田中 信也@学校運営と仕組みを真剣に

専門学校でITとはなんぞやの講師。ITカレッジでチーム開発分野とシステム・IoT分野の責任者をしています。ファクトリーオートメーションやIoTなどが得意。料理/Apple/新しいこと/授業

[connect24h @connect24h]

これ、新卒研修の資料ではない。企業の「セキュア開発標準」を、312枚に落とし込んだ教材である。MIXIが2026年度の新卒向けセキュリティ研修資料を公開。本当にありがたい。

率直に言って、内容がかなり濃い。

「パスワードを使い回さない」「怪しいメールを開かない」といった一般的な啓発資料ではない。

新人エンジニアが、サービスを作る側として何を守り、どこで事故を起こし、どう防御するのかを、実際の開発工程に沿って学ぶ構成である。(Speaker Deck)

研修の射程は非常に広い。

・機密性、完全性、可用性
・CSIRTへの報告と相談
・自社サービス、社内システム、人間という3つのアタックサーフェス
・EDR、IaaS監視、脆弱性診断
・Code-to-Cloud
・クラウドの責任共有モデル
・IAM、ネットワーク分離、クレデンシャル管理
・OWASP Top 10 for Web／API
・外部ライブラリとCVE
・モバイルアプリの保護
・アプリ内課金、レシート検証
・ゲームのチート対策
・管理画面と開発環境のアクセス制御
・ゼロトラスト
・生成AI、AIエージェント、MCPのリスク

ここまでを「新卒研修」で扱っている。(Speaker Deck)
特に良いのは、セキュリティを知識の暗記で終わらせていないことである。
OWASP Juice ShopとBurp Suiteを使い、HTTPリクエストを自分で変更する。
SQLインジェクションやアクセス制御の不備を、攻撃者側の視点で実際に確認する。
さらに、自分たちが攻撃した環境へIAPを設定し、ゼロトラストに基づくアクセス制御で守るところまで体験する。(Speaker Deck)
この流れが重要である。
攻撃手法を知る
↓
なぜ成立するかを理解する
↓
設計と設定で防ぐ
↓
実際の挙動を確認する
「脆弱性名を覚える研修」ではなく、攻撃と防御を一つの因果関係として理解させる研修になっている。
もう一つ注目したいのは、MIXIの事業特性が教材に反映されている点である。
モバイルアプリでは、
・重要情報をクライアントへ持たせない
・カスタムURLスキームで機密情報を渡さない
・レシート偽造とリプレイ攻撃を防ぐ
・未公開情報をアプリへ埋め込まない
といった実装上の注意を扱う。
さらにゲーム会社として、通信改変、アプリ解析、マクロ、チート、BANのタイミングまで説明している。
セキュリティ研修を外部の汎用教材へ丸投げせず、自社で本当に起き得る損失へ接続しているのである。(Speaker Deck)
そして2026年度版らしく、生成AIの扱いも本格的である。

OWASP Top 10 for LLM ApplicationsとAgentic Applicationsを、

入力

実行

認証・権限

サプライチェーン

データ・コンテキスト・RAG

運用・設計
人間
という7つの観点に整理している。
プロンプトインジェクションだけではない。
・エージェントの目標乗っ取り
・ツールの誤用
・過剰な権限
・Memory／Context Poisoning
・エージェント間通信
・連鎖障害
・キルスイッチ
・エージェント固有ID
・人間による過信
まで踏み込んでいる。(Speaker Deck)
MCPについても、

・トークン漏洩
・スコープクリープ
・Tool Poisoning
・コマンドインジェクション
・Shadow MCP Server
・コンテキストの過剰共有
・監査ログ不足
・サプライチェーン攻撃

を具体的なシナリオと対策に分けて解説している。

「MCPは便利」という紹介ではなく、MCPサーバーを新しい特権境界として扱っている点が実務的である。(Speaker Deck)

CodexやClaude Codeについても、
・機密情報を入力しない
・学習設定を確認する
・必要以上の権限を与えない
・危険な操作には人間の承認を挟む
・生成コードを必ずレビューする
・Skillsや外部プラグインの提供元を確認する
・SBOMやAI-BOMで依存関係を管理する
という、現場でそのまま使える注意点が整理されている。(Speaker Deck)
この資料から学べるのは、個々の脆弱性だけではない。

