ギガワタス週次セキュリティ診断レポート 2026-08-31

ギガワタスでは、お客様に安心して大容量ファイルをお送りいただくため、毎週、自動セキュリティ診断を実施し、その概要を公開しています。

エグゼクティブサマリー

診断日: 2026-08-31
診断対象: バックエンド（Go）/ フロントエンド（React, TypeScript）/ 依存パッケージ / Docker構成
使用ツール: gosec / npm audit / osv-scanner / OWASP Top 10 観点での確認
総合評価: 重要な対応を継続中

1. 今週のハイライト

今週も、ファイル暗号化保存・ウイルススキャン・レート制限・認証管理・各種セキュリティヘッダーといった主要な多層防御はいずれも正常に機能していることを確認しました。加えて、法人向けポリシーの適用範囲、アカウント運用まわり、検疫の保持ポリシーに関する改善を反映しました。

解決: 2026-08-27 メールアドレスの大文字小文字の扱いを統一し、同一アドレスで二重アカウントが作成されないよう改善
解決: 2026-08-26 検疫対象ファイルの保持期間ポリシーを見直し、共有期限の影響を受けずに定められた期間確実に保全されるよう修正
解決: 2026-08-28 法人向けポリシー（ワンタイムログイン・ダウンロード回数上限・保存期間）の適用範囲を、すべてのログイン経路・アップロード経路で統一
着手: データベースドライバ・暗号処理・HTTP基盤など、バックエンドの基盤ライブラリを最新の安定版へ更新する対応を実施し、2026-09-01 早朝に本番へ反映しました
継続: フロントエンドのビルド・開発系ツールチェーンに含まれる依存パッケージの更新項目を整理中

2. 主な安全対策

実装済みの多層防御は今週も正常に稼働しています。書き方に誤りが生じないよう、実装に沿って対象範囲を明記しています。

アップロードファイルの暗号化保存（AES-256-GCM）
アップロードファイルのウイルススキャン（対象は500MB以下かつ動画・音声以外のファイル。範囲外については別途安全性の説明を掲載）
検出ファイルの検疫管理と、検出履歴・判定結果の台帳記録
不正アクセス・総当たり攻撃を防ぐレート制限（Redisによるアトミック制御）
ファイル種別の偽装検出（マジックナンバー検証、危険拡張子・RLO攻撃検出）
通信の暗号化（HTTPS）とセキュリティヘッダー（CSP / HSTS / X-Frame-Options / Permissions-Policy）
認証トークンの安全な管理（短期アクセストークン + リフレッシュトークンのローテーション + 失効管理、2段階認証の総当たり制限）
ログイン試行・管理者操作の監査ログ記録とCSVエクスポート時のフォーミュラインジェクション対策

3. 継続的な取り組み（改善履歴）

過去から現在までの主な改善履歴（新しい順）:

2026-08-28: 法人向けポリシー（ワンタイムログイン・ダウンロード回数上限・保存期間）の適用範囲を、すべてのログイン経路・アップロード経路で統一
2026-08-27: メールアドレスの大文字小文字を統一し、アカウント一意性の取り扱いを厳密化
2026-08-26: 検疫対象ファイルの保持期間を独立ポリシーとし、共有期限の影響を受けず定められた期間確実に保全
2026-08-24: ウイルス検出時に「利用者がどう対応すべきか」を示すガイダンス表示を追加
2026-08-22: まとめてダウンロードの認証情報をURLから分離し、アクセスログ等に残らない設計へ改善
2026-08-21: ダウンロードパスワードの取り扱い経路を見直し、アクセスログに機微情報が残らない設計へ改善
2026-08-18: 検疫クリーンアップの実行経路を独立化し、他ジョブの状態に依存せず確実に動作するよう改善
2026-08-16: サービス紹介・料金ページの暗号化およびウイルス検出に関する記述を実装内容と一致させる整備を実施
2026-08-10: XSS防御ライブラリを最新版へ更新（フロントエンドのサニタイズ強化）
2026-08-10: ウイルス検出ファイルの扱いを即削除から検疫方式へ移行し、判定の見直しを可能に

4. 総評

ギガワタスでは、ファイル暗号化・ウイルススキャン・通信暗号化・レート制限・監査ログといった多層的な安全対策を継続して運用しており、今週もこれらの主要な防御機構が正常に稼働していることを確認しました。今週は特に、法人向けポリシーの適用範囲の統一、アカウントの一意性の取り扱い、検疫対象ファイルの保持ポリシーに関する重要な改善を反映しています。

一方で、バックエンドの通信・暗号処理関連の基盤ライブラリおよびフロントエンドの一部依存パッケージにおいて更新対象を確認しており、バックエンド側は 2026-09-01 に本番への反映を完了しました。フロントエンドのビルド・開発系ツールチェーンについても、引き続き計画的に更新を進めてまいります。お客様のデータを安全にお預かりするため、今後も毎週の自動診断と継続的な改善を続けてまいります。

本レポートはツールによる自動診断（AI評価）を基にしています。
診断頻度：毎週月曜日早朝