審査で聞かれることを、先に書いておきます。
AI駆動開発で最初に確認されるのは、コードとデータがどこへ行くかです。
AI駆動開発で最初に確認されるのは、
コードとデータがどこへ行くかです。
審査で聞かれる項目を、ここにまとめております。個別の設定値については、セキュリティチェックシートに項目ごとにご回答いたします。公開できない内容は、NDA締結後に書面でお示しいたします。
YOUR SIDE
貴社の領域
- 本番環境（Prod）
- 本番データ
リリースは GitHub 経由でお渡しします
WHERE WE WORK
TKS の作業領域
- Staging・検証環境
- 検証用データ
- 権限管理・ログ・環境分離（Dev / STG / Prod）
本番環境での作業が必要な場合のみ、範囲・記録・承認を契約時に取り決めます
AUTOMATED
自動処理の領域
- 隔離されたサンドボックス
- AI による自動処理
貴社の本番システムに直接つながることはございません
HUMAN GATE人のレビューを経ずにマージすることはございません。
AIに渡すデータの範囲
どのコードとデータをAIに渡すかを、着手前に書面で確定いたします。本番データは原則として渡さず、検証環境のデータを用います。
AIによる自動処理は、隔離されたサンドボックス環境で実行いたします。貴社の本番システムに直接つながることはございません。
利用モデル、処理リージョン、学習への二次利用の可否は、案件ごとに異なります。着手前に書面で確定し、契約に記載いたします。
個人情報の越境移転
個人情報を含むデータをベトナムで取り扱う場合、個人情報保護法上の根拠と手当てが必要になります。移転の根拠と手当ては、契約形態ごとに個別に定めます。方針の詳細はNDA締結後にご説明いたします。
AIが生成したコードの権利
成果物の著作権帰属は契約で定めます。生成コードについても、人のレビューを経ずにマージすることはございません。ライセンス確認の具体的な手順は、案件の性質に応じて設定いたします。
貴社の基準へのご対応
権限管理・環境分離（Dev / STG / Prod）・ログの保存・レビューの手順は、日々の開発と運用に組み込んでおります。
貴社のセキュリティチェックシートには、項目ごとに書面でご回答いたします。貴社の社内規程に合わせる必要がある項目は、範囲と手順を着手前に書面で確定いたします。
CIで実際に検査していること
セキュリティテストは、すべての案件でテスト工程に含めております。オプションではございません。
シークレット検出、依存ライブラリの脆弱性検査（SCA）、静的解析（SAST）のうちどれを自動化するかは、案件の要件に合わせて決めます。
Webアプリケーションの設計と実装では、OWASP Top 10 をレビューの確認項目として用いております。
再委託の有無
ソースコードに実際に触れるのが誰かを、契約時に明示いたします。パートナーに依頼する場合も、範囲と権限を契約時に書面で確定いたします。貴社のご承諾なく再委託を行うことはございません。
アクセスと環境の分離
NDAは日英いずれにも対応いたします。アクセスは既定ではStaging・検証環境とし、リリースはGitHub経由で行います。本番環境での作業が必要な場合は、権限の範囲・操作の記録・承認の手順を契約時に取り決めたうえで対応いたします。権限管理・ログ管理・環境分離（Dev / STG / Prod）を行っております。
AIエージェント固有の項目
社内規程や帳票につなぐ以上、誤った回答だけがリスクではありません。プロンプトインジェクション対策、ナレッジベースの閲覧権限、PIIのマスキング、監査ログの保持期間は、構成に応じて設計し、設計書としてお渡しいたします。
品質を、言葉ではなく手順で
正答率は、貴社の実データで試す前にはお約束いたしません。ただし、次の項目はプロジェクト開始時に貴社と合意したうえで数字として定め、定例で実績をご報告いたします。
- PR をマージする際の完了定義（DoD）と、承認権限を持つ役割
- コードレビューの実施率と、マージに必要なカバレッジの下限
- 障害発生時の初回応答時間（重大度別）
- 運用ドキュメントの更新頻度
起きうることを先に挙げ、それぞれに手順をご用意しております。
要件変更時のすり合わせ
オフショア開発で最も手戻りが発生しやすい領域
変更管理表を運用し、影響度・工数・スケジュールを評価したうえで貴社の承認を取得。週次定例で早期に検知。
業界固有の知識不足
プロジェクトリーダーが業界用語・商習慣を事前に学習する時間を工数に組み込み。貴社の要件定義書と用語集を基にした事前理解。
コミュニケーションの齟齬
タイムゾーン・言語・文化の違い
日本時間 10–19 時対応、用語統一ルールの徹底、週次定例と必要時の日次スタンドアップ。
品質のばらつき
開発メンバーの個人差
TKS-SDD プラットフォームによる仕様駆動開発で標準化。PR ベースのコードレビューの徹底。「動けばよい」で終えない運用。
情報セキュリティ
アクセス範囲、環境分離、再委託の有無を契約時に書面で確定。詳細は本ページに記載しております。
リリース時のトラブル
事前にリリース計画を策定し、段階的なリリース手順を確立。日本時間に配慮したスケジューリングと、ロールバック手順の事前準備。
できないことは、ご契約の前に申し上げます。
- 静的なWebサイト、ファームウェア、ハードウェア単体の統合案件
- 実データでの試験運用前に、正答率や誤報率を数値でお約束すること
- 24時間の有人対応（システムによる自動対応が対象範囲です）
- ハードウェアの販売（他社をご紹介いたします）