はじめに
目的
本資料はWebセキュリティの入門書です。初心者でも理解しやすい言葉で、基本概念から具体的な対策、運用の考え方までを順を追って説明します。実務で使える知識の取得を目指します。
対象読者
・これからWebサービスを作る方
・運用担当や管理者の方
・基本を確認したいエンジニアや非技術者の方
本書の構成と読み方
第2章でセキュリティの基本概念（機密性・完全性・可用性など）を説明します。第3章で情報セキュリティの7要素を整理し、第4章で実際に実装すべき対策を具体例で示します。第5章はネットワーク分離の考え方、第6章で基本原則（最小権限など）を解説します。必要な章を順に読めば、段階的に理解が深まります。
使い方のヒント
各章の具体例を自分のサービスに当てはめて考えてください。例えばログイン画面や管理画面の扱い方を見直すだけでも効果があります。実際に手を動かすことで理解が深まります。
Webセキュリティの基本概念
はじめに
Webセキュリティは、Webサイトやサービスを外部の攻撃や誤操作から守ることを目的とします。基礎を押さえると、適切な対策が取れます。
機密性（Confidentiality）
機密性はデータが許可のない人に見られないことを指します。例：パスワードや個人情報が暗号化されていると、盗まれても読めません。
完全性（Integrity）
完全性はデータが正しく、改ざんされていないことを保証します。例：送信中の注文情報に不正な金額が挿入されないように署名やチェックを行います。
可用性（Availability）
可用性は必要なときにサービスやデータにアクセスできることです。例：大量アクセスによる停止（DoS）に備えて負荷分散や冗長化を行います。
補助となる概念
- 認証と認可：本人確認（認証）と権限の確認（認可）を分けて設計します。例：ログインだけで管理画面に入れないように権限チェックを行います。
- 暗号化：通信（HTTPS）や保存データの暗号化で情報漏えいを防ぎます。
- セッション管理：セッショントークンを安全に扱い、長期保存や予測可能な値を避けます。
- ログと監視：不審な挙動を早く検知するためにログを記録し、監視します。
よくある攻撃例（簡単な説明）
- クロスサイトスクリプティング（XSS）：悪意あるスクリプトが表示されると情報が盗まれます。
- SQLインジェクション：入力がそのままSQLに入るとデータベースが操作されます。
- CSRF：利用者の意図しない操作が実行される攻撃です。
- DoS/DDoS：サービスを使えなくする攻撃です。
各概念を理解し、実務では優先度をつけて対策を進めてください。
情報セキュリティの7要素
機密性（Confidentiality）
情報が許可された人だけに届くことを指します。たとえば社員の個人情報は関係者だけが見られるようにします。実務ではアクセス制御やパスワード、暗号化が用いられます。具体例：ファイルを鍵付きの箱に入れておくイメージです。
完全性（Integrity）
情報が改ざんされず、正しい状態を保つことです。送金額や契約書の内容が意図せず変わらないことを保証します。対策例はチェックサムやバージョン管理、定期的なバックアップです。
可用性（Availability）
必要なときにシステムやデータを利用できることです。ウェブサイトが落ちて業務が止まらないようにすることが該当します。手段として冗長化や障害時の復旧手順を用意します。
真正性（Authenticity）
ユーザーやシステムが正当であることを確認する要素です。本人確認や電子署名で成りすましを防ぎます。実例：ログイン時の二要素認証（パスワード＋ワンタイムコード）です。
責任追跡性（Accountability）
誰がいつ何をしたかを追えることです。操作履歴（ログ）を残すことで、不正やミスの原因を特定できます。ポイントはログの保存と定期的な監査です。
否認防止（Non-Repudiation）
行為を後で否定できないようにする仕組みです。送信記録や電子署名により、送った・受け取った事実を証明します。実務ではタイムスタンプや署名を使います。
