オンライン予約システム「STORES 予約」とは

「STORES 予約」は、無料ではじめられるオンライン予約システムです。ネット予約・決済はもちろん、回数券月謝や顧客管理などを一気通貫して提供しており、専門知識がなくてもかんたんに予約管理がはじめられるサービスとなっています。

「STORES 予約」の詳細はこちら。 https://stores.jp/reserve

今回Flatt Securityは「STORES 予約」を対象に、Webアプリケーション診断を実施しました。

STORES 様がセキュリティ診断を利用した経緯と感想をセキュリティ本部の横山昌事さんにお伺いしました。

機密性の高い情報を扱うサービスなので、よりセキュアな開発のために実績あるベンダーによる診断を検討していた

――まず最初に、Flatt Securityを知っていただいた経緯を教えてください。

横山昌事さん（以下、横山さん）：私個人としては、過去にセキュリティベンダーに勤めていたこともありFlatt Securityさんのことは存じていましたし、一読者として御社の技術ブログなどは楽しく読ませていただいていました。

特に印象に残っているのは開発者が知っておきたい「XSSの発生原理以外」の話とWebサービスの認可制御の不備によって起こる仕様の脆弱性と対策の二つですね。

XSSについての記事はセキュリティエンジニアとして共感できるものでした。セキュリティエンジニアはXSSによるリスクを十分に把握していますが、開発者が皆そうであるわけではないので、開発者にとってわかりやすい記事になっていると思いました。弊社の社内勉強会でも参照させていただいていますよ（笑）。

また、認可制御の記事は、実際にどこまでFlatt Securityさんが診断されているのかという普通知りえない内容まで触れられているので大変面白かったです。

――セキュリティ診断が必要になったきっかけを教えてください。

横山さん：サービスを展開していく上で、オーナー様や利用者様の個人情報などの機密性の高い情報を取り扱うため、情報漏えいなどのインシデントが発生しないよう厳格に管理する必要があると考えています。

弊社には自分のようなセキュリティエンジニアが在籍しており、これまでも定期的な診断は社内で実施してきました。

ですが、よりセキュアなサービスを提供していくために第三者の異なる視点も取り入れたく、実績あるセキュリティベンダーさんに診断を依頼しようかと検討していました。

――これまでの内部的な定期診断はどのような頻度で実施されてきたのでしょうか。

横山さん：定期診断は年に一回、すべての動的リクエストに対して実施し、新規機能のリリース前にも別で診断を実施しています。実施内容はいわゆるWebアプリケーション診断とプラットフォーム診断です。

ブログから伝わる高い技術力と診断プランの柔軟な対応が決め手に

――最終的にFlatt Securityを選んでいただいた決め手があれば教えてください。

横山さん：以前から技術ブログを拝見していたこともあり、技術力に関しては信頼感がありましたが、加えてコミュニケーションのスムーズさが決め手になりました。

お問い合わせの段階でもヒアリングが丁寧で対応も迅速だったので、実際に診断を依頼するときに円滑なコミュニケーションが取れそうだなという期待を持てました。

また、細かな要望にも柔軟に対応をしていただきました。

機能豊富なサービスにもかかわらず質疑が少なく、工数を削減できた

――実際にセキュリティ診断を実施した感想を教えてください。

横山さん：コミュニケーションに関しては、診断を依頼する前から期待していた通り、Slackで共有チャンネルを作っていただけたり一切ストレスなくやり取りができたのが良かったです。

また「STORES 予約」は様々な機能を提供しているため、機能仕様や利用方法などの点で質疑があるかと想定していましたが、さすが技術力のあるエンジニアの方だからか、そういった工数がかからずに診断をできたのはありがたかったです。

報告書もとても読みやすい仕様になっているなと感じました。

指摘事項に対して「深刻度」だけではなく「攻撃成立の可能性」についても評価している点がわかりやすかったです。開発チームに共有する時に参考になります。

また、診断結果はGitHubでIssue化して管理しているため、PDFに加えてコピー&ペーストが容易なMarkdown形式でも提出していただけるのはありがたかったです。

――既に次回のスマートフォンアプリ診断のお話をいただいておりますが、今後、Flatt Securityについて期待することや要望することなどあれば教えてください。

横山さん：今回「STORES 予約」のWebアプリケーション診断をしていただいたので、サービスの特徴や機能をご理解していただいていると思います。その上で網羅的に客観性をもって診断をお願いしたいです。