受託開発におけるセキュリティ要件の決め方

業務システムの開発を発注する際、「機能要件は固まってきたが、セキュリティについてはどこまで決めればいいのか分からない」という相談が寄せられることがあります。特に顧客情報や機密性の高いデータを扱うシステムでは、セキュリティ要件の抜け漏れがそのまま情報漏えいなどのリスクに直結するため、機能要件と同じかそれ以上に丁寧に検討すべき領域です。

一方で、セキュリティの専門知識がない発注担当者がすべてを自力で決めることは現実的ではありません。この記事では、受託開発におけるセキュリティ要件の決め方の基本的な考え方と、開発会社とすり合わせるべき観点を整理します。

この記事の要点（30秒でわかるまとめ）

• セキュリティ要件は**「守るべきデータ」の洗い出しから始める**のが基本的な進め方
• アクセス権限・認証方式は業務フローと合わせて設計することが重要
• 機密性の高いデータを扱う場合はAIの利用範囲も要件に含める必要がある
• 詳細な技術要件は開発会社との対話を通じて具体化していくケースが多い

守るべきデータの洗い出しから始める

結論：セキュリティ要件を決める最初のステップは、システムで扱うデータのうち、どれが機密性が高く特別な保護が必要かを洗い出すことです。

顧客の個人情報、取引先の契約条件、社内の人事情報など、システムが扱うデータには機密度の異なるものが混在していることが一般的です。すべてのデータを同じレベルで保護しようとすると、コストと使い勝手のバランスが崩れてしまうため、まずは「特に守るべきデータ」を特定し、それに応じた保護レベルを設計する進め方が現実的です。この洗い出しは要件定義の初期段階で、現場を巻き込みながら行うと精度が高まります。現場を巻き込む要件定義の進め方については、現場を巻き込む要件定義のやり方で詳しく解説しています。

アクセス権限・認証方式を業務フローと合わせて設計する

結論：アクセス権限の設計は、組織図だけでなく実際の業務フローに合わせて検討することで、現場の使いやすさとセキュリティを両立しやすくなります。

役職や部署だけを基準に権限を設計すると、実際の業務に必要なデータにアクセスできない、あるいは不要なデータにまでアクセスできてしまうといったミスマッチが生じることがあります。誰がどの業務でどのデータに触れる必要があるかを業務フローに沿って整理し、それに応じた権限設計を行うことが望ましいアプローチです。

機密性の高いデータとAI活用の両立

結論：生成AIを業務システムに組み込む場合、機密情報の取り扱いについてはローカルLLMやセキュアな構成の選択肢を要件に含めて検討する必要があります。

生成AIの活用が進む一方で、「機密情報を外部のAIサービスに送信してもよいのか」という懸念から、AI活用に踏み切れない企業も少なくありません。機密性の高い情報を扱う場合は、外部送信を避けるローカルLLMの構成や、データの取り扱いルールを明確にしたセキュアな構成を選択肢として検討することで、セキュリティとAI活用のメリットを両立しやすくなります。この点については、機密情報を扱う企業のAI活用：ローカルLLM・セキュアな構成の選択肢で詳しく解説しています。

開発会社とすり合わせる技術的なセキュリティ要件

結論：通信の暗号化やログの保存期間といった技術的なセキュリティ要件は、発注者が詳細を決め切るのではなく、開発会社との対話を通じて具体化していくケースが多く見られます。

発注担当者がすべての技術要件を事前に決める必要はなく、「どのようなデータを、どの範囲の人がどう使うか」という業務的な要件を伝えたうえで、技術的な実装方法については開発会社の提案を受けながら詰めていく進め方が一般的です。

データ移行時のセキュリティ要件の見直し

結論：既存システムから新システムへの移行を伴う場合は、移行時に権限設計やアクセス制御を見直す機会として活用することが望ましいです。

長年運用してきたシステムでは、退職者のアカウントが残っていたり、権限設定が実態と合わなくなっていたりするケースが少なくありません。移行プロジェクトを機に、現状のアクセス権限を棚卸しし、必要な範囲に見直すことで、セキュリティレベルを向上させることができます。詳しくはデータ移行時のセキュリティ・アクセス権限の再設計で解説しています。

よくある質問（FAQ）

Q. セキュリティ要件は要件定義のどの段階で決めるべきですか？ A. 機能要件の検討と並行して、初期段階から「守るべきデータ」の洗い出しを始めることが望ましいです。後工程で追加すると設計の見直しが必要になる場合があります。

Q. 自社にセキュリティの専門知識がない場合はどうすればよいですか？ A. 業務上必要な権限範囲やデータの扱いについて開発会社に伝えられれば、技術的な実装方法は対話を通じて一緒に詰めていけるケースが多くあります。

Q. 生成AIを使う場合、セキュリティ要件はどう変わりますか？ A. 外部AIサービスへのデータ送信の有無や、ローカルLLMなどのセキュアな構成を選択肢に含めるかどうかを要件に組み込む必要があります。

Q. セキュリティ要件を厳しくするとコストは上がりますか？ A. 保護レベルを上げるほど実装コストが増える傾向はありますが、守るべきデータを明確にして必要な範囲に絞ることで、コストと安全性のバランスを取りやすくなります。

まとめ

受託開発におけるセキュリティ要件は、守るべきデータの洗い出しから始め、業務フローに合わせた権限設計、AI活用時の取り扱いルール、技術要件の開発会社とのすり合わせという段階を踏んで具体化していくものです。機密性の高いデータを扱うプロジェクトでは、特に初期段階からの検討が重要になります。

Irwin&co株式会社では、要件定義の段階からヒアリングを通じてセキュリティ要件を含めた仕様を一緒に整理し、初回商談では実際に動くデモを無償で提示しています。セキュリティ要件の整理から相談したい場合は、お問い合わせからご連絡ください。