新人エンジニアが今日からできるセキュリティ対策と損害賠償リスク

この記事の要点

情報漏洩・セキュリティ事故はエンジニア個人が民事・刑事責任を問われるケースがある
Git へのシークレット混入、脆弱なパスワード管理、依存パッケージの放置が新人の典型的ミス
ツールと習慣の組み合わせで、コストゼロのまま大半のリスクを潰せる

現場に配属されて数ヶ月、「セキュリティは後回し」になっていませんか。私自身、入社直後に .env ファイルを Git にコミットしかけて冷や汗をかいた経験があります。あの瞬間、「これが漏洩したら自分はどうなるんだろう」と初めて真剣に考えました。

この記事では 新人エンジニアのセキュリティ対策として、今日から実践できる具体的な手順と、万が一インシデントが起きたときの法的リスクを整理します。

Contents

セキュリティ事故が起きたとき、エンジニアは法的にどうなるのか
新人が今日からできる7つのセキュリティ対策
対策の優先度チェックリスト
インシデントが起きたときの初動
よくある質問

セキュリティ事故が起きたとき、エンジニアは法的にどうなるのか

まずリスクの輪郭を理解しておきましょう。

民事責任：不法行為と債務不履行

日本の民法 709 条（不法行為責任）および 415 条（債務不履行責任）により、過失でユーザーや取引先に損害を与えた場合、会社だけでなくエンジニア個人も損害賠償を請求される可能性があります。

通常は会社が使用者責任（民法 715 条）を負いますが、会社は社員に求償権（かぶった損害を社員に請求する権利）を行使できます。裁判例では「故意または重過失」があった社員への求償が認められたケースが存在します。

刑事責任：不正アクセス禁止法・個人情報保護法

意図的な不正行為なら不正アクセス禁止法違反（最大 3 年以下の懲役または 100 万円以下の罰金）、個人データの漏洩は個人情報の保護に関する法律（PIPA）の違反として個人も罰則の対象になります。

個人情報保護委員会による法令の説明: https://www.ppc.go.jp/personalinfo/legal/

「自分は新人だから」は免責にならない

「指示に従っただけ」「知らなかった」は基本的に過失を否定しません。むしろ「業務上当然確認すべきことを確認しなかった」として過失が認定されるリスクがあります。

新人が今日からできる7つのセキュリティ対策

1. Git にシークレットをコミットしない

最もやらかしやすいのがこれです。

事前防止：git-secrets / gitleaks を導入する

# macOS の場合（Homebrew）
brew install gitleaks

# pre-commit フックとして設定
gitleaks protect --staged -v

gitleaks はコミット前にファイルを静的解析し、API キー・パスワードのパターンを検出して止めてくれます（gitleaks 公式）。

.gitignore に必ず追加するファイル

.env
.env.*
*.pem
*.key
secrets/

もし誤ってプッシュしてしまったら

該当のシークレット（トークン、パスワード等）を即座にローテーション（無効化＋再発行）
git filter-repo でコミット履歴から削除
チームに連絡し、インシデント対応フローへ

履歴から消しても GitHub のキャッシュに残る場合があるため、シークレットのローテーションが最優先です。

2. パスワードマネージャーを必ず使う

「全部同じパスワード」「付箋にメモ」は論外として、Slack のメッセージやメモアプリにパスワードを貼るのも危険です。

推奨ツール:

1Password または Bitwarden（個人利用なら Bitwarden の無料プランで十分）

ランダム生成したパスワードを使えば、1つが漏洩しても他サービスへの被害が広がりません。

3. 全アカウントに二要素認証（2FA）を設定する

GitHub・AWS・Google アカウントなど業務で使うすべてのサービスに 2FA を設定します。

SMS 認証よりTOTP アプリ（Google Authenticator、Authy 等）のほうが SIM スワップ攻撃に強いです。

GitHub → Settings → Password and authentication → Enable two-factor authentication

GitHub はすでに多くのアカウントで 2FA を必須化しています（GitHub blog）。

4. 依存パッケージを定期的にアップデートする

古いライブラリには既知の脆弱性（CVE）が含まれています。放置すれば攻撃の踏み台になります。

# Node.js プロジェクトの場合
npm audit
npm audit fix

# Python の場合
pip install pip-audit
pip-audit

IPA（情報処理推進機構）は毎月「重要なセキュリティ情報」を公開しています。購読するだけでも対策になります（IPA セキュリティセンター）。

CI/CD パイプラインに npm audit --audit-level=high を組み込んでおくと、高危険度の脆弱性があればビルドを失敗させられます。

5. 入力値を必ず検証する（SQLインジェクション・XSS）

OWASP（Open Web Application Security Project）が毎年公表する「OWASP Top 10」の常連は、インジェクション系の脆弱性です（OWASP Top 10）。

