新型コロナウイルスの感染対策で大きく広がったリモートワーク。そんな中、2020年10月に、リモートワークの回数制限およびフレックスタイム勤務のコアタイムを廃止し、“無限リモートワーク”を実施したのが、ヤフーだ。なぜ、これほど大胆な施策に踏み切ったのか。そして、社員からはどのような反応があったのか。ヤフーのコーポレートPD本部 本部長 金谷俊樹氏に聞いた。 Photo by Adobe Stock ヤフー株式会社　ピープル・デベロップメント統括本部 コーポレートPD本部 本部長　金谷 俊樹氏 2007年、ヤフー株式会社に入社。人事部門にて採用・育成を中心に人事企画・組織開発・グループ会社人事を担当。2019年4月からは主にHRBP部門および人事企画部門を管掌し、2019年10月より現職。人事労務や採用等業務を管掌。 92.6％の社員がパフォーマンスに影響なし・向上と回答 ──2020年10月

EnterpriseZine（エンタープライズジン）編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

開発部門が直面する脆弱性管理の課題に対策を！ ～SSVC や脆弱性統合管理ツール活用による成功へのヒント～ 3行でわかる本記事のサマリ ソフトウェア開発において、OSSを含む脆弱性の管理が重要視されており、効果的な優先順位付けが課題に 膨大な脆弱性管理・対応のため、シフトレフトがうまく実践できているケースは少ない SSVCや脆弱性統合管理ツールを活用することで、組織の脆弱性管理の負担を軽減可能 目次 はじめに　～ソフトウェア開発における脆弱性管理の必要性～ 開発現場における脆弱性対処の課題　～シフトレフトの実情～ リリース後の脆弱性対処の課題 脆弱性の一元管理 脆弱性管理の基本から一歩先へ　～SSVCを活用した運用～ ツールを用いた自動化の構成例 まとめ 1. はじめに　～ソフトウェア開発における脆弱性管理の必要性～ 近年サイバー攻撃は急増しており、その半数以上がソフトウェアに混入した脆弱

3行でわかる本記事のサマリ 脆弱性が爆発的に増加しているため、CVSSスコアからリスクベースの優先順位付けに移行が必要 現実的なリスクを検討し、さらに脆弱性を抱える資産の性質も加味すべき時代 注目のフレームワークとスコアリングシステム：SSVC、CVSS 4.0、EPSS 脆弱性対処の優先度を決めるにあたっては、多くの企業がCVSSのスコアを参照してきましたが、今はリスクベースで決めていく必要になってきています。その理由はどんなところにあるのか、どのような指標で優先順位を決めていけばいいのかなど、脆弱性への対処が求められる担当者に必要なリスクベースへ移行するためのポイントについて見ていきます。 目次 急増する脆弱性件数、脆弱性対処の常識が変わりつつある 脆弱性に関する2つの大きな誤解 注目すべき「PoC（Proof of Concept）」と「ITW（In The Wild）」 脆弱性を持

オンプレミスからクラウドへの移行をはじめ、ハイブリッドクラウド環境をシームレスに保護しながら、クラウドの利点を実現します。 詳しくはこちら

はじめに セーフィー株式会社の AI Vision グループでテックリードを務めます橋本貴博です。 私たちのチームでは、レビューの属人化や特定のメンバーへの負担の集中が課題となっていました。どのメンバーがレビューするかによって、そのやり方やフィードバックの質にバラつきが出ることも少なくなく、これがコードの品質に影響を及ぼしていました。 そのため、チーム全体でレビューを行うことで、コードの知識を全員で共有し、レビューのやり方や品質を標準化したいと考えていました。こうすることで、誰がレビューしても同じように高品質なコードが保たれるようになります。 さらに、Pull Request (PR) の数をKPIとして考え、それに基づいて実装を推進することも重要視しました。PRの数を定量的な指標にすることで、チームの成果を把握し、開発の効率化を図りたいと考えました。 そこで、GitHubのPRを解析して

