本記事について
当サイトを閲覧いただきありがとうございます。 本記事はシリーズ『生成AI時代のアーキテクチャ超入門』の「セキュリティアーキテクチャ」カテゴリ第1弾として、セキュリティアーキテクチャの全体像について解説する記事です。
セキュリティは後から付け足せない設計領域です。本記事ではCIA3要素、認証・認可・暗号化・ネットワーク・秘密情報管理・監査の主要領域、境界型防御からゼロトラストへの潮流、AI時代にセキュリティは委譲するというスタンスまで俯瞰します。
このカテゴリの全記事一覧・各記事で学べるポイントは以下のページにまとめています。
本記事のテーマについてさらに詳しく知りたい方は『セキュア・バイ・デザイン』・『安全なWebアプリケーションの作り方 第2版』も参考にしてみてください。
この記事の結論
- 標準プロトコルと専用SaaSに委譲する（自作しない）
- 多層防御で設計し、単一の壁に頼らない
- ゼロトラストを出発点に置く（「社内は安全」を捨てる）
- セキュリティ構成もIaC化してレビュー可能にする
この記事を読む前に
本記事は認証・認可・暗号化といったセキュリティ用語が多めに登場します。IT用語にあまり馴染みがない方は、基礎編の「セキュリティと認証の基本」を先に読んでおくと格段に分かりやすくなると思います。また、読んでいて分からない用語が出てきたときは用語集で調べながら読み進められます。
そもそもセキュリティアーキテクチャとは何か
家のセキュリティを想像してください。玄関の鍵・窓の防犯フィルム・監視カメラ・火災報知器──1つの対策だけでは守れず、複数の層で守るのが防犯の基本です。しかも、家を建てた後に基礎部分のセキュリティを追加するのは極めて困難です。
セキュリティアーキテクチャは、認証・認可・暗号化・ネットワーク防御・秘密情報管理・監査ログなどを多層的に設計する領域です。後から付け足すのではなく、設計の最初から組み込むことが必須です。
なぜ独立したアーキテクチャとして扱うのか
第一に、影響範囲が全システムに及ぶからです。認証基盤・暗号化方式・権限モデルは、後から変えると全アプリケーションに影響が出ます。第二に、法規制対応が必須だからです。GDPR・個人情報保護法・PCI DSS・SOC2など、扱うデータによって守るべき規制が決まり、違反は刑事罰・巨額賠償に直結します。第三に、専門性が高く片手間では扱えないからです。
そして何より、一度漏れたデータは、二度と未公開には戻りません。たった1箇所の穴から全データが漏洩し、謝罪では済まない損害が発生します。
守るべき3要素（CIA）と主要領域
セキュリティ設計で最もよく使われるフレームワークがCIAです。
| 要素 | 意味 | 代表的な対策 |
|---|---|---|
| Confidentiality（機密性） | 許可された人だけが見られる | 認証・認可・暗号化 |
| Integrity（完全性） | データが改ざんされない | ハッシュ・署名・監査ログ |
| Availability（可用性） | 必要な時に使える | DDoS対策・冗長化・バックアップ |
金融は機密性最優先、公共サービスは可用性最優先など、業務特性で比重が変わるのが重要ポイントです。
| 領域 | 扱うもの |
|---|---|
| 認証 | 誰であるかの確認 — Passkey・MFA・SSO |
| 認可 | 何ができるかの制御 — RBAC・ABAC・IAM |
| 暗号化 | 盗聴・漏洩防止 — TLS・AES・KMS |
| ネットワーク | 境界防御・分離 — FW・WAF・VPC |
| 秘密情報管理 | APIキー・パスワードの保管 — Vault・Secrets Manager |
| 監査・検知 | 異常の記録と検知 — SIEM・CloudTrail |
セキュリティ思想の変遷 ― 境界型からゼロトラストへ
従来は「ファイアウォールで境界を守り、社内ネットワークは安全」という境界型防御が中心でしたが、リモートワーク・クラウド・SaaSの普及で境界が曖昧になり、この前提が成立しなくなりました。
ゼロトラストはネットワークの内も外も信用せず、全ての通信で認証・認可を検証する思想で、Googleが2010年代に実装したBeyondCorpが先駆けです。VPNで境界を守るのではなく、ユーザー・デバイス・コンテキストを常に検証する、IDベース（Identity-centric）の設計へ──これがクラウド時代最大のパラダイムシフトです。
どう進めるか ― フェーズ別導入ロードマップ
セキュリティは「全部一気に」は非現実的で、フェーズに応じて必須と推奨を切り分けます。
| フェーズ | 必須導入 | 次に導入 |
|---|---|---|
| ① MVP・個人 | HTTPS+MFA+Dependabot+IAM Role | Secret Scanning |
| ② 初期スタートアップ | +WAF+CloudTrail+暗号化 | GuardDuty+SSO |
| ③ 中規模SaaS | +SIEM+脆弱性スキャンCI | SOC2+ISMS+Policy as Code |
| ④ 大企業 | +24/7 SOC+DLP+ZTNA | Red Team演習・年次ペネトレ |
| ⑤ 規制業種 | 業界認定（FISC / HIPAA等）を最初から | — |
