アプリ開発のセキュリティとは？外注時に確認すべきことを解説
結論から言うと、アプリのセキュリティは「開発会社に任せておけば大丈夫」ではなく、発注する側も基礎を押さえておくべき領域です。IPA（情報処理推進機構）が2026年1月に発表した「情報セキュリティ10大脅威 2026」では、「サプライチェーンや委託先を狙った攻撃」が組織編の2位（8年連続の選出）に入っています。つまり、外注先を経由した攻撃は今や定番の手口であり、開発会社の選び方と依頼の仕方そのものがセキュリティ対策になります。本記事では、非エンジニアのアプリ開発担当者に向けて、リリース後に起きやすいセキュリティの課題と、外注時に確認すべきことを解説します。
本記事では、アプリ開発会社「株式会社ペンタゴン」で代表を務める筆者が、「アプリ開発のセキュリティ」について詳しく解説します。当社はセキュリティ面にも十分留意した形でアプリ開発を行っています。アプリの開発を検討中の方は、ぜひ株式会社ペンタゴンまでご相談ください。
アプリ開発における「セキュリティ」とは？
アプリ開発におけるセキュリティとは、アプリが扱う情報と機能を「漏らさない・改ざんさせない・止めない」ように守ることです。具体的には、次の3つを守ることを指します。
- ユーザーの情報を漏らさない：氏名・メールアドレス・決済情報などの個人情報を外部に流出させない
- 不正利用させない：なりすましログインや、データの改ざん・不正な操作をさせない
- サービスを止めない：攻撃や障害でアプリが使えなくなる事態を防ぐ
「技術的なことは開発会社の仕事では？」と思われるかもしれません。実装するのは確かに開発会社です。しかし、セキュリティ事故が起きたとき、ユーザーへの説明・謝罪・行政への報告義務を負うのは、アプリを提供している発注側の企業です。個人情報が漏えいすれば、個人情報保護法にもとづく報告・本人通知が必要になり、ブランドへのダメージや補償の負担も発注側に降りかかります。
さらに、「委託先を狙った攻撃」がIPAの脅威ランキングの上位常連となっている以上、どの開発会社に、どのような依頼の仕方をするかは、発注担当者にしかできないセキュリティ対策です。だからこそ、非エンジニアの担当者もセキュリティの基礎を把握しておく必要があります。
アプリのリリース後に発生しやすいセキュリティの課題とは？
セキュリティの事故は、リリースの瞬間よりも「リリース後の運用中」に起きます。IPAの10大脅威2026でも「システムの脆弱性を悪用した攻撃」が組織編4位（6年連続の選出）に入っており、脆弱性（セキュリティ上の弱点）を放置したまま運用を続けることが、事故の典型的な入口です（出典：IPA「情報セキュリティ10大脅威 2026」）。なお、モバイルアプリの脆弱性には「OWASP Mobile Top 10（英語）」という国際的な分類もあり、以下で紹介する課題はその代表例にあたります。ここでは、非エンジニアの方にも知っておいてほしい代表的な課題を4つ紹介します。
課題① 外部ライブラリの脆弱性（部品の欠陥）
アプリは、開発会社がゼロから全部を書いているわけではなく、世界中で公開されている「ライブラリ」という既製の部品を多数組み合わせて作られています。この部品に後から欠陥（脆弱性）が見つかることが日常的にあり、部品の欠陥が見つかったのに交換（アップデート）しないまま使い続けると、そこが攻撃の入口になります。車のリコールに例えると、「リコール通知が来ているのに部品交換に出さずに乗り続けている」状態です。
課題② データベース・APIの脆弱性（裏口からの侵入）
ユーザーが目にするアプリ画面の裏側には、データを保管するデータベースと、アプリとサーバーの間で情報をやり取りするAPIという仕組みがあります。攻撃者が狙うのは、表玄関のアプリ画面ではなく、こちらの「裏口」です。APIの認証が甘い、データベースへの問い合わせに細工ができる（SQLインジェクション）といった不備があると、アプリを普通に使っているだけでは見えない経路から情報が抜き取られます。ユーザー情報の大量漏えい事故の多くは、この裏口経由で起きています。
課題③ 認証まわりの不備（なりすまし）
他のサービスから流出したIDとパスワードのリストを使って、機械的にログインを試す攻撃（パスワードリスト攻撃）は、どんなアプリでも受ける可能性があります。ログイン試行の回数制限がない、二要素認証が用意されていない、パスワードを安全でない形で保存している、といった不備があると、ユーザーのなりすまし被害につながります。ECや決済機能を持つアプリでは、金銭被害に直結する課題です。
