架空データによるデモ。実在の診断結果ではありません
J-CATALYST / REPORT

00 / SECURITY ASSESSMENT REPORT

J-Catalyst Security Reviewセキュリティ診断 報告書

CASE ID
demo-company
CLIENT
架空のデモ会社
GENERATED AT
2026-10-13 21:39 JST
CLASSIFICATION
取扱注意 / CLIENT CONFIDENTIAL

SCOPE STATUS範囲未確定 — 確定を止めている項目 28 件

01 / SUMMARY

要約

判断・実施・所見を、異なる分母のまま俯瞰します。

領域の判断

19

/ 32領域中

範囲台帳の判断済み領域

突合差分・未処理

11

/ 差分全 11件

独立記録との未処理差分

証拠付き実施

3

/ 試験全 40件

証拠IDを伴う実施済み試験

実施不能

2

/ 試験全 40件

許可・到達性などで停止

未検証の候補

1

/ 所見全 2件

人の確認が完了していない候補

確認・再診断済み

1

/ 所見全 2件

確認済みまたは修正確認済み

32領域の判断SCOPE / 32 DOMAINS
  1. D01
  2. D02
  3. D03
  4. D04
  5. D05
  6. D06
  7. D07
  8. D08
  9. D09
  10. D10
  11. D11
  12. D12
  13. D13
  14. D14
  15. D15
  16. D16
  17. D17
  18. D18
  19. D19
  20. D20
  21. D21
  22. D22
  23. D23
  24. D24
  25. D25
  26. D26
  27. D27
  28. D28
  29. D29
  30. D30
  31. D31
  32. D32
  • 診断対象17
  • 非該当1
  • 合意除外1
  • 未判断13
重大度別の所見FINDINGS / 2
  • 緊急0
  • 高1
  • 中1
  • 低0
  • 情報0
  • 未評価0

02 / SCOPE DEFINITION

範囲の定義

何を診るか、何を診ないか、誰が決めたかを固定します。

SCOPE GATE範囲未確定

対象所有者: 架空 株式会社みなと工房 代表 ／ 承認記録: —

02.01

範囲確定の関所

確定を止めている条件を先に示します。

!
範囲確定を止めている項目 28 件

未判断・未処理差分・管理責任・基準対応を解消するまで全体範囲は確定できません。

UNKNOWN_REMAINS

未判断の領域が残っている

13 件
D12D16D18D19D20D21D22D25D26D27D28D30D31
  • 未判断が残っている。全体の範囲確定はできない
RECON_DIFF_OPEN

資産の突合差分が未処理

11 件
api.minato-demo.invalid/v1campaign2024.minato-demo.invalidoauth:calendar-sync-appx:@minato_demo_oldai:agent-reply-draftsbackup:weekly-exportdata:reservationsdevice:pc-ownerdevice:phone-ownerdevice:router-shopvendor:web-design-office
  • 独立した記録にあるが、所有者の申告にない
  • 申告にあるが、独立した記録で存在を確かめられていない
BASELINE_ID_UNMAPPED

基準の要求IDに未対応がある

3 件
asvs-5.0.0nist-csf-2.0owasp-api-top10-2023
  • 未対応の要求IDが 342 件(例: V1.2.2, V1.2.3, V1.2.4, V1.2.5, V1.2.6)
  • 未対応の要求IDが 131 件(例: GV.OC-02, GV.OC-03, GV.OC-04, GV.OC-05, GV.RM)
  • 未対応の要求IDが 7 件(例: API4:2023, API5:2023, API6:2023, API7:2023, API8:2023)
FLOW_STAGE_NO_OWNER