優れたセキュリティ教育は、

ルールを覚えさせることではなく、危険を想像できるエンジニアを育てること

だという点である。

最終盤のメッセージも良い。

まず、攻撃やリスクの存在を認識する
想像力を働かせる
危ないと思ったら周囲に相談する

完璧な新人を作ろうとしていない。
異常に気づき、一人で抱え込まず、止まって相談できる人を作ろうとしている。(Speaker Deck)
セキュリティ研修を「年1回のeラーニング」で済ませている組織は、この資料を一度見た方がよい。
MIXIが公開したのは、単なる新人向けスライドではない。
セキュリティを開発者の基礎教養にするための、かなり完成度の高い設計図である。

https://t.co/igRUrNKbAA

#MIXI #情報セキュリティ #セキュアコーディング #AppSec #新卒研修 #OWASP #AIセキュリティ #MCP #ClaudeCode #Codex #CSIRT #ゼロトラスト

[田中 信也@学校運営と仕組みを真剣に @SinyTnk]

このタイミングで値上げかぁw

[Google Japan @googlejapan]

「ぐ」から始まって「と」で終わる言葉は
Google フォト以外、ない説

[Apple @Apple]

新しい朝が来る。世界中のデベロッパが集まるWWDC26をhttps://t.co/OpXkrKGZ6mで見よう。⽇本時間6⽉9⽇午前2時から。

[田中 信也@学校運営と仕組みを真剣に @SinyTnk]

昇降式の机ってホンマにいいと思う

[【公式】立教大学キャリアセンター @Rikkyo_careerc]

※一部の悪質な新卒エージェントへ「やめてください」

■学生からの相談
・特定企業の内定承諾を前提に、他に選考中の全企業の辞退を証明する資料提出を求められる
・本人の了承なく面接が設定される
・興味のない企業を強く勧められる
・1日に10回以上電話がかかってくる

進路選択の主役は学生です

[Hack U🤘/ Yahoo! JAPAN @hackujp]

📢 今年も春にHack U、開催します‼️
学生向けハッカソン「Hack U」、今年は3/20(金)に東京開催を予定しています🙌
詳細は近日公開予定、続報をお待ちください😎
#hacku

[Fellana @Fellavalverde]

I've never seen a better masterpiece than this, this is the best version 😍

[田中 信也@学校運営と仕組みを真剣に @SinyTnk]

アジア圏の海外の方で単語の中に「つ」が含まれてる「つ」の発音が綺麗だと日本語上手いなぁってなぜか感じてしまう。
なぜだろう？🤔

[アーツカレッジヨコハマ @artscollege]

ITエンジニア学科の木下です。
本日よりCEATEC2025に学生作品を出展しています！
是非本校のブースにお立ち寄りください！
#CEATEC #CEATEC2025 #アーツカレッジヨコハマ

[Tim Cook @tim_cook]

Get ready for an awe dropping #AppleEvent on Tuesday, September 9!

[トモ @Tomooo1008]

マジでこれすぎる

[田中 信也@学校運営と仕組みを真剣に @SinyTnk]

まーじで、セルフレジが使いにくい…でも、良い教材にはなりそうと思った。
差別化をしようとしたにしては、酷すぎる。
コストがかけれなかったのかな？なんで作る時に競合他社を参考にしようと思わなかったんだろう？

[書きちらし @kakichirashi]

今日の書き散らし

[shiho @shiiiii2555]

ローソンのセルフレジは本当に使いにくいよ。デザインがわかりにくいのと最初に支払い方法聞かれるのが順番としてどうなの？って思っている…

[田中 信也@学校運営と仕組みを真剣に @SinyTnk]

Apple Watchのエクスプレスカードの設定が勝手にoffになってて焦った。

[【公式】サイバーエージェント新卒エンジニア採用 @ca_tec_des]

🌸2025年入社新卒エンジニア研修スタート🌸

全63名が10チームに分かれて、開発を行っております🧑‍💻

先週は座学や外部講師を呼んでのハンズオンを実施し、今日からは本格的にチーム開発が開始🔥

今年の開発のお題は
「生成AIを活用して、新社会人の成長をフォローアップできるサービス」
です⚙️

[日本学生支援機構 JASSO @JASSO_general]

家計が急変した場合は、年間を通じて随時、給付奨学金(家計急変採用)、貸与奨学金(緊急・応急採用)の申請を受け付けています。
以下の申請資格をご確認のうえ、申請希望の方は、すぐに学校の奨学金窓口にご相談ください。
https://t.co/cUvGq94vQP
＃奨学金 ＃給付奨学金 ＃貸与奨学金 ＃JASSO

[HPEO @hpeo_jp]

SEの世界へようこそ