なぜエンジニアにセキュリティ知識が必要か
セキュリティは「セキュリティ専門家だけが考えること」という時代は終わりました。開発段階でセキュリティを組み込む「セキュリティシフトレフト」が業界標準となり、すべてのエンジニアに基本的なセキュリティ知識が求められます。OWASP（Open Worldwide Application Security Project）が公開するTop 10は、Webアプリの代表的な脆弱性をまとめたもので、エンジニアの必読リストです。
セキュリティ事故のコスト：IPA（情報処理推進機構）の調査では、Webアプリのセキュリティ事故による平均被害額は1件あたり数百万〜数千万円に上ります。脆弱性を開発段階で修正するコストは本番後の修正の10分の1以下であり、セキュリティ投資は開発コスト削減にも直結します。
- セキュリティシフトレフト：設計・開発段階からセキュリティを組み込む手法、コードレビューにセキュリティ観点を追加
- OWASP Top 10：Broken Access Control・SQLインジェクション・XSSなど10種類の主要脆弱性カテゴリ
- DevSecOps：CI/CDパイプラインにセキュリティスキャンを組み込み、脆弱性を自動検出する開発文化
- エンジニアの市場価値：セキュリティ知識があるエンジニアは年収が50〜150万円高い傾向（Payscale調査）
SQLインジェクション：最も危険な脆弱性
SQLインジェクションは攻撃者がSQLクエリを操作し、データベースの情報を不正取得・改ざん・削除する攻撃です。対策の基本は「プリペアードステートメント（パラメータ化クエリ）の使用」と「ORMの活用」です。SELECT * FROM users WHERE id = ?のようにパラメータを分離することでSQLインジェクションを防げます。生のSQLに外部入力を直接結合するコードは絶対に書いてはいけません。
SQLインジェクションの被害例：2023年には国内主要ECサイトでSQLインジェクションによる顧客情報50万件の流出事例がありました。ORMを使っていても、RAWクエリやLIKE句の処理で脆弱性が生じるケースがあるため、安心しきらず定期的なコードレビューが必要です。
- プリペアードステートメント：PrismaやSequelizeなどのORMを使えば自動的に対策されるが、RAWクエリには要注意
- 入力バリデーション：Zodなどのスキーマバリデーションライブラリでサーバー側の入力検証を必ず実施
- 最小権限の原則：DBユーザーに必要最小限の権限のみ付与、SELECT専用ユーザーなどで権限分離
XSS（クロスサイトスクリプティング）の対策
XSSは攻撃者が悪意あるJavaScriptをWebページに埋め込み、ユーザーのブラウザで実行させる攻撃です。Reactなどのモダンフレームワークはデフォルトでエスケープ処理を行いますが、dangerouslySetInnerHTMLや直接DOM操作では脆弱性が生じます。Content Security Policy（CSP）ヘッダーの設定、入力値のサニタイズ、Cookieへのhttponly属性付与が有効な対策です。
認証・認可のセキュリティ
認証の主なリスクは「弱いパスワード」「セッション固定攻撃」「不適切なJWT実装」です。対策として「bcryptによるパスワードハッシュ化（平文保存は厳禁）」「セッションIDのログイン後再生成」「JWTのexpiry設定と署名検証」「多要素認証（MFA）の導入」が基本です。OAuth 2.0/OpenID Connectを使った外部認証（Google・GitHub）はセキュアな実装の近道です。
JWT実装の落とし穴：JWTで「none」アルゴリズムを許可すると署名検証をバイパスされます。また、JWTのsecretキーを環境変数に入れずコードにハードコードするのも危険なアンチパターンです。NextAuth.jsやAuth0などの認証ライブラリ・サービスを使うと、これらの問題を回避しながらセキュアな認証を実装できます。
- パスワードハッシュ：bcrypt（cost factor 12以上推奨）またはArgon2idを使用、MD5/SHA1は使用禁止
- JWT安全実装：expiry（最大1時間推奨）・署名アルゴリズム（RS256推奨）・秘密鍵の安全な管理が必須
- MFA対応：TOTP（Google Authenticator等）またはWebAuthnによる多要素認証でアカウント乗っ取りを防止
依存パッケージの脆弱性管理
npm install後のnode_modulesには既知の脆弱性を含むパッケージが含まれることがあります。npm audit、Snyk、Dependabotを使って定期的に脆弱性スキャンを行いましょう。package.jsonのバージョンは固定せず定期的にアップデートし、GitHub ActionsにSnykのCIチェックを組み込むとプルリクエスト段階で脆弱性を検知できます。
供給チェーン攻撃への対策：2021年のLog4Shell（CVE-2021-44228）のように、広く使われるライブラリに重大な脆弱性が発見されるケースがあります。GitHub Dependabotのセキュリティアラートを有効化し、CVSSスコア7.0以上の脆弱性は即座に対応するルールをチームで設けることが重要です。
- npm audit：週1回以上実施し、high/critical脆弱性は即日対応するワークフローを構築
- Dependabot自動PR：GitHubのDependabotを有効化するとパッケージ更新PRが自動作成される
- Snyk CIインテグレーション：PRマージ時にSnykスキャンを通過しないとマージブロックする設定で安全性を担保
セキュリティエンジニアへのキャリアパス
セキュリティエンジニアは2025年の最も需要が高いITエンジニア職種の一つで、年収600〜1,000万円の求人が豊富です。資格としては「情報処理安全確保支援士（SC）」「CompTIA Security+」「CEH（Certified Ethical Hacker）」「CISSP（上位）」が評価されます。ペネトレーションテストの経験や、CTF（Capture The Flag）競技への参加も実力証明として有効です。