セキュリティの診断から修正・運用まで。

新しいクラウドから、長く使っている PHP のシステムまで、点検・修正・作り直しをご相談いただけます。下は、開発・運用の実績がある技術の例です。対象と進め方は、状況を伺ってご案内します。

クラウド・サーバー

• AWS
• Google Cloud
• Firebase
• Vercel
• Supabase
• Cloudflare
• Linux サーバー
• レンタルサーバー・VPS
• Terraform

言語・フレームワーク

• PHP
• Laravel
• WordPress
• Next.js
• React
• React Native
• TypeScript
• Node.js
• MySQL
• PostgreSQL
• Prisma

業務ツール・開発の仕組み

• GitHub
• GitHub Actions
• Google Workspace
• Google Apps Script
• Stripe
• Salesforce
• kintone

if はシステムの受託開発と保守を行っている会社です。ご依頼に応じて、同じチームが修正・テスト・本番反映まで進め、変更の記録を残します。

1. 01検出
2. →02優先順位
3. →03修正（PR）
4. →04テスト
5. →05本番反映
6. →06記録

• 点検から修正、作り直しまで同じチームに

  設定を確認し、見つかった問題の修正もお受けします。古いシステムを直すより作り直したほうがよい場合は、受託開発として作り直しもご提案します。他社の診断報告書をもとに、修正だけを頼むこともできます。

• 古いシステムも、他社のシステムも引き継げる

  受託開発と保守の会社なので、長く使っている PHP のシステムや、他社が作ったシステムも、コードと設定を確かめたうえで修正をお受けします。

• ISMS の手順で作業する

  ISMS（ISO/IEC 27001）の手順で作業します。最小権限での作業、報告書のマスキング、終了時の権限回収とデータ削除まで行います。

ISMS（ISO/IEC 27001）認証取得登録番号 IS 433／適用範囲：株式会社if における事業活動全般。お預かりする設定情報やログは、ISMS の手順に沿って保管・削除します。

読み取り専用・期限つきの権限

診断は原則、お客様に発行していただいた期限つきの読み取り専用の権限で行います。長く使えるアクセスキーや管理者の権限はお預かりしません。

本番の変更は承認してから

設定を変えるときは、影響の確認・切り戻し手順・ご承認をそろえてから作業し、変更前後の記録を残します。

データは最小限、終わったら削除

集める情報は必要な範囲に限り、報告書では秘密情報を伏せます。作業後は、お客様に権限を削除していただき、こちらで預かったデータの削除をご報告します。

点検・改善の対象

AWS

• IAM・MFA・権限の棚卸し
• CloudTrail・GuardDuty・Security Hub
• 公開設定・ネットワーク
• バックアップと復旧の確認

Google Cloud・Firebase

• IAM・権限の棚卸し
• 監査ログ
• 公開設定
• Firebase のセキュリティルール

Linux サーバー（VPS・自社サーバー）

• OS・ミドルウェアのサポート期限
• SSH・ログインの設定
• 外に公開している範囲
• バックアップと復旧の確認

PHP・WordPress・Laravel

• PHP・フレームワーク・プラグインのバージョン
• 管理画面のログイン保護
• 設定ファイルやバックアップが外から見えないか
• エラー表示の設定

Vercel・Supabase

• メンバーと権限
• 環境変数の扱い
• Supabase の RLS（行単位のアクセス制御）
• プレビュー環境の公開範囲

Cloudflare

• WAF
• DNS・証明書
• アクセス制御

GitHub

• メンバーと権限
• ブランチ保護
• Secrets の管理
• Dependabot・依存ライブラリの更新

1環境は、AWS 1アカウント・Google Cloud 1プロジェクト・サーバー1台・Web サイト1つ・Vercel 1チーム・Supabase 1プロジェクト・Cloudflare 1ゾーンのいずれかです。同じサーバー上の WordPress のように、1つのシステムを作っているものはまとめて1環境と数えます。数え方は、お見積りの前にご確認いただきます。

Azure・Microsoft 365・Google Workspace や、ほかの言語で作ったシステムも、無料相談で対象と進め方をご相談ください。

対象外：侵入テスト・Web アプリの本格診断（提携先をご紹介）／24時間の有人監視／事故調査（フォレンジック。提携先をご紹介）／システム全体の作り直し（受託開発として別途お見積り）

