ソフトウェア開発パートナーに聞くべきセキュリティ質問と、良い回答の根拠となる証拠

このガイドは、コードを書いてもらうパートナーを選定している創業者、CTO、セキュリティ担当者、調達チームを対象としています。ソフトウェア開発アウトソーシングガイドでは、コスト、チームモデル、ベンダー評価チェックリスト全般を取り上げています。このページでは、その中の「セキュリティ」という一項目を深掘りします。これは一般的なガイダンスであり、セキュリティ監査ではありません。

このガイドの内容

• 開発パートナーには異なる質問が必要な理由
• 12の質問と求めるべき証拠
• 認証が証明することと証明しないこと
• セキュリティレビューの進め方
• レッドフラグ
• AIコーディングツール：追加すべき3つの質問
• 代替アプローチと選択基準
• Netbase はこれらの質問にどう答えるか
• 存在するデリバリー実績と存在しないもの
• このガイドの限界とは？
• よくある質問
• 次のステップ

開発パートナーには異なる質問が必要な理由

ソフトウェアベンダーは完成品を販売します。一方、開発パートナーはあなたと一緒にプロダクトを構築します。そのため、リスクの所在が異なります。パートナーのエンジニアはあなたのリポジトリにコードをプッシュし、クラウドアカウントにデプロイし、仕様書を閲覧し、場合によっては本番データを目にします。彼らのラップトップ、アカウント、ツールがあなたのアタックサーフェスの一部となり、彼らが書くコードがあなたのプロダクトのセキュリティそのものになります。

したがって、パートナー審査には2つの側面があります。1つ目は「エンタープライズセキュリティ」：会社が自社・スタッフ・システムをどう守るか。2つ目は「プロダクトセキュリティ」：あなた向けに構築するソフトウェアがどのように設計・レビュー・テスト・保守されるか、です。CISAとFBIはソフトウェア購入者向けの「Secure by Demand」ガイドで同じ区別をし、ベンダー自身のコントロールだけでなくプロダクトセキュリティを強調しています。一般的なベンダー評価アンケートは1つ目の側面はよくカバーしますが、2つ目は不十分なことが多いです。

12の質問と求めるべき証拠

このリストのうち2項目は、多くのアンケートより新しいものです。コンポーネントについては、CISA・NSA・FBI・国際パートナーが2026年7月29日に「2026 Minimum Elements for a Software Bill of Materials」を公開し、2021年のNTIA要素に置き換えました。SBOMの要求は今や一般的なリクエストであり、珍しいものではありません。AIツールについては、以下のセクションをご参照ください。

認証が証明することと証明しないこと

ISO 27001認証とSOC 2レポートは有用なシグナルですが、購買担当者が想定するより狭い問いに答えるものです。

• 会社を対象とするもので、プロダクトを対象としません。情報セキュリティ管理システムや監査済みコントロールは、ベンダー自身の運営方法を示します。ベンダーがあなた向けに構築するアプリケーションや、あなたのホスティングを認証するものではありません。
• スコープが重要です。どのエンティティ・拠点・サービスが認証やレポートの対象か、そしてあなたの担当デリバリーチームがそのスコープ内で業務するかを確認してください。
• SOC 2ではタイプが重要です。AICPAのSOC 2 Type 2レポートの例示によれば、Type 2レポートにはコントロールの説明だけでなく、一定期間にわたる監査人によるコントロールのテスト結果が含まれます。
• 日付が重要です。認証には有効期限があり、レポートは過去の期間をカバーします。最新のものを確認してください。

認証のないパートナーでも優れたセキュリティを実践できますし、認証を持つパートナーでも脆弱なコードをリリースすることがあります。認証はレビューを短縮するために使用し、プロダクトに関する質問を省略するために使用しないでください。

レッドフラグ

• ツール名は挙げられるが、その出力を見せられない回答。
• 共有ログイン、またはアクセスが削除されない状態。
• コードがあなたのリポジトリ・アカウントではなく、ベンダーのものに保管されている。
• インシデントに関する書面プロセスがない、または担当者がいない。
• 実際の顧客データがデフォルトでテスト環境にコピーされている。
• セキュリティテストが最後にオプションとして提供されるだけ。
• 認証があなたのプロダクトをカバーしているかのように提示される。