「MVPでもMFA・Dependabot・Secret Scanning・HTTPSの4つは必須」です。これを後回しにすると公開後数時間でIAMキー流出・依存ライブラリ経由侵入を食らいます。2021年のLog4Shell、2022年のOkta / LastPass事件がその代償を示しました。
このカテゴリの知識構造
このカテゴリは全8記事で、「誰か」→「何ができるか」→「どう守るか」→「どう検知するか」の4段階で学ぶ構造です。
ID（グループ1）では、認証（誰であるか）と認可（何ができるか）を設計します。混同されがちですが全く別の設計判断です。保護（グループ2）では、暗号化・ネットワーク境界・ゼロトラスト・秘密情報管理を設計します。互いに独立性が高いため、必要なものから読んで問題ありません。検知（グループ3）の脆弱性診断は、防御体制を敷いた上で穴を探し続ける仕組みです。セキュリティは一度設計したら終わりではなく、継続的な検知が不可欠です。
AI判断軸 ― 書くな、借りろ、見張れ
AI生成コードに混入する脆弱性パターン
AIが生成するコードには、セキュリティ上の問題が一定の確率で混入します。多いのはSQLクエリの文字列結合（パラメータバインドの省略）、ユーザー入力のサニタイズ漏れ（XSS）、認可チェックの欠如（認証だけで認可なしのAPI）です。AIが「動くコード」を優先した結果であり、対策はCIパイプラインにSAST（Semgrep・CodeQL）を組み込み、AI生成コードを含む全てのプッシュを自動検査することです。
セキュリティの委譲はAI時代に二重のメリットがある
認証をAuth0 / Clerkに、WAFをCloudflareに、暗号化をKMSに委譲する「書くな、借りろ」の方針は、AI時代にもう一つのメリットがあります。委譲した領域はSaaS側が常に最新のセキュリティパッチを適用するため、自チームのコードベースにセキュリティ負債が蓄積せず、AIが管理すべきセキュリティ設定の範囲を最小化できます。
やってはいけないこと
各論記事で詳しく触れる禁じ手のうち、全体レベルで押さえるべき核心を6つに絞ります。
| 禁じ手 | なぜダメか |
|---|---|
| 認証を自前実装 | 自作は穴だらけになる。Clerk / Auth0 / Firebase Authへ委譲する |
| JWTをlocalStorageに保存 | XSS一発で全員分漏洩する。httpOnly Cookie必須 |
| Criticalパッチを2週間以上放置 | Equifax 2017年事件（約7億ドル和解金）のパターン。72時間以内がSLA |
| 「社内は安全」の境界型防御を続ける | 前提が崩壊している。ZTNAへ移行する |
| 永続API Keyを本番で運用 | 漏洩リスクが蓄積する。OIDC+短命トークンへ |
| セキュリティ設定をGUI手作業で管理 | 変更履歴が残らない。IaC+Policy as Codeへ |
セキュリティは「書くな、借りろ、見張れ」の3点セット。独自実装が最大の事故源です。
筆者メモ ― 「防げたはずの一撃」が企業を傾けた事例
セキュリティ事故は派手な攻撃より基本の怠りで起きます。ある大手信用情報会社では、2017年にApache Strutsの既知脆弱性へのパッチ適用が2か月遅れたことが原因で約1.47億人分の個人情報が流出し、和解金・罰金あわせて約7億ドル規模まで膨れ上がりました。2019年には米大手金融サービスでWAFの設定ミス（SSRF）を起点に約1億人分の顧客情報がS3から流出し、8,000万ドル規模の制裁金を受けています。
どちらも高度なゼロデイではなく「基本の運用」が崩れた事例です。パッチ・MFA・設定レビューという地味な基本こそが、最強の防御です。
決めるべきこと — 自分のプロジェクトでの答えは？
以下の項目について、自分のプロジェクトの答えを1〜2文で言語化してみてください。それぞれの詳細は配下の各論記事で扱います。
- 認証方式と認証基盤（MFA / Passkey / IDaaS）
- 認可モデル（RBAC / ABAC / ReBAC）
- 暗号化と鍵管理（TLS / KMS / 秘密情報管理）
- ネットワーク防御（WAF / ゼロトラスト）
- 監査ログと脆弱性管理（SIEM / SAST / SBOM）
- コンプライアンス（SOC2 / ISO 27001 / PCI DSS）
まとめ
本記事はセキュリティアーキテクチャの全体像について、CIAの基本・主要領域・境界型からゼロトラストへの潮流・フェーズ別ロードマップ・AI時代の委譲スタンスまで含めて解説しました。如何だったでしょうか。
標準プロトコルと専用SaaSに委譲し、多層防御で設計し、ゼロトラストを出発点に置き、IaCでレビュー可能にする。これが2026年のセキュリティアーキテクチャの現実解です。
次回は認証設計（MFA・Passkey・SSO・IDaaS選定）について解説します。
シリーズ目次に戻る → 『生成AI時代のアーキテクチャ超入門』の歩き方
本記事で扱った内容の詳細は OWASP Foundation も合わせて参考にしてください。
それでは次の記事も閲覧いただけると幸いです。
📚 シリーズ：生成AI時代のアーキテクチャ超入門（52/95）