基盤
システムを動かす土台の守り方です。クラウドとサーバー、データの保存先、開発の仕組みと部品を扱います。担当者が知りたいのは、設定や権限、部品に穴がないかです。
クラウド・サーバー
記事一覧を見るAWSなどのクラウド、サーバー、コンテナ
IAM権限の棚卸し手順｜未使用ID・最小権限・ロールの信頼条件
IAM権限の棚卸しの手順をAWSを例に説明する。最終利用日で未使用のIDとアクセスキーを洗い出す方法とその限界、ポリシーを使う操作と資源に絞る手順、ロールの信頼ポリシーと外部IDの確認、残す記録の項目を扱う。
データベース・ストレージ
記事一覧を見る顧客や業務のデータの保存先と、バックアップ
データベースのセキュリティ対策｜公開設定・アクセス権限・暗号化・監査ログ
データベース セキュリティの点検手順を、接続経路と公開設定、アカウントの権限、通信と保存時の暗号化、監査ログ、バックアップと複製の5か所で整理し、外部から接続できる状態から先に直す改善の順序を示す。
開発環境・ソフトウェア部品
記事一覧を見るソースコードの置き場所、配る仕組み、使っているライブラリ
OSSのセキュリティリスクと対策｜脆弱性・配布物の改ざん・SBOMによる管理
OSSのセキュリティリスクを、既知の脆弱性と配布物の乗っ取りに分けて解説する。Log4j・xz・Shai-Huludの事例から、間接依存まで含むSBOMの作り方、脆弱性情報と改ざん報告の照合、バージョン固定と更新の承認手順を示す。
SASTとSCAの違い・使い分け｜自動検査の範囲と異常系・回帰試験
SASTとSCAの違いを、調べる対象（自社のソースコードと取り込んだOSS部品）で説明する。両方で見つけにくい認可の誤りを補う動作試験、除外の記録、redis-pyの事故に学ぶ修正後の回帰試験とSCAの再実行も扱う。
スロップスクワッティングとは？AIが提案するパッケージの確認と対策
スロップスクワッティングとは、生成AIが挙げた実在しないパッケージ名を第三者が先に登録する攻撃。研究で測られた誤提案の割合と実被害の確認状況、AIが提案したパッケージの確認と導入の承認、依存関係の管理を解説。
