記事の分類

すべての記事

ソフトスキル

組織文化

技術関連

BLOG

セキュリティ・バイ・デザインとは ― 安心してDXを進めるために、2026年の情報漏えいが示したこと

2026-10-16

技術関連

セキュリティ・バイ・デザインとは
DXを進めるなら、セキュリティも同時に
2026年の事案に共通すること
当社のAWS標準構成
認定エンジニアが管理し、毎年監査を受けます
よくあるご質問
まとめ

2026年10月、国内のクラウド事業者がランサムウェア攻撃を受け、契約する495の企業・自治体のシステムが止まりました。利用企業の一つである鉄道会社は、約609万件の顧客アカウントに影響が出た可能性があると発表しています。事業者はその後、外部へのデータ流出はなかったと判断したと公表しましたが、利用企業の側は、自社で運用していないシステムの復旧を待つしかありませんでした。

今年の事案には、同じ構図が何度も出てきます。データの安全は、そのデータに触れる会社のうち一番弱いところで決まり、その弱さは多くの場合、攻撃のずっと前の設計や委託先選びの段階で生まれています。プロジェクトの終盤にセキュリティを付け足しても、設計の弱さは埋まりません。

当社は、最初のクライアントプロジェクトから「セキュリティ・バイ・デザイン」を標準にしてきました。この記事では、その考え方と、2026年の事案に共通する弱点、当社のAWS標準構成を紹介します。

執筆：Manip Poudel（wesionaryTEAM クラウド＆セキュリティエンジニア、AWS Certified Security – Specialty 認定）

セキュリティは最初の設計で決まる。後から付け足す方法はテストで検査するだけだが、セキュリティ・バイ・デザインは要件定義から運用まで安全な設定を初期値にする

セキュリティ・バイ・デザインとは

セキュリティ・バイ・デザインは、完成したものをテストで確かめるのではなく、設計の段階からセキュリティを組み込む考え方です。安全な設定が、最初から初期値になっています。

たとえばデータベースについて、開発者が毎回「非公開にする」と覚えておく必要はありません。テンプレートが最初から非公開で作り、誰かが意図的に変えない限り、その状態が続きます。

当社では、次の3つを開発の進め方に組み込んでいます。

リスクをお客様と一緒に洗い出す。要件定義の段階で、本当に必要なデータ、見てよい人、漏れたら最も困るものを決めます。集めないデータは漏れません。
インフラをコードで定義する。すべての環境を、レビュー済みのテンプレートから作ります。手作業で設定を変えないので、安全な設定がずれていきません。
認定資格を持つエンジニアが責任を持つ。リリース前に構成を確認し、リリース後も安全な状態を保ちます。

DXを進めるなら、セキュリティも同時に

経済産業省は2018年の「DXレポート」で、古いシステムやIT人材不足を放置すると、2025年以降に最大で年間12兆円規模の経済損失が生じるおそれがあると警告しました。いわゆる「2025年の崖」です。

それから約8年、大企業ではDXが進みましたが、中小企業はこれからという会社が多いのが実情です。IPAの「DX動向2025」では、DXに着手している企業は従業員1,001人以上で96.1%、100人以下では46.8%でした。中小機構の調査でも、DXに取り組んでいる、または検討している中小企業は39.1%で、課題には専門人材の不足と予算の確保が挙がっています。

紙や電話、Excelで回してきた業務をクラウドに移すと、日々の仕事はかなり楽になります。一方で、事務所の棚や1台のパソコンにあった顧客情報が、インターネットにつながったシステムに集まります。社内にIT担当者がいない会社ほど、ここに不安を感じるのは自然なことです。

当社は、旅館の日帰り入浴予約システムのように、これまでITとの関わりが少なかった業種のお客様とも、共創でシステムをつくってきました。お客様が求めているのは難しい技術の説明ではなく、任せても大丈夫だと思える仕組みと体制です。そのため、デジタル化する範囲を小さく決めて始め、最初から安全な構成でつくり、リリース後のアクセス権の管理まで当社が引き受けます。

2026年の事案に共通すること

個人情報保護委員会が2025年度に受け付けた個人データの漏えい等の報告は1万9,417件で、うち民間事業者からは1万7,139件でした。2026年に入っても、大規模な事案が続いています。

10月、クラウド事業者のIDCフロンティアがランサムウェア攻撃を受け、契約する495の企業・自治体のシステムが停止しました。利用企業のJR東日本は、約609万件の顧客アカウントに影響の可能性があると発表しています。事業者は後に、外部へのデータ流出はなかったと判断しました。
同じ10月、第一興商は、外部の委託先が管理するシステムへの不正アクセスにより、約872万人の顧客情報に影響の可能性があると発表しました。
同じく10月、旅行予約サイトを運営するアドベンチャーは、サーバーと予約サイトの業務管理システムへの攻撃により、約1,464万件の個人情報に影響の可能性があると発表しました。
6月には、アフラック生命保険が約438万人の顧客情報の漏えいを公表しました。調査結果を伝える報道では、短時間に大量のデータ照会があった際に監視・制御する機能が不足していたとされています。

