「オフショアは試してみたい。でも、セキュリティが不安で社内を通せない。」

現場でこの一言が出て、情シス・法務に相談した瞬間、話が“監査レベル”に膨らんで止まる。
中小SIerでは、わりとよく起きる光景です。

ただ、止まるのは当然でもあります。誰だって「未定義」のままでは判断できません。
多くの場合、問題は高度な監査の不足ではなく、“最小限の合意（責任と境界）が言葉になっていない” ことです。

この記事では、監査っぽく重くせずに、2週間の試験導入を社内で通すための「最小セキュリティ合意」 を整理します。
目指すのは“完璧”ではなく、曖昧さを消して前に進める状態です。

忙しい方向け：先に結論だけ

• 不安の正体は、技術よりも 「未定義（責任と境界）」
• まず合意すべきは、網羅的な監査ではなく 「試験導入に必要十分な最小ライン」
• Must（必須）／Recommended（推奨） に分けるだけで、説明が前に進みやすくなります

なぜ“最小合意”が効くのか

セキュリティの議論が重くなるのは、誰かが悪いからではありません。
最初の境界が曖昧だと、議論は「念のため」で膨らみます。

だから先に、試験導入としての最小ラインを決めます。
ここで大事なのは、最初から全部そろえないこと。線を引きます。

• Must（必須）：これがないと始められない
• Recommended（推奨）：あると安心。ただし最初から完璧は求めない

公開サンプル：Must（必須）チェック（抜粋）

Mustは「安心のため」だけではなく、前に進むためです。
（続きはダウンロードの“1枚ガイド”にまとめています）

Must 1) NDA（守秘）

• 既存NDAでOKか／新規が必要か
• 対象範囲（ソースコード・仕様・顧客情報など）

Must 2) 権限（Access Control）

• 最小権限（必要な人だけ／必要な期間だけ）
• アカウント無効化の責任者（誰が止めるか）

Must 3) データ（Data Handling）

• 扱うデータ区分（本番／匿名化／ダミー）
• 保管場所と持ち出し禁止（どこに置くか）

Must 4) ログ保持（Log Retention）

• 何を残すか（アクセス／操作／変更）
• 保持期間（例：30日／90日）

公開サンプル：Recommended（推奨）チェック（抜粋）

Recommendedは、最初から全部は不要です。
必要に応じて、段階的に足していけば大丈夫です。

Rec 1) インシデント対応

• 連絡経路（誰に／何分以内に）
• 一次対応の役割分担（切り分け・封じ込め）

Rec 2) 端末ポリシー

• 会社支給／BYOD可否
• 暗号化・画面ロックなど最低条件

Rec 3) レビュー規約

• PRレビュー必須（証跡が残る）
• 秘密情報混入の最小チェック

よくある停止パターン：最初から“監査の網羅”を狙ってしまう

試験導入の段階で「全部入り」を目指すと、社内調整が終わりません。
そこで効くのが、Must/Recommendedの線引きです。

まずはMustだけ確定して“通す”。
Recommendedは「次の段階で整える」と宣言して進める。
この順番にするだけで、稟議や説明が現実的になります。

ダウンロード：SIer向け：セキュリティ合意 最小セット（1枚ガイド）

※テンプレ集ではありません。
30分で現状を整理し、社内説明の“たたき台”ができる最小セットです。

• 1枚：Must/Recommended セルフ診断（○×で未定義が見える）
• 1枚：試験導入用「最小セキュリティ合意」書き方案（社内提示用）

30分で得られること：

• 「何が未定義で止まっているか」が見える
• 監査に飛ばず、試験導入としての説明線が作れる
• 次に決めるべき項目が1枚にまとまる

提供方法（3段階）

1. 公開（この記事）：考え方と抜粋サンプル
2. 無料ダウンロード：「SIer向け：セキュリティ合意 最小セット（1枚ガイド）」（上の2枚）
3. 面談（30分）：守秘義務のもと、貴社条件に合わせて「合意の当てはめ方」を概要レベルで整理します
   　※営業は行いません。合わなければ、その場で終えていただいて構いません。

向かないケース

• 顧客要件で 外部アクセスが絶対不可 の場合
• 特殊コンプライアンスで 社内ひな型のみ が許される場合
• 試験導入でも 本番同等の監査 が必須な場合

必要なら、ここからで大丈夫です

• 無料で受け取るのはこちら
  （「SIer向け：セキュリティ合意 最小セット（1枚ガイド）」を選択）

• 30分のオンライン相談（課題整理／当てはめ）

いま止まっている前提（情シス／法務／顧客要件）を踏まえて、
“監査にしない最小合意”をどこから作るか、概要レベルで一緒に整理します。

セキュリティは、怖がるほど重くなります。
だから最初は軽く、しかし曖昧さは残さない。
その一歩を、同じ目線で一緒に作れたら嬉しいです。