3-12.クラウド基幹システムを守る「二段構え」のセキュリティ戦略

シリーズ最終回はセキュリティで締めくくる。次期基幹システムは、インターネットに公開されるクラウドシステムだ。社内ネットワークの奥に隠れていた旧システムとは、守り方の前提がまるで違う。受注も、顧客情報も、経営の数字も入ったシステムを、開かれたネットワークの上でいかに堅守するか。第12回は、その戦略と、シリーズ全体、そして3シリーズの総括を書く。

セキュリティもまた、本シリーズの主題と無縁ではない。脆弱性を検出する手段——静的解析も、診断ツールも——はAIの力で安く速くなる。だが「どこまでをAIの網羅性に任せ、どこからを人間の専門家の深掘りに委ねるか」という分担の見極めは、自社が責任を持って下すべき本質的な判断だ。手段ではなく、その配分こそが守りの強さを決める。

前提:境界の守りは、もう無い

旧来のセキュリティは「社内ネットワークという城壁」が前提だった。城壁の中は安全、外は危険。だがクラウド+ブラウザ完結(第1回)を選んだ時点で、その城壁は無い。第2回のゼロトラスト認証は、その前提転換への回答の一つだ。すべてのアクセスを検証し、認証はGoogle Workspaceの堅牢な基盤に委ねる。だが認証は入口の守りにすぎない。システム自体の脆弱性——コードの欠陥を突く攻撃——には、別の備えが要る。私たちはそれを二段構えで設計した。

一段目:AIDDによる「防虫ネット」

第一の守りは、開発の中に組み込む。前回書いたAIDDの一環としての、AIによる静的解析だ。AIがコードを常時解析し、セキュリティ上の危険なパターン——インジェクションの脆弱性、不適切な権限チェック、安全でないデータの扱い——を、書かれたそばから検出する。人間のレビューだけでは見落とされてきた初歩的な脆弱性を、開発の段階で網羅的に潰す。私たちはこれを「防虫ネット」と呼んでいる。家を建てるとき、虫の侵入は完成後に駆除するのではなく、建てながらネットを張って防ぐ。同じように、脆弱性は作り込まれた後に探すのではなく、作り込まれる前に弾く。AIの「疲れない・漏らさない」性質は、この常時監視にこそ向いている。ここは、AIが安く速く「できて当たり前」になることを、守りに転じて活かす局面だ。

二段目:外部セキュリティ診断という「耐震診断」

だが、防虫ネットだけでは足りない。AIの静的解析が得意なのは既知のパターンの検出であり、システム全体の構造を突く高度な攻撃——複数の機能を組み合わせた攻撃経路、ビジネスロジックの裏をかく操作——までは保証できない。そこで第二の守り。リリース前に、専門機関による外部セキュリティ診断を受ける。セキュリティの専門家が、攻撃者の視点で侵入を試みる。内部の開発チームともAIとも違う、外部のプロの目だ。これを「耐震診断」と呼んでいる。建物が完成したら、設計者自身ではなく第三者が構造を検査する。それと同じ規律を、リリースの関門として置いた。防虫ネット(開発中・AI・網羅的)と、耐震診断(リリース前・人間の専門家・深掘り)。性質の異なる二つの守りを重ね、単独では届かない水準の堅牢さを目指す。AIに任せる範囲と人間に委ねる範囲を冷静に線引きする——これもまた、過小評価でも過大評価でもない、本質の見極めだ。

データを守るアーキテクチャ:マルチテナントとRLS

外からの攻撃への備えと並んで、内側のデータ統制もアーキテクチャに組み込んだ。一つがマルチテナント制御。拠点や組織の単位でデータの見える範囲を制御し、本来見えるべきでないデータが画面に出ない構造を作る。もう一つが行レベルセキュリティ(RLS)。「この行のデータは、この条件を満たす人だけが見られる」という制御を、アプリケーションの実装任せにせず、データベースの層で強制する。アプリ側のコードにミスがあっても、データベースが最後の砦として守る。第2回の認証(誰なのか)、権限(何ができるか)、そしてRLS(どのデータに届くか)。守りは一枚の壁ではなく、層で設計する。どこか一層が破られても、次の層が止める。