SQLインジェクションの悪い例と良い例（Node.js + MySQL）

// 悪い例：文字列を直接結合している
const query = `SELECT * FROM users WHERE id = ${req.params.id}`;

// 良い例：プレースホルダーを使う
const query = `SELECT * FROM users WHERE id = ?`;
db.execute(query, [req.params.id]);

XSS の悪い例と良い例（React）

// 悪い例：生の HTML を埋め込む
<div dangerouslySetInnerHTML={{ __html: userInput }} />

// 良い例：テキストとして扱う
<div>{userInput}</div>

フレームワークのエスケープ機能を信頼し、それを意図的に無効化するコードを書かないことが基本です。

6. ログに個人情報・シークレットを出力しない

デバッグのつもりでパスワードやトークンをログに流すと、ログ基盤（Datadog、CloudWatch 等）にそのまま保存されます。

# 悪い例
logger.info(f"ユーザーログイン: email={email}, password={password}")

# 良い例
logger.info(f"ユーザーログイン成功: user_id={user_id}")

個人情報保護法の観点でも、ログへの個人データ混入は「漏洩」につながる経路になりえます。

7. アクセス権限は最小限にする（最小権限の原則）

開発用の IAM ユーザーに AdministratorAccess を付けない、ステージング DB に本番と同じ接続情報を使い回さない、といった習慣が重要です。

AWS の場合、まず IAM Access Analyzer でポリシーの過剰な権限を検出できます（AWS IAM Access Analyzer）。

対策の優先度チェックリスト

優先度	対策	コスト	効果
高	git-secrets / gitleaks 導入	無料	シークレット漏洩防止
高	全アカウントに 2FA 設定	無料	不正アクセス防止
高	パスワードマネージャー導入	無料〜月数百円	認証情報の管理
中	`npm audit` を CI に組み込む	無料	脆弱性の自動検出
中	入力値の検証（SQL・XSS）	無料	コード品質向上
中	ログへの個人情報混入チェック	無料	PIPA 対応
低	最小権限の原則を IAM に適用	無料	被害範囲の限定

インシデントが起きたときの初動

いくら対策しても 100% は防げません。起きたときの初動が被害とその後の責任範囲を左右します。

隠さない・後回しにしない：発覚した瞬間に上長・セキュリティ担当に報告
証拠を保全する：ログや影響範囲をスクリーンショット・テキストで記録
シークレットをローテーション：漏洩した認証情報は即時無効化
影響範囲を特定する：何のデータが、誰に、どの経路で漏洩したかを整理

隠蔽は「故意」の証拠になりかねず、後の法的リスクを大幅に高めます。

よくある質問

Q. 誤って Git にシークレットをプッシュしたら必ず報告しないといけないですか？

A. はい、報告してください。「プライベートリポジトリだから大丈夫」は成立しません。プライベートリポジトリへのアクセス権を持つ人間（チームメンバー・サードパーティ CI サービス等）全員が潜在的に情報にアクセスできます。また、問題が後から発覚したときに「知っていたのに黙っていた」という事実は、過失ではなく故意の証拠とみなされるリスクがあります。

Q. 新人エンジニアが個人として損害賠償を請求されることは実際にありますか？

A. 頻度は多くありませんが、ゼロではありません。特に「重過失」（著しく注意を怠った場合）や故意が認定されると、会社から求償権を行使されることがあります。実際の裁判例では業務上の重過失があった従業員への求償を認めたケースがあります。新人だからといって過失が免除されるわけではないため、基本的な対策を習慣にしておくことが自分を守ることにもなります。

Q. セキュリティ対策を全部やろうとすると開発が遅くなりませんか？

A. 最初の設定コストはかかりますが、継続コストはほぼゼロです。gitleaks の pre-commit フックは設定に 5 分かかりますが、その後は自動でチェックしてくれます。パスワードマネージャーもいったん使い始めると、逆にパスワードを考える手間が減って生産性が上がります。「セキュリティ対策 = 遅くなる」という感覚は、最初の一手間だけです。