セキュリティ

社内だから安全、とは考えない

アクセスのたびに本人と権限を確かめるゼロトラストの設計、Microsoft 365・Google Workspace のアカウントでまとめてログインできるシングルサインオン、外から見える範囲の無料の簡易診断まで。

ゼロトラストの考え方

「社内のネットワークだから安全」とは考えず、アクセスのたびに、本人であること・権限があること・使っている端末や場所を確かめる設計にします。テレワークやクラウドの利用が当たり前になった今の働き方に合った守り方です。

  • 本人を確かめるシングルサインオンと多要素認証で、ログインをまとめつつ、なりすましを防ぎます。
  • 権限を最小にする人にもシステムにも、仕事に必要な分だけの権限を渡します。
  • 入口をしぼる管理画面やサーバーへの入口を、決まった経路と接続元からだけに限ります。
  • 記録して気づく誰がいつ何をしたかを記録し、おかしな操作にすぐ気づけるようにします。

シングルサインオンと認証

Microsoft 365 や Google Workspace のアカウントで、自社のシステムにもまとめてログインできるようにします。退職や異動のときも、1か所で止めれば、すべてのシステムに反映されます。

シングルサインオン（SSO・SAML）
1回のログインで、複数の社内システムやクラウドのサービスを使えるようにします。
Microsoft Entra ID（旧 Azure AD）・Google Workspace
お使いのアカウントの仕組みを、自社システムのログインと権限の元にします。
OAuth 2.0・OpenID Connect
外部のサービスや AI（MCP）から自社システムを使うときも、本人の権限の範囲だけで使えるようにします。

接続とクラウドの守り

  • VPN による安全な接続（Tailscale）
  • 踏み台なしの安全な接続（SSM）
  • AWS IAM（最小権限・IP 制限）
  • WAF
  • セキュリティヘッダ・OWASP 対策
  • 外部からの脆弱性スキャン

よくある攻撃への備え

Web のシステムがねらわれやすい攻撃と、その備えです。OWASP（Web の安全についての国際的な団体）がまとめている、よくある危険の一覧を目安に、設計・開発・公開後の点検で押さえます。

WAF（Web アプリケーションファイアウォール）
サイトの手前に置き、怪しい通信を止める仕組みです。AWS WAF や Cloudflare などで、よくある攻撃のパターンや、短い時間の大量のアクセスを止めます。WAF だけに頼らず、システムの側でも次の対策を行います。
SQL インジェクション
入力欄に命令を紛れ込ませて、データベースの中身を盗んだり書き換えたりする攻撃です。入力をそのまま命令につなげない書き方（プレースホルダ）に統一して防ぎます。
クロスサイトスクリプティング（XSS）
ページに不正なスクリプトを埋め込み、見た人の情報を盗む攻撃です。表示するときの無害化と、読み込んでよい先を決めるセキュリティヘッダ（CSP）で防ぎます。
なりすましの送信（CSRF）
ログイン中の人に、気づかないうちに操作をさせる攻撃です。送信のたびに確認用の合言葉（トークン）を照らし合わせて防ぎます。
ログインへの攻撃
パスワードの総当たりや、よそで漏れたパスワードの使い回しをねらう攻撃です。多要素認証、回数の制限、シングルサインオンで防ぎます。
権限の抜け
URL や番号を書き換えるだけで、他人のデータが見えてしまう不具合です。画面だけでなく、API の入口ごとに「この人が見てよいか」を確かめます。
ファイルのアップロード
画像のふりをした不正なファイルを置かれる危険です。種類と大きさを確かめ、置き場所を公開の場所から分けます。
古いソフトウェア・部品
使っている部品（ライブラリ）や OS の古い版には、知られた弱点があります。更新の仕組みと、弱点の自動の点検を用意します。

AIで作るときに、必ず確かめること

AI は、頼んだものは作れます。けれど、頼んでいない設定や確認は抜けやすく、公開してから気づくことがあります。抜けやすいところは、経験のある人が押さえます。

AIだけで作ると抜けやすく、私たちが必ず確かめること

  • セキュリティの設定通信の暗号化、セキュリティヘッダ、外から読まれてはいけないファイルの扱い
  • 権限誰が何を見られて、何を変えられるか。管理画面や API の入口まで
  • バックアップ取るだけでなく、実際に戻せるかを試しておく
  • 監視とログ止まったとき・おかしな操作があったときに、すぐ気づけるか
  • テスト直したところ以外が壊れていないかを、毎回確かめる仕組み
  • リリースの手順確認用の環境で見てから本番へ出す流れと、戻し方

無料のセキュリティ簡易診断

いま公開しているサイトやサービスを、外から見える範囲で点検し、結果を分かる言葉でお伝えします。

  • 通信の暗号化SSL／TLS 証明書の期限と設定
  • セキュリティヘッダなりすましページへの埋め込みや、不正なスクリプトへの備え
  • メールのなりすまし対策SPF・DMARC の設定
  • 外から読めてしまうもの見られてはいけないファイルや、管理画面の入口
  • 古いままのソフトウェア外から分かる範囲のバージョン
  • 結果のお伝え方直し方と、急ぐ順番をつけたレポートで
  1. 01

    お申し込み

    お問い合わせのフォームで「無料のセキュリティ診断」を選び、診断したいサイトの URL をお書きください。

  2. 02

    点検

    外から見える範囲だけを点検します。攻撃にあたる操作や、負荷のかかる検査はしません。

  3. 03

    結果のご報告

    見つかったことと直し方を、急ぐ順番をつけてお伝えします。

ログインした状態での検査など、さらに詳しい診断が必要な場合は、内容をご説明してからお見積もりします。

無料診断を申し込む

いまの守りが十分か、まずは無料の診断から

「作れるかどうか」「だいたいいくらか」だけでも構いません。初回のご相談と概算のお見積もりは無料です。

相談する