シリーズ総括:この刷新が目指したもの

12回にわたって設計と開発の思想を書いてきた。全体を貫いていたものを整理したい。役割を分け、最適な場所に置く——認証はGoogle Workspaceへ、蓄積は基幹へ、分析はBigQueryへ、守りは二段構えで(第1・2・9・12回)。事実を一箇所に、構造で持つ——SSOTと売上の削り出し、構造化された見積、自動化された会計連携(第3・4・7・8回)。現場が主役——ドラフト機能、ロック制御、一画面完結のUI、通知の使い分け(第3・5・10回)。将来の器を先に掘る——BOMへの拡張性、多通貨・多単位、実績収集の布石、テストカバレッジ(第4・5・7・11回)。そして、この全部を支える新しい作り方としてのAI駆動開発(第11回)。

通して見えてくるのは、一つの事実だ。手段は、もうコモディティになりつつある。 認証も、画面も、分析も、コードを書くことさえ、AIと成熟したサービスが安く速く肩代わりしてくれる。だが、このシリーズで本当に時間をかけて格闘したのは、そこではなかった。「自社の事実をどんな構造で持つか」「どの例外を正規のパターンに迎え入れるか」「どこを委ね、どこを自前で持つか」「AIと人間の分担をどう線引きするか」——どれも、AIにもベンダーにも代われない、自社にしか決められない本質だった。手段が横並びになる時代だからこそ、この見極めにこそ価値が宿る。

3シリーズの結びに——数字とデータを、自分の手に

3つのシリーズを通じて、Shopifyの内製化から、RFPとベンダー選定、そして次期基幹の設計まで書いてきた。一貫していたのは、数字とデータを自分たちの手に取り戻すという一つの意志だ。システムも、ツールも、ベンダーも、AIも、すべてはその手段にすぎない。

そして今、その意志はかつてないほど現実的になった。AIで「作る」がコモディティになるということは、ヒト・モノ・カネの限られた中堅企業でも、大手と横並びの“手段”を手にできるということだ。焦りは正しい。だが浮足立つ必要はない。限られた資源を、自社が本当に勝てる一点——自社にしか決められない本質——に集中させればいい。手段に振り回されるのではなく、散らばった経営・業務・技術の知識の点と点をつなぎ、「何を、どの基準で選び、どう活かすか」を見極める。それさえ握っていれば、AIという手段は、大手を一気に飛び越える梃子になる。私が3シリーズを書き残したのは、その見極めの実例を、これから刷新に挑む誰かの出発点にしてほしかったからだ。

評決ではなく、レンズを。

3シリーズを貫いてきたのは「数字とデータを自分の手に取り戻す」という一つの意志でした。AIで作るがコモディティになるほど、認証も画面も分析もコードも手段は横並びになります。だからこそ最後に残るのは、自社にしか決められない本質——どんなデータ構造で事実を持ち、どの例外を迎え入れ、どこを委ね、AIと人間の分担をどう引くか——の見極めです。限られた資源を、その一点に集中させること。それが、中堅企業がAIで大手を飛び越える梃子になります。

AIで「作る」はコモディティになります。手段が横並びになるほど、散らばった知識の“点と点”をつなぎ、自社の本質——何を、どの基準で選び、どう活かすか——を見極める力が問われます。私はアトムビットとして、その見極めを特定ベンダーに肩入れしないフラットな評価軸でお渡しします。売るのは「どれが一番か」という評決ではなく、「あなたの制約でどう選ぶか」というレンズです。最終選定と結果責任は発注者にあります。

3シリーズの観点と選定・AIDDレディネスの要点を1枚に凝縮した無料の「評価軸チェックシート」を配布中です。長い記録の、実用的な出発点にどうぞ。

▶ 無料で受け取る:https://atomb.it/lens?utm_source=note&utm_medium=article&utm_campaign=s3