ソフトウェア開発パートナーに確認すべきセキュリティ質問と、良い回答を裏付ける根拠

このガイドは、コードを開発委託するパートナーを選定中のファウンダー、CTO、セキュリティ担当者、調達チームを対象としています。ソフトウェア開発アウトソーシングガイドではコスト・チームモデル・ベンダー選定チェックリスト全体を取り上げていますが、このページはその中の一項目であるセキュリティを深く掘り下げます。本書は一般的なガイダンスであり、セキュリティ監査ではありません。

本ガイドの目次

• 開発パートナーに異なる質問が必要な理由
• 12の質問と要求すべき根拠
• 認証が証明できること、できないこと
• セキュリティ審査の進め方
• 危険なサイン
• AIコーディングツール：追加すべき3つの質問
• 選択肢と選定基準
• Netbaseの回答
• 実績の有無について
• 本ガイドの限界
• よくある質問
• 次のステップ

開発パートナーに異なる質問が必要な理由

ソフトウェアベンダーは完成品を販売します。一方、開発パートナーはあなたと共にプロダクトを構築するため、リスクの所在が変わります。パートナーのエンジニアはあなたのリポジトリにコードをプッシュし、クラウドアカウントにデプロイし、仕様書を参照し、場合によっては本番データを目にすることがあります。パートナーのラップトップ、アカウント、ツールはあなたの攻撃対象領域（アタックサーフェス）の一部となり、彼らが書くコードはあなたのプロダクトのセキュリティそのものになります。

したがってパートナー審査には2つの側面があります。第一は企業セキュリティ：会社が自社・従業員・システムをどう保護するか。第二はプロダクトセキュリティ：あなたのために構築するソフトウェアがどのように設計・レビュー・テスト・保守されるかです。CISAとFBIはソフトウェア購入者向けの「Secure by Demand」ガイドで同じ区別を示し、ベンダー自身の管理策だけでなくプロダクトセキュリティを重視しています。一般的なベンダーアンケートは前者をよくカバーしていますが、後者はほとんどカバーできていません。

12の質問と要求すべき根拠

このリストには多くのアンケートよりも新しい2項目が含まれています。コンポーネントについては、CISA・NSA・FBI・国際パートナーが2026年7月29日にSBOMの「2026 Minimum Elements for a Software Bill of Materials」を公開し、2021年のNTIA版を置き換えました。SBOMの要求はいまや標準的なリクエストであり、珍しいものではありません。AIツールについては後述のセクションをご覧ください。

認証が証明できること、できないこと

ISO 27001認証とSOC 2レポートは有用なシグナルですが、購買担当者がしばしば想定するよりも狭い範囲の質問にしか答えません。

• 対象は会社であり、あなたのプロダクトではありません。情報セキュリティ管理システムや監査済みの管理策は、ベンダーが自社をどのように運営しているかを示します。ベンダーがあなたのために開発するアプリケーションやホスティング環境を認証するものではありません。
• スコープが重要です。認証書またはレポートがどのエンティティ・拠点・サービスをカバーしているか、そしてあなたの担当チームがそのスコープ内に含まれるかを確認してください。
• SOC 2ではタイプが重要です。AICPAのSOC 2 Type 2レポートのサンプルが示すように、Type 2レポートには管理策の説明だけでなく、一定期間にわたる監査人によるテスト結果が含まれます。
• 日付が重要です。認証書には有効期限があり、レポートは過去の期間を対象としています。最新のものを必ず確認してください。

認証を持たないパートナーでも優れたセキュリティ実践を行うことができますし、認証を持つパートナーでも安全でないコードを納品することがあります。認証は審査を短縮するために活用するものであり、プロダクトに関する質問を省略する理由にはなりません。

危険なサイン

• ツール名は挙げられるが、その出力を見せられない回答。
• 共有ログイン、または削除されないアクセス権限。
• あなたのコードがベンダーのリポジトリやアカウントで管理されている。
• インシデント対応の文書化されたプロセスがない、または責任者がいない。
• デフォルトでテスト環境に実際の顧客データをコピーしている。
• セキュリティテストが最後のオプションとしてのみ提供されている。
• 認証書があなたのプロダクトまでカバーしているかのように提示される。

