SIerがオフショアを試験導入する際に、監査レベルの負荷をかけずに必要最小限のセキュリティ合意をまとめました。必須/推奨チェック（NDA・権限・データ・ログ保持）と、1枚で使える最小合意書テンプレをDL（同梱ZIP）で提供します。

「オフショアは試してみたい。でも、セキュリティが不安で社内を通せない。」

SIerの現場で、この一言が“最初の壁”になることは少なくありません。
ただし、止まっている理由は「高度な監査が必要だから」ではなく、たいていは “最小限の合意が定義されていないから” です。

そこで本記事では、監査っぽく重くせず、**2週間の試験導入を通すために必要な“最小セキュリティ合意”**を整理しました。

• 必須（Must）：これだけは決めないと始められない
• 推奨（Recommended）：あると安心。だが最初から完璧を求めない

この線引きがあるだけで、導入は驚くほど前に進みます。

なぜ“最小合意”が効くのか：不安の正体は「未定義」

セキュリティの不安は、技術の不足ではなく “責任と境界が曖昧” なことから生まれます。

• 誰が何にアクセスできるのか
• どのデータを扱ってよいのか
• ログは残るのか、残すならどこまでか
• もし事故が起きたら、誰がどう動くのか

これが未定義だと、議論は必ず“監査レベル”へ膨らみます。
だからこそ、まずは 「試験導入に必要な最小ライン」 を先に合意します。

公開サンプル：必須（Must）チェック（抜粋）

ここでは必須項目の一部を公開します（完全版テンプレはDL（同梱ZIP）で提供）。

Must 1) NDA（守秘）

• 既存NDAでOKか／新規が必要か
• 対象範囲（ソースコード・仕様・顧客情報など）
• 二次委託の扱い（必要なら明記）

Must 2) 権限（Access Control）

• 最小権限（必要な人だけ、必要な期間だけ）
• アカウントの発行・無効化の責任者
• MFAの有無（企業要件があれば前提化）

Must 3) データ（Data Handling）

• 試験導入で扱うデータの区分（本番/匿名化/ダミー）
• 個人情報・機密情報の取り扱い可否
• データの持ち出し禁止、保管場所（クラウド/社内）を明確化

Must 4) ログ保持（Log Retention）

• 何をログとして残すか（アクセス、操作、変更など）
• 保持期間（例：30/90日など）
• 監査のためではなく、“事故時に追える” 最小セットとして定義

ポイント：Mustは「安心のため」ではなく「前に進むため」。
未定義を消すだけで、過剰な議論は止まります。

公開サンプル：推奨（Recommended）チェック（抜粋）

推奨は、最初から全てを揃える必要はありません。
ただし、あると“導入後の安心”が大きく変わります。

Rec 1) インシデント対応（Incident Response）

• 連絡経路（誰に、何分以内に）
• 一次対応の役割分担（切り分け・封じ込め）
• 報告テンプレ（1枚でOK）

Rec 2) 端末ポリシー（Device Policy）

• 業務端末の前提（会社支給／BYOD可否）
• ディスク暗号化、画面ロック、ウイルス対策の最低条件
• リモートワーク時の注意（公共Wi-Fi等）

Rec 3) レビュー規約（Review Rule）

• PRレビューを必須化（証跡として残る）
• セキュリティ観点の最小チェック（秘密情報の混入、権限周りなど）
• “完璧なセキュリティレビュー”ではなく、事故を防ぐ最低限

標準成果物：SIerが“型”として提示できる3点セット

試験導入をスムーズにするには、「運用の型」を提示できることが強いです。
GCodeでは、以下を標準成果物として提示できます。

1. 1枚週次レポート（進捗・リスク・次アクション）
2. 最小QAゲート10（証跡・引き継ぎ）
3. CRルール1枚（変更管理：誰が決めるか）

セキュリティは単体で語ると重くなります。
だからこそ、運用（週次）×品質（QA）×変更（CR） とセットで“軽く・強く”します。

提供方法（3段階）：公開 → DL → 面談（上位版）

1. 公開（この記事）：抜粋サンプルを掲載
2. **DL（Download）：完全版（同梱ZIP）（最小セキュリティ合意書1枚＋Must/Recチェック）を送付
3. 面談（上位版）：御社の要件に合わせて当てはめ案を共有

売り込みは一切ありません。守秘義務のもと、概要レベルでご相談可能です。

向かないケース（適用外）

• 顧客要件で 外部アクセスが絶対不可 の場合
• 特殊コンプライアンスで 社内雛形のみ が許される場合

この場合は、既存の社内規程に合わせた設計が必要になります。

30分で得られるもの：2週間試験導入案を“概要レベル”で整理

30分のオンライン相談では、売り込みではなく、まず整理に集中します。

• 試験導入の範囲（何をやる／やらない）
• 役割（SIer/顧客/GCodeの境界）
• 成果物（証跡・引き継ぎ・週次）
• 評価軸（2週間で何をもって「いける」と判断するか）

2週間で“重い正解”を作るのではなく、
「次に進める最小の合意」を作ります。

• 30分のオンライン相談を予約する（課題整理→次の一手）

• SIer向けのオフショア運用チェックリスト／テンプレ（完全版）を受け取る
  　（「SIer向け：オフショア運用チェックリスト（完全版ZIP）」を選択）

セキュリティは、怖がるほど重くなります。
だからこそ、最初は軽く、しかし曖昧さは残さない。
その一歩を、一緒に作りましょう。