します。
セキュアコーディング
セキュリティ資格の対策書まとめ：登録セキスペ・CISSPほか、目的別の選び方と定番テキスト
情報処理安全確保支援士（登録セキスペ）やCISSPなど、実在する主要なセキュリティ資格を整理し、対策書の定番を目的別に厳選して紹介します。試験制度の変更点や費用、自分に合う1冊の選び方まで解説します。
セキュアコーディング
APIセキュリティの基本。認証認可・レート制限・入力検証とOWASP API Top 10で守る
Web APIで起きやすい認証認可の不備、リソース枯渇、入力検証の漏れを、原理と再現条件から解説します。OWASP API Security Top 10(2023)を軸に、開発者がリクエストごとに何を検証すべきかを実務目線で整理します。
脆弱性・CVE解説
Log4Shellに学ぶ、依存ライブラリ脆弱性の怖さとSBOM・SCAによる対策
Apache Log4jのCVE-2021-44228(Log4Shell)を題材に、依存ライブラリの脆弱性がなぜ広範な被害を生むのかを原理から解説し、SBOMとSCAを軸にしたサプライチェーンの脆弱性管理を実務目線で整理します。
防御・ハードニング
WAFの役割と限界、正しい使い方。シグネチャと振る舞い、回避される前提、根本対策との補完
WAFが何を守り何を守れないのかを、シグネチャ検知と振る舞い検知の原理から解説します。回避されうる前提を踏まえ、誤検知(過検知/検知漏れ)の扱い、根本対策との補完まで運用目線で整理します。