AIコーディングツール：追加すべき3つの質問

AIを活用したエンジニアリングは、Netbaseを含む業界全体でいまや当然のものとなっています。これにより3つの質問が加わります。第一に、どのツールがあなたのコードを参照する可能性があり、入力内容が共有モデルの学習に使用されないよう設定されているか。第二に、AIが提案したすべての変更が担当エンジニアのレビューを経て、人間が書いたコードと同じテスト・スキャンの対象となっているか。第三に、機密性の高いリポジトリではAIアシスタンスをオフにすることができるか。これらを明確に回答できないパートナーは、あなたのコードがどこに行くかを十分に検討していません。Netbaseはプロジェクトごとに選定された主要な商用・オープンソースのAIツールおよびモデルを活用しており、AIが支援するすべての変更は人間によるレビューのもとで管理されています。

選択肢と選定基準

4つの基準で選定してください：チームが扱うデータの機密性、ベンダーが本番環境にアクセスするか、契約の規模と期間、そしてあなたの業種に固有のルールが存在するかどうかです。

Netbaseの回答

Netbaseのセキュリティ実践は、セキュアコードレビューとバージョン管理、転送時のTLS・保存時のAES暗号化、ロールベースのアクセス制御、管理ダッシュボードへのMFA、脆弱性スキャンとペネトレーションテスト、そして災害復旧を含みます。担当者はNDAのもとで業務を行い、NDA・データ処理契約・SLAはクライアントの要請に応じて提供されます。NetbaseはEuropeでのデータプライバシーについてGDPRアライメント、医療データの取り扱いについてHIPAAアライメント手法、米国の顧客基盤を持つクライアントについてCCPAコンプライアンス実践に従っています。

NetbaseはISO 27001認証とSOC 2 Type II認証を取得しています。いずれもNetbase自身の運営を対象としており、クライアントのプロダクトやホスティングを認証するものではなく、認証の詳細はデューデリジェンスの過程で共有されます（公開はしていません）。Netbaseのカスタム開発ではクライアントのために作成されたIPをクライアントが所有する一方、NetbaseのプロダクトモジュールおよびBusiness Divisionプロダクトはライセンスであり移転ではありません。詳細はアウトソーシング時のIP保護ガイドをご覧ください。Netbaseのプロジェクトの多くはディスカバリー後に合意される請負契約で提供されており、同じセキュリティ条件が専任開発チームにも適用されます。トレードオフについては専任チームvs請負をご参照ください。全文はセキュリティとコンプライアンスのページをご確認ください。

実績の有無について

• 実績があるもの。2020年以降、Netbaseはオフショア開発およびマネージングパートナーとして米国クライアント向けマルチテナントクラウドERPのSaaSプラットフォームの開発に携わっています。中小企業向けにSaaSとして販売されており、公開記録ではクライアント名を非公開としています。また、Netbaseは自社のSaaSであるPrintcartの開発・運用も行っています。
• 実績がないもの。ペネトレーションテスト結果・インシデント履歴・監査結果・レスポンスタイムについてNetbaseが公開した記録はなく、上記の実績は特定の管理策の証拠でもありません。Netbaseは認証番号・取得日・監査法人・対象スコープを公開していません。

本ガイドの限界

• パートナー選定の支援を目的としており、アプリケーションのテストは行いません。アプリケーションのテストについてはアプリケーションセキュリティアシュアランスをご覧ください。
• 決済や医療などの規制業種には独自の要件があります。専門家のアドバイスを受けてください。
• 標準は変化します：審査日に最新のASVS・SSDF・SBOMガイダンスをご確認ください。
• 開発開始後にリリースごとにセキュリティを管理するには、アウトソース開発のソフトウェア品質ガバナンスとリリース準備チェックリストを参照してください。品質エンジニアリングとテストがその両方を担います。

次のステップ

セキュリティアンケートや上記の質問事項をお送りいただければ、あなたのプロジェクトをリードするエンジニアとともに回答をご説明するソリューションレビューをご予約いたします。Netbaseのインサイトも合わせてご覧ください。

関連サービスとソリューション