AIツールの進化で、エンジニアでない担当者が「動くもの」を作れる時代になりました。これ自体は歓迎すべき変化です。ただ、業務で使うシステムがこのやり方で作られ、社内に広がり始めているなら、一度立ち止まって確認したいことがあります。それが今回始めたセキュリティ診断サービスの背景です。
現場で起きていること
Bolt、Replit、v0のようなツールを使えば、企画職や営業職の方でも自然言語の指示だけで社内ツールを作れます。日報アプリ、簡易な顧客管理、申請フォーム——情シスを通さずに現場が自分たちのツールを持つ、いわゆる「シチズンデベロッパー」の広がりです。
問題は、これらのツールが本人も気づかないうちに顧客データや社内情報を扱うようになることです。作った本人はエンジニアではないので、「認証」「権限」「アクセス制御」といった概念そのものに馴染みがありません。動けば完成、というのは個人の実験ツールなら構いませんが、顧客情報や人事データに触れるアプリでは話が別です。
よくある落とし穴
診断の視点で見ると、バイブコーディングされたアプリには共通のパターンが出てきます。
- 認証が実装されていない、または弱い。 ログイン画面はあるが、URLを知っていれば誰でもデータにアクセスできる状態になっている
- 権限が分離されていない。 一般ユーザーと管理者の区別がなく、全員が全データを見られる
- シークレットの直書き・露出。 APIキーやDBの接続情報がコードやリポジトリにそのまま残っている
- データベースのアクセス制御が緩い。 特にSupabaseやFirebaseのようなBaaSでは、行レベルのアクセス制御(RLS)の設定漏れがそのまま「全件公開」に直結します
どれもエンジニアであれば当たり前に確認する項目ですが、非エンジニアが一人で作っている場合、そもそもチェックする発想自体がないのが実情です。
診断でやっていること
私たちが提供しているのは、法人向けの固定スコープのセキュリティ診断です。対象システムの構成と開発経緯をヒアリングしたうえで、認証・権限・シークレット管理・データアクセス制御を中心にコードと設定を確認し、見つかった課題を緊急度別に整理してレポートにします。
大がかりな監査プロジェクトを組む前に、まず「危ないところがあるかどうか」を短期間で把握したい、という企業向けの入口として設計しています。診断結果は第三者性を保った書き方でまとめ、良い点も課題点もフラットに提示します。
診断はゴールではなく入口
診断をして終わり、では意味がありません。課題が見つかったとき、多くの企業が次に直面するのは「じゃあ誰が直すのか、これからも同じようにツールが作られ続けるのか」という体制の問題です。
私たちはそこから、修正の実装支援や、現場が安全にAI開発を続けられるようにするための内製化支援まで含めてご相談に乗っています。診断と是正支援を分けて考えられるよう、まずはレポートという形で現状を客観的にお見せすることを大事にしています。
まとめ
非エンジニアが業務システムを作れることは、これからますます当たり前になっていきます。だからこそ、「作れること」と「安全に運用できること」の間のギャップを埋める役割が必要です。心当たりのある社内ツールがあれば、まずはお問い合わせからご相談ください。