なぜWebサービスの開発にセキュリティが必要なの？

便利な機能を、安心して使い続けられるサービスにするために、身近な例から考えます。

1. Webサービスは何を守っている？

オンラインショップ、予約サイト、社内のファイル共有。私たちが使うWebサービスには、利用者が入力した情報や、仕事に必要なデータが集まります。安全を考える最初の一歩は、何を、誰のために守るのかを具体的にすることです。

守るものは、名前や連絡先だけではありません。注文内容が勝手に書き換えられないこと、必要なときに予約サービスを使えることも大切です。情報が外に漏れる、内容が変えられる、サービスが止まるという影響は、それぞれ異なります。

たとえば予約サイトが長時間使えなければ、利用者は予約できず、店舗は予約内容を確認できません。情報の流出がなくても、利用できないこと自体が困りごとになります。

なぜ開発に関わる人が考える？

機能の目的や使い方を知っている人は、何が便利かだけでなく、どんな場面で困るかにも気づけます。専門家と協力しながら安全性を考えるために、共通の言葉を持っておくことが役立ちます。

2. ファイル共有機能で考えてみよう

チームの資料を、リンクを送るだけで共有できる機能を作るとします。手軽で便利ですが、リンクを知っている人なら誰でも閲覧できる場合、別の人へ転送されると想定外の相手も資料を開けるかもしれません。

そこで「誰が見られるか」「いつまで見られるか」「誤って送ったら止められるか」を確認します。たとえば閲覧者を限定したり、期限や共有停止の機能を設けたりする方法があります。

ただし、閲覧者を厳しく制限すれば手間が増えることもあります。資料の重要度や利用場面に応じて、便利さとリスクの両方を考えましょう。すべてのサービスに同じ設定が正しいわけではありません。

リスクとは？

ここでのリスクは、望ましくない出来事が起こる可能性と、起きたときの影響をあわせて考えるものです。社外に公開するための資料と、社内限定の顧客情報では、誤って共有したときの影響が違います。

3. どの段階で安全を考える？

サービスを作ってから最後に確認するだけでなく、開発の各段階で安全を考えると、必要な対策を仕様や運用に取り込みやすくなります。

実際の役割分担は組織によって異なります。一人で全部を担当するという意味ではありません。企画・開発・運用・セキュリティの担当者が、それぞれの知識を持ち寄って確認します。

4. 安全と使いやすさを一緒に考える

安全のために操作を増やすと、利用者が面倒に感じる場合があります。反対に、手間を減らすだけでは、意図しない人に情報が渡る可能性が高まる場合もあります。

まずは、守る情報と利用する人を具体的にします。次に、どのくらいの影響があるかを確認し、期限設定や閲覧者の限定などを候補にします。そのうえで、利用者が迷わず使える表示や手順も検討します。

支援士試験の学びは、このような話し合いを支える土台になります。試験に合格しただけで、すべての設計が一人で決められるわけではありません。分からないことを専門家に相談し、一緒に判断するための共通言語を増やしていきましょう。

確認問題

次回は、企画・開発・運用の役割分担を見ていきます。

参考情報

• IPA：情報セキュリティ
• IPA：情報処理安全確保支援士試験