データ経路に管理者のいない段階がある

1 件
reserve
  • 復旧 の管理者がない
02.02

32領域の判断表

追加領域は、標準32領域の外側に明示します。

領域ID名前状態理由・決定者対象資産次に必要なこと旧40項目との対応
D01業務と責任分担診断対象予約と問い合わせが止まると売上に直結する決定者架空 株式会社みなと工房 代表webline—SCOPE
D02資産とデータ経路診断対象全案件で実施決定者架空 株式会社みなと工房 代表webstgapidnshostingほか 13 件—ASSETSACC-INVENTORY
D03外部公開面とドメイン管理診断対象独自ドメインと公開サイトがある決定者架空 株式会社みなと工房 代表dnswebstg—TLS
D04Web画面と入力処理診断対象予約フォームがある決定者架空 株式会社みなと工房 代表webstg—INPUTFILES
D05APIとWebhook診断対象予約APIとWebhookがある決定者架空 株式会社みなと工房 代表api—APILINE-SIGNATURELINE-REPLAY
D06認証とアカウント復旧診断対象管理者ログインとSaaSログインがある決定者架空 株式会社みなと工房 代表webwslineig—AUTHACC-MFAACC-RECOVERYLINE-BIZLOGINLINE-OAUTH
D07認可と顧客間の分離診断対象予約者ごとの予約確認画面がある決定者架空 株式会社みなと工房 代表webstg—AUTHZLINE-BINDING
D08セッションとブラウザ診断対象ログイン状態を持つ決定者架空 株式会社みなと工房 代表webstg—SESSIONACC-SESSIONSLINE-LOGIN
D09業務処理と不正利用診断対象予約の取り消し・変更がある決定者架空 株式会社みなと工房 代表webstgapi—LOGICLINE-REPLAY
D10顧客情報と個人情報診断対象予約者の個人情報を扱う決定者架空 株式会社みなと工房 代表custws—ACC-PRIVACYLINE-DATA
D11暗号と秘密情報診断対象APIキーとデプロイ鍵がある決定者架空 株式会社みなと工房 代表repoapi—TLSSECRETSACC-PASSWORDLINE-TOKENS
D12クラウドとホスティング未判断—決定者架空 株式会社みなと工房 代表—理由: レンタルサーバーの管理画面をまだ見ていない / 担当: 外注先 / 期限: 2026-10-27CLOUD
D13SaaSと共有サービス診断対象業務SaaSと連携アプリがある決定者架空 株式会社みなと工房 代表wsform—CLOUDACC-APPSLINE-AUTOMATION
D14メールとブラウザ経由の侵入診断対象業務メールと復旧メールがある決定者架空 株式会社みなと工房 代表mail—EMAIL
D15PCとスマホとブラウザ拡張診断対象代表のPCと業務スマホ決定者架空 株式会社みなと工房 代表pc1ph1—ACC-DEVICE
D16サーバーとOSとデータベース未判断—決定者架空 株式会社みなと工房 代表—理由: サーバーをどこまで自社で管理しているか未確認 / 担当: 外注先 / 期限: 2026-10-27旧項目なし
D17ネットワークとファイアウォール合意により除外店舗の回線とルーターは今回の契約では扱わない決定者架空 株式会社みなと工房 代表—残るリスク: ルーターの初期パスワードや古い機種の欠陥は見つからないまま残る / 受容者: 架空 株式会社みなと工房 代表旧項目なし
