プロダクトセキュリティ設計 — 0→1のセキュアな立ち上げ

第1回：セキュアなプロダクト設計の全体像

濱田優貴です。元メルカリCPO、現在はEnablerの創業者をやっています。

このコースでは、僕がメルカリで数千万ユーザー規模のプロダクトセキュリティに向き合ってきた経験と、Enablerで0→1のプロダクトを立ち上げる中で実際に設計・実装しているセキュリティの考え方を、全18回で体系的にお伝えします。

なぜ「プロダクトセキュリティ設計」なのか

メルカリ時代、僕が痛感したのは「セキュリティは後付けだと10倍コストがかかる」ということです。ユーザー数が100万人を超えてから認証基盤を作り直すのと、最初から設計しておくのでは、工数もリスクもまったく違います。

でも、スタートアップや新規事業のフェーズでは「セキュリティに時間をかけすぎてローンチが遅れる」のも致命的ですよね。僕自身、Enablerを立ち上げるときにまさにこのジレンマに直面しました。

0→1フェーズで本当にやるべきこと

結論から言うと、0→1フェーズでのセキュリティは「全部やる」のではなく「正しい順番で、正しいレイヤーから固める」のが鍵です。

僕の経験則では、優先順位はこうです：

1. 認証・認可の設計 — ここをミスると全部崩れる。OAuth 2.0 / OIDCを正しく理解して、パスキーまで視野に入れる
2. データアクセス制御 — Supabase RLSやFirebase Security Rulesを初日から書く
3. CI/CDのセキュリティ — コードスキャンは自動化。手動レビューだけに頼らない
4. インフラのIaC化 — Terraformでセキュリティ設定をコード化しておけば、後から追えるし再現できる

メルカリで学んだ「スケールするセキュリティ」

メルカリではDAU数百万のプロダクトのセキュリティを見ていました。毎日のように不正アクセスの試行があり、決済周りのセキュリティは1つのバグで億単位の損害につながる世界です。

あの規模で学んだことは、「セキュリティはチーム全員の責任」だということ。専任のセキュリティチームがいても、プロダクトを作るエンジニア一人ひとりがセキュリティを理解していないと守りきれません。

このコースは、まさにその「プロダクトを作るエンジニア」のためのセキュリティコースです。

全18回で学ぶこと

認証設計から始めて、認可、API設計、フロントエンド、BaaS、データベース、クラウドIAM、IaC、CI/CD、コンテナ、サプライチェーン、監視、インシデント対応まで。プロダクトセキュリティの全レイヤーを一気通貫で学びます。

全部僕が実際にメルカリとEnablerで経験してきたことをベースに話します。教科書的な話ではなく、「現場でこう判断した」「このとき、こうしておけばよかった」というリアルな話を中心にお伝えします。

それでは、一緒にセキュアなプロダクトを作っていきましょう。