第5部 品質・障害・セキュリティ・第13章
仕様を決める段階で考えるべきセキュリティとプライバシーの論点を押さえる。AI 機能は次の章で扱う。
集めるデータは最小限に、目的を明示し、権限を絞る。仕様の段階で決めることが多い。
プライバシーバイデザインは、個人情報の守り方を後付けではなく、企画の段階から設計に入れる考え方です。PdM が仕様で決めることが多くあります。
面接ではこう答える
プライバシーバイデザインは、個人情報の守り方を後付けではなく、企画の段階から設計に入れる考え方です。目的に必要な項目だけを集める、使う目的を明示して必要なら同意を取る、保存期間と退会時の削除の方法を決める、社内で見られる人を絞る、といったことは、どれも仕様で決めることです。法律や規約の判断は法務と相談しながら、PdM として最初の仕様に入れるようにしています。
PdMとの関わり個人情報を扱う機能の仕様と、法務・セキュリティ担当との相談の入口です。
認証は「誰か」の確認、認可は「その人に権限があるか」の確認。誰が何を見られるかを表で仕様に入れる。
認証は「誰か」を確かめること、認可は「その人に見る・変える権限があるか」を確かめることです。よくある事故は、URL の ID を書き換えると他人の注文が見えてしまうものです。仕様に「誰が・何を・見られる／変えられるか」の表を入れ、テストの観点にしてもらいます。
| 注文履歴を | 見る | 変える |
|---|---|---|
| 本人 | 自分の分だけ | キャンセルだけ（発送前） |
| サポート担当 | 問い合わせのあった人の分 | 不可（記録を残して管理者に依頼） |
| 他のユーザー | 不可 | 不可 |
面接ではこう答える
認証はログインのように相手が誰かを確かめること、認可はその人にそのデータを見たり変えたりする権限があるかを確かめることです。よくある事故は、URL の ID を書き換えると他人の注文が見えてしまうもので、サーバー側で持ち主を確かめていないと起きます。PdM としては、本人・サポート担当・管理者などが何を見られて何を変えられるかを表にして仕様に入れ、テストの観点にしてもらっています。
PdMとの関わり管理画面やサポート用の機能、共有機能の仕様を決めるときに使います。
ログインの方式は、登録のしやすさと乗っ取られにくさのバランス。多要素認証やパスキーで守りを強くできる。
| 方式 | 良いところ | 注意 |
|---|---|---|
| メールとパスワード | どこでも使える | 使い回しのパスワードが漏れると乗っ取られる |
| 多要素認証（MFA） | パスワードが漏れても守れる | 手間が増える。大事な操作のときだけ求める形もある |
| ソーシャルログイン（Google・Apple など） | 登録が簡単 | 外部のアカウントに頼る。iOS アプリはストアのルールも確認 |
| パスキー | パスワードがなく、なりすましのサイトにも強い | 対応する端末・サービスの準備が要る |
| 法人向けの SSO | 会社のアカウントでまとめて管理できる | 大口の顧客から求められることが多い |
ログインの方式は、登録のしやすさと乗っ取られにくさのバランスです。お金や個人情報を扱うほど、守りを強くします。
面接ではこう答える
ログインの方式には、メールとパスワード、多要素認証、ソーシャルログイン、パスキー、法人向けの SSO などがあります。パスワードだけだと、ほかで漏れたパスワードの使い回しで乗っ取られることがあるので、多要素認証やパスキーで守りを強くします。PdM としては、登録のしやすさと乗っ取られにくさのバランスを、扱うお金や個人情報の重さで決め、大事な操作のときだけ追加の確認を求めるような設計も検討します。
PdMとの関わりログイン・登録の体験とセキュリティの取り合いを判断するときに使います。
| 問題 | 起きること | 仕様で決めること |
|---|---|---|
| 総当たり・不正なログイン | パスワードを何度も試される | 失敗の回数の上限、ロックと解除の方法、通知 |
| 他人のデータが見える | ID の書き換えで他人の情報が出る | 誰が何を見られるかの表 |
| 入力をそのまま表示・保存 | 悪意のあるスクリプトや命令が動く | 入力の文字数・種類の制限（実装の対策はエンジニア） |
| ファイルの公開設定のミス | 社外秘の資料や個人情報が誰でも見える | 共有リンクの有効期限・公開範囲の初期値 |
| ボットによる大量登録・投稿 | スパム・クーポンの不正取得 | 回数の上限、本人確認の段階 |
実装の対策はエンジニアの仕事ですが、上限・初期値・権限は仕様で決めることです。「初期値は非公開」のように安全な側を初期値にすると、事故が大きく減ります。
まず答えを見ずに声に出して答え、そのあと開いて比べる。
模範回答
集める項目を目的に必要なものだけに絞り、何のために使うかをユーザーに示して、必要なら同意を取ります。保存期間と、退会したときに削除する方法も決めます。
あわせて、「誰が・何を・見られる／変えられるか」を表にして仕様に入れます。URL の ID を書き換えると他人のデータが見えてしまう事故がよくあるので、テストの観点にもしてもらいます。社内で見られる人も絞り、法律や規約の判断は法務と相談します。
深掘りされたら
見られているポイントデータの最小化・目的・保存期間・認可を仕様で決められるか
模範回答
まず、誰が何を共有でき、共有された人が何をできるかを表にします。例えば、共有できるのは編集権限のある人だけ、社外の人は見るだけ、です。次に、共有リンクの初期値を安全な側にします。リンクを知っていれば誰でも見られる形は便利ですが漏れやすいので、初期値は「招待した人だけ」、リンクには有効期限を付けます。
さらに、誰がいつ何を共有したかの記録を残し、管理者が社外への共有を止められるようにします。法人の顧客ではこの管理の機能が導入の条件になることが多いです。
深掘りされたら
見られているポイント権限・初期値・記録を仕様に落とせるか