課題④ OSやルールの変化への未追従（放置による劣化）
リリース時点では安全だったアプリも、iOS・Androidのアップデート、通信の暗号化基準の変化、ストアの規約変更などで、時間とともに「安全ではない状態」になっていきます。セキュリティは一度作って終わりではなく、家の耐震基準と同じで、基準の方が年々更新されていくものです。リリース後にメンテナンスの契約がなく、誰もアプリの面倒を見ていない状態が、最も危険です。
株式会社ペンタゴンでは、要求をカタチにするのは当たり前。さらに「もっとこうすれば良くなる」という鋭いデザインや機能の提案を次々に出します。新しいサービスを検討中なら、一度ご相談ください！
アプリのセキュリティを向上するために開発時に確認すべきこととは？
開発の実務は外注先が担うため、発注側ができる最大のセキュリティ対策は「外注先の選定」と「依頼の仕方」です。次の4点を押さえてください。
①要件定義でセキュリティ要件を明文化する
「どんな情報を扱い、どのレベルで守るか」を要件定義の段階で文書にしましょう。個人情報や決済情報を扱うのか、二要素認証は必要か、ログイン試行の制限はどうするか。機能一覧だけの要件定義では、セキュリティは「言われていないのでやっていない」になりがちです。明文化することで、見積もりの比較も適正にできます。
②外注先にセキュリティへの取り組みを質問する
候補の開発会社には、次のような質問をしてみてください。
- 脆弱性診断（アプリやサーバーの弱点チェック）は実施していますか？外部の診断サービスを使う場合の費用感は？
- 使用する外部ライブラリの脆弱性情報は、どうやって把握・更新していますか？
- 個人情報や決済情報は、どのように暗号化・保管しますか？
- 過去にセキュリティ起因のトラブルはありましたか？そのときどう対応しましたか？
参考までに、専門会社による脆弱性診断の費用は、ツールによる簡易診断で無料〜30万円程度、専門家による手動診断で数十万円〜300万円程度が相場とされています。アプリの規模・対象OSの数・APIの数によって変動します（出典：セキュアイノベーション社の解説記事）。
質問に具体的に答えられるかどうか自体が、その会社のセキュリティ意識を測るリトマス試験紙になります。金額の安さだけで選んだ結果、セキュリティの手当てがごっそり抜けていた、という失敗は少なくありません。IPA「情報セキュリティ10大脅威 2026」で「サプライチェーンや委託先を狙った攻撃」が組織編2位（8年連続選出）に入っているとおり、委託先はいまや攻撃者の主要な標的です。
セキュリティ面も含めた開発会社選びは、以下の記事で実績のある会社を比較しています。
③リリース後のセキュリティ更新を運用保守契約に含める
ライブラリの脆弱性やOS・ルールの変化への未追従など、セキュリティの課題の多くはリリース後の運用中に生まれます。OSアップデートへの追従、ライブラリの更新、脆弱性が公表されたときの対応を、運用保守契約の範囲に含めておくことが重要です。「保守は障害対応だけ」の契約だと、セキュリティ更新が誰の仕事でもなくなります。運用保守で何をどこまで行うか、費用感は以下の記事で詳しく解説しています。
④既存アプリを引き継ぐときはセキュリティ診断から始める
すでに運用中のアプリを別の会社に引き継ぐ（保守移管する）場合は、引き継ぎの前に現状の技術的リスクを洗い出すことが大切です。当社でも、他社で開発されたアプリの保守移管やリニューアルをお受けする際は、コードレビューやセキュリティ診断で「どこにどんなリスクが眠っているか」を確認してから引き継いでいます。古いアプリほど、放置された脆弱性が積もっている可能性が高いためです。保守移管の進め方は以下の記事をご覧ください。
まとめ：セキュリティは「外注先選び」から始まる。株式会社ペンタゴンにご相談ください
今回はアプリ開発のセキュリティをテーマに解説しました。委託先を狙った攻撃が8年連続でIPAの10大脅威に選ばれている今、セキュリティ対策は要件定義と外注先選定の段階から始まっています。リリース後の脆弱性対応まで含めて、誰が・いつ・何を守るのかを契約で明確にしておきましょう。
株式会社ペンタゴンは、要件定義でのセキュリティ要件の明文化から、第三者視点でのテスト、リリース後の運用保守でのアップデート対応まで、一貫した体制でアプリ開発を行っています。「何を確認すればいいか分からない」という段階のご相談も歓迎です。
「株式会社ペンタゴン」の開発実績については、こちらをご覧ください。
下記よりお問い合わせできますので、お気軽にご相談ください！
