『⽌めない』を設計する 制約の中で、事業の根幹を⽀える判断＿terry

Product Engineering Conference2026にてPO/EM照井が登壇した資料です。
https://product-engineering.jp/2026/

Transcript

1. 『⽌めない』を設計する 制約の中で、事業の根幹を⽀える判断 照井寛也 | 株式会社UPSIDER | Product Engineering Conference 2026 © 2026 UPSIDER.inc
2. Presenter Profile 照井 寛也 (Hiroya Terui) 株式会社UPSIDER 銀⾏連携基盤 PO/EM 株式会社ワークスアプリケーションズに新卒⼊社後、株式会社Work Human Intelligenceに転籍。ERPパッケージの開発やインドとのオフショア開発に携わった 後、株式会社Showcase Gigにて、プロダクト基盤のリアーキテクトや仙台開発拠 点の⽴ち上げを⾏う。現在は、株式会社UPSIDERにて銀⾏連携基盤のPO/EMとして 従事。 © 2026 UPSIDER.inc
3. Vision / Mission 挑戦者を⽀える世界的な ⾦融プラットフォームを創る UPSIDERはカード会社から、総合⾦融機関へ © 2026 UPSIDER.inc
4. Our Services © 2026 UPSIDER.inc
5. Section PART 1 事業の根幹 © 2026 UPSIDER.inc
6. Part 1 — 事業の根幹 事業の根幹 = 与信 UPSIDER PRESIDENT CARD BLUE DREAM Fund White Label … 与信基盤 与信はサービスの中⼼的存在 例)与信基盤で 1,000万円の与信 UPSIDER : 600万円利⽤可能 PRESIDENT CARD : 400万円利⽤可能 © 2026 UPSIDER.inc
7. Part 1 — 事業の根幹 与信は、多様なデータの上に成り⽴つ 与信基盤 財務データ その他のデータ プロダクト利⽤データ 企業情報 カード利⽤ 財務諸表 データ など ⼊出⾦データ 上場企業 など 複数の経路から取り込む 銀⾏連携 A 銀⾏連携 B 銀⾏連携 C © 2026 UPSIDER.inc
8. Part 1 — 事業の根幹 銀⾏連携が⽌まると、適切な与信が出せなくなる 通常時 銀⾏連携 停⽌時 UPSIDER UPSIDER PRESIDENT CARD BLUE DREAM Fund White Label … PRESIDENT CARD BLUE DREAM Fund White Label … 与信基盤 与信基盤 銀⾏連携 A 銀⾏連携 A 銀⾏連携 B 銀⾏連携 B 銀⾏連携 C 銀⾏連携 C 適切な与信が出せなくなる 適切な与信が出せる 急激なキャッシュ‧フローの減少を捉えられない 資⾦があっても与信に反映できない © 2026 UPSIDER.inc
9. Section PART 2 — 脅威と現実 銀⾏連携を、⽌めうるものは何か © 2026 UPSIDER.inc
10. Part 2 — 脅威と現実 攻撃は多様化‧加速している 2020 2024 SolarWinds Orion — サプライチェーン攻撃 XZ Utils — OSSへのバックドア 正規のソフトウェア更新の配信経路そのものが汚染され、その更新を信頼 広く使われるOSSの開発コミュニティに⻑期間かけて⼊り込み、リリース して適⽤した多数の組織へ侵⼊が広がった。 物へバックドアが仕込まれた。 侵⼊を防ぐ「防壁」は⼤前提。ただ、それだけでは守りきれない © 2026 UPSIDER.inc
11. Part 2 — 脅威と現実 突破されても、爆発半径を経路の中にとどめる 爆発半径 ＝ ひとつの侵害が広がりうる範囲 「防ぐ」だけの場合 突破された前提で封じ込める 経路 A ∕ B ∕ C 破られると、全体に波及 経路 A 被害はAの中 経路 B 経路 C © 2026 UPSIDER.inc
12. Part 2 — 脅威と現実 では、爆発半径に「留まっている」と 判断するのは、誰か？ © 2026 UPSIDER.inc
13. Part 2 — 脅威と現実 「影響がない」を判断するのは誰か 接続先の⾦融機関 「安全か？」 与信基盤 接続先の外部サービス 爆発半径 「継続して問題ないか？」 爆発半径 ＝ ひとつの侵害が広がりうる範囲 判断するのは、⾃分たちではなく接続先 © 2026 UPSIDER.inc
14. Part 2 — 脅威と現実 判断するために何が⾏われるか © 2026 UPSIDER.inc
15. Part 2 — 脅威と現実 実際にインシデントが起きたら — 再開までの流れ インシデント フォレンジック調査 結論が出るまで、時間がかかる ⾦融機関‧サービスでの判断 再開 第三者の調査と接続先の判断を経てからしか、再開できない © 2026 UPSIDER.inc
16. Part 2 — 脅威と現実 フォレンジック期間の銀⾏連携停⽌のリスク インシデント フォレンジック調査 結論が出るまで、時間がかかる ⾦融機関‧サービスでの判断 再開 ← 数週間 〜 数ヶ⽉ → その間、銀⾏連携停⽌ — 事業インパクト⼤ ⽌まる⻑さを決めるのは、⾃分たちの復旧速度ではない © 2026 UPSIDER.inc
