SaaSプロダクトチームのセキュリティチェックリスト：ローンチ前と毎リリース時に確認すべき10のエリア

このチェックリストは、マルチテナントプロダクトを提供し、顧客のセキュリティアンケートに回答する必要があるプロダクトマネージャー、エンジニアリングリード、および創業者を対象としています。SaaSプラットフォームエンジニアリングガイドではセキュリティの基本を短いセクションで説明していますが、このページではそれをチームがチェックできる項目に変換し、添付すべきエビデンスも記載しています。

このガイドの内容

• チェックリストの使い方
• 10エリアの概要
• テナント分離：SaaSプロダクトが失敗しやすい箇所
• 認証、APIとビジネスロジックの確認
• データ、シークレット、サプライチェーン
• ロギング、リカバリー、インシデント対応
• AI機能のセキュリティ
• レビューの担当者：選択肢と選定基準
• レビュー計画
• Netbase JSCのSaaSプロダクト構築・確認方法
• 存在するデリバリー記録と存在しないもの
• このガイドの制限
• よくある質問
• 次のステップ

チェックリストの使い方

各項目は3つのパートを持つ質問として扱ってください：誰がオーナーか、今日どのような証拠があるか、そして最後に確認したのはいつか。オーナーが決まっていない項目は、コードがどうであれ完了とは言えません。回答はリポジトリなど一か所にまとめておき、顧客のセキュリティレビューにメモリからではなく記録から回答できるようにしてください。

リストを正直に保つためのルールが2つあります。テスト、ログ、設定、またはドキュメントで確認できた項目のみチェックし、アーキテクチャ図ではなく現在運用中のプロダクトに対してリストを実行してください。

10エリアの概要

テナント分離：SaaSプロダクトが失敗しやすい箇所

アクセス制御はWebアプリケーションが最も失敗しやすいエリアです：OWASP Top 10:2025では壊れたアクセス制御が1位に挙げられています。マルチテナントプロダクトでは、テナントチェックが1つ欠けるだけで、ある顧客のデータが別の顧客に見えてしまう可能性があります。OWASP Multi-Tenant Security Cheat Sheetはそれを具体的なコントロールに落とし込んでいます：

• テナントを検証済みのIDに紐付ける。クライアントが送る値ではなく、サーバー側のセッションからテナントを取得し、すべてのリクエストでメンバーシップを確認します。
• すべてのルックアップをスコープする。データベースクエリにテナントを含めるか、行レベルポリシーでデータベース側で強制し、推測された識別子が他テナントのレコードを返さないようにします。
• キャッシュをテナントでキー付けする。キャッシュエントリのキーにテナントが含まれていないと、ある顧客のページが別の顧客に返される可能性があります。
• キューとジョブにテナントを引き継ぐ。バックグラウンドジョブは実行対象のテナントを再確認し、ストレージパスと署名済みファイルリンクも同様のスコープと短い有効期限が必要です。
• オフボーディングを適切に行う。テナントが離脱する際には、認証情報を失効させ、バックアップとファイルストレージに保持ルールを適用します。

マルチテナントSaaSアーキテクチャガイドでは、これらのコントロールの背景にある分離モデルを比較しています。

認証、APIとビジネスロジックの確認

認証・アクセス管理。管理者には多要素認証（MFA）を必須とし、すべてのユーザーにも提供してください。また、業務用顧客からのリクエストにはシングルサインオン（SSO）をサポートしてください。ロールは少数かつ具体的に保ち、セッションを期限切れにし、管理者権限を四半期ごとにレビューしてください。

APIセキュリティ。SaaSの機能のほとんどはAPIであるため、OWASP API Security Top 10（2023）は実践的なテストリストです。オブジェクトレベル認可（API1）、認証（API2）、プロパティレベル認可（API3）、無制限のリソース消費（API4）、機能レベル認可（API5）から始めてください。旧バージョンを含むすべてのエンドポイントのインベントリを維持してください：不適切なインベントリ管理はAPI9です。

ビジネスロジック。一部の欠陥は単一リクエストのバグではなく、シーケンスの問題です：支払いステップのスキップ、招待の再利用、またはプランが許可する以上のエクスポートなど。API6はこれを機密性の高いビジネスフローへの無制限アクセスと定義しています。サインアップ、招待、請求、エクスポートの意図したフローを文書化し、各ステップがインターフェースで非表示にするだけでなく、サーバー側で強制されていることをテストしてください。