D18SSOと組織の管理権限未判断—決定者架空 株式会社みなと工房 代表—理由: 組織のSSOを使っているか未確認 / 担当: 代表 / 期限: 2026-10-27旧項目なし
D19開発とGitとCI/CD未判断—決定者架空 株式会社みなと工房 代表—理由: リポジトリの権限とCIを外注先に確認中 / 担当: 外注先 / 期限: 2026-10-27SAST
D20依存関係と既知脆弱性未判断—決定者架空 株式会社みなと工房 代表—理由: 実稼働版と依存関係の一覧が未提出 / 担当: 外注先 / 期限: 2026-10-27DEPS
D21生成AIとRAGとモデルデータ未判断—決定者架空 株式会社みなと工房 代表—理由: AIへ何を送っているか、保存設定を未確認 / 担当: 代表 / 期限: 2026-10-27AIINPUT
D22AIエージェントとMCPと自動化未判断—決定者架空 株式会社みなと工房 代表—理由: AIエージェントの接続とツール権限を未確認 / 担当: 代表 / 期限: 2026-10-27AITOOLS
D23SNSの個人と事業アカウント診断対象Instagramと旧Xアカウント決定者架空 株式会社みなと工房 代表ig—ACC-INVENTORYACC-MFAACC-RECOVERYACC-PASSWORDACC-SESSIONSACC-ALERTSACC-APPSACC-PRIVACYLINE-LOGIN
D24公式アカウントとBot連携診断対象LINE公式アカウント決定者架空 株式会社みなと工房 代表line—LINE-ADMINSLINE-BIZLOGINLINE-DATALINE-AUTOMATIONLINE-SIGNATURELINE-TOKENSLINE-REPLAYLINE-OAUTHLINE-BINDING
D25バックアップと復元と継続未判断—決定者架空 株式会社みなと工房 代表—理由: 復元を試したことがあるか不明 / 担当: 外注先 / 期限: 2026-10-27RESTOREACC-BACKUP
D26ログと検知と事故対応未判断—決定者架空 株式会社みなと工房 代表—理由: どのログが残るか未確認 / 担当: 外注先 / 期限: 2026-10-27DETECTACC-ALERTS
D27外注と提供会社と責任境界未判断—決定者架空 株式会社みなと工房 代表—理由: 外注契約の事故連絡の条項を未確認 / 担当: 代表 / 期限: 2026-10-27旧項目なし
D28人の手続きと引き継ぎ未判断—決定者架空 株式会社みなと工房 代表—理由: 引き継ぎと送金承認の手順が未確認 / 担当: 代表 / 期限: 2026-10-27旧項目なし
D29自社のモバイルアプリ非該当(根拠あり)自社開発・運営のスマホアプリは無い(アプリストアの開発者登録なし)決定者架空 株式会社みなと工房 代表——旧項目なし
D30IoTとOTと物理環境未判断—決定者架空 株式会社みなと工房 代表—理由: 店舗のカメラ・NASの有無を未確認 / 担当: 代表 / 期限: 2026-10-27旧項目なし
D31漏えい情報と公開ファイル未判断—決定者架空 株式会社みなと工房 代表—理由: 漏えい通知の照会は本人の同意待ち / 担当: 代表 / 期限: 2026-10-27旧項目なし
D32診断サービス自身の安全と品質診断対象全案件で実施決定者架空 株式会社みなと工房 代表ai—RETEST
02.03

