MVP開発・PoC

MVP段階で押さえるセキュリティ対策

MVP段階のセキュリティ対策は、全てを完璧にするのではなく、「最低限の基本対策」「作るものに脆弱性を作り込まない」「クラウドの設定と権限を管理する」「事故が起きたときの動き方を決める」の4点を公開前にそろえることから始めます。IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」と「安全なウェブサイトの作り方」が、小さなチームでも使える出発点になります。

この記事では、新規事業でMVPを開発・公開する場面を想定し、IPAの資料をもとに確認点を整理します。

MVPでもセキュリティを後回しにできない理由

MVPは検証のための最小限の製品ですが、実際の顧客がデータを入力し、実際の決済が行われることもあります。検証のための製品であっても、漏えいや改ざんが起きれば顧客に被害が出て、事業そのものの信頼を失います。個人データの漏えい等が一定の条件に当たれば、個人情報保護委員会への報告と本人への通知が法律上の義務になります（詳しくは新規事業での個人情報の取り扱い）。

一方で、MVPの段階で大企業の基幹システムと同じ水準を求めると、検証が始められません。扱う情報の重要度に応じて、対策の範囲を決めることが大切です。

1. 最低限の基本対策：情報セキュリティ6か条

IPAは2026年3月27日に「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開し、規模に関わらず必ず実行すべき対策として、これまでの5か条に「バックアップを取ろう！」を加えた「情報セキュリティ6か条」を示しています。

  1. OSやソフトウェアは常に最新の状態にしよう！
  2. ウイルス対策ソフトを導入しよう！
  3. パスワードを強化しよう！（長く、複雑に、使い回さない）
  4. 共有設定を見直そう！
  5. バックアップを取ろう！
  6. 脅威や攻撃の手口を知ろう！

開発チームの端末、開発に使うクラウドサービスのアカウント、共有ドライブにこの6項目を当てはめるだけでも、多くの事故を防げます。特に4の共有設定は、ウェブサービスの設定を誤って無関係な人に情報が見える状態になる事故として、IPAも注意を促しています。

IPAには、中小企業が情報セキュリティ対策に取り組むことを自己宣言する「SECURITY ACTION」という制度があります。6か条に取り組むことを宣言する「一つ星」と、より進んだ段階の「二つ星」があり、ロゴマークを無料で使えます。2026年4月1日からは申込みに「SECURITY ACTION管理システム」を使う方式に変わり、利用にはGビズIDプライムまたはメンバーのアカウントが必要です。IPAのガイドラインは、デジタル化やサイバーセキュリティ対策を支援する公的支援制度の要件になることがあると説明しており、起業家は早めに宣言しておくと役に立ちます。

2. 作るものに脆弱性を作り込まない

自社でウェブアプリケーションを開発する場合は、IPAの「安全なウェブサイトの作り方」（改訂第7版）が基本資料です。第1章では、次の11種類の脆弱性について、起きうる脅威と根本的な対策を解説しています。

  • SQLインジェクション
  • OSコマンド・インジェクション
  • パス名パラメータの未チェック／ディレクトリ・トラバーサル
  • セッション管理の不備
  • クロスサイト・スクリプティング
  • CSRF（クロスサイト・リクエスト・フォージェリ）
  • HTTPヘッダ・インジェクション
  • メールヘッダ・インジェクション
  • クリックジャッキング
  • バッファオーバーフロー
  • アクセス制御や認可制御の欠落

資料の巻末には、実装状況を確認するためのチェックリストが付いています（Excel版もあります）。外部の開発会社に発注する場合は、このチェックリストへの対応を発注時の要件に入れ、納品時に確認します。発注先の選び方はMVP開発を外注するときの発注先の選び方と見積もりの読み方にまとめています。

MVPで特に起きやすいのは、最後の「アクセス制御や認可制御の欠落」です。開発を急ぐと、「ログインしていれば、URLを書き換えるだけで他の利用者のデータが見える」といった状態が残りがちです。公開前に、別のアカウントでログインして他人のデータにアクセスできないかを必ず試します。

