企業の保護と責任、消費者利用者の保護を明確にして社会を止めないためには必要な検討事項だと思う。タイムズの件を見ても企業が必須項目として情報を取得し漏洩した場合でも責任の範囲が現在弱すぎると思う。また企業もセキュリティのシフトレフトで開発の脆弱性を防ぐルールになるべき。
昨今の情報漏洩を踏まえ、事態にどう対処すべきか、インタビュー調査等を行い私案を作成しました。
本件、一刻も早く対処してゆく必要があると考えます
AI時代のサイバー攻撃、度重なる情報漏洩からの守りを固めるための政府への7つの提言私案|安野貴博 @takahiroanno note.com/takahiroanno/n/n27e…
やれやれ retweeted
Cloudflareが、AIにコードの安全チェックをさせるスキルをオープンソースで公開しています。
Claude CodeやCursorのような、AIにプログラムを書かせる道具に組み込んで使います。すると、そのAIが危険な穴(脆弱性)を探す監査役として動いてくれます。
・書いた直後のコードにも、リリース前の確認にも使える
・監査のやり方を教え込む手順が一式そろっている
・普段からAIコーディングツールを使うエンジニア向けに作られている
・Cloudflare公式が配布、MITライセンスで無料
GitHubで人気を示す「スター」が、ある1日で2,428個付いたと紹介されています。何ができるのか、詳しく解説します👇
やれやれ retweeted
ソフトウェアエンジニアが意識して身につけないといけないほどの深いドメイン知識って、そんなになくない?
今の時代、調べたら大抵のことはすぐわかるし
もっと基本的なお客様のビジネスがどこで儲かってどこがコストでどこがソフトウェアで解決可能か?とかの勘所のが大事かなと
やれやれ retweeted
「仕様書ゼロで50年。CSVが世界を支配した理由」
この動画に来ていたコメントをまとめてみました。
意外だったのが、
「カンマで区切る必要ある?」という話がかなり盛り上がっていたことです。
まず出てきたのが、
「TSV、タブ区切りこそ最適解」
というコメント。
「データ本体にデリミタが入ってるかも、という恐怖は明らかにカンマよりタブの方が軽い」
さらに、
「TSVをクリップボードに入れてExcelにペーストすると、良い感じに表に入る」
という話まで。
一方で、
「タブは人間の目に見えない」
という弱点も挙がっていました。
システム同士の連携には便利。
でも、人間が中身を見るには少しつらい。
このあたりにCSVが残り続けた理由もありそうです。
そしてかなり盛り上がっていたのがExcelの話。
「何かと悪いのはExcel」
という一言に対して、
「ExcelがCSVを採用しなかったら、何十年も使われなかったのでは」
という擁護がある一方で、
「0落ちcp932化許すまじ」
「仕様書にExcel使うのやめてほしい。いや本当に」
という声も。
先頭ゼロが消える。
指数表示になる。
123,456のような値で崩れる。
CSVとExcelの組み合わせに苦しんだ人はかなり多いようです。
さらに、
「CSVです、って送られてきたのが単体のヘッダと通常行だった時の横転具合」
という悲鳴までありました。
新人教育の話も面白かったです。
「CSV読み込み処理を実装させると技量が測れる」
という声が複数。
最初は、
「String#splitで余裕でしょ」
と思わせておいて、
二重引用符。
カンマ入りデータ。
改行。
文字コード。
エスケープ。
を食わせる。
そこで初めて、CSVが見た目ほど単純ではないと分かる。
中にはCSVエディタを自作したという人までいました。
細かい仕様が決まりきっていないから、人間には扱いやすい。
でも決まりきっていないから、プログラム側では毎回面倒を見ることになる。
CSVの話から、TSV、Excel、新人教育、文字コード、クォート処理まで、50年分の愛憎が詰まったコメント欄になっていました。
やれやれ retweeted
闇バイトをやろうとしている方々。
実は私、30年以上前、闇バイトに関わったことがあります。
当時、大学生の時給は800~900円くらいだったのですが、「電話回線の簡単な点検作業で時給1500円」だったので応募しました。
詳細を説明すると長くなりますが、簡単に言うと、「NTTのシステムのバグを利用して公衆電話をハッキングする」という仕事…いや、犯罪でした。
いちおう法学部の学生だった私は、一通り説明を聞いて、機材を与えられて考えてみると、これは偽計業務妨害罪に当たるのではないかと考え、大学の図書館で過去の判例を調べると、マジックホン事件というのが出てきた上、刑事訴訟法の教授に相談すると、電子計算機使用詐欺にも抵触するのではないかとわかりました。
