OWASP標準に準拠した
堅牢な認可・セキュリティ設計方針
株式会社Now, me. では、機密情報や重要な業務データを保護するため、 OWASP（Open Worldwide Application Security Project）の国際標準ガイドラインに基づいた 厳格なアクセス制御および多層防御（Defense in Depth）設計を徹底しています。
なぜOWASP準拠のアクセス制御が必要なのか
「認証（Authentication）」だけでは守れない現代のWeb / API脅威へのアプローチ
Broken Access Control の脅威
OWASP Top 10 において常に最上位のWebリスクに挙げられる「アクセス制御の不備（Broken Access Control）」。 ユーザーIDの推測（IDOR）や他者のデータへの直接アクセス（BOLA）など、ログイン済みであっても不当なデータ操作を許してしまう脆弱性を徹底防除します。
ゼロトラスト & 最小権限原則
「ネットワークの内側だから安全」「ログインしているから全権限がある」という前提を排除。 すべてのリクエストに対して「送信者・アプリ・権限範囲」をリクエストごとに独立評価し、必要最小限のアクセスのみを許可します。
当社が徹底する4つのセキュリティ設計標準
設計・開発・テストのすべてのフェーズで埋め込まれるセキュリティ原則
1. BOLA / IDOR 防止策（二重所有権検証）
リクエストされたオブジェクトの識別子と、認証トークンに含まれるユーザー識別子の整合性を全エンドポイントで厳しく評価。 他ユーザーのデータ取得・更新をサーバーサイドで100%遮断します。
- データベースセキュリティルールでのデータレベルアクセス制御
- サーバーサイド処理内での明示的オーナーシップ判定
2. アプリ証明（App Attestation）による妥当性検証
有効なログインセッションであっても、不正に作成されたBotや直接のREST API呼び出しを排除。 正規のフロントエンドアプリケーションから送信された真のリクエストであるかを二重チェックします。
- 高度なトークン検証と連携したアプリ証明機構の導入
- 正規アプリ以外からの直接API叩き・スクレイピングを強制ブロック
3. 多層防御（Defense in Depth）
「フロントエンドが制御しているから安全」「データベースのルールがあるからAPIはチェック不要」という過信を禁止。 フロントエンド・データベース層・バックエンド処理の各層が相互に独立してセキュリティ評価を実施します。
- 万が一1つのレイヤーがバイパスされても被害を防ぐ多重構造
- 入力値バリデーション・サニタイズの徹底
4. 認証プロバイダ制限 & 監査ログの保持
匿名ログイン等の危険な認証プロバイダを排除し、信頼された認証手段（メール認証、シングルサインオン等）のみをホワイトリスト化。 重要な権限操作やデータ変更はすべてログとして記録・可視化します。
- ホワイトリスト形式の認証プロバイダ制御
- 監査ログ（Audit Trail）のリアルタイム収集と改ざん防止
リクエスト検証のアーキテクチャフロー
クライアントからデータベース・API実行に至る厳密な認可判定プロセス
参考とするセキュリティ基準・フレームワーク
当社では、情報セキュリティ対策およびセキュアなシステム設計の継続的な改善にあたり、 以下の国際規格・フレームワークを設計上の参考情報・目標基準として位置付けています。
SOC 2 / Trust Services Criteria
受託組織におけるセキュリティ、可用性、処理の整合性、機密保持、プライバシーに関する国際的な内部統制基準です。クラウドサービス設計・運用のベストプラクティスとして参照しています。
ISO/IEC 27001:2022
情報セキュリティマネジメントシステム（ISMS）の要求事項を定めた国際規格です。機密性・完全性・可用性のバランスと組織・技術的管理策の設計指針として参照しています。
NIST CSF 2.0
組織のサイバーセキュリティリスクを特定・防御・検知・対応・復旧するための包括的フレームワークです。リスクアセスメントの体系化における参考情報として位置づけています。
※上記は当社の認証取得または各基準への適合・保証を公的に示すものではありません。 当社では認証マークの受領を目的とするのではなく、これら国際基準が定める高度な管理策・ベストプラクティスをシステム設計および社内運用の「目標指針（リファレンス）」として採用し、実質的なセキュリティ水準の維持・向上に努めています。
セキュリティ方針に関するよくあるご質問
システム設計の基準や認証に関する方針についてお答えします
セキュリティ体制やシステム設計においてどのような基準を参考にしていますか？
当社では、WebアプリケーションおよびAPIの安全性を確保するOWASPガイドライン（ASVS / Top 10）を基盤に、ISO/IEC 27001、SOC 2のトラストサービス基準、NIST Cybersecurity Framework 2.0等を「設計・運用の参照指針」として位置づけています。厳格なアクセス制御（BOLA/IDOR対策）、多層防御、アプリ証明、暗号化等のベストプラクティスを上流設計から組み込む「セキュリティ・バイ・デザイン」を徹底しています。
第三者認証（ISO 27001やSOC 2等）は取得していますか？
現在、第三者機関による公的認証マークの取得や保証報告書の受領は行っておりません。当社では形式的な審査手続きではなく、実質的なシステムの堅牢化、継続的な脆弱性対策、多層防御のプログラミング実装に直接投資する方針をとっています。そのため、各国際基準を自社の自主的な到達目標・参照指針として設計・運用に反映しています。
セキュリティ要件を満たすWeb・基幹システム開発のご相談
金融・医療・B2B SaaSなど、高いセキュリティと厳格なアクセス制御が求められるシステム構築は 当社にお任せください。要件定義からセキュリティ設計・実装・監査対応まで伴走いたします。
セキュリティ設計・開発のお問い合わせ