APIキーをコードに含めない運用を作る

このガイドの対象

情報システム・セキュリティ担当者。検知内容と業務影響を記録し、侵害が疑われる場合は組織の事故対応手順に従います。

「APIキーをコードに含めない運用を作る」ための対応チェックリストです。以下の順で現状を確認し、対応の結果まで記録します。

対応の流れ

詳しい手順

1. コード、設定、ログへの秘密情報混入を点検する

確認した対象、時刻、現在の状態を記録します。分からない項目は担当者に確認し、推測で埋めないようにします。

2. 承認された秘密管理基盤へ保管し必要な実行環境だけに参照を許可する

一度に複数の条件を変えると結果を比較しにくくなります。対象と変更点を絞り、作業前後の違いを残します。

3. ログや配布物へ値が出ないことと、更新後も処理が動くことを確認する

確認に使った操作、日時、結果を記録します。期待どおりでなければ完了にせず、次の確認事項と担当者を決めます。

完了の確認

ログや配布物へ値が出ないことと、更新後も処理が動くことを確認する。作業を実施した記録と、目的を満たした結果の両方を残します。

うまく進まない場合

どの手順で止まったか、期待した状態と実際の状態、すでに試したことを整理して担当者へ渡します。認証情報や不要な個人情報は共有しないでください。変更で影響が広がった場合は作業を止め、事前に決めた復旧方法を確認します。

参考情報

IPA：中小企業の情報セキュリティ対策ガイドライン

関連分野の公式資料です。製品の画面や利用できる機能はバージョン・契約・権限で異なるため、実施時に対象環境の説明を確認してください。