ところが、ここからが問題だった。
時代は平成初期。パソコンを持っている人は少なく、まだポケベルの時代。
NTTのシステムバグを、NTTの人に通報しても、警察の人に通報しても、理解してもらえない。
そもそも、首謀者とどこで出会ったのかを問われ、パソコン通信とかNIFTY-Serveと言っても通じない。
NTTも警察も動かないから、横浜地検に告発状を提出したら、やっと話が警察につながり、捜査することになった。
当時、神奈川県警は私の自宅を訪れて、パソコン通信に接続している様子を見る。私をNTTの実験室に呼んで架電実験を行う。
神奈川大学の先輩に当たる巡査部長が自前のノートパソコンを警察署内に持ち込んで再現実験をするなど、手さぐりの捜査を行った。
当時、私は21歳。首謀者は電子計算機使用詐欺で逮捕された。今なら分かりやすい闇バイトなら簡単に裁判は進むが、裁判官も検事も素人。唯一、被告人の弁護人だけがNTT案件に強いとされる弁護士だった。
刑事裁判は長引き、私は検察側証人として証人尋問を受け、結果は有罪。
当時、電子計算機使用詐欺といえば、銀行の端末を利用して女性が金を引き出して男に貢ぐ犯罪というイメージがあったが、公衆電話からハッキングしてダイヤルQ2事業者に架電させて金を得る行為を同罪で有罪にしたのは日本初だった。
読売新聞が密着取材をしてくれて大きく報道。この事件の詳細は三才ブックスの「裏パソコン通信の本」に掲載されることになった。
その後、大学院に進学した私は、横浜地検に捜査資料の閲覧を求めた。本来はダメだけど、「複写はしない」、「修士論文に使うだけ」、「電磁的記憶媒体の証拠の取り扱いについてのみ」ということを約束して閲覧を許された。
で、何が言いたいか。
私はこの事件で得た「電磁的記憶媒体」、つまり当時のフロッピーディスクに落としたNIFTY-Serveのログの証拠調べ方法についての修士論文を書いたのです。
当時、この証拠調べ方法は、A説・B説・C説があり、有名な民訴学者がA説とB説で論争を繰り広げていたのですが、私はC説が正しいのではないかということで、指導教授と対立してしまい、ものすごく悩んでいました。私はC説を主張していた、元裁判官の夏井高人教授に直接メールを送って「私はどうしてもAB説が信じられず、C説が正しいような気がする」、「現に横浜地検はこういう証拠を出していた」と相談したところ、「そんな事件があったのか~い」と驚かれたのでした。
で、いつもの学歴話になる。
私、この一件で、新しい技術について、理系の人はよくわかっていても、文系の人はついていけないことが多く、それは大学教授であっても、裁判官であっても同じってこと。
私が必死に「あれはああいう犯罪で」と説明しても、NTTも警察も問題だとは思わず、後から「うさん臭いビジネスに加担するおまえが悪い」と説教してくる大人たちがいたのです。
で、私は思う。
ここに出てきた登場人物の中で、犯罪ではないかと気付いたのは、まだ神奈川大学の学生だった俺じゃないか。NTTも警察も裁判官も検事も、私が口で説明しても、何の疑問も持たなかったじゃないか。
まともに話ができたのは、神奈川大学の先輩に当たる知能犯係のH警部補だけだったじゃないか。
警察・検察・裁判所が動いて、判決ができてから、教授のみなさんが「あれは詐欺事件」みたいに、後づけで研究対象にするのを見て、学歴ってアテにならないんじゃねーの?…と思った次第です。
長文ごめん。
ちなみに、この一連の事件で、一番金をくれたのは、三才ブックス。原稿料が良かった。10万チョイ。
次が裁判所。検察側の証人尋問30分で3800円。
読売新聞の記者は、2回くらいランチをおごってくれた。
神奈川県警はお茶とアイスクリーム。
NTTはノベルティグッズ。
でもまぁ、お金ではないけれど、大学院の修士論文のネタという意味では、100万くらいの価値はあったと勝手に査定する。
元祖「闇バイト」の私。詐欺の片棒をかつがされたものの、結局お金は貰っていないし、騙されていることがわかってすぐに通報したので、被疑者にはならなくて済みました。ただし、調書に「重要参考人・松本肇」と書かれたのを見た時はドキっとしたよ。
ちなみにその被告人。未決拘留は10月。詐欺事件については初犯だったため、懲役1年6月、執行猶予3年の刑でした。
長文ごめん。
そういう中途半端なグローバリズムはやめたほうがいい。そういえば政治家こそグローバリズムの荒波に飲まれたほうがいい気がしてきた。
やれやれ retweeted
PMという言葉の問題ではなく、其々の役割分解ができていない組織設計の問題。
その結果、すべてが「PM」という曖昧な肩書きに押し込まれている。
これが日本の現場でよく起きている構造。
日本のIT企業が“PM”という便利な言葉に依存し、PdM・PO・PM・PMO・PL・ディレクターの役割を分解できていないことが本質的な問題であるという事。
