Process
サービスの流れ
- ヒアリング何のデータを扱い、誰がどんな目的で使うのかなどをお伺いします。
- 診断下の観点に沿って、実際のアプリとコードを診断します。
- 報告診断の結果を、見つかった問題ごとにまとめてお伝えします。
- 修正・改善アプリの修正はお客様が行い、弊社が直し方のご案内と確認をします。
- 公開後の伴走修正のたびの確認や、異常の通知、バックアップなど、公開後も伴走します。
データの持ち方や環境から作り直す必要がある場合は、AI駆動開発の内製化支援をご案内します。AI駆動開発の内製化支援
Checkpoints
診断項目
データ
- アカウントなりすましや総当たりでログインされないか。パスワードの再設定や保存のしかたに穴がないか
- 権限立場ごとに、見られるものとできることが分かれているか。URLの番号を変えると他人のデータが見えたりしないか
- データの置き場所データベースやファイル置き場が、アプリを通さずに外から直接読み書きできる設定になっていないか
脆弱性
- 入力欄と送信内容入力欄やURL、ファイルに命令を混ぜられたり、送信する金額を書き換えられたりしても、受け付けないか
- 通信とブラウザの設定通信が暗号化されているか。他のサイトから勝手に操作を送られたり、画面を埋め込まれたりしないか
- 大量のアクセス短時間に何千回も送られても止められるか。パスワードを当てられたり、利用料が急に増えたりしないか
アプリケーション
- 使っている部品外部の部品（ライブラリ）に、知られた穴のあるものや、実在しない名前のものが混ざっていないか
- 仕様の抜け漏れ二度押しや、途中で画面を閉じたとき、同時に更新したときなど、頼んだ以外の場面も考えて作られているか
- 開発時の残りテスト用のアカウントやページ、仮の処理、詳しすぎるエラー表示が、本番に残っていないか
インフラサービス
- 鍵とパスワード外部サービスの鍵が、ブラウザに配られたりGitHubに上がったりしていないか。すぐ取り替えられるか
- 管理画面のアカウントクラウドなどの管理画面に2段階認証があるか。担当を外れた人のアカウントが残っていないか
- 本番と開発の分け方本番と開発の環境が分かれていて、開発中の作業で本番のデータが変わったり消えたりしないか
運用
- 利用料の上限クラウドや外部サービスの利用料に、上限や、予算を超えたときの通知が設定されているか
- 通知と記録エラーや停止があったときに通知が届くか。誰がいつ何をしたかを後から追えるか
- バックアップと復旧データが本体と別の場所に保存され、実際に元に戻せるか
Approach
安心の公開へ
AIに診断させれば、指摘はいくらでも出てきます。
大切なのは、そのアプリにとって何が本当に危ないかを見極め、公開までたどり着くことです。
AIの診断だけだと
Heap が入ると
指摘の重さ
数十から数百の指摘が、同じ重さで並ぶ
どれが本当に危ないかを、専門家が判断する
判断の基準
どのアプリにも、同じ基準で指摘される
誰が何のために使い、どんなデータを扱うか。お客様の体制や予定にも合わせて判断する
公開まで
すべて直そうとして、いつまでも公開できない
公開前に直すものと公開後でよいものを分け、現実的な進め方で公開まで進める
お客様へのメリット
- 公開してよいかが分かる動くことと安全なことは別です。公開の前に、何が足りないかがはっきりします。
- 直す手間を必要な分に絞れるアプリに合わせて重みを付けるので、急ぐものから順に、無駄なく直せます。
- 公開後も安心して使い続けられるAIで修正を重ねても、守りが崩れていないかを確かめ続けます。
Contact
まずはご相談ください
送信しました
お問い合わせありがとうございます。内容を確認のうえ、担当者よりご連絡いたします。