部分範囲と許可した操作

対象・手法・期間・上限・送信先・実変更の可否を分離して記録します。

先行して固定した部分範囲

部分範囲ID版領域資産責任者承認者承認記録承認日時
stg-web-v11D04D07D08stg架空 株式会社みなと工房 代表架空 株式会社みなと工房 代表DEMO-承認書-001(架空)2026-10-13 21:39 JST

許可した操作

操作ID資産手法期間上限 RPS送信先実変更
stg-webstghttp_getauthz_checksession_check2026-10-14 00:00 JST
→ 2026-10-21 18:00 JST		2stg.minato-demo.invalid不可
02.04

資産台帳

診断対象の識別子と所有・許可の状態です。

能動的な試験の承諾は、対象のアクセス管理者から得ます(不正アクセス禁止法2条4項)。

種別名前識別子所有者アクセス管理者環境発見経路診断許可
web公式サイト・予約フォームwebhttps://www.minato-demo.invalid外注 Webデザイン事務所(架空)承諾なしprodowner_declared承認待ち
web予約フォームの検証環境stghttps://stg.minato-demo.invalid外注 Webデザイン事務所(架空)外注 Webデザイン事務所(架空) サーバー管理者承諾: DEMO-承諾書-002(架空)stagingowner_declared所有者承認済み
api予約API・Webhook受け口apihttps://api.minato-demo.invalid/v2外注 Webデザイン事務所(架空)承諾なしprodowner_declared承認待ち
domainドメイン minato-demo.invaliddnsminato-demo.invalid代表承諾なしprodowner_declared承認待ち
hostingレンタルサーバー(架空)hostinghost:demo-hosting-01代表承諾なしprodowner_declared承認待ち
repositoryサイトのGitリポジトリrepogit:demo-org/minato-site外注 Webデザイン事務所(架空)承諾なしprodowner_declared承認待ち
saas業務メール・共有ドライブ(架空SaaS)wssaas:workspace/minato-demo代表承諾なしprodowner_declared承認待ち
mail代表メール・復旧用メールmailmail:owner@minato-demo.invalid代表承諾なしprodowner_declared承認待ち
form問い合わせフォーム(架空SaaS)formsaas:forms/minato-contact代表承諾なしprodowner_declared承認待ち
official_accountLINE公式アカウント(架空)lineline-oa:@minato-demo代表承諾なしprodowner_declared承認待ち
sns_accountInstagram 事業アカウント(架空)iginstagram:@minato_demo広報担当承諾なしprodowner_declared承認待ち
pc代表のノートPCpc1device:pc-owner代表承諾なしprodowner_declared承認待ち
phone業務スマホ(代表)ph1device:phone-owner代表承諾なしprodowner_declared承認待ち
router店舗のWi-Fiルーターrouterdevice:router-shop代表承諾なしprodowner_declared承認待ち
ai_agent返信文の下書きに使うAIエージェントと接続aiai:agent-reply-drafts代表承諾なしprodowner_declared承認待ち
backup予約データの週次バックアップbkbackup:weekly-export外注 Webデザイン事務所(架空)承諾なしprodowner_declared承認待ち
vendorWeb制作の外注先(架空)vendorvendor:web-design-office代表承諾なしprodowner_declared承認待ち
personal_data予約者の氏名・電話・メールcustdata:reservations代表承諾なしprodowner_declared承認待ち
web似た名前のネットショップ(所有不明)shop-relhttps://minato-demo-shop.invalid不明承諾なし—related_discovery承認待ち
02.05

突合差分

所有者の申告と独立した記録を突き合わせた差分です。

申告になかった

識別子差分見つけた記録ID処理
api.minato-demo.invalid/v1独立した記録にあるが、所有者の申告にないdeploy-log未処理
campaign2024.minato-demo.invalid独立した記録にあるが、所有者の申告にないdns-export未処理
oauth:calendar-sync-app独立した記録にあるが、所有者の申告にないsaas-admin未処理
x:@minato_demo_old独立した記録にあるが、所有者の申告にないaccounts未処理

記録で確かめられない

識別子差分見つけた記録ID処理
ai:agent-reply-drafts申告にあるが、独立した記録で存在を確かめられていない—未処理
backup:weekly-export申告にあるが、独立した記録で存在を確かめられていない—未処理
data:reservations申告にあるが、独立した記録で存在を確かめられていない—未処理
device:pc-owner申告にあるが、独立した記録で存在を確かめられていない—未処理
device:phone-owner申告にあるが、独立した記録で存在を確かめられていない—未処理
device:router-shop申告にあるが、独立した記録で存在を確かめられていない—未処理
vendor:web-design-office申告にあるが、独立した記録で存在を確かめられていない—未処理

使えなかった情報源

02.06

データ経路

入力から保存・共有・削除まで、信頼の境目と管理者を追跡します。

reserve

予約の受付から削除まで

責任者 代表

  1. ◇ 信頼の境目入力公式サイト・予約フォームweb管理: 外注
  2. 処理予約API・Webhook受け口api管理: 外注
  3. 保存予約者の氏名・電話・メールcust管理: 代表
  4. 共有業務メール・共有ドライブ(架空SaaS)ws管理: 代表
  5. ◇ 信頼の境目AI送信返信文の下書きに使うAIエージェントと接続ai管理: 代表
  6. ◇ 信頼の境目委託Web制作の外注先(架空)vendor管理: 代表
  7. バックアップ予約データの週次バックアップbk管理: 外注
  8. 削除予約者の氏名・電話・メールcust管理: 代表
  9. 復旧予約データの週次バックアップbk! 管理者未定
line

LINEでの問い合わせと返信

責任者 代表

  1. ◇ 信頼の境目入力LINE公式アカウント(架空)line管理: 代表
  2. ◇ 信頼の境目AI送信返信文の下書きに使うAIエージェントと接続ai管理: 代表
  3. 保存LINE公式アカウント(架空)line管理: 代表
02.07

