ショップカート構築に関連する良書を探しています

Question

小規模なウェブサイトにショップカートを設置することになったのですが、セキュリティ上考慮すべきことや、実装すべき事柄、開発者が備えておくべき知見などを学習したいと考えています。どなたか、良書を推薦していただけませんか？

EC-cubeやwelcartといったOSS・WPのプラグイン,あるいはshopify、カラーミーショップなどを使うことも考えましたが、案件において、「CGI+Sinatraを使う」「必要なビジネスロジックのみを盛り込む」という前提があり、やはり自前で作ることにしました。

例えば、Ruby on Rails Guidesの「Ruby on Rails Security Guide」のチャプターを、もっと深く掘り下げて、実例を交えたような本があればぜひ手に取ってじっくり読みたいと思ってます。できれば和書がいいです（洋書でもいいのですがやはり読むのが大変なので。。。）。

本で使われているプログラム言語はなんでもいいです。

Answer 1

質問に対する直接の答えではないのですが、気になりましたので…

案件において、「CGI+Sinatraを使う」「必要なビジネスロジックのみを盛り込む」という前提があり、やはり自前で作ることにしました。

ここですが、本来であれば自前で作ることは避け、実績のあるものを使う方が、機能・安全性・価格の全ての点で優位かと思います。であれば、「要件にはこのように書かれているが、これこれの理由で、ありものを使うことをお勧めします」という提案をすべきではないでしょうか?
私はセキュリティ・コンサルタントなので、仮にそのようなご依頼があれば対応する立場ではありますが、その場合でも、「まずはありものの利用を検討する」ことをお勧めすることになると思います。
ケースに分けて考えると、以下のようになるかと思います。

対処法	費用	安全性	機能
既存のショッピングカートサービスを使う	無料～数万円/月	◎	高
EC-CUBEなどのオープンソース・ソフトウェアのカスタマイズ	カスタマイズ費用のみ	○～◎	高
コンサルタンティングサービスを使う	数十万円～数百万円+構築費	○～◎	低
自前で勉強して頑張る	構築費のみ	△	低

費用のところはもう少し細かく詰めないといけませんが、顧客目線で考えると、自前で頑張るのは得策ではないと思います。

Comments

[showtarow]

こんにちは、回答ありがとうございます。

ふむふむ、、、話はちと逸れるのですが、以前結城さんの「暗号技術入門」を読んでいたら、暗号を自前で開発しても、それは本質的に弱い。オープンソースの暗号は、そもそもオープンであるからこそ、多くの知見が時間をかけて蓄積し、より強い暗号になる、それを使うべきだ、、というようなことが書かれていまして、回答を読んでそれを思い出しました。

この質問をアップして、自分でもさがしてみたんですが、「体系的に学ぶWebアプリケーションの作り方」という本が良さそうだなあと思って早速図書館で借りて（汗）きました、、、って、正にあなたがその著者ではないですか！！いやー、ビックリ。

ありがとうございます。決心がつきました。

Answer 2

ショップカートの設置ということは、お金を取り扱うサイトを作るということなので、セキュリティ対応、大変です。

サイトのセキュリティを考えるのであれば、セキュリティ要件の整理が重要になってきます。
セキュリティ要件の整理には
・サイトが対応すべき脅威の分析
・セキュリティ機能の選定
といったことが必要になりますが、上記を補助するドキュメントがなかなか見つからないと思います。
私が見た中では、NISC の資料が（EC サイト用ではないですが）網羅的で優秀でした。

「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」の策定について
こちらの「同 マニュアル 付録A.対策要件集がよくまとまっています。

ただ、結局、対応策に関してはベンダー側の知見になるため、資料化され外部に公開されることはほとんどありません。
showtarow さんの手元に、それなりの数の EC サイトの RFI/RFP とその回答がないと対応は難しいと思います。

質問文章からの判断でしかありませんが、責任の持てるシステムを単独で顧客に提供するのはちょっと難しいのではないかと思います。
ナレッジのあるコンサル会社と一緒に案件をすすめるか、ASP 業者と組んで顧客要件を ASP の仕様に落とし込むのが良い気がします。

Comments

[showtarow]

こんにちは、回答ありがとうございます。
このpdf凄いですね、体力要りそうですが、時間のある時に、読んでみようと思います！

[退会済みユーザー]

ockeghem さんへのコメントを見ると、「自前で勉強して頑張る」以外の方向に舵を切った感じですかね？

今後プライマリベンダとして、マネジメントしていくことになると思いますが、せっかくなので徳丸さんのサイトと本も紹介しますね。

[3分で分かるセキュアプログラミング]
https://www.eg-secure.co.jp/security/3min/

「体系的に学ぶWebアプリケーションの作り方」の 9-1
「開発マネジメントにおけるセキュリティ施策の全体像」

上記を確認して、セキュリティ要件の整理をしていくと良いです。

顧客からセキュリティ要件を明確にしてもらわないと、契約段階で非常に不利になるので、頑張ってください。

Answer 3

徳丸浩さんの「体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践」
を読むことにしました。