セキュリティ監査 · Next.js / Supabase
認可・RLS・テナント分離の「縦のリスク」、設計と実装で塞ぎます
OSS の Aegis が「検出」するところまで。その先の、認可・RLS・テナント分離の「設計と実装で塞ぐ」を、専門家が監査として承ります。
「完全に安全」とは言いません。 既知の重大リスクを体系的に潰し、再発を防ぐ仕組み（テスト・CIゲート）を残します。残るリスクは正直に明示します。
料金プラン
表示額は税別の「から」の目安です。対象アプリの規模・要件に応じて、まず無料相談でお見積もりします。
公開前ライト診断
¥29,800〜
税別
AI（Claude Code / Cursor / Lovable など）で作ったアプリに、公開してはいけない致命的な穴が無いかだけを判定します。コードが読めなくても大丈夫です。
- 致命的な穴（RLS 未設定・秘密情報の露出・所有者チェック欠落・決済の二重処理）の有無判定
- 非エンジニア向けレポート（専門用語には言い換えを添えた A4 数枚）
- そのまま Claude Code / Cursor に貼れる、優先度つきの修正指示
- 30分の説明通話（何が危なくて、何が大丈夫かを口頭で）
- 期間
- 約3営業日
- 向き
- まだ公開していない／ユーザーが数人。まず「出して大丈夫か」だけ知りたい
スポット診断
¥98,000〜
税別
今どれだけ穴があるかを正確に可視化する。自動スキャンと手動レビューで、優先度つきの所見レポートを提出します（修正実装は含みません）。
- Aegis scan（SAST: taint/データフロー）＋ Supabase RLS 検証 ＋ DAST 相関の実行
- 認可/IDOR・RLS・テナント分離の手動レビュー（自動では見えない縦のリスク）
- 重大度・再現性つきの所見レポート（source→sink トレース／該当 SQL 付き）
- 修正の方針と優先順位の提示（その場で着手できる形に）
- 期間
- 約1週間
- 向き
- リリース前に「今の脆弱性の全体像」を正確に把握したい
おすすめ
標準監査
¥280,000〜
税別
設計まで踏み込む本格監査。認可モデル・RLS ポリシー・service_role 経路・テナント境界をレビューし、具体的な修正設計プランまで提供します。
- スポット診断の全項目
- 認可モデル・RLS ポリシー・service_role 経路・テナント境界の設計レビュー
- IDOR/BOLA・テナント越境・業務ロジック悪用の手動検証
- 脅威モデルと、実装に落とせる修正設計プラン
- オンライン報告会（質疑・優先順位のすり合わせ）
- 期間
- 約2〜3週間
- 向き
- B2B・マルチテナント SaaS を安全に出荷／運用したい
伴走・修正実装
¥680,000〜
規模により要見積もり
検出で終わらせず、見つかった「縦のリスク」を設計から実装・テストまで一緒に塞ぐ。一人 × 生成AI（Claude Code）で速く・安全に。
- 標準監査の全項目
- 修正の実装（RLS 再設計・所有権チェック・テナント分離・入力境界）
- 回帰を防ぐテストと CI ゲート（Aegis CI・SARIF を GitHub に常設）
- 再監査で修正が効いていることを確認（「直した」を証明する）
- 期間
- 規模に応じて（数週間〜）
- 向き
- 検出だけでなく「実際に直って、再発しない状態」まで到達したい
OSS は「検出」、監査は「修正」
無料の Aegis でどこまで分かり、監査で何を塞ぐのか。役割を正直に切り分けます。
認可 / IDOR・BOLA
OSS（無料）が検出
所有権スコープのない汚染入力を静的解析で検出・警告する
監査が塞ぐ
認可モデルを設計し直し、所有権チェックを実装して実際に塞ぐ
Supabase RLS
OSS（無料）が検出
未設定・WITH CHECK 欠落・USING(true)・service_role 経路を migrations から検出する
監査が塞ぐ
正しい RLS ポリシーを設計・実装し、越境しないことを検証する
テナント分離
OSS（無料）が検出
弱い RLS のテーブルへの非管理アクセスを「確定した露出」として相関する
監査が塞ぐ
テナント境界を再設計し、分離が壊れていないことを証明する
業務ロジックの欠陥
OSS（無料）が検出
対象外（数量・価格・状態遷移の悪用はライブラリには判定できない）
監査が塞ぐ
ドメインを理解した人手のレビューで、悪用経路を洗い出す
水平統制（ヘッダー/CSP・レート制限・CSRF・型付き env）
OSS（無料）が検出
ミドルウェア1枚で自動導入し、CI で逸脱を検出する
監査が塞ぐ
