社内アプリのレビューで、危ない実装がほぼ毎回見つかるという話
CodexやClaude Codeを使って、社内向けのアプリを自分で作る会社が増えています。エンジニアでなくても、ちょっとした業務ツールなら自分の手で組み立てられてしまう。便利になった一方で、気になる報告もありました。あるエンジニアが、そうやって作られたアプリを実際にレビューしたところ、ほぼ100%の確率で、何かしらの危ない設定や実装が含まれていたそうです。
具体的には、誰でもアクセスできる状態になっていたり、外部に見えてはいけない情報がそのまま画面に表示されていたり。作った本人は、動くところまでは確認していても、そこから先までは気づいていないケースがほとんどだったといいます。同じ人が、社内アプリを開発する際に気をつけるべき点についても発信していて、あわせて読むと、動くかどうかと、安全かどうかは、まったく別の話だということがよく分かります。
僕がこの話で気になったのは、これは技術力の問題というより、確認の順番が抜け落ちているだけの問題だということです。アプリを作ること自体は、もう特別なスキルではなくなりました。でも、作ったあとに何を確認すればいいかは、誰も教えてくれません。動くものができた時点で満足して、そこで作業が終わってしまう。危ない部分は、たいてい動作確認の画面には映らないところに隠れているので、見た目だけでは気づきようがないのです。
「動く」と「安全」は、別の基準で見る
これまでの社内システム開発では、専門の担当者が最初から関わることが多く、確認の工程もある程度は組み込まれていました。ところが、誰でも作れるようになった今、その工程がまるごと抜け落ちてしまう場面が増えています。理由は単純で、作った人が確認する人も兼ねてしまうからです。自分で作って、自分で動かして、問題なく動いたから完成。この流れの中には、そもそも安全性を疑う視点が入り込む余地がありません。
疑う視点は、後から意識的に足すしかありません。これは以前書いた、開発元の安全宣言をそのまま信じてはいけないという話とも根っこが同じです。作った側の「大丈夫です」を、そのまま受け取らない。自分たちで作ったものであっても、同じ姿勢で見る必要があります。
経営者にとっての意味
社内で誰かがアプリやツールを作ってくれるのは、ありがたいことです。ただ、それを社内の他の人が使う前、少しでも外部とやり取りする前に、一度誰かの目を通す工程を挟んでください。難しい審査を新しく作る必要はありません。「これ、外から見えたらまずい情報が入っていないか」「誰でもアクセスできる状態になっていないか」。この2点だけでも、事前に確認するかしないかで結果はまったく変わってきます。
まとめ
CodexやClaude Codeで作られた社内アプリのほぼすべてに、危ない設定や実装が見つかるという報告がありました。作った本人が気づいていないことがほとんどで、動くかどうかと安全かどうかは、別の基準で見る必要があります。誰でもアプリを作れる時代だからこそ、公開前に確認する工程を、意識してつくっておくことが大事です。
社内で作られたアプリやツールを、確認しないまま公開してしまっていることで困っていませんか？もしそうなら、まずは公開前に誰かの目を通す工程を、一つだけ決めるところから始めてみてください。AI導入・業務自動化支援では、その仕組みづくりから一緒にやります。まずは60分の無料個別相談へ。
あわせて読みたい