基準ID対応

基準の各要求IDを、試験・判断・未対応へ割り当てます。

asvs-5.0.0採用基準
全 345
  • 試験3
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応342
cis-controls-8.1参照候補
! 原文取込が未完全 18
  • 試験3
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応15
csa-ccm-4.1参照候補
! 原文取込が未完全 207
  • 試験3
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応204
mcp-2026-07-28-security-best-practices参照候補
! 原文取込が未完全 1
  • 試験0
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応45
nist-csf-2.0採用基準
全 134
  • 試験3
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応131
nist-ssdf-1.1参照候補
全 61
  • 試験3
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応58
owasp-agentic-top10-2026参照候補
全 10
  • 試験3
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応7
owasp-api-top10-2023採用基準
全 10
  • 試験3
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応7
owasp-llm-top10-2025参照候補
全 10
  • 試験3
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応7
owasp-llm-top10-2026参照候補
全 10
  • 試験3
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応7
owasp-masvs-2.1.0参照候補
全 24
  • 試験3
  • 非該当0
  • 除外0
  • 未解決0
  • 未対応21
02.08

未解決事項

担当と期限を持つ確認待ちの事項です。

ID内容担当期限領域
Q1campaign2024.minato-demo.invalid は今も使っているか。使っていなければ削除するか代表2026-10-27D03D31
Q2旧版API(v1)へのデプロイが残っている。停止済みか外注先2026-10-27D05D20
Q3共有ドライブ全体を読める連携アプリ calendar-sync-app を誰が許可したか代表2026-10-27D13
Q4開店時のXアカウントの管理者と復旧先代表2026-10-27D23
Q5予約データの復旧担当が決まっていない代表2026-10-27D25

03 / FINDINGS

所見

観測された事実、確認状態、改善案、根拠となる証拠を示します。

高修正を再診断で確認
demo-idor
所見

デモ：文書の所有者確認不足

対象/documents

説明
架空データの所見。実在サイトの脆弱性ではない。
確認者
デモ担当者
確認の根拠
新しい証拠で修正と正常操作を再確認した想定。
改善案
所有者照合をサーバー側に追加する想定
証拠ID
authz-beforeauthz-after
中未検証の候補
f-221a6599052ff93ca060-1
所見

demo-authorization-review

対象demo/routes.py

説明
架空の認可確認候補。検出能力の実測ではない。
確認者
—
確認の根拠
—
改善案
—
証拠ID
scan-221a6599052ff93ca060

04 / TEST LEDGER

試験台帳

実施済みだけでなく、実施不能・未実施・対象外を同じ台帳で示します。

04.01

Web・API・AI

1 確認済1 実施不能18 未実施
ID項目領域対象役割状態観測・理由証拠ID更新日時
SCOPE対象・権限・除外範囲D01——未実施———
ASSETS資産・重要データの把握D02——未実施———
TLSTLSとHTTPの保護D03D11——未実施———
AUTH認証・MFA・アカウント復旧D06——未実施———
AUTHZ利用者間の権限分離D07https://demo.invalid/documentstest-A/test-B確認済架空の再診断。以前の失敗記録も履歴に保持。authz-after2026-10-13 21:39 JST
SESSIONセッション・失効・CSRFD08——未実施———
INPUT入力検証と出力処理D04——未実施———
FILESアップロードとファイル参照D04——未実施———
LOGIC業務ロジックと状態遷移D09——未実施———
APIAPIとWebhookの権限・再送D05——未実施———
SASTコード解析と個別確認D19——未実施———
SECRETS秘密情報と資格情報の管理D11——未実施———
DEPS依存関係と既知脆弱性D20——未実施———
CLOUDクラウド・SaaS・共有権限D12D13——未実施———
EMAILメール・ドメインの管理D14——未実施———
AIINPUTAIの外部入力と指示の混入D21——未実施———
AITOOLSAI・MCPの権限と情報送信D22——未実施———
DETECTログと異常検知D26——未実施———
RESTOREバックアップと復元D25demo-backupoperator実施不能復元環境が未提供。問題なしとは扱わない。—2026-10-13 21:39 JST
RETEST修正確認と終了処理D32——未実施———
04.02