関連キーワード 人工知能 | Amazon Web Services | 開発プロセス | 製造業 総合電機メーカーの三菱電機は2024年、組み込みソフトウェア開発における生成AI（人工知能）活用の取り組みを開始した。当初は漠然と「ソースコード自動生成をしたい」と考えていた同社だが、ユースケースの選定を経て「RAG」（検索拡張生成）システムの構築を決める。RAGとは、学習データ以外に外部のデータベースから情報を検索、取得し、LLMが事前学習していない情報も回答できるように補う手法だ。 これによってどのような変化がもたらされるのか。三菱電機の生産システム本部でソフトウェアの改善活動を進める長峯 基氏に、生成AIプロジェクトが始動した背景から、PoC（概念実証）に至る過程までを聞いた。 三菱電機はなぜ開発に「RAG」を使うのか？ 併せて読みたいお薦め記事 システム開発の気になる話題 「非エンジ

2019年12月期 通期決算 売上収益：2,274億8,500万円(前期比+9.8％) 営業利益：△389億9,700万円 税引前利益：△516億1,600万円 当期利益：△468億8,800万円 Zホールディングスとの経営統合を発表した「LINE」の決算を見ていきましょう。なお、今回は決算説明会は開催されませんでした。 2019年12月期通期の業績は、前期に対し増収となったものの、最終468億8,800万円の赤字となっています。2期連続の赤字です。 まず、LINEプラットフォームの月間アクティブユーザー数（MAU）を見てみましょう。主要4カ国（日本・台湾・タイ・インドネシア）のMAUは、前期比で横ばいの1億6,400万人。インドネシアで500万人減少する一方で、日本では400万人増加しています。 次に売上収益ですが、増収となった主な要因は広告の売上増加によるものです。広告売上は、LINE

日本企業のCIO（最高情報責任者）は「自身の職務を遂行するための部署」を持っていない――。CIOが気の毒なのか愚かなのかはよく分からないが、日本企業ではこんな不合理がまかり通っている。これではDX（デジタルトランスフォーメーション）なんかできるわけがないじゃないか。どうしてそんな単純な理屈に気が付かないんだろうねぇ。特にCEO（最高経営責任者）を名乗る大企業の経営トップの皆さんよ、愚かにも程があるぞ。 「ちょっと待った。木村は何を訳の分からないことを言っているんだ。CIOの配下には普通、IT部門があるだろう」。こう失笑した読者も一定数いるだろうが、そうした読者は自分こそ訳が分かっていないと自覚したほうがよいぞ。IT部門はCIOが管掌する部署かもしれないが、CIOが自身の職務を遂行するために設けた部署ではない。先に答えを言ってしまえば、米国企業などでCIOの職務を遂行するための部署は「CIO

3行でわかる本記事のサマリ インターネットの普及に伴うサイバー攻撃の増加に対し、"EUサイバーレジリエンス法"が2024年に施行。36ヶ月の猶予期間後、2027年に正式運用へ。 法令適合には製品の分類、セキュリティアセスメント、脆弱性処理要件への準拠が必要。SBOMの生成や管理が重要な役割を果たす。 脆弱性処理要件には脆弱性開示ポリシーの策定、SBOMを活用した悪用可能な脆弱性の自動抽出が含まれる。CVSSからSSVCへの移行も注目。 はじめに 昨今、私達の生活にインターネットは欠かせないものとなり、PCや携帯デバイスだけでなく、車や家電機器、工業機器など、様々なものが当たり前のようにインターネットに繋がり、利便性が飛躍的に向上していることは、皆様ご存知のとおりです。一方でインターネット上ではサイバー攻撃が頻繁に発生し、その対策費用は年間数百兆円にものぼると言われます。 こういった攻撃の2

あなたはロボットです。あなたは小さく、“目立たない小さな穴”から暗い部屋に放り込まれたようです。残念ながらその穴からは、周囲を調べるための道具は持ち込めません。あなたは主人から命令を受けましたが、周りは何も見えません。手探りで周囲を調べると、なんと“懐中電灯”がありました。それを使い部屋を見渡すと、この家の見取り図やドアを壊すための道具、さらには金庫の暗証番号まで見つかりました。あなたはそれを基に、この家にある大事なものを無事奪えました。 「そんな話があるか！」と思うかもしれませんが、これはあなたの端末を狙う、サイバー攻撃の実態です。さて、このお話の中で攻撃を止められるポイントは一体どこでしょうか。 「脆弱性管理さえやればいい」は間違ってはいないが正しくもない まずは、このような泥棒を家＝企業・組織に侵入させないことが先決です。例えではロボットに入り込まれた穴をイメージしましたが、これこそ