導入状況を検証し、抜け・誤設定を塞ぐ（自動化の裏取り）
まず無料の OSS で現状を可視化してから相談いただくのが、最も費用対効果の高い進め方です。
コンプライアンス
SOC 2・ISO 27001・顧客の問診票に、そのまま出せる証跡
セキュリティ支出が実際に動く瞬間は、たいてい「来月のエンプラ商談」「調達デューデリ」「初めての SOC 2」です。監査の所見を、統制IDへのマッピングと問診票の回答ドラフトに落とし込み、監査人と顧客にそのまま渡せる形でお出しします。
統制マッピング付きレポート
アプリ層の技術統制を SOC 2（CC6 系）/ ISO 27001（Annex A.8 系）へマッピング。「充足／ギャップ／未評価」を証跡付きで提示します。
セキュリティ問診票の回答ドラフト
入力検証・レート制限・認可/RLS・秘密情報の扱いなど、頻出項目に実装状況を根拠として下書き回答。商談の返信を数日短縮します。
監査人・顧客に渡せる成果物
所見＋是正＋再発防止（テスト・CI ゲート）を PDF / Markdown で。「直した」ではなく「直り続ける」証跡を残します。
GRC を置き換えず、補完する
Vanta / Drata 等が扱う人的・組織統制は据え置き、アプリ層の技術的裏取りを埋めます。二重投資にはなりません。
念のため正直に：これは認証そのものではなく、アプリ層の技術統制の証跡です。監査法人による認証や GRC プラットフォームを置き換えるものではなく、補完します。
FAQ
よくある質問
SOC 2 や顧客のセキュリティ問診票のために使えますか？
はい、ただし正直に。監査は SOC 2（CC6 系）/ ISO 27001（Annex A.8 系）の「アプリ層の技術統制」について、監査人や問診票にそのまま出せる証跡（統制マッピング＋是正記録）を提供します。ただしこれは認証そのものではなく、Vanta / Drata 等の GRC や人的・組織統制を置き換えるものではありません（補完します）。認証取得の直前に、アプリ側の裏取りを固める用途に最適です。
OSS の Aegis は無料なのに、なぜ監査が必要なのですか？
Aegis（OSS）は、ライブラリが正しく所有できる「水平の統制」（ヘッダー/CSP・レート制限・CSRF・型付き env・入力検証）を自動化し、ライブラリには直せない「縦のリスク」（認可/IDOR・Supabase RLS の設計・テナント分離・業務ロジック）は検出・警告までを担います。その縦のリスクを実際に塞ぐのは設計判断と実装であり、そこが監査の役割です。検出（無料OSS）と修正（監査）は別の仕事です。
監査では具体的に何を見ますか？
認可モデルと IDOR/BOLA、Supabase の RLS ポリシー（未設定・WITH CHECK 欠落・USING(true)・anon 過剰付与・search_path 未固定の SECURITY DEFINER）、service_role キーの経路と所有権チェック、マルチテナントの越境、入力境界（SQLi・SSRF・XSS・オープンリダイレクト等）、そして数量・価格・状態遷移といった業務ロジックの悪用です。Aegis の静的解析・RLS 検証・動的確認を土台に、人手のレビューで実害を確定します。
費用はどれくらいですか？
公開前ライト診断が¥29,800〜、スポット診断が¥98,000〜、標準監査が¥280,000〜、伴走・修正実装が¥680,000〜（いずれも税別・規模により変動）です。表示額は「から」の目安で、対象アプリの規模・テーブル数・要件に応じて、まず無料相談でお見積もりします。
Next.js / Supabase 以外のスタックでも対応できますか？
認可・入力検証・多層防御という考え方自体は汎用で、多くのスタックに適用できます。ただし最も深く・速く・安全に踏み込めるのは Next.js（App Router）× Supabase です。それ以外の構成は、まず無料相談で対象範囲をすり合わせさせてください。
本番データや守秘の扱いは安全ですか？
NDA に対応します。動的確認（DAST）は、ご自身が所有するステージング/本番に対して、localhost 既定・スコープ固定・リクエスト予算つきの非破壊なプローブのみを行い、破壊的操作は実施しません。秘密情報は受け取らない設計を基本とし、必要な権限は最小限に限定します。
監査を受ければ「完全に安全」になりますか？
いいえ。そう約束するものは信用しないでください。監査は、既知の重大リスクを体系的に潰し、回帰を防ぐ仕組み（テスト・CI ゲート）を残します。しかしセキュリティは一度きりの作業ではなく継続的な営みであり、「完全」「絶対」はありません。誠実に、塞げるところを確実に塞ぎ、残るリスクは明示します。