そして、PMという言葉に役割を押し込みすぎている日本のIT企業・受託開発・Web制作会社の典型的な構造問題として捉えるべき。
日本のIT企業や受託開発、Web制作会社にありがちな、PMという言葉に頼り切った組織設計の問題。
本来、ITプロジェクトには複数の役割が存在する事を理解しなければならない。
事業成果や投資判断に責任を持つ事業責任者。
顧客価値や市場価値を設計するPdM。
プロダクトバックログや優先順位を管理するPO。
納期・予算・品質・リスクを管理するPM。
プロジェクト運営の仕組みを整えるPMO。
技術設計と実装品質を担保するPL。
日々の制作進行やタスク管理を回すディレクター。
これらは本来、似ているようでまったく違う役割。
しかし日本の現場では、この違いが曖昧なまま、すべてを「PM」という言葉に押し込んでしまうことが多い。
その結果、「PMができます」と言っても、実際には進行管理ができるだけなのか、要件定義ができるのか、事業課題を整理できるのか、技術リスクを判断できるのか、プロダクトの優先順位を決められるのかが分からない。
ここに大きなミスマッチが生まれている。
ガントチャートを引ける。
タスクを分解できる。
進捗を報告できる。
メンバー調整ができる。
これらは重要。
しかし、それだけではITプロジェクトは成果に結びつかない。
なぜなら、本当に重要なのは「何を作るか」ではなく、
「なぜ作るのか」
「誰のどんな課題を解くのか」
「どの成果に接続するのか」
「何を作らないのか」
を決めることだから。
ここを決める役割が不在のまま、PMにすべてを背負わせると、
プロジェクトは一見きれいに進む。
会議もある。
議事録もある。
進捗表もある。
スケジュールもある。
しかし、成果が出ない。
これはPM個人の能力不足というより、役割設計と意思決定構造の不在という事。
特に日本企業では、PdMとPM、POとPM、PMOとPM、PLとディレクターの違いが曖昧になりがち。
PdMは「何を作るべきか」を考える。
POは「次に何を作るか」を決める。
PMは「どう作り切るか」を管理する。
PMOは「どう再現性を持って回すか」を仕組み化する。
PLは「どう技術的に成立させるか」を判断する。
ディレクターは「日々どう動かすか」を進行する。
この役割分解ができていない組織は、結局、属人的なプロジェクト運営になる。
優秀な人がいれば何とかなる。
声の大きい人の要望が通る。
営業が取ってきた案件を現場が無理やり成立させる。
エンジニアが後工程でリスクを背負う。
PMが本来担うべきでない事業判断や仕様判断まで巻き取る。
これでは、グローバルで戦えるIT企業にはなれない。
真のIT企業に必要なのは、単にPM人材を増やすことではない。
必要なのは、
ITプロジェクトにおける役割、
責任、
意思決定、
品質基準、
技術判断、
成果指標を明確にし、
それを組織として仕組み化すること。
誰が事業成果に責任を持つのか。
誰が顧客価値を定義するのか。
誰が優先順位を決めるのか。
誰がスコープを管理するのか。
誰が技術判断を担うのか。
誰がプロジェクト運営を標準化するのか。
誰が最終的な成果を検証するのか。
ここを曖昧にしたまま、PMという言葉だけで現場を回す時代は終わりつつある。
日本のIT企業が本当に変わるべきなのは、PMという肩書きの解像度を上げることではない。
プロジェクトを「人の頑張り」で回すのではなく、役割と仕組みで回す組織に変えること。
そして、納品する会社ではなく、顧客価値と事業成果を実装できる会社になること。
ITプロジェクトを、進行管理の対象として見るのではなく、事業変革の実装装置として扱う。
そのために、PdM、PO、PM、PMO、PL、ディレクターの役割を明確にし、それぞれが責任を持って機能する組織を作る。
これができて初めて、日本のIT企業は単なる受託・人月・進行管理の世界を抜け出し、グローバルで戦える真のIT企業に近づくのだと考える。
要するに、この論点は、
「日本企業がITプロジェクトを役割ではなく人の頑張りで回している問題」
本質は、PM人材の不足ではなく、プロジェクト運営のOSが未整備であること。
LocalStack代替のAWSエミュレータ。MITライセンス。 / “GitHub - Nahuel990/ministack: Ministack: Free, open-source local AWS emulator - 35+ services, Terraform compatible, real databases. Free forever. MIT licensed.” htn.to/2aseNv8kLG
やれやれ retweeted
