よ

院卒1年目

[よ @yonrikiniki]

3ヶ月で情報処理安全確保支援士合格チャレンジ。流石に量多すぎるので今まで書く勉強メインでやってきたけど今回は読む勉強で挑戦

[よ @yonrikiniki]

恐ろしや

[長さん @jtc_ojisan2]

新卒【しんそつ】

能力がなくても将来性で許される、人生最後の身分。

[よ @yonrikiniki]

できる奴は研究も就活も上手くやってます😅論、自分のようなマルチタスク不可のポンコツ勢が鵜呑みにすると詰むのでみなさんご注意を

[吉野はるか@26卒 @haru_x2026]

就活vs研究論争、ほんまに二極化してておもろい

[connect24h @connect24h]

これ、新卒研修の資料ではない。企業の「セキュア開発標準」を、312枚に落とし込んだ教材である。MIXIが2026年度の新卒向けセキュリティ研修資料を公開。本当にありがたい。

率直に言って、内容がかなり濃い。

「パスワードを使い回さない」「怪しいメールを開かない」といった一般的な啓発資料ではない。

新人エンジニアが、サービスを作る側として何を守り、どこで事故を起こし、どう防御するのかを、実際の開発工程に沿って学ぶ構成である。(Speaker Deck)

研修の射程は非常に広い。

・機密性、完全性、可用性
・CSIRTへの報告と相談
・自社サービス、社内システム、人間という3つのアタックサーフェス
・EDR、IaaS監視、脆弱性診断
・Code-to-Cloud
・クラウドの責任共有モデル
・IAM、ネットワーク分離、クレデンシャル管理
・OWASP Top 10 for Web／API
・外部ライブラリとCVE
・モバイルアプリの保護
・アプリ内課金、レシート検証
・ゲームのチート対策
・管理画面と開発環境のアクセス制御
・ゼロトラスト
・生成AI、AIエージェント、MCPのリスク

ここまでを「新卒研修」で扱っている。(Speaker Deck)
特に良いのは、セキュリティを知識の暗記で終わらせていないことである。
OWASP Juice ShopとBurp Suiteを使い、HTTPリクエストを自分で変更する。
SQLインジェクションやアクセス制御の不備を、攻撃者側の視点で実際に確認する。
さらに、自分たちが攻撃した環境へIAPを設定し、ゼロトラストに基づくアクセス制御で守るところまで体験する。(Speaker Deck)
この流れが重要である。
攻撃手法を知る
↓
なぜ成立するかを理解する
↓
設計と設定で防ぐ
↓
実際の挙動を確認する
「脆弱性名を覚える研修」ではなく、攻撃と防御を一つの因果関係として理解させる研修になっている。
もう一つ注目したいのは、MIXIの事業特性が教材に反映されている点である。
モバイルアプリでは、
・重要情報をクライアントへ持たせない
・カスタムURLスキームで機密情報を渡さない
・レシート偽造とリプレイ攻撃を防ぐ
・未公開情報をアプリへ埋め込まない
といった実装上の注意を扱う。
さらにゲーム会社として、通信改変、アプリ解析、マクロ、チート、BANのタイミングまで説明している。
セキュリティ研修を外部の汎用教材へ丸投げせず、自社で本当に起き得る損失へ接続しているのである。(Speaker Deck)
そして2026年度版らしく、生成AIの扱いも本格的である。

OWASP Top 10 for LLM ApplicationsとAgentic Applicationsを、

入力

実行

認証・権限

サプライチェーン

データ・コンテキスト・RAG

運用・設計
人間
という7つの観点に整理している。
プロンプトインジェクションだけではない。
・エージェントの目標乗っ取り
・ツールの誤用
・過剰な権限
・Memory／Context Poisoning
・エージェント間通信
・連鎖障害
・キルスイッチ
・エージェント固有ID
・人間による過信
まで踏み込んでいる。(Speaker Deck)
MCPについても、

・トークン漏洩
・スコープクリープ
・Tool Poisoning
・コマンドインジェクション
・Shadow MCP Server
・コンテキストの過剰共有
・監査ログ不足
・サプライチェーン攻撃

を具体的なシナリオと対策に分けて解説している。

「MCPは便利」という紹介ではなく、MCPサーバーを新しい特権境界として扱っている点が実務的である。(Speaker Deck)

CodexやClaude Codeについても、
・機密情報を入力しない
・学習設定を確認する
・必要以上の権限を与えない
・危険な操作には人間の承認を挟む
・生成コードを必ずレビューする
・Skillsや外部プラグインの提供元を確認する
・SBOMやAI-BOMで依存関係を管理する
という、現場でそのまま使える注意点が整理されている。(Speaker Deck)
この資料から学べるのは、個々の脆弱性だけではない。

