システム開発を外注する前に確認すべきセキュリティチェックリスト

なぜ発注前に決めるのか

システムができてから「誰が・どのデータに触れるか」を決めると、手戻りが大きくなります。

外注前に最低限の確認項目を揃えておくと、見積の精度も上がり、導入後の不安も減ります。

確認チェックリスト

発注前に、社内でわかる範囲だけでも埋めておくと、開発会社との会話がスムーズになります。

• 本番・検証・開発で環境が分かれているか
• 管理者・現場・外部パートナーの権限が分かれているか
• 個人情報・契約情報の取り扱い方針があるか
• バックアップと復旧の手順があるか
• 開発会社の作業ログ・アクセス範囲が説明できるか

データの置き場所を図にする

「どこに何があるか」を一枚の図にすると、社内でも開発会社でも同じ前提で話せます。

• クラウド移行・インフラ構築を見る →

本番アクセスと作業範囲を決める

「開発会社がどこまで触れるか」が曖昧だと、本番事故や情報持ち出しのリスクが残ります。

作業用アカウント・接続経路・承認フローを先に決めておくと、見積にも反映しやすくなります。

• 本番への直接ログインは原則禁止（必要な場合は承認付き）
• 検証環境で再現・確認してから本番反映する
• 個人アカウントではなく、作業用の役割アカウントを使う
• 作業ログが残る仕組み（いつ・誰が・何をしたか）を求める

次のアクション

チェックが揃ったら、要件定義で開発会社とすり合わせます。SHINJIDAIでは設計段階から権限・ログ・運用を含めて提案します。