security-kit — 受託セキュリティ標準キット
受託案件のセキュリティを担保する3層構造の自社標準キット。
push/PR/週次でgitleaks/semgrep/trivyを自動実行し、ASVS L1チェックリストと報告書テンプレートを一体化。
Duration
自社開発
Team
1名
01 // OVERVIEW
プロジェクト概要
受託Webアプリ案件のセキュリティ実施コストを下げるためのGitHubテンプレートリポジトリ。
层0（コードをGitHubに置くこと）→層1（push/PR/週次の自動検査）→層2（納品前のASVS L1チェック）→層3（実施記録と契約）の3層構造で構成し、1案件あたりの追加工数をほぼゼロにしながら記録が自動で残る仕組みを実現する。
02 // KEY FEATURES
主な機能
push/PR/週次のCIによる自動セキュリティ検査
GitHub Actionsのワークフローでgitleaks（シークレット漏洩）・semgrep（脆弱コードパターン）・trivy（依存パッケージ・コンテナ脆弱性）を自動実行。全ツールGitHub Freeの範囲内で動作し、追加コストなしで導入できる。
ASVS L1チェックリストと外部スキャン
OWASP ASVS Level 1の全項目を抜粋したセキュリティチェックリスト（security/asvs-l1.md）と認可テストテンプレートを内蔵。静的解析では検出できない認可漏れ・設定ミスを納品前に確認する。
実施記録と契約書テンプレート
セキュリティ実施報告書のテンプレート（docs/30-report-template.md）と実施範囲・範囲外・責任上限を明記した契約書テンプレート（docs/31-contract-scope.md）を添付。納品物にそのまま含められる。
03 // TECHNICAL DEEP-DIVE
技術的ハイライト
Solution
新規案件でもゼロから始めない設計
GitHubの「Use this template」ボタン一発でprivateリポジトリを作成し、CIワークフローをそのまま引き継ぐ。既存案件への適用手順（onboarding.md）も整備し、サーバー直接編集からGit管理への移行をガイドする。
04 // IMPACT & RESULTS
成果
3層構造
自動検査・手動確認・記録を体系化
追加工数ほぼゼロ
テンプレート一発で全案件に適用
ASVS L1
OWASPのセキュリティ基準に準拠