セキュリティ点検とアップデートの仕組みを知る

SetFN SpaceBuilderは、お客様が自分でインストールして社内の文書管理とWebサイト運営（CMS）に使用するサーバー製品です。1台のサーバーに複数のユーザーのファイルとアカウントが集まるため、SetFNはアップデートを公開する前にセキュリティ点検を行い、その結果を日付とともにこのセクションに記録します。

このドキュメントでは、SetFNが行う点検の種類、参照するセキュリティ基準、点検記録を確認する方法を案内します。

リリース前点検

アップデートを配布する前に、次の点検を行います。

点検	内容
自動テスト	サーバー機能のテストと、実際のブラウザーでログイン・アップロード・共有・権限のシナリオを確認する画面テストを実行します。
隔離したテストサーバーでの検証	運用データと分離したテストサーバーを別に起動してアカウントを作成し、実際のリクエストで権限・共有・認証の境界と過負荷の状況を確認します。
依存ライブラリの脆弱性検査	サーバーが使うGoライブラリはGo公式の脆弱性データベースで、Web画面のライブラリはnpmのセキュリティアドバイザリで検査します。実際に呼び出される脆弱性は修正版に更新します。
AI支援によるコードレビュー	Anthropic ClaudeとOpenAI Codexで、変更したコードと既存のコードをレビューします。AIが見つけた問題は、コードと実行結果で再確認したものだけを修正します。一方のAIが修正した内容は、リリース前にもう一方のAI（Codex）が読み取り専用で相互レビューします。
外部セキュリティ通知との照合	KISA（韓国インターネット振興院）のセキュリティ通知と各コンポーネントのセキュリティアドバイザリを確認し、SetFNに該当するかを判断します。

定期点検とドキュメントの更新

リリース前点検とは別に、AI（Claude、Codex）とともにコード全体を定期的に再点検します。新しい攻撃手法やセキュリティ通知が公開されたときは、SetFNに該当するかを確認します。

点検を行うたびに、次のドキュメントを更新します。

セキュリティ点検記録：点検日、範囲、見つかった問題と対応状況を新しい順に記録します。
主要な脆弱性の点検状況：2025年以降に公開された主要な脆弱性（CVE）とKISAのセキュリティ通知がSetFNに該当するか、点検と対応を終えたかを表に整理します。

Docsのトップページにある最新のセキュリティ点検には、最新の点検日と概要が表示されます。

参照するセキュリティ基準

点検項目は、次の基準を参照して決めます。

基準	発行機関	参照する内容
OWASP Top 10:2025	OWASP	Webアプリケーションの主要なリスク10項目（アクセス制御、設定ミス、サプライチェーン、例外処理など）
OWASP ASVS 5.0	OWASP	認証、セッション、権限、ファイル処理、設定、ログとエラー処理の検証要件
CWE Top 25 (2025)	MITRE・CISA	実際の脆弱性で頻出した弱点の種類（制限のないリソース割り当てを含む）
NIST SP 800-63B-4	米国国立標準技術研究所	パスワードと認証手段の管理基準
主要情報通信基盤施設技術的脆弱性分析・評価方法詳細ガイド	韓国インターネット振興院（KISA）	Web脆弱性の点検項目

セキュリティ上の問題を報告する

SetFNでセキュリティ上の問題と思われる動作を見つけた場合は、お問い合わせからお知らせください。再現方法と使用中のSetFNのバージョンをあわせて記載していただくと、確認が早く進みます。確認が終わるまでは、公開の場に再現方法を投稿しないようお願いします。

注意事項