診断の前に、対象・期間・作業内容について実施同意書をいただきます。

以下は、システムの開発・運用の実績です。AWS 上でのサービスの構築・運用や、決済を含むアプリの開発を行っています。セキュリティの改善も、この開発チームが担当します。

• 一般社団法人 予防医療研究協会様

  AI 診断と課金つきの健康チェックアプリ。画像のアップロードによるカロリーの自動計算と、サブスクリプション課金を実装しました（約4か月・6名体制）。

  納品済み

• PSA ASIA様

  会員機能つきの公式サイトを自前の CMS で。スノーボード競技の統括団体の公式サイト。会員のマイページ、日英2言語、ランキングや日程の管理を、自前で実装した CMS で運用しています。

  納品済み

※ 掲載の許可をいただいた案件のみを載せています。他社が開発したシステムの保守の引き継ぎにも対応しています。

診断で本番環境に影響は出ませんか？

Check は原則として読み取り専用の権限で、設定を確認するだけです。システムに負荷をかける検査は行いません。Build で設定を変えるときは、影響の確認と切り戻し手順を用意し、ご承認をいただいてから作業します。

どのような権限を渡す必要がありますか？

原則、期限つきの読み取り専用の権限をお客様の側で発行していただきます。長く使えるアクセスキーや管理者の権限はお預かりしません。作業後は、お客様に権限を削除していただきます。

相談だけで終わってもいいですか？

はい。無料相談だけで終わっても費用はかかりません。ご依頼いただくかどうかは、相談のあとにご検討ください。

古いシステムや、他社が作ったシステムでも頼めますか？

頼めます。OS や PHP のバージョンが古いもの、作った会社と連絡がつかないものもご相談ください。直して使い続けるか作り直すかも、費用の目安と合わせてご提案します。

部署やアカウントが多い会社でも頼めますか？

頼めます。まず使っているサービスを洗い出し、優先度の高いところから点検する進め方をご提案します。範囲が広い場合は個別にお見積りします。

診断だけの依頼もできますか？

できます。Check だけのご契約も可能です。改善を他社や社内で進める場合も、改善 Issue 案と優先順位をそのままお使いいただけます。

診断で、すべての問題が見つかりますか？

すべての問題を見つけることはお約束できません。Check では、合意した範囲の設定や権限を確かめます。権限が足りず確認できなかった項目は、報告書に「確認できなかった項目」として書き、見落としたまま安全と判断されないようにします。

侵入テスト（ペネトレーションテスト）は含まれますか？

含まれません。Check は設定と運用の点検です。侵入テストや Web アプリの本格診断が必要な場合は、提携先の専門会社をご紹介し、その結果をもとにした改修を Build でお受けします。

他社の診断報告書をもとに、修正だけを依頼できますか？

できます。報告書の内容と対象環境を確認したうえで、Build として改善の範囲と費用をお見積りします。

WAF やセキュリティツールを入れていれば、点検は不要ですか？

ツールを入れていても、設定や権限が開発のたびに変わるため、意図どおりに動いているかの確認は必要です。Check では、入れているツールの設定と通知の扱いも点検します。

ここにないサービスや言語にも対応していますか？

標準のメニューは AWS・Google Cloud（Firebase を含む）・Linux サーバー・PHP（WordPress・Laravel）・Vercel・Supabase・Cloudflare・GitHub です。Azure・Microsoft 365・Google Workspace や、ほかの言語で作ったシステムも、無料相談で対象と進め方をご相談ください。

夜間・休日も対応してもらえますか？

Ops の対応時間は平日10:00〜18:00で、24時間の有人監視は行っていません。夜間・休日の体制が必要な場合は、ご相談のうえ別途検討します。

AWS などのクラウド利用料は料金に含まれますか？

含まれません。検知サービスの有効化などでクラウド利用料が増える場合は、事前に増え方の目安をお見積りに添えます。

AI にこちらの情報を渡しても大丈夫ですか？

AI で扱う情報の範囲は、ご契約時にご説明し、同意をいただいてから決めます。秘密情報や個人情報は、マスキングしてから扱います。