なお、IPAは第1章の項番は対策の優先順位を示すものではなく、優先順位はウェブサイトの状況に合わせて検討するよう説明しています。

3. クラウドサービスの設定と権限を管理する

MVPは、クラウドの実行環境、データベース、認証、決済、メール配信など、多くの外部サービスを組み合わせて作ることが一般的です。IPAのガイドラインの付録「中小企業のためのクラウドサービス安全利用の手引き」は、選ぶとき・運用するとき・セキュリティ管理の3つの場面で確認する15項目のチェックシートを示しています。MVPの段階で特に大切なのは次の点です。

  • 管理担当者を決める：サービスの設定や権限を誰が管理するかを決める
  • 利用者の範囲を決める：アカウントを作る人と権限を決め、退職・契約終了時に削除する
  • 利用者の認証を厳格に行う：ID・パスワードを共有せず、2段階認証が使える場合は使う
  • バックアップに責任を持つ：サービスの停止やデータの消失・改ざんに備えて、重要な情報を手元でも確保する
  • 利用終了時のデータの扱い、データの保存場所（国・地域）を確認する

開発メンバーが個人のアカウントで外部サービスを契約していると、メンバーが抜けたときに管理ができなくなります。事業で使うサービスは、会社（または事業部門）の管理下のアカウントで契約します。

4. 情報の重要度を決め、事故時の動きを決める

扱う情報を一覧にする

どのサービスに、どんな情報（顧客の個人情報、決済情報、取引先の機密情報など）が保存されているかを一覧にします。IPAのガイドラインにも、資産管理台帳のサンプルが付録として用意されています。この一覧があれば、対策の優先順位を決めやすくなり、事故が起きたときにも影響範囲をすぐに把握できます。

事故が起きたときの連絡体制

IPAのガイドラインには、付録として「中小企業のためのセキュリティインシデント対応の手引き」があります。小さなチームでも、少なくとも次のことは事前に決めておきます。

  • 異常に気づいたときに、誰に連絡するか
  • サービスを止めるかどうかを誰が判断するか
  • 顧客、取引先、個人情報保護委員会など、外部への連絡を誰が行うか
  • 開発会社やクラウドサービスの問合せ先

個人データの漏えい等で報告が必要な場合、速報は発覚日から3〜5日以内とされています。判断に時間をかけられないため、平時に決めておくことが重要です。

大企業と起業家で異なる点

大企業の新規事業担当者の場合

社内の情報セキュリティ規程や、クラウドサービス利用の審査手続が適用されることが多く、その審査に時間がかかると検証が始められません。MVPで使う予定のサービスと扱う情報を早めに一覧にし、情報システム部門やセキュリティ部門と審査の範囲を相談します。検証段階では扱う情報を限定する（本番の顧客データを使わない、試験用のデータを使うなど）ことで、審査の範囲を小さくできる場合があります。

起業家・スタートアップの場合

大企業と取引を始めると、セキュリティに関する質問票への回答を求められることがよくあります。6か条の実施状況、使っているクラウドサービス、アクセス権限の管理、バックアップ、事故時の連絡体制を日頃から文書にしておくと、回答の負担が減ります。IPAのガイドラインには、情報セキュリティ基本方針や関連規程のサンプルも付録として用意されています。

公開前の確認リスト

  • 開発・運用に使う全ての端末とアカウントで、6か条を実施している
  • 「安全なウェブサイトの作り方」のチェックリストで実装を確認した
  • 別のアカウントで、他人のデータにアクセスできないことを確かめた
  • 管理画面やデータベースに、必要な人だけがアクセスできる
  • 外部サービスのアカウントは事業の管理下にあり、2段階認証を設定している
  • バックアップを取得し、復元できることを確かめた
  • 扱う情報の一覧と、事故時の連絡体制を文書にした

制度やガイドラインは改定されます。個人情報を扱う場合や契約で求められる水準がある場合は、公式情報と専門家（弁護士、セキュリティの専門家など）に確認してください。

参考資料

進め方に迷ったら、相談してください

起業家ポータル のメンバーが話を伺います。初回の相談は無料です。

相談する

同じ工程の記事