信頼性（Reliability）
システムが安定して期待通りに動くことです。長時間の稼働や異常時の適切な挙動が含まれます。定期的なテストや保守で信頼性を高めます。
これら7つをバランスよく考えることで、実効性のある情報セキュリティ対策が作れます。
実装すべき具体的なセキュリティ対策
はじめに
実践的な対策を順に紹介します。目的は弱点の発見、通信の暗号化、不正入力の排除です。
定期的なセキュリティテスト
ペネトレーションテスト（専門家が攻撃を模擬）や自動の脆弱性スキャンを定期的に行います。例：年1回の外部ペンテスト＋月次スキャンで脆弱性を早期発見します。
アップデートとパッチ管理
OSやライブラリ、ミドルウェアを定期的に更新します。手順を作り、テスト環境で検証後に本番へ反映します。自動更新と手動確認を組み合わせます。
ログ監視と分析
アクセスログやエラーログを収集して異常を検出します。SIEMやログ管理ツールでアラートを設定し、不審なアクセスを即時に確認します。
HTTPSとHSTSの導入
通信は必ずHTTPS化します。HSTSを有効にしてブラウザ側での強制HTTPSを設定します。証明書は自動更新を設定すると運用が楽になります。
データのサニタイズ処理
入力値は型や長さを検証して不正な文字を排除します。例：SQLはプリペアドステートメント、出力時はHTMLエスケープを行います。
Web分離（インターネット分離）戦略
概要
Web分離は社内ネットワークと外部インターネットを切り離し、外部からのマルウェア感染が業務系に波及するのを防ぐ対策です。たとえば「閲覧専用端末」を用意し、メールや業務データは別の端末で扱います。これにより被害を局所化します。
主な方式（具体例）
- 物理分離：閲覧用PCと業務用PCを別に置く。USBも別管理します。
- ネットワーク分離：ファイアウォールでネットを遮断し、必要な通信だけ許可します。
- ブラウザ分離（仮想化）：閲覧は仮想ブラウザやリモート環境で行い、端末に痕跡を残しません。
導入の手順（実践的）
- 資産を洗い出し、外部アクセスが必要か判断します。
- 必要な方式を選び、小規模で試験導入します。
- ファイアウォールやプロキシで通信制御を設定します。
- 運用ルールと教育を整備し、定期的に見直します。
留意点と運用
分離は安全性を高めますが、運用負荷やコストが増えます。業務のしやすさと安全性を両立するために段階的に導入し、ログ監視やバックアップを必ず組み込みます。
導入チェックリスト
- 分離対象の明確化
- 小規模試験の実施
- 通信制御の設定と検証
- 利用者教育と手順書の整備
- 定期的な見直しとテスト
以上が実践的なWeb分離戦略のポイントです。運用を重視して段階的に進めると効果が出やすいです。
セキュリティ対策における基本原則
はじめに
セキュリティ対策は技術だけでなく設計の考え方が重要です。本章では「最小権限」「責務の分離」「ネットワーク分離」を具体例とともにわかりやすく説明します。
最小権限の原則
必要な操作だけに権限を与えます。例えば、経理担当は売上閲覧はできてもサーバ設定はできないようにします。実践方法は、役割ごとにアクセスを定めるロール管理、定期的な権限レビュー、不要な管理者アカウントの停止です。これにより万が一の侵害で被害範囲を限定できます。
責務の分離の原則
重要な処理を一人に任せず複数で分担します。例としては支払承認で申請者と承認者を分けることです。導入手順は業務フローの洗い出し、承認段階の設定、ログ記録を行うことです。こうすることで不正やミスの発見が早くなります。
ネットワーク分離
重要なシステムはインターネット直結環境と分けます。たとえば社内基幹系は外部から直接アクセスできないようにするなどです。実装例は物理的分離やVLANによる論理分離、専用のプロキシやファイアウォール設置です。これで攻撃経路を減らします。
運用で気をつけること
原則を運用に落とし込み定期点検を行ってください。権限やネットワーク構成は時間とともに変わるため、見直しを習慣にすると効果が持続します。
