ソフトウェア開発パートナーに聞くべきセキュリティ質問と、良い回答を裏付けるエビデンス

このガイドは、コードを書いてもらうパートナーを選定中の創業者、CTO、セキュリティ担当者、調達チームを対象としています。ソフトウェア開発アウトソーシングガイドではコスト、チームモデル、ベンダー選定チェックリスト全体を取り上げており、本ページはその中のセキュリティに関する項目を深掘りします。本ガイドは一般的な指針であり、セキュリティ監査ではありません。

このガイドの内容

• 開発パートナーに異なる質問が必要な理由
• 12の質問と求めるべきエビデンス
• 認証が証明できることとできないこと
• セキュリティレビューの進め方
• レッドフラグ
• AIコーディングツール：追加すべき3つの質問
• 代替手段と選定基準
• Netbase がこれらの質問にどう答えるか
• 存在するデリバリー実績と存在しないもの
• このガイドの限界
• よくある質問
• 次のステップ

開発パートナーに異なる質問が必要な理由

ソフトウェアベンダーは完成品を販売します。一方、開発パートナーはあなたとともにプロダクトを構築します。これにより、リスクの所在が変わります。パートナーのエンジニアはあなたのリポジトリにコードをプッシュし、クラウドアカウントにデプロイし、仕様書を読み、場合によっては本番データを参照します。彼らのラップトップ、アカウント、ツールはあなたの攻撃対象領域の一部となり、彼らが書くコードはあなたのプロダクトのセキュリティそのものになります。

したがって、パートナーの審査には2つの側面があります。1つ目はエンタープライズセキュリティ：企業が自社・従業員・システムをどのように保護しているか。2つ目はプロダクトセキュリティ：あなたのために構築するソフトウェアがどのように設計・レビュー・テスト・保守されるか。CISAとFBIは、ソフトウェア購買者向けの「Secure by Demand」ガイドにおいて同じ区別を設け、ベンダー自身の管理策だけでなくプロダクトセキュリティを重視することを強調しています。一般的なベンダー調査票は1つ目の側面はよくカバーしていますが、2つ目は不十分なことが多いです。

12の質問と求めるべきエビデンス

上記のリストには、ほとんどの調査票より新しい項目が2つあります。コンポーネントについては、CISA・NSA・FBIおよび国際パートナーが2026年7月29日に「2026年版ソフトウェア部品表（SBOM）最小要素」を公表し、2021年のNTIA要素を置き換えました。SBOMの提供を求めることは、今や珍しいことではなく標準的な要求です。AIツールについては、後述のセクションをご覧ください。

認証が証明できることとできないこと

ISO 27001認証とSOC 2レポートは有用な指標ですが、購買者が期待するより狭い範囲の問いに答えるものです。

• 対象はベンダー企業であり、あなたのプロダクトではありません。情報セキュリティマネジメントシステムや監査済みの管理策は、ベンダーの自社運営方法を示します。ベンダーがあなたのために構築するアプリケーションやホスティング環境を認証するものではありません。
• 適用範囲が重要です。証明書またはレポートがどのエンティティ、拠点、サービスを対象としているか、また担当デリバリーチームがその範囲内で業務を行っているかを確認してください。
• SOC 2ではタイプが重要です。AICPAのSOC 2 Type 2レポートの例示によると、Type 2レポートには管理策の説明だけでなく、一定期間にわたる管理策のテストとその結果が含まれます。
• 日付が重要です。証明書は有効期限があり、レポートは過去の期間を対象としています。最新のものを確認してください。

認証を持たないパートナーでも優れたセキュリティを実践していることがあり、認証取得済みのパートナーでも安全でないコードを納品することがあります。認証はレビューを短縮する手段として活用しても、プロダクトに関する質問を省略する理由にはなりません。

レッドフラグ

• ツール名は挙げられるが、その出力結果を見せられない回答。
• 共有ログイン、または削除されないアクセス権限。
• コードがあなたのリポジトリやアカウントではなく、ベンダー側に保管されている。
• インシデント対応の書面プロセスがない、または担当者が不明。
• 実際の顧客データがデフォルトでテスト環境にコピーされている。
• セキュリティテストが最終工程のオプションとしてしか提供されない。
• 証明書があなたのプロダクトをカバーしているかのように提示される。

AIコーディングツール：追加すべき3つの質問

AIを活用したエンジニアリングは、Netbase を含め今や一般的になっており、3つの質問が加わります。第1に、どのツールがあなたのコードを参照できるか、また入力内容が共有モデルの学習に使われないよう設定されているか。第2に、AIが提案するすべての変更は担当エンジニアによってレビューされ、人間が書いたコードと同様のテストとスキャンの対象となっているか。第3に、機密性の高いリポジトリではAIアシスタントをオフにできるか。これらに明確に答えられないパートナーは、あなたのコードの行き先について十分に考えていないということです。Netbase は主要な商用・オープンソースのAIツールおよびモデルをプロジェクトごとに選択して利用しており、AIによる変更はすべて人間によるレビューのもとに置かれています。

