うちはまだ小さなサービスだから狙われることはない。
新規事業の立ち上げ期にはそう考えたくなります。

しかし実際の被害を見ると攻撃者は相手の規模を見ておらず、セキュリティが甘い状態になっているかを確認して侵入してきます。
そして新規プロダクトはまさにその「侵入できる状態」になりやすい環境です。セキュリティはスケールしてから考えればいい、技術的なことはエンジニアに任せておけば大丈夫、と考えるものとして後回しにされがちだからです。

この記事では

• 不正アクセスとは何か
• 新規事業で特に注意したいポイント
• 開発会社への依頼の仕方
• そして今日からできる対策

を専門用語を使わずに解説していきます。

不正アクセスとは

不正アクセスとは利用する権限のない人が他人のIDやパスワードを使ったり、システムの弱点を突いたりして本来は入れないはずのシステムに入り込むことです。

不正アクセスされると何をされるのか

侵入された後に起きることは主に次のようなものです。

• 顧客情報や社内の機密情報を盗み見られる、持ち出される
• ネットショップで不正に購入される、ネットバンキングで不正に送金される
• 乗っ取ったアカウントから、取引先や顧客に詐欺メールを送られる
• データを暗号化されて使えなくなり、元に戻す代わりに金銭を要求される（ランサムウェア）

被害は情報が漏れて終わりではありません。個人データが漏えいした場合、事業者には個人情報保護委員会への報告と本人への通知が求められます。原因調査、顧客への説明、サービスの一時停止。立ち上げたばかりの事業にとってこれらに割かれる時間と信用の損失は場合によっては事業そのものを止めかねません。

新規事業で特に気をつけたいポイント

新規事業のセキュリティは立ち上げから撤退までを次の5つに分けて考えると、抜けが少なくなります。

アカウントと認証：誰が入れるかを管理する

不正アクセスで、原因として最も多いのは「ID、パスワード管理の不備」です。立ち上げ期は「とりあえず」で作った共有アカウントが増えがちです。

設定と公開範囲：どこが外から見えるかを確認する

クラウドには「どこまでをサービス提供会社が守り、どこからを利用者が守るのか」という線引きがあります。誰にどの権限を与えるか、データを公開にするか非公開にするかといった設定は、利用者側の責任です。

データの量と期間：漏れたときの被害を小さくする

漏えいの規模はどれだけのデータを持っていたかで決まります。
タイムズカーの事例では退会した会員のデータや運転免許証の画像まで漏れました。

委託先と外部サービス：多重下請けと自社の外にある弱点に気をつける

開発会社に委託しているシステムが破られても、責任を追うのは委託元の会社です。

特に気をつけたいのが開発の多重下請けです。こうした体制では実際に誰がシステムを作り、誰がデータに触れているのかが発注者から見えづらくなります。
セキュリティへの意識や対策の水準も会社ごとにばらつき、事故が起きた時には連絡が何社も経由するため対応が遅れがちです。

リリース後の運用：守り続ける仕組みを作る

アフラックはリリース前に侵入テストを行っていました。それでもリリース時には想定していなかった攻撃に破られ、約440万人分の顧客情報が漏れています。攻撃手法は年々変わるため、リリース前の対策だけでは守りきれません。公開後もアクセス状況を監視し脆弱性への対応や設定の見直しを続ける必要があります。

これは複雑なSaaSアプリケーションだけでなくWebサイトにも当てはまります。
手軽なサイト作成サービスを使うか自社で運用するCMSを使うかは更新し続ける体制があるかどうかで選ぶ必要があります。詳しくは「AIでサイトが秒で作れる時代 新規事業のサイト制作ツールは何を基準に選ぶ？」で紹介しています。

今からすぐに取り組めるネクストアクション

ここまでの対策のうち今すぐひとりで始められるものから５つピックアップしました。

まとめ

不正アクセスの多くは高度な攻撃ではなくパスワードの管理や設定の抜け漏れから起きています。
新規事業はスピードを優先するぶんこうした抜け漏れが生まれやすい環境です。

HumAInはシステム開発を一次請けとして受け、自社内のメンバーで開発しています。

再委託を重ねないため作る人・相談を受ける人・何かあった時に直す人が同じチームの中にいます。

だからこそ予算と期間の制約の中で何を守るべきかを一緒に整理し、リリース後の運用まで含めてセキュリティに丁寧かつスピーディに対応します。

新規事業のシステム開発や今の開発体制のセキュリティに不安がある方はHumAInへお気軽にご相談ください。