データ、シークレット、サプライチェーン

• 転送中および保存時の暗号化を行い、アプリケーションコードの外部にキーを保管し、各キーに責任者を設定します。
• データを分類する。どのフィールドが個人情報または機密情報か、ログ・エクスポート・分析などどこにコピーされているか、各コピーの保持期間を把握します。
• リポジトリにシークレットを含めない。スキャンを実施し、シークレットストアを使用し、各環境に独自の認証情報を与え、担当者が退職する際にローテーションします。
• 依存関係を把握する。パッケージとコンテナイメージをスキャンし、マージ前にコードをレビューし、どのバージョンがどこで動いているかの記録を維持します。NIST Secure Software Development Framework（SP 800-218）はこの背景にある実践を説明しており、OWASPのApplication Security Verification Standardにはチケットで参照できる要件が記載されています。
• サードパーティサービスをアタックサーフェスの一部として扱う。各インテグレーションキーは必要最小限のスコープに制限し、上流のレスポンスを過度に信頼する場合のAPIの安全でない消費（API10）についてOWASPは警告しています。

ロギング、リカバリー、インシデント対応

「誰がいつこのテナントのデータにアクセスしたか」に答えられないプロダクトは、調査も証明も行えません。テナントとユーザーを含めてサインイン・権限変更・エクスポート・管理者操作をログに記録し、ログを記録対象の人物から保護し、繰り返しの失敗やクロステナントアクセスの拒否に対してアラートを設定してください。

バックアップは復元して初めて意味を持ちます。環境全体を復元し、さらに単一テナントをクリーンな環境に個別に復元して、日付と結果を記録し、大きな変更後に繰り返してください。インシデント対応については、役割を明記した簡潔な計画、顧客への通知タイミングの判断基準、通知テンプレートを用意し、最初の実際のインシデント前にテーブルトップ演習を実施してください。

レビューの担当者：選択肢と選定基準

4つの基準で選択してください：顧客が契約で要求していること、データの機密性、リリース頻度、そしてチームの誰かがセキュリティのオーナーになれるか。ほとんどのプロダクトは最初の2つを組み合わせる必要があります：ルーティンのチェックリストと、メジャーローンチ前の外部テストです。

Netbase JSCのSaaSプロダクト構築・確認方法

Netbase JSCはクライアント向けのマルチテナントプロダクトを構築し、自社でも運用しています。公開されているセキュリティプラクティスは、セキュアコードレビューとバージョン管理、転送時のTLS・保存時のAES、ロールベースアクセス制御、管理ダッシュボードへのMFA、脆弱性スキャンとペネトレーションテスト、および災害復旧です；NDA・データ処理契約・SLAはリクエストに応じて提供可能です。Netbase JSCはISO 27001認証とSOC 2 Type IIの認定を取得しています。どちらもNetbase JSC自身の運用を対象としており、クライアントのプロダクトやホスティングは対象外です。クライアント側では引き続き独自のコントロール・エビデンス・顧客が要求する場合には独自の監査が必要です。Netbase JSCはAWS、Google Cloud、DigitalOcean、Cloudflare上で動作しており、クラウドパートナーティアは保有していません。Netbase JSCのほとんどのプロジェクトは、ディスカバリー後に合意した請負契約で提供されます。SaaS開発、再利用可能なアカウント・テナント・ロールのためのSaaSプロダクトアクセラレーター、テスト向けのアプリケーションセキュリティアシュアランスをご覧ください。MVPロードマップでは最初の数週間にこれらのチェックを位置付けており、ベンダーの回答を評価するにはソフトウェア開発パートナーへのセキュリティ質問をご参照ください。

存在するデリバリー記録と存在しないもの

• 存在するもの。Netbase JSCはマルチテナントのデジタルワークプレイスであるCloodo Workspaceと、多数のマーチャントにサービスを提供するSaaSであるPrintcartを構築・運用しています。2020年以来、米国クライアント（名前は非公開）のマルチテナントクラウドERPプラットフォームのオフショア開発・管理パートナーとして取り組んでいます。
• 存在しないもの。Netbase JSCの記録にはペネトレーションテストの結果・インシデント履歴・監査結果・脆弱性数・応答時間は公開されておらず、特定のコントロールが機能することの証拠として提供されるものもありません。このページはいかなるプロダクトも認証するものではありません。

このガイドの制限

• これはコンプライアンスプログラムではなく、実用的なチェックリストです。決済や医療などの規制対象セクターには独自の要件が加わるため、専門家のアドバイスを取得してください。
• 標準は変わります：レビューを行う日に最新のOWASP・NIST・プロバイダーのガイダンスを確認してください。
• チェックリストは未知の欠陥を発見できません；それはテストと独立したレビューの役割です。

次のステップ

テナンシーモデル、現在のエビデンス、顧客から送付されるアンケートをお知らせいただければ、10のエリアにギャップをマッピングするためにソリューションレビューをお申し込みいたします。また、SaaS開発やNetbase JSCのインサイトもご覧ください。

関連サービスとソリューション