security-audit

セキュリティ監査

アプリケーションコード、依存関係、設定を体系的にセキュリティレビューします。

専門家によるペネトレーションテストの代替ではありません。 コードレビューの範囲内で、よくある脆弱性を特定します。

監査の種類

種類	焦点	実施するタイミング
コードレビュー	OWASP Top 10、インジェクション、認証	新機能、PR、不審なコード
依存関係	CVE、古いパッケージ	デプロイ前、定期的、CI/CD
設定	シークレット、権限、セキュリティ強化	インフラストラクチャの変更、新しい環境
アーキテクチャ	攻撃対象領域、データフロー	設計段階、大規模なリファクタリング
API セキュリティ	認証、認可、レート制限	新しいエンドポイント、公開 API

使用しないケース

• 新しい認証フローの設計 — OAuth2/JWT エンドポイントをゼロから設計する場合は api-design を使用します
• パフォーマンスの問題 — 認証のオーバーヘッドが原因の場合も含め、レイテンシとリソースの問題を診断するには observability を使用します
• CI/CD パイプラインのセキュリティ — パイプラインのセキュリティ強化（シークレット管理、権限）には ci-cd を使用します

主な原則

• まずスコープを定める — スキャンの前に、監査範囲、深度、制約を定義します
• 重大度を分類する — Critical（24～48時間）、High（1週間）、Medium（2～4週間）、Low（バックログ）
• 修正または追跡する — Critical の問題は直ちに修正し、残りは ohno タスクを作成します
• コードにシークレットを含めない — ハードコードされた認証情報、API キー、接続文字列をスキャンします

クイックスタートチェックリスト

1. 監査のスコープと種類（コード、依存関係、設定、アーキテクチャ、API）を定義します
2. 自動スキャンを実行します（npm audit、grep パターン、シークレット検出）
3. 参考資料の決定木を使って検出結果をレビューし、重大度を分類します
4. Critical/High の検出結果を直ちに修正します
5. Medium/Low の検出結果について、適切な優先度で ohno タスクを作成します
6. 監査レポートに検出結果を記録します

参考資料

参考資料	説明
owasp-top-10.md	検出方法と修正方法を含む OWASP 脆弱性
dependency-security.md	npm audit、pip-audit、Snyk、CI/CD との統合
auth-patterns.md	セキュアな認証・認可パターン
api-security.md	API 固有のセキュリティ上の懸念事項
secrets-management.md	機密設定の取り扱い

実行時の注意事項

• Claude Code: Task ツールを使って subagent_type: "pokayokay:yokay-security-scanner" を指定し、yokay-security-scanner をディスパッチします。
• Codex: サブエージェントのディスパッチには対応していません。エージェントの役割をインラインで実行してください。対応する agents/yokay-<name>.md を読み、その Behavior Defaults、Critical Rules、Output Contract に現在のセッションで直接従ってください。