並べると、共通点が3つ見えてきます。

入口が第三者にある。委託先やクラウド事業者がシステムを運用していたため、データを持つ企業は、検知も対応も相手に頼るしかありませんでした。
大量のアクセスが止まらない。短時間に大量のデータが引き出されても、それを検知して止める仕組みがなければ被害は広がります。
復旧の早さは事前の備えで決まる。バックアップや作り直せるインフラがなければ、停止は長引きます。

どれも、リリース直前の検査では見つかりにくい弱点です。多くは、設計や委託先選びの判断の中にあります。

当社のAWS標準構成

当社の標準構成では、アプリケーションと業務データをAWS東京リージョンに置きます。インターネットに面するのは入口だけで、データは非公開のネットワークの中に保ちます。

インターネットに面するのは入口のWAFとCDNだけ。ロードバランサー、アプリ、データベースはAWS東京リージョンの非公開ネットワークにあり、アカウント全体をGuardDutyとCloudTrailで見張る

ネットワーク。アプリとデータベースは非公開の区画に置き、データベースは外部から接続できない設定です。届く範囲は、入口からロードバランサー、アプリ、データベースへと段階的に絞っています。サーバーでの作業にも、インターネットに開いたSSHポートは使いません。
見張り。AWS WAFが不正なリクエストを入口で止め、1つの送信元からのリクエスト数に上限をかけて大量の取得を抑えます。Amazon GuardDutyは不審な動きを検知して当社のエンジニアに知らせ、AWS CloudTrailは誰がいつ何を変えたかを記録します。
暗号化。通信はすべてHTTPSで、保存するデータも暗号化します。ファイルの保管場所は、外部から直接読めません。
ログインと権限。当社のエンジニアはシングルサインオンでログインし、恒久的なアクセスキーは使いません。仕組みごとに必要な権限だけを与え、利用者のログインには多要素認証も使えます。
秘密情報。データベースのパスワードはAWS Secrets Managerが自動で作り、人が見ることはありません。鍵や設定ファイルがコードに混ざらないよう、登録の前にも検査します。
ランサムウェアへの備え。本番のデータベースは自動でバックアップし、削除保護を有効にしています。公開したアプリケーションの版は上書きできません。
成長への対応。アプリとデータベースは負荷に応じて自動で増減するので、小さく始めて、同じ構成のまま大きくできます。

決済や医療のデータなど機密性の高い情報を扱う場合は、設計の段階でお客様と相談し、暗号鍵の管理やリージョンをまたいだバックアップ、全員への多要素認証の義務化などを加えます。

認定エンジニアが管理し、毎年監査を受けます

構成が良くても、運用する人が大切です。当社のクラウドチームには、AWS Certified Security – Specialtyの認定を持つエンジニアがいます。AWSはこの資格を、AWSクラウドでセキュリティの仕組みをつくり実装する専門知識を証明するものと説明しています。

当社も、お客様から見れば第三者です。そのため、AWSアカウントの所有権はお客様に置いたまま、変更はすべてCloudTrailに記録します。当社はISMS（ISO 27001）の認証を取得しており、次の運用を文書にまとめて毎年監査を受けています。

リリース前と大きな変更の後に、構成をレビューする
アクセス権を管理し、メンバーが離任した日に外す
秘密情報を表計算ファイルやチャットではなく、Secrets Managerで管理する
検知結果を確認し、インシデントに対応する

よくあるご質問

セキュリティ・バイ・デザインとセキュリティテストは何が違いますか？

テストは完成したものから問題を探し、セキュリティ・バイ・デザインは問題が起きにくい状態を最初につくります。当社は両方行いますが、設計から始めます。

データはどこに保存されますか？

アプリケーションと業務データは、AWS東京リージョンに置きます。画面を速く届けるための配信網（CDN）は、仕組み上、海外の拠点も使います。

開発が遅くなりませんか？

遅くなりません。毎回レビュー済みの構成から始めるため、セキュリティを一から考える手間がなく、最初のリリースはむしろ早まることが多いです。

今のシステムやAWSアカウントでも相談できますか？

はい。まず今の構成を確認してリスクをご説明し、改善の進め方をお客様と一緒に決めます。

まとめ

2026年の事案は、セキュリティの判断が遅れると何が起きるかを示しました。弱さは設計の段階で生まれるので、守りも設計の段階で組み込むのが近道です。

新しいシステムをご検討中の方は、無料見積相談で、セキュリティを含めた構成と費用の目安を担当PMにご相談ください。今のシステムの構成に不安がある方は、お問い合わせから構成の確認をご依頼いただけます。

開発のご相談・お見積りはこちら

共創パートナーとして事業開発、DXを推進します。

担当PMとの通話で、開発の内容と費用感の確認から始めます。