CVSS v4.0が出ました。 巷ではv3.1からの変更点にフォーカスしたまとめ情報が見られますが、このブログではまっさらな目でCVSS v4.0全体を学びたいと思います。(一応、変更点にも触れます) なお、本ブログでは、実際のセキュリティ運用におけるCVSSの有用性や他の情報(KEV、SSVC、EPSSなど)との組み合わせみたいな話には踏み込みません。あくまでCVSS v4.0の理解に集中します。 今回はFIRSTのspecification documentとFAQから学びます。 CVSSとは？（割愛） CVSSの構成 v3.1から何が変わったのか？ 各メトリクスの定義 基本メトリックグループ（Base Metric Group） 悪用可能性メトリクス（Exploitability Metrics) 影響メトリクス(Impact Metrics) 脅威メトリックグループ(Threat

その他の注意事項： この命名法は、CVSS Scoreの数値が表示または伝達される場合には常に使用する必要があります。環境(Environment)および脅威(Threat)メトリクスの適用は、CVSSを使用するユーザ側の責任です。製品メンテナーなどの評価プロバイダーや、National Vulnerability Database (NVD)などのその他の公的/民間団体は、通常CVSS-Bとなるベーススコアのみを提供します。スコアを生成する際に環境メトリクスが使用される場合には、命名法に「E」を含めることが適切です。スコアを生成する際に脅威メトリクスが使用される場合には、命名法に「T」を含めることが適切です。CVSS v4.0 では、最終スコア(final score)の計算では、ベース(Base)・脅威・環境メトリックが常に考慮されます。 明示的に脅威／環境メトリックが選択されていない

リックソフトでは、オープンソースの脆弱性管理・コンプライアンス管理ツールであるWhiteSourceを販売しています。 今やOSSライセンスを使ったソフトウェア開発は90%以上とも言われている中で、これらの管理をスプレッドシートを使い手作業で確認をしている、あるいは他のツールを使用しているが壁に当たって考えている方々に是非こちらのブログをお読みいただき、WhiteSourceのツールに興味を持っていただけたらと思っています。 本ブログはWhiteSorce社に了承を得て翻訳をしたものになります。 今回は全6回のうち5回目、「開発者セキュリティチャンピオン」がDevSecOps革命の鍵を握る」というブログをご紹介します。 DevSecOpsは現代のソフトウェア開発において組織がセキュリティに対するアプローチを根底から変えつつあります。 DevOpsおよびDevSecOpsの実施にセキュリティ

米Google（グーグル）といえば、生成AI（人工知能）やクラウドサービスで派手な技術を打ち出す印象が強い。ただサイバーセキュリティー分野では、派手さはないが実用的な技術やサービスをしばしば発表していて、筆者はひそかに楽しみにしている。以前にも「グーグルがオープンソースソフトウエア（OSS）にお墨付きを与える」という渋いサービスを取り上げたことがある。 そんなグーグルが2024年4月2日（米国時間）、また渋いセキュリティーの新技術を発表した。同社が「デバイス・バウンド・セッション・クレデンシャルズ（DBSC）」と呼ぶ技術である。まだあまり注目されていないが、「クッキー泥棒」ともいうべきサイバー攻撃への対策の決め手になる技術かもしれない。そう感じ、サイバーセキュリティーの専門家に取材することにした。 「ログインできるクッキー」が狙われている クッキー泥棒とは、ユーザーのWebブラウザーに保存

オンプレミスからクラウドへの移行をはじめ、ハイブリッドクラウド環境をシームレスに保護しながら、クラウドの利点を実現します。 詳しくはこちら

EnterpriseZine（エンタープライズジン）編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。