17. Section PART 3 — 線の引き⽅ ⽌めないために、何ができるのか © 2026 UPSIDER.inc
18. Part 3 — 線の引き⽅ 外部から⾒て「影響範囲外」と⾔い切れる、事前の構造設定 調査を待たずに「影響範囲外」と⽰せるかが⼤事 ✕ 事後の証拠（ログ） ◯ 事前の構造 ⾒せるもの アクセスログ‧監査ログ 構成図‧IAMポリシー 改竄リスク 否定できない 構造上ない 説明にかかる時間 週単位 即⽇ © 2026 UPSIDER.inc
19. Part 3 — 線の引き⽅ 事前の構造の理想は、経路の完全分離 凡例：この黒い縦バーは「分離境界」（経路をまたげない） 経路 A 経路 B GCPプロジェクト A（専⽤） 経路 C GCPプロジェクト B（専⽤） Cloud Run（専⽤） GCPプロジェクト C（専⽤） Cloud Run（専⽤） シークレット（専⽤） データ暗号鍵（専⽤） 分 離 境 界 シークレット（専⽤） データ暗号鍵（専⽤） Cloud Run（専⽤） 分 離 境 界 シークレット（専⽤） データ暗号鍵（専⽤） 経路間に接続なし = ひとつが汚染されても、他に波及しない © 2026 UPSIDER.inc
20. Part 3 — 線の引き⽅ 実際、運⽤できるかどうか 経路 A 経路 B 経路 C デプロイ ×3 GCPプロジェクト A（専⽤） Cloud Run シークレット データ暗号鍵 GCPプロジェクト B（専⽤） 分 離 境 界 Cloud Run シークレット GCPプロジェクト C（専⽤） 分 離 境 界 データ暗号鍵 これを運⽤するのは Cloud Run シークレット データ暗号鍵 3⼈ 監視 ×3 鍵管理 ×3 アップデート対応 ×3 開発スピード © 2026 UPSIDER.inc
21. Part 3 — 線の引き⽅ どこに線を引くか ？ 分離なし 完全分離 © 2026 UPSIDER.inc
22. Part 3 — 線の引き⽅ 完全分離ではなく、「論理分離」 GCPプロジェクト（同⼀）— 同じ箱の中で、論理的に分ける ① Cloud Runを ワークロード単位で分離 ② シークレットの 参照範囲を絞る ③ データ暗号鍵を Atomicな単位で分割 ワークロードをまたぐ実⾏が構造上 できない 必要な範囲しか⾒えない‧触れない ひとつの鍵が漏れても他は開かない © 2026 UPSIDER.inc
23. Part 3 — 線の引き⽅ ① Cloud Runをワークロード単位で分ける ワークロード A Cloud Run ワークロード B 分 離 境 界 Cloud Run ワークロード C 分 離 境 界 Cloud Run … ワークロードをまたぐ実⾏が、構造上できない プロジェクトは同⼀ — デプロイの仕組みは共通で、運⽤は増えない © 2026 UPSIDER.inc
24. Part 3 — 線の引き⽅ ② シークレットの参照範囲を絞る Cloud Run（ワークロードA） シークレットA 参照できる ⾒えない‧触れない Cloud Run（ワークロードB） シークレットB ⋮ ⋮ ⾒えないものは、盗れない ワークロードAが侵害されても、Bの認証情報には触れない ＝ Bへの成りすましができない © 2026 UPSIDER.inc
25. Part 3 — 線の引き⽅ ③ データ暗号鍵をAtomicな単位で分ける 暗号鍵 ⚠ 漏洩 暗号鍵 暗号鍵 暗号鍵 暗号鍵 … データ データ データ データ データ 影響はこの単位のみ 復号できない 復号できない 復号できない 復号できない Atomicな単位で鍵を分け、影響範囲を最⼩にとどめる © 2026 UPSIDER.inc
26. Part 3 — 線の引き⽅ 突破されても爆発半径を狭める 経路 A ⚠ 経路 B 経路 C Cloud Run Cloud Run Cloud Run シークレット シークレット シークレット データ暗号鍵 データ暗号鍵 データ暗号鍵 影響範囲外 影響範囲外 経路Aが汚染されても、被害はAの範 囲で⽌まる。B‧Cは影響範囲外。 影響範囲をすぐ特定できる ＝外部に 説明できる 爆発半径 ＝ ここまで © 2026 UPSIDER.inc
27. Part 3 — 線の引き⽅ 2本の線に挟まれた領域が、現実解 分離なし 対外説明可能な最低ライン 少⼈数で運⽤可能な上限ライン これより右が必要 これより左が必要 論理分離 完全分離 © 2026 UPSIDER.inc
28. Section PART 4 — その先へ それでも残るリスクに、どう向き合うか © 2026 UPSIDER.inc
29. Part 4 — その先へ 論理分離の先 — 与信を出す⽅法を増やす UPSIDER PRESIDENT CARD BLUE DREAM Fund White Label … 与信基盤 ⼊出⾦データ（銀⾏連携） 連携 A 連携 B 銀⾏連携以外の与信⼿段 連携 C 財務諸表（決算書） それに類するデータ … 可⽤性を、コンポーネントの分離から、事業の設計へ © 2026 UPSIDER.inc
30. Part 4 — その先へ あなたのプロダクトの 「⽌まると事業影響が⼤きい機能」はどこか ‧事業を⽌めないためにどんな選択肢があるか ‧運⽤可能なラインでの可⽤性をどう実現するか © 2026 UPSIDER.inc
31. Recruit We are hiring！ UPSIDERでは一緒に働く仲間を募集しています © 2026 UPSIDER.inc