KOIYAL Logo

ブログ

#セキュリティ

17 件の記事

タグから探す

2026年10月30日約 12 分で読了

侵入されても全件を持ち出させない。自社でできる5つの設計

2026年10月、IPAが不正アクセスの注意喚起を出し、AIエージェントで100社超のサイトに侵入した事件と、27社から60万件超のカード情報が持ち出された報告が報じられました。侵入を完全には防げない前提で、入られた日に何件失うかを設計で決める。持たない、分ける、量に上限を置く、暗号化と鍵を分ける、大量の読み出しを検知して止める、の5つと、AIエージェントに渡す道具の決め方を、公式資料と報道の確認日つきで書きます。

2026年10月29日約 6 分で読了

エージェントワークスペースとは。情シスの3つの設定

WindowsのCopilot Actionsは、社員のPCの中でファイルを整理し、アプリを操作するエージェントです。動くのはエージェントワークスペースという、別のアカウントと別のデスクトップで作られた場所で、デフォルトでは無効です。この記事は、その仕組みと、2026年10月時点の提供状況、情シスが先に決める3つの設定、機能そのものの可否、コネクタの許可、同意の期間とファイルの範囲を、公式資料の確認日つきで整理します。

2026年10月29日約 11 分で読了

Copilot Studioの権限設計。作る前に決める5項目

Copilot Studioで作ったエージェントが、顧客の予約情報とカード情報を返し、旅行の価格を0ドルに書き換えた。2025年12月にTenableが公開した検証は、プロンプトだけで起きています。原因はエージェントの指示ではなく、権限の決め方です。誰が使えるか、誰の権限で動くか、何に触れるか、どこに出すか、何を止めるかの5項目を、作る前に決める手順として、Copilot Studio・Power Platform管理センター・Defenderの設定の場所と公式資料の確認日つきで整理します。

2026年10月28日約 11 分で読了

有料版AIなら会社の情報を入れてよい？シャドーAI対策

有料プランかどうかでは、業務利用の可否は決まりません。誰の契約で、誰のアカウントで、何を送り、会社が管理できるか。RIZAPの誤アップロード公表を手がかりに、学習と保存を分けて読む考え方、8つのAIサービスで読み違えやすい条件、利用一覧と承認する業務の作り方、誤入力と異動の対応までを、公式資料の確認日つきで整理します。

2026年10月27日約 8 分で読了

AIエージェントを安全に動かすサンドボックスの選び方

AIにCSV集計やブラウザ操作まで任せるには、コードを動かす実行環境が要ります。OpenAI、Anthropic、Azure、AWS、Cloudflare、Vercel、Dockerの8つのサンドボックスを用途別に比べ、何を渡し、どこまで操作させ、何を持ち帰らせるかの設計、通信と資格情報、顧客の分離、停止と削除の違い、公開前に試す6つの拒否条件を、公式資料の確認日つきで整理します。

2026年10月27日約 8 分で読了

Copilotを導入するときに行うべきデータと権限の整備

Microsoft 365でCopilotを業務に組み込むとき、最初に決めるのは全社の資料をつなぐことではなく、1つの業務と、その業務で使う資料と、使ってよい人です。Work IQがいつ社内情報を使うのか、SharePointの権限を部署異動まで含めてどう確かめるか、Purviewでプロンプトを止める設定、AIが作った資料の公開範囲、最初の1業務を公開するまでの4つの確認を、公式資料の確認日つきで整理します。

2026年10月26日約 14 分で読了

Claude Code・CodexをAzure経由で社内利用する設計

会社のAIがMicrosoft 365に限られていても、Claude CodeやCodexにファイル操作と処理の実行まで任せる方法はあります。Azure OpenAIとMicrosoft Foundryへ接続する公式手順を前提に、利用者の絞り方、実行環境、DLPの設計、Azure OpenAIとFoundryのClaudeの契約条件の違い、追加ライセンスと費用を、公式資料の確認日つきで整理します。

2026年10月25日約 6 分で読了

AIが作ったアプリの91%に脆弱性。自社で作る時代の点検

Microsoftやシンガポール国立大学などの研究者が、バイブコーディングで作られ公開中のWebアプリ200件を監査し、91%に脆弱性があったと報告しました。原因の63.4%は知識の欠陥に分類され、そのうち全体の55.5%は、頼んだ人が言葉にしなかった安全の決まりをAIが見落としたものでした。本番運用に耐えるものを求める一言で再発率は25.7%から11.0%に下がり、技術的な指示を細かく書いた条件では45.7%に悪化しました。数字の読み方と、自社で作ったアプリを公開する前に自社でできる5つの点検を書きます。

2026年10月17日約 6 分で読了

漏れたAPIキーを誰が止めるか。国内SaaSは自社で守る

GitHubのシークレットスキャンは、提供元が鍵の形を登録したサービスの鍵だけを見つけて、提供元に知らせます。2026年10月のQiitaの調査では、APIがある業務システム65件のうち登録済みは12件で、freee・SmartHR・kintoneなど国内SaaSの41件は対応表にありませんでした。非公開リポジトリでは有料のSecret Protectionが要ります。鍵を守る4つの層と、自社で確かめる5項目、当社の作業リポジトリでの運用を書きます。

2026年10月16日約 9 分で読了

Microsoft Execution Containersでエージェントの権限をコントロールする

2026年10月7日に一般提供になったMicrosoft Execution Containers（MXC）は、AIエージェントが触れるファイル・ネットワーク・画面をOSの側でコントロールする仕組みです。4つの隔離方式、3つのモード、ポリシーで決める5項目、9月29日に一般提供になったWSLコンテナとIntune・Defender for Endpointの関係、そして情報システムが自社でどこまで触らせるかを決めるための6つの手順を、公式文書を確認日つきで整理します。

2026年10月1日約 8 分で読了

WordPressからEmDash 1.0へ。移行を決めるタイミング

2026年7月のwp2shell以降、WordPressの移行を保留していた会社に向けた記事です。7月から9月にセキュリティ修正のリリースが5回続き、9月22日には本体の深刻な脆弱性（CVE-2026-87902）が修正されたこと、AstroベースのCMS EmDashが1.0で安定版になったことの2つを材料に、移行を勧めるサイトと勧めないサイトの線引き、4段階の移行手順、費用の目安、自社メディアを実際に1.0へ上げた記録まで書きます。

2026年7月23日約 4 分で読了

WordPress本体を突いた脆弱性「wp2shell」。今日やる3つの対応と、その先の設計の話

WordPress本体の2つの脆弱性（CVE-2026-63030とCVE-2026-60137）を連鎖させる攻撃「wp2shell」。影響を受けるバージョンでは、脆弱なプラグインなしで認証不要のリモートコード実行につながりえます。今日やるべき一次対応と、その先で考えたいCMS設計を、事実に沿って解説します。