SNS・LINE 個人アカウント

1 確認済1 問題あり9 未実施
ID項目領域対象役割状態観測・理由証拠ID更新日時
ACC-INVENTORYアカウント・所有者・業務用途D23D02——未実施———
ACC-MFA多要素認証・追加認証D23D06——未実施———
ACC-RECOVERY復旧メール・電話・連携IDD23D06——未実施———
ACC-PASSWORDパスワードの使い回し・保管D23D11——未実施———
ACC-SESSIONSログイン中の端末・セッションD23D08LINE:デモアカウントowner確認済本人が既知の端末であると確認した想定。line-settings2026-10-13 21:39 JST
ACC-ALERTSログイン通知と不審操作D23D26——未実施———
ACC-APPS連携・連動アプリと権限D23D13LINE:デモアカウントowner問題あり不要な連動アプリの解除を提案する想定。line-settings2026-10-13 21:39 JST
ACC-PRIVACY公開範囲・DM・発見されやすさD23D10——未実施———
ACC-DEVICEOS・アプリ・画面ロックD15——未実施———
ACC-BACKUP引き継ぎ・バックアップD25——未実施———
LINE-LOGINLINEのサブ端末ログイン許可D23D08——未実施———
04.03

LINE公式アカウント

4 未実施
ID項目領域対象役割状態観測・理由証拠ID更新日時
LINE-ADMINS公式アカウントの管理者・運用者D24——未実施———
LINE-BIZLOGIN公式アカウント管理者のログイン保護D24D06——未実施———
LINE-DATAチャット・顧客データの保存先D24D10——未実施———
LINE-AUTOMATION配信・外部運用ツールの権限D24D13——未実施———
04.04

LINE連携・Bot

1 実施不能4 未実施
ID項目領域対象役割状態観測・理由証拠ID更新日時
LINE-SIGNATUREWebhook署名の検証D24D05Bot検証環境operator実施不能Botコードと検証環境が未提供。署名検証済みとは扱わない。—2026-10-13 21:39 JST
LINE-TOKENSチャネル秘密値・アクセストークンD24D11——未実施———
LINE-REPLAYWebhook再送と二重処理D24D05D09——未実施———
LINE-OAUTHLINE LoginのコールバックとトークンD24D06——未実施———
LINE-BINDINGLINE利用者と自社データの紐付けD24D07——未実施———

05 / EXECUTION RECORD

実行の記録

自動取込と、実行器が許可・拒否した操作を分けて記録します。

05.01

スキャナー取込

スキャナー版状態候補数証拠ID日時
semgrepsynthetic-fixturecompleted1scan-221a6599052ff93ca060—

06 / EVIDENCE INDEX

証拠索引

所見と試験から参照される証拠の識別子と完全性情報です。

証拠ID出どころ作成日時SHA-256
scan-221a6599052ff93ca060semgrep synthetic-fixture normalized copy2026-10-13 21:39 JSTb3cc28a51086818b6a25e692c6367b1a6fb2346aea713f82317395180bbc4e9e
authz-beforesynthetic before fixture2026-10-13 21:39 JST97378fcec38c0535ad171cd219c28dccc8a491b0ee1026ff863d0848adc4ca46
authz-aftersynthetic retest fixture2026-10-13 21:39 JST8d50fed5830b292b715b2e36b3e19ef143321e2474e802832a6131b049893bf8
line-settingssynthetic LINE settings2026-10-13 21:39 JSTf8ce52260e8426ec845a95b19aeef23d15270374d0d1f0d1782918a64cf74f79

07 / LIMITATIONS

この報告書の限界

確認できた範囲と、この成果物が保証しないことを明示します。

“

確認者名は自己申告です。本試作は本人認証・電子署名・改ざん耐性を備えた監査保管庫ではありません。見えていない設定・未到達・未実施の箇所を安全とは扱っていません。

CASE-SPECIFIC

架空入力を用いた業務フローのデモ。スキャンは実行していない。