代替手段と選定基準

4つの基準で選択してください：専任チームが扱うデータの機密性、ベンダーが本番環境にアクセスするか、契約の規模と期間、および所属業種に固有のルールがあるかどうかです。

Netbase がこれらの質問にどう答えるか

Netbase のセキュリティ実践は、セキュアコードレビューとバージョン管理、転送時のTLS暗号化と保存時のAES暗号化、ロールベースアクセス制御、管理画面へのMFA、脆弱性スキャンとペネトレーションテスト、そしてディザスタリカバリです。貢献者はNDAのもとで業務を行い、NDA・データ処理契約（DPA）・SLAはクライアントからの要請に応じて提供されます。Netbase は欧州の個人データ保護においてGDPRへの整合性、医療データ処理においてHIPAAに準拠した方法論、米国顧客基盤を持つクライアントにはCCPAコンプライアンス実践に従っています。

Netbase はISO 27001認証とSOC 2 Type II認証を保有しています。いずれもNetbase 自身の運営を対象としており、クライアントのプロダクトやホスティングを認証するものではありません。証明書の詳細はデューデリジェンス時に共有され、公開はしていません。Netbase のカスタム開発では、クライアントのために作成されたIPはクライアントが所有します。一方、Netbase のプロダクト化モジュールおよびビジネスディビジョン製品はライセンス提供であり、譲渡されません。これらの条項についてはアウトソーシング時のIP保護ガイドをご覧ください。Netbase のプロジェクトの多くは、ディスカバリ後に合意した請負契約で提供されます。同じセキュリティ条件はラボ型開発（専任開発チーム）にも適用されます。トレードオフについてはラボ型開発 vs 請負をご覧ください。詳細はセキュリティとコンプライアンスに掲載されています。

存在するデリバリー実績と存在しないもの

• 存在するもの。2020年以降、Netbase はオフショア開発およびマネージングパートナーとして、米国クライアント向けのマルチテナントクラウドERP（SaaSプラットフォーム）の開発に携わっており、中小企業向けにSaaSとして販売されています。公開記録ではクライアント名は非公開となっています。また、Netbase は自社SaaS製品であるPrintcartの構築・運営も行っています。
• 存在しないもの。Netbase の公開記録には、ペネトレーションテスト結果、インシデント履歴、監査結果、応答時間を示すものはありません。また、上記のいずれの実績も特定の管理策の証拠にはなりません。Netbase は証明書番号、日付、監査機関、適用範囲を公開していません。

このガイドの限界

• パートナー選定の支援を目的としており、アプリケーションのテストを行うものではありません。その目的にはアプリケーションセキュリティ保証をご覧ください。
• 決済や医療など規制業種には固有の要件があります。専門家への相談をお勧めします。
• 標準は変化します：ASVS、SSDF、SBOMガイダンスの最新版はレビュー当日に確認してください。
• 業務開始後にリリースごとのセキュリティを管理する方法については、アウトソーシング開発の品質ガバナンスをご覧ください。

よくある質問

ソフトウェア開発会社に聞くべきセキュリティ質問は何ですか？セキュアな開発プロセス、コードレビュー、セキュリティテスト、システムへのアクセス、個人データの取り扱い、サードパーティコンポーネント、サブコントラクター、インシデント対応、AIツールの利用、認証について確認し、それぞれの回答の根拠となるエビデンスを求めてください。

ISO 27001またはSOC 2は、開発パートナーを信頼するのに十分ですか？いいえ。どちらもベンダー自身のセキュリティ運営方法を示すものです。ベンダーが構築するソフトウェアを認証するものではないため、プロダクトに関する質問とエビデンスの確認は引き続き必要です。

開発パートナーにSBOMの提供を求めるべきですか？はい、本番環境で稼働させるソフトウェアには必ず求めてください。SBOMは各リリースに含まれるコンポーネントを一覧化するため、ライセンスや新たに発見された脆弱性を追跡できます。

リポジトリとクラウドアカウントは誰が所有すべきですか？あなた自身が所有すべきです。パートナーのエンジニアには名前付きアカウントとMFAで招待することで、ベンダーの助けなしにアクセスのレビューや削除が可能になります。

次のステップ

セキュリティ調査票または上記の質問事項をお送りいただければ、プロジェクトをリードするエンジニアとともに回答をご説明するソリューションレビューをご予約します。また、Netbase インサイトもあわせてご覧ください。

関連サービスとソリューション