優れたセキュリティ教育は、

ルールを覚えさせることではなく、危険を想像できるエンジニアを育てること

だという点である。

最終盤のメッセージも良い。

まず、攻撃やリスクの存在を認識する
想像力を働かせる
危ないと思ったら周囲に相談する

完璧な新人を作ろうとしていない。
異常に気づき、一人で抱え込まず、止まって相談できる人を作ろうとしている。(Speaker Deck)
セキュリティ研修を「年1回のeラーニング」で済ませている組織は、この資料を一度見た方がよい。
MIXIが公開したのは、単なる新人向けスライドではない。
セキュリティを開発者の基礎教養にするための、かなり完成度の高い設計図である。

https://t.co/igRUrNKbAA

#MIXI #情報セキュリティ #セキュアコーディング #AppSec #新卒研修 #OWASP #AIセキュリティ #MCP #ClaudeCode #Codex #CSIRT #ゼロトラスト

[よ @yonrikiniki]

理系で就活失敗するタイプ、コミュ力がないとかより単純に就活のプロトコルに慣れてなさすぎるだけなパターンも結構多い気がする。

[よ @yonrikiniki]

就活ほぼやらずに研究室篭ってた同期が後付け推薦で落とされてかなり苦しんでたの見てきたからなあ。結局教授はなんの救済もしてなかったし。あと意外と理工系の企業も研究成果よりガクチカとか人となりを見てたりする。研究職は別だろうけど

[吉野はるか@26卒 @haru_x2026]

いや絶対にインターン優先した方がいい

まず「研究室で干される」って何✋😅 院生エアプでしかないけど、結局2年後には就職してるんだから、修論受け取ってもらえるくらいの忠誠心さえ見せれば多少干されても問題なくない？

『M1の夏は…

(残り81文字)
#mond_haru_x2026
https://t.co/kxX7vFHYZQ

[よ @yonrikiniki]

過集中の勢いそのままに2時間残業しただけなのに頭の疲労えぐい

[よ @yonrikiniki]

@raccoon_rhi ですね。。。やりがいを感じられなくなったときが怖いです

[よ @yonrikiniki]

@jtckosen 組合は盲点でした...！
ありがとうございます

いろいろ言って対応してもらおうと思います

[よ @yonrikiniki]

本当に限界

[よ @yonrikiniki]

@comyamamoto1106 消しました

[よ @yonrikiniki]

朝からクソストレス溜まる

[よ @yonrikiniki]

行き帰りのバスで勉強し出してから脳みそがスッキリしてる

[よ @yonrikiniki]

今日も寝不足だったはずなのに何故か全く眠くも頭痛くもならなくて、わけがわからん。昼ごはんで米先に食わないよう意識したのが効いてるのか？

[よ @yonrikiniki]

ここ1週間普通にストレスで頭働いてないし苦情入れましょね

[よ @yonrikiniki]

ここ1週間普通にストレスで頭働いてないし苦情入れましょね

[よ @yonrikiniki]

@komenotogijiruu 行きましょ🍺

[よ @yonrikiniki]

生産技術の馬の左遷枠がまさかの大健闘

[ライブドアニュース @livedoornews]

【北中米W杯】人口50万人強の島国・カーボベルデ、王者アルゼンチンに2度追いつく大健闘も延長で惜敗
https://t.co/J1hnHYsDoP

決勝トーナメント1回戦、W杯初出場のカーボベルデは連覇を狙うアルゼンチンと対戦。1ー1で延長に持ち込み、GKボジニャがメッシのFKを弾くなど健闘したが、2ー3で敗れた。

[よ @yonrikiniki]

@comyamamoto1106 本当です

[よ @yonrikiniki]

割と真剣に13-14時の睡魔に耐えられなくてやばいんだが。コーヒーも目薬も当然効かないから最近はトイレで頭ぶん殴ってるけどそれでも頭回らん。昼寝フレックス求む

[よ @yonrikiniki]

伸び代ですね

[しんいち @shin_1]

本田、2戦目にして不快感のないオッサン会話のお手本

・選手に「さん」付け
※長友だけ「ユウト」

・今と未来の話が多い
※メキシコ時代パチューカの話をしない

・自分語りと自慢がない
※代表のW杯最高得点試合に出ていた話をしない

・怒られた話法はしない
※相手選手イジリをやめた