いつもBoostありがとうございます。 本格稼働に向けてセキュリティ強化しました。 --- MVP完成後、限定的な初期導入から複数ホテルへ販売するマルチテナントSaaSへ移行するタイミングで、ホテル運営を扱うproductionシステムとして脅威モデルを見直し、Security Reviewを実施しました。 対象は、テナント分離、認証・認可、DBレベルのアクセス制御、private file管理、public/private境界、upload/delete経路、secret露出、legacy環境のcontainment、インフラ管理権限、緊急時運用です。Frontendだけをsecurity boundaryとせず、server-side enforcementを中心に確認しました。 Security Reviewの指摘を機械的に実装するのではなく、脅威の現実性、exploitability、impact、既存防御、UX、実装コスト、運用負荷をHuman Gateで評価しました。通常のホテル業務を不必要に複雑化せず、実用的なSaaS securityを目指すためです。 主要なserver-side boundaryの確認、infrastructure accountのMFA/2FA・access review、credential recoveryと緊急時運用の文書化、legacy環境のcontainmentを完了しました。レビュー完了時点で、販売開始を妨げる既知のtechnical blockerが残っていない状態まで確認し、低優先度のhardeningはpost-launch backlogとして分離しています。