Replying to @Kanade_init
元々は“経営管理”の略。
企業が取り扱う金額が大きくなり、
・収支全般のお金の取り扱いを決める“財務部”ができる
・予算を作る等の経営に近い部分を担う“経営企画部”ができる
結果、事務処理に近い部分が残り単なる事務部門と思われがちだが、企業活動の社内外と金流全てのシーンの取り扱いルールを決め実務に関わるのが経理部。
人(人事部)、物(総務部)、金(経理部)
→開発、生産、営業等の表の企業活動を裏で支える管理部門
→本社(管理部門)の他の部門はこの3部門からの派生
やれやれ retweeted
Azure約款(極めて読みづらく誤読を誘うように書いてある)をよく読むと、MSに預けた「貴社データ」漏洩時、損害賠償規定上は「機密保持義務」違反とならず、1年分の払戻以外に一切責任を負わない。日本企業が「MS は責任を負ってくれている」と信じていることと大きく異なる。livestylewebsitestorage.blob…
これ、分かっていてもわざと無視している重要な内容。デジ庁は何を考えてるんだか
AWS の営業資料「責任共有モデル」には、「AWS には、AWS クラウドのインフラの保護する責任があります」と記載されていて、あたかもクラウドのインフラ部分の責任を AWS が負ってくれるかのような大安心的記載になっています。これを読み、日本企業は、インフラ部分は AWS が責任を負ってくれる、と誤読してしまいます。つまり、日本企業側は、「責任があります」をみて、インフラ部分の法的責任を AWS 側が負ってくれる、と期待し、誤読します。実際には、「責任があります」の「責任」は法的責任という意味ではなく、単なる心構えとしての「責任」、つまり「責任感」という意味での「責任」という意味のようです。この錯誤は AWS としての営業戦略上とても AWS に有利、日本企業に不利です。
実際の AWS の契約約款の規定は、すなわち実際に AWS クラウドインフラを狙ったサイバー攻撃事件が発生した際の「責任」の分担について法的に適用されるルールは、上記の期待と異なります。AWS の過失 (例: プログラムのバグ) で、クラウドのインフラ部分がサイバー攻撃され、侵入され、ランサムウェアでユーザデータが奪取され漏洩しても、AWS は、わずか 1 年分の料金払戻を越えた責任を全く負っていません。結局、大半の責任は、顧客の側が負っていることになります。
AWS 約款によれば、例えば、年間 1000 万円の AWS 利用料を払っているとします。AWS のクラウドインフラのプログラム脆弱性によりデータ漏洩し、10 億円の損害が生じても、そのうちわずか 1% の責任を AWS が負担し、99% 部分は、日本企業側が責任を自己負担することなります。
そこで、AWS 契約約款によると、顧客は AWS に頼らず、「自ら」、預けるデータを暗号化せねばならないことになります。特に、AWS の IaaS の EC2/EBS のデータは BYOK/HYOK で AWS による暗号化することでは足りず (ここに脆弱性があっても AWS は上記のとおりほとんどの責任を負わないため)、顧客は、独自に暗号化する必要があります。これは、AWS の SaaS の DB (DynamoDB, MySQL 等) にデータを保管するときに特に問題になります。ユーザーは、行レベルで "自ら" 暗号化したデータ (AWS 側の提供する暗号化機能では足らない) を挿入する必要があります。ところが、それを行なうと、多くの検索条件が機能しなくなります。結局、SaaS の DB は機密情報の保存に利用できず、IaaS + 自前ディスク暗号化を用いる必要があります。
たとえば、HTTPS サーバー機能として CloudFront に頼ることも困難になります。CloudFront は、AWS のインフラ部分なので、日本企業は、ここの機密性は AWS が責任を負ってくれている、と誤解しています。しかし、この部分に脆弱性があり攻撃者により平文データが奪取されても、AWS はわずか 1 年分の料金以外は責任を負いません。残りの 99% くらいの責任は、CloudFront を信用した日本企業側が責任を負います。約款上はそうなってしまいます。そうすると、結局、AWS を使用する場合は IaaS (EC2) で自前で HTTPS ロードバランサを動かす等の方法をとるしかないことになります。
tabelog.com/tokyo/A1317/A131…
昼を食べてきた。750円でこのレベルは最近の外食費高騰の中で十分なレベルでは。前の定食屋も良かったから閉店は残念だったけど今回のインドカレー屋さんも良い感じ。






























