ソフトウェアエンジニアリング講座【中級編】第13回：セキュリティベストプラクティス
サマリ
セキュリティは開発後のおまけではなく、最初から組み込むべき重要な要素です。本記事では、パスワード管理、データ暗号化、入力値検証など、すべてのエンジニアが知るべき実践的なセキュリティベストプラクティスを紹介します。
詳細
セキュリティが重要な理由
2023年のセキュリティ侵害レポートによると、世界中で平均して1分間に約700件のデータ侵害が発生しています。これは前年比で3倍以上の増加率です。
企業にとってセキュリティ侵害は、単なる技術的な問題ではありません。平均的なデータ侵害の修復費用は、日本国内で約1億円を超えると言われています。さらに、顧客信頼の喪失による長期的な経営ダメージも深刻です。
だからこそ、開発初期段階からセキュリティを考慮することが必須なのです。
パスワード管理の正しいやり方
多くの初心者エンジニアがやってしまう失敗が、パスワードの平文保存です。これは絶対にしてはいけません。
正しい方法は、パスワードを一方向のハッシュ関数で変換して保存することです。ハッシュ関数とは、どんな長さの入力でも一定の長さの出力に変える関数のことで、元に戻すことができないのが特徴です。
さらに進んだ実装では、bcryptやArgon2といった特別な「遅いハッシュ関数」を使います。これらは意図的に計算に時間がかかるよう設計されており、ブルートフォース攻撃（総当たり攻撃）を困難にします。
また、ソルト（salt）という異なるランダム値を各パスワードに付与することも重要です。これにより、同じパスワードを使っているユーザーでも、保存されるハッシュ値が異なるようになります。
データ暗号化の実践
クレジットカード番号や個人情報など、機密性の高いデータは必ず暗号化して保存しましょう。
データベースレベルの暗号化と、アプリケーションレベルの暗号化の両方を検討することをお勧めします。データベースレベルは全体的な保護を、アプリケーションレベルはより細かい制御を可能にします。
通信時のセキュリティも同様に重要です。HTTPSプロトコルを使用して、クライアントとサーバー間の通信を暗号化してください。今では、HTTPSに対応していないサイトはセキュリティリスクと見なされます。
入力値検証とサニタイゼーション
ユーザーからの入力は常に悪意のあるものと仮定することが大切です。これを「ディフェンシブプログラミング」と言います。
具体的には、ユーザーが送信したデータについて、次の3つをチェックしましょう。まず、データ型の確認です。数字であるべき項目に文字列が来ていないか確認します。次に、長さの確認です。予期した範囲内のサイズか判定します。最後に、フォーマットの確認です。メールアドレスなら正しい形式か、電話番号なら正しい桁数かなどを見ます。
SQLインジェクションという攻撃手法があります。これは、入力値に悪意のあるSQLコードを混ぜ込む攻撃です。プリペアドステートメント（事前に作成したSQL文で変数部分のみを後から指定する方式）を使うことで、この攻撃を防げます。
認証と認可の設計
認証と認可は異なる概念です。認証はユーザーが本人であることを確認するプロセスで、認可はその本人が何をできるかを制限するプロセスです。
多要素認証（MFA）の導入をお勧めします。パスワードに加えて、スマートフォンへのコードや生体認証など、複数の方法による確認を要求します。パスワード単独での認証を突破される確率は約80%低下します。
また、ロールベースアクセス制御（RBAC）を実装することで、ユーザーの権限をより細かく管理できます。管理者、一般ユーザー、ゲストなどの役割ごとに、アクセス可能な機能を明確に定義します。
ロギングと監視
セキュリティインシデントを早期に発見するため、適切なロギングが必須です。ログには、ユーザーのアクション、システムエラー、セキュリティイベントを記録します。
ただし、ログには機密情報を記録してはいけません。パスワードやトークンなどをログに残すことは、セキュリティホール自体です。
ログを集約し、異常パターンを自動検知するシステムを導入することで、初期段階での検知が可能になります。
依存関係の管理
外部ライブラリやフレームワークの脆弱性は、自分のコードの脆弱性と同じくらい危険です。
定期的に依存関係をアップデートし、既知の脆弱性がないか確認してください。自動化ツールを使って、脆弱性スキャンを継続的に実行することをお勧めします。
定期的なセキュリティレビュー
セキュリティ対策は一度きりではありません。脅威は常に進化するため、定期的にコードをレビューし、新しい脆弱性がないか確認する必要があります。
セキュリティ専門家によるペネトレーションテスト（侵入テ
