プロダクトチーム向けSaaSセキュリティチェックリスト：リリース前と主要リリースごとに確認すべき10分野

このチェックリストは、マルチテナントプロダクトを開発・運用し、顧客のセキュリティ調査票に回答しなければならないプロダクトマネージャー、エンジニアリングリード、創業者を対象としています。SaaSプラットフォームエンジニアリングガイドではセキュリティの基礎を短いセクションにまとめていますが、このページではそれをチームがチェックできる項目に変換し、添付すべきエビデンスも示します。

このガイドの内容

• チェックリストの使い方
• 10分野の概観
• テナント分離：SaaSプロダクトが失敗しやすい箇所
• アイデンティティ、API、ビジネスロジックのチェック
• データ、シークレット、サプライチェーン
• ログ、リカバリ、インシデントレスポンス
• AIフィーチャーのセキュリティ
• レビューの担当者：選択肢と選定基準
• レビュープラン
• Netbase JSCはどのようにSaaSプロダクトを構築・確認するか？
• どのようなデリバリー実績があり、ないものは何か？
• このガイドの限界は何か？
• よくある質問
• 次のステップ

チェックリストの使い方

各項目を3つの問いとして捉えてください：誰が担当するか、現時点でどのような証拠があるか、最後に確認したのはいつか。担当者のいない項目は、コードがどう動いていようと完了とは言えません。顧客のセキュリティレビューに記憶ではなくレコードから回答できるよう、リポジトリなど一か所に回答をまとめておきましょう。

リストを正確に保つための2つのルールがあります。テスト・ログ・設定・ドキュメントで確認できる場合のみ項目にチェックを入れ、アーキテクチャ図ではなく実際に運用しているプロダクトに対してリストを実行してください。

10分野の概観

テナント分離：SaaSプロダクトが失敗しやすい箇所

アクセス制御はWebアプリケーションが最も多く失敗する分野です。OWASP Top 10:2025では「アクセス制御の不備」が第1位に挙げられています。マルチテナントプロダクトでは、テナントチェックが一か所欠けるだけで、あるテナントのデータが別のテナントに見えてしまいます。OWASP Multi-Tenant Security Cheat Sheetは、これを具体的なコントロールに落とし込んでいます：

• テナントを検証済みアイデンティティに紐付ける。クライアントが送信した値ではなく、サーバーサイドのセッションからテナントを取得し、すべてのリクエストでメンバーシップを確認してください。
• すべての参照をスコープする。データベースクエリにテナントを含めるか、行レベルポリシーでデータベース側で強制し、推測した識別子で別テナントのレコードが返らないようにしてください。
• キャッシュをテナントでキーイングする。キャッシュエントリのキーにテナントが含まれていないと、あるテナントのページが別のテナントに配信されてしまいます。
• キューとジョブを通じてテナントを引き継ぐ。バックグラウンドジョブは実行対象のテナントを再確認しなければならず、ストレージパスや署名付きファイルリンクにも同じスコープと短い有効期限が必要です。
• クリーンにオフボードする。テナントが離脱する際は、認証情報を失効させ、バックアップとファイルストレージに保持ルールを適用してください。

マルチテナントSaaSアーキテクチャガイドでは、これらのコントロールの背後にある分離モデルを比較しています。

アイデンティティ、API、ビジネスロジックのチェック

アイデンティティとアクセス。管理者には多要素認証（MFA）を必須とし、すべてのユーザーに提供してください。ビジネス顧客が求める場合はシングルサインオン（SSO）をサポートします。ロールは少なく明確に保ち、セッションを失効させ、管理者権限を四半期ごとに見直してください。

APIセキュリティ。SaaSの機能の多くはAPIであるため、OWASP API Security Top 10（2023年版）は実践的なテストリストです。オブジェクトレベルの認可（API1）、認証（API2）、プロパティレベルの認可（API3）、リソース消費の無制限（API4）、関数レベルの認可（API5）から始めてください。旧バージョンを含むすべてのエンドポイントのインベントリを維持してください。不適切なインベントリ管理はAPI9です。

ビジネスロジック。一部の欠陥は単一リクエストのバグではなく、シーケンスの問題です。支払いステップのスキップ、招待の再利用、プランで許可された以上のエクスポートなどです。API6はこれを「機密ビジネスフローへの無制限アクセス」と呼んでいます。サインアップ、招待、請求、エクスポートの意図したフローを文書化し、各ステップがインターフェースで非表示になるだけでなく、サーバー側で強制されていることをテストしてください。