AIコーディングツール：追加すべき3つの質問

AIを活用したエンジニアリングは今や一般的であり、Netbase においても同様です。これにより3つの質問が加わります。第1に、どのツールがあなたのコードを参照でき、入力内容が共有モデルの学習に使用されないよう設定されているか。第2に、AIが提案したすべての変更が担当エンジニアによってレビューされ、人間のコードと同様のテスト・スキャンが適用されているか。第3に、機密リポジトリでAI支援をオフにできるか。これらを明確に答えられないパートナーは、あなたのコードの行方について十分に考えていません。Netbase はプロジェクトごとに選択した主要な商用・オープンソースのAIツールおよびモデルを使用しており、AIが支援したすべての変更は人間によるレビュー下に置かれます。チェックポイント設計については、AI生成コードのセキュリティレビューゲートをご参照ください。

代替アプローチと選択基準

4つの基準で選択してください：チームが扱うデータの機密性、ベンダーが本番環境にアクセスするか否か、契約の規模と期間、そしてあなたの業種固有のルールの有無。

Netbase はこれらの質問にどう答えるか

Netbase のセキュリティ実践は、セキュアなコードレビューとバージョン管理、転送時のTLS・保存時のAES暗号化、ロールベースアクセス制御、管理ダッシュボードへのMFA、脆弱性スキャンとペネトレーションテスト、ディザスタリカバリです。貢献者はNDAの下で業務し、NDA・データ処理契約・SLAはクライアントからの要請に応じて提供されます。Netbase はヨーロッパのデータプライバシーについてはGDPRアライメント、医療データ取り扱いについてはHIPAAアライン手法、米国顧客基盤を持つクライアントにはCCPAコンプライアンス実践に従っています。

Netbase はISO 27001およびSOC 2 Type IIとのアライメントを取っています。いずれもNetbase 自身の業務を対象とするものであり、クライアントのプロダクトやホスティングを対象としません。認証の詳細はデューデリジェンス中に共有され、公開はされません。Netbase のカスタム開発では、クライアントのために作成されたIPはクライアントが所有します。一方、Netbase のプロダクタイズドモジュールやBusiness Divisionのプロダクトはライセンス提供であり、移転はされません。詳細はアウトソーシング時のIP保護ガイドをご参照ください。Netbase のプロジェクトの多くはディスカバリー後に合意された請負契約で納品されており、同じセキュリティ条件が専任開発チームにも適用されます。トレードオフについては専任チームvs請負をご参照ください。全体的な声明はセキュリティとコンプライアンスのページに記載されています。

存在するデリバリー実績と存在しないもの

• 存在するもの。2020年以降、Netbase は米国クライアントのマルチテナントクラウドERPプラットフォームにおいてオフショア開発・マネージングパートナーとして業務しており、中小企業向けSaaSとして販売されています。公開記録ではクライアント名は非開示です。また、Netbase は自社SaaSのPrintcartも構築・運営しています。
• 存在しないもの。Netbase の公開記録には、ペネトレーションテストの結果、インシデント履歴、監査所見、対応時間は記載されていません。上記のいずれの記録も特定のコントロールの証拠ではありません。Netbase は認証番号・日付・監査人・スコープを公開していません。

このガイドの限界とは？

• パートナー選定の支援を目的としており、アプリケーションのテストは行いません。アプリケーションのテストについてはアプリケーションセキュリティ保証をご参照ください。
• 決済や医療などの規制業種には独自の要件があります。専門的なアドバイスを取得してください。
• 標準は変化します。レビュー当日に最新のASVS・SSDF・SBOMガイダンスを確認してください。
• 業務開始後にリリースごとのセキュリティを管理するには、アウトソース開発のソフトウェア品質ガバナンスとリリース準備チェックリストをご参照ください。品質エンジニアリングとテストが両方を運営しています。

次のステップ

セキュリティアンケートまたは上記の質問をお送りいただければ、あなたのプロジェクトをリードするエンジニアと共に回答をご説明するソリューションレビューをご予約します。Netbase のインサイトもあわせてご覧ください。

関連サービスとソリューション