ギガワタス週次セキュリティ診断レポート 2026-11-09
ギガワタスでは、お客様に安心して大容量ファイルをお送りいただくため、毎週、自動セキュリティ診断を実施し、その概要を公開しています。
エグゼクティブサマリー
- 診断日: 2026-11-09
- 診断対象: バックエンド（Go）/ フロントエンド（React, TypeScript）/ 依存パッケージ / Docker構成
- 使用ツール: gosec / npm audit / osv-scanner / OWASP Top 10 観点での確認
- 総合評価: 正常稼働・改善点を継続対応中
1. 今週のハイライト
今週も、保存時の暗号化・ウイルススキャン・レート制限・認証管理といった主要な安全対策が正常に稼働していることを確認しました。あわせて、お客様の利便性と運用の安定性を高める改善を本番環境へ反映しました。
- 解決: 2026-11-07 アップロード完了画面に、共有URL・パスワード・有効期限をまとめてコピーできる案内文機能を追加
- 解決: 2026-11-06 大容量ZIP配信時の帯域に上限を設け、同時進行中のアップロード経路の安定性を確保
- 解決: 2026-11-03 プライバシーポリシーに個人情報保護管理者および業務委託に関する項目を追記
- 解決: 2026-11-03 まとめ送信のパスワードを後から確認できる機能を追加し、スマートフォンでの表示崩れも修正
- 継続: フロントエンドの依存パッケージに更新対象があることを確認。影響範囲と優先度を精査したうえで計画的に反映します
- 継続: 静的解析の指摘のうち、疑陽性・運用非影響のものを除外し、本番影響のある観点から順次改善
2. 主な安全対策
実装に沿って、対象範囲を明記しています。
- 保存時の暗号化（保管先のクラウドストレージで、すべてのファイルを AES-256 により暗号化）
- アップロードファイルのウイルススキャン（対象は500MB以下かつ動画・音声以外のファイル。範囲外についてはセキュリティページで説明）
- 検出ファイルの検疫管理と、検出履歴・判定結果の台帳記録
- 不正アクセス・総当たり攻撃を防ぐレート制限
- 危険な拡張子を持つファイルのアップロード検出
- 通信の暗号化（HTTPS・HSTS）
- 認証トークンの安全な管理（短期アクセストークン + リフレッシュトークンのローテーション + 失効管理、認証コード入力の試行回数制限）
- ログイン試行・管理者操作の監査ログ記録と、CSVエクスポート時の数式インジェクション対策
3. 継続的な取り組み（改善履歴）
主な改善履歴（本番環境への反映日・新しい順）:
- 2026-11-07: アップロード完了画面に、共有URL・パスワード・有効期限をまとめてコピーできる案内文機能を追加
- 2026-11-06: 大容量ZIP配信時の帯域に上限を設け、同時進行のアップロード経路の安定性を確保
- 2026-11-03: プライバシーポリシーに個人情報保護管理者と業務委託に関する項目を追記
- 2026-11-03: まとめ送信のパスワードを持ち主があとから確認できる仕組みを追加し、スマートフォン表示も改善
- 2026-10-30: ブログ基盤（WordPress）の処理能力の設定を永続化し、再構築後も安定稼働を維持
- 2026-10-29: 保存済みパスワード表示画面の体裁を統一し、既定で伏せ字＋目のアイコンによる切替に揃えた
- 2026-10-29: 受取フォルダの現在のパスワードを既定で伏せ字にし、目のアイコンで切り替えられるよう改善
- 2026-10-29: 受取フォルダに設定したパスワードを、持ち主があとから確認できる仕組みを追加
- 2026-10-23: ウイルススキャン基盤の停止を速やかに検知し運営へ通知する仕組みを追加
- 2026-10-23: シークレット便の暗号文を閲覧・期限切れの時点で消去し、以後のバックアップにも含めないよう改善
4. 総評
ギガワタスでは、保存時の暗号化・ウイルススキャン・通信の暗号化・レート制限・監査ログといった多層的な安全対策を継続して運用しています。今週は、アップロード完了画面での案内文コピー機能の追加、まとめ送信のパスワード確認機能の追加といった、お客様がご自身の送信内容を安全かつ確実に扱えるようにする改善を反映しました。あわせて、大容量配信時の帯域制御によりアップロード経路の安定性を高め、プライバシーポリシーの記載も拡充しています。
フロントエンドの依存パッケージには引き続き更新対象があり、影響範囲と優先度を精査したうえで計画的に反映してまいります。お客様のデータを安全にお預かりするため、今後も毎週の自動診断と継続的な改善を続けてまいります。
本レポートは、ツールによる自動診断（AI評価）を基に、運営者が実装と照らし合わせて確認したうえで公開しています。
診断頻度：毎週月曜日早朝