データ、シークレット、サプライチェーン

• 転送中・保存時の暗号化を実施し、各キーに対して担当者を定め、アプリケーションコードの外でキーを管理してください。
• データを分類する。どのフィールドが個人情報または機密情報か、ログ・エクスポート・アナリティクスなど、どこにコピーされているか、各コピーの保持期間を把握してください。
• リポジトリにシークレットを含めない。スキャンし、シークレットストアを使用し、環境ごとに独自の認証情報を持たせ、担当者が離れる際にローテーションしてください。
• 依存関係を把握する。パッケージとコンテナイメージをスキャンし、マージ前にコードをレビューし、どのバージョンがどこで動いているかを記録してください。NIST Secure Software Development Framework（SP 800-218）はこれらのプラクティスを説明しており、OWASPのApplication Security Verification Standardにはチケットで参照できる要件が記載されています。
• サードパーティサービスも攻撃対象として扱う。各インテグレーションキーは最小限の権限にスコープし、OWASPはAPIの安全でない消費（API10）として、上流のレスポンスを過度に信頼することを指摘しています。

ログ、リカバリ、インシデントレスポンス

「誰がいつこのテナントのデータにアクセスしたか？」という問いに答えられないプロダクトは、調査も証明も行えません。テナントとユーザーを含めてサインイン、権限変更、エクスポート、管理者アクションをログに記録し、それが描写する人々からログを保護し、繰り返される失敗やテナント間のアクセス拒否のアラートを設定してください。

バックアップは復元して初めて有効です。クリーンな環境に全体環境を復元し、また単一テナントも復元して、日時と結果を記録し、大きな変更後に繰り返してください。インシデントレスポンスについては、担当者を明記し、顧客への通知タイミングを決定し、通知テンプレートを含む短いプランを作成してください。最初の実際のインシデントの前に、テーブルトップ演習を実施してください。

レビューの担当者：選択肢と選定基準

4つの選定基準で選択してください：顧客が契約で何を要求するか、データの機密性、リリース頻度、チームにセキュリティを担当できる人物がいるか。ほとんどのプロダクトでは最初の2つが必要です。定期的なチェックリストと、主要なリリース前の外部テストです。

Netbase JSCはどのようにSaaSプロダクトを構築・確認するか？

Netbase JSCはクライアント向けにマルチテナントプロダクトを構築し、自社でも運用しています。公開されているセキュリティプラクティスは、セキュアコードレビューとバージョン管理、転送時のTLSおよび保存時のAES暗号化、ロールベースアクセス制御、管理ダッシュボードへのMFA、脆弱性スキャンとペネトレーションテスト、ディザスタリカバリです。NDA、データ処理契約、SLAは要請に応じて提供できます。Netbase JSCはISO 27001およびSOC 2 Type IIに準拠しており、いずれもNetbase JSC自身の運用対象であり、クライアントのプロダクトやホスティングには及びません。クライアントのプロダクトには独自のコントロール、エビデンス、そして顧客が求める場合は独自の監査が必要です。Netbase JSCはAWS、Google Cloud、DigitalOcean、Cloudflareで稼働しており、クラウドパートナー枠の申告はありません。ほとんどのNetbase JSCプロジェクトはディスカバリー後に合意された請負契約で提供されます。SaaS開発、再利用可能なアカウント・テナント・ロールのためのSaaSプロダクトアクセラレーター、テスト用のアプリケーションセキュリティ保証もご覧ください。MVPロードマップはこれらのチェックを最初の数週間に配置しています。ベンダーの回答を評価するには、ソフトウェア開発パートナーへのセキュリティ質問をご参照ください。

どのようなデリバリー実績があり、ないものは何か？

• 存在する実績。Netbase JSCはCloodo Workspace（マルチテナントのデジタルワークプレイス）とPrintcart（多数のマーチャントにサービスを提供するSaaS）を構築・運用しています。2020年以降、米国クライアントのマルチテナントクラウドERP（クライアント名は非公開）においてオフショア開発およびマネージングパートナーとして稼働しています。
• 存在しない実績。Netbase JSCのいかなるレコードも、ペネトレーションテスト結果、インシデント履歴、監査所見、脆弱性件数、対応時間を公開しておらず、特定のコントロールが機能するという証拠として提供されるものも一切ありません。このページのいかなる記述もプロダクトを認定するものではありません。

このガイドの限界は何か？

• これは実用的なチェックリストであり、コンプライアンスプログラムではありません。決済や医療などの規制が厳しい分野では独自の要件が加わるため、専門家のアドバイスを求めてください。
• 標準は変化します。レビュー当日の最新のOWASP、NIST、プロバイダーのガイダンスを確認してください。
• チェックリストは未知の欠陥を発見できません。それはテストと独立したレビューの役割です。

次のステップ

テナントモデル、現在のエビデンス、顧客から送られてくる調査票をお知らせいただければ、10分野のギャップをマッピングするソリューションレビューを予約します。SaaS開発やNetbase JSCのインサイトもご覧ください。

関連サービスとソリューション