Security & Quality
セキュリティと品質
待ち時間は減らす。必要な確認は、減らさない。AIの速さを活かしながら、機密性の高いシステムにも対応できる体制で開発します。
EVOLOOPのセキュリティの考え方
AIが速く進める部分と、人が必ず確認する部分を分け、影響の大きい変更ほど手厚く確認する。それが、速さと安全を両立させる基本です。
- セキュリティガイドラインに基づいた運用を行います。
- 認証・個人情報・決済・データベース・インフラなどの変更は、エンジニアのレビューが必須です。
- 本番への反映は、ステージングで確かめ、お客様の承認を得てから行います。
Three Gates
3つの関門で、本番を守る
AIが速く進めるほど、確かめる仕組みが大切になります。EVOLOOPでは、すべての変更が「AIの自動テスト」「エンジニアのレビュー」「お客様の承認」という3つの関門を通ってから本番に届きます。
1つ目の関門は、AIによる自動テストです。変更のたびに、これまでの動きが壊れていないかを繰り返し確かめます。2つ目は、エンジニアのレビューです。認証・個人情報・決済・データベース・インフラなど、間違えたときの影響が大きい変更は、必ず人が確かめます。3つ目は、お客様の承認です。本番と同じ環境（ステージング）で実際に触っていただき、承認を得てから本番に反映します。
関門を分けておくことで、AIの速さを活かしながら、確認を省くことはありません。待ち時間は減らし、必要な確認は減らさない。それがEVOLOOPのセキュリティと品質の考え方です。
Security
4つのセキュリティ対策
日々の開発のなかで、守るべきところを守り続けます。
アクセス管理
必要な人に、必要な権限だけ。開発に関わる人と、システムを使う人の両方で、権限を絞って管理します。
- 役割ごとに、見られる情報と操作を分ける
- 不要になった権限は、速やかに取り消す
- 権限の確認は、画面ではなくサーバー側で行う
データ保護
通信と保存データを暗号化し、大切な情報を守ります。必要のない情報は、そもそも持たない設計を心がけます。
- 通信と保存データを暗号化する
- 個人情報の扱いを、設計の段階で決める
- バックアップを取り、戻せることを確かめる
コードレビュー
AIが書いたコードも、人が書いたコードと同じ基準で確かめます。影響の大きい変更は、エンジニアのレビューが必須です。
- 変更点と影響範囲を、AIが事前にまとめる
- 認証・決済・データまわりは必ず人が確認
- 古いライブラリや既知の脆弱性を確かめる
インシデント対応
万が一の際も、変更の履歴とバックアップから迅速に復旧できる体制を整えます。
- まずはひとつ前の状態に戻す
- 記録をたどって原因を特定する
- 再発を防ぐ対策をとり、ご報告する
Quality
品質を守る、開発の仕組み
AIが書いたコードも、人が書いたコードと同じように確かめてから届けます。
AIがやること
- 変更の前に影響範囲を調べる
- 自動テストをつくり、繰り返し実行する
- 変更点と、人が見るべき確認ポイントをまとめる
- 調査・変更・テストの結果を記録に残す
人がやること
- 影響の大きい変更を、エンジニアがレビューする
- 全体の設計と整合性を確認する
- ステージングでお客様に確かめていただく
- 本番に出すかどうかを判断する
AI Development
AIを使う開発で、特に気をつけていること
AIを開発の中心に置くからこそ、AIならではの注意点があります。日々の開発のなかで、次のようなことを守っています。
秘密情報はコードに書かない
APIキーやパスワードはコードとは別の場所で管理し、必要な環境にだけ渡します。
AIのコードも同じ基準で確かめる
AIが書いたかどうかに関わらず、テストとレビューの基準は同じです。
使う部品を確かめる
追加するライブラリが古くないか、既知の脆弱性がないかを確かめてから使います。
すべての変更を記録に残す
何を調べ、何を変え、どう確かめたかを残し、あとから追えるようにします。
変更が本番に届くまで
ひとつの変更は、自動テスト、レビュー、ステージングでの確認、お客様の承認を経て、本番に反映されます。どの段階で問題が見つかっても、ひとつ前の状態に戻せるようにしています。
開発環境と本番環境は分け、変更の履歴とバックアップを継続して保持します。「先週の状態に戻したい」といったご相談にも、人が対応します。
Plans
必要な安全性に合わせて選べる、2つのプラン
システムに求められる安全性の水準に合わせて、確認の深さを選べます。
標準セキュリティ
月1回、基本の健康診断。
古いライブラリ、既知の脆弱性、設定、権限、ログ、基本的な構成リスクを定期的に確認し、必要な更新・修正を行います。
強化セキュリティ
より深い設計・安全確認。
認証・認可、個人情報、ネットワーク、インフラ、監査ログ、データ保護など、より高い安全性が必要な企業向けの上位構成です。
| 確認すること | 標準 | 強化 |
|---|---|---|
| 古いライブラリ・既知の脆弱性 | ○ | ○ |
| 設定・権限・ログ | ○ | ○ |
| 基本的な構成のリスク | ○ | ○ |
| 認証・認可の設計 | — | ○ |
| 個人情報・データ保護 | — | ○ |
| ネットワーク・インフラ | — | ○ |
| 監査ログ | — | ○ |
※ 確認の内容と頻度は、システムやご要件に合わせて個別にご提案します。
Incident
万が一のときの流れ
問題が起きないように備えることと同じくらい、起きたときにどう動くかを決めておくことが大切です。
変更の履歴とバックアップを残しているので、まずは問題が起きる前の状態に戻し、業務への影響を小さくします。そのうえで、記録をたどって原因を調べ、同じことが起きないよう対策をとって、内容をご報告します。
ご契約前に確認できること
セキュリティに関する社内の規程や、確認が必要な項目があれば、ご契約前に個別にご説明します。資料は社内でのご検討にもお使いいただけます。
Checklist
社内でのご検討に
情報システム部門や決裁者の方が確認されることの多い項目です。詳細はご契約前に個別にご説明します。
- 開発したコードは、お客様の資産としてお客様の管理下に残ります
- お預かりしたコードや情報は、ご契約の内容に基づき開発の目的の範囲で取り扱います
- 影響の大きい変更は、エンジニアのレビューが必須です
- 本番への反映は、お客様の承認後に行います
- 変更の履歴を残し、問題があれば以前の状態に戻せます
- 必要なセキュリティ要件は、ご契約前に個別に確認します
FAQ
セキュリティと品質についてよくある質問
機密性の高いシステムでも任せられますか？
セキュリティガイドラインに基づいた運用で、機密性の高いシステムにも対応します。必要なセキュリティ要件は、ご契約前に個別に確認させていただきます。
AIが書いたコードの品質は大丈夫ですか？
自動テスト、エンジニアによるレビュー、ステージングでの確認を組み合わせて品質を守ります。認証・個人情報・決済・データベースなど影響の大きい変更は、必ず人がレビューします。
お預かりしたコードや情報は、どのように扱われますか？
ご契約の内容に基づき、開発の目的の範囲で取り扱います。取り扱いの詳細は、ご契約前にご説明します。
不具合が出たとき、元に戻せますか？
はい。変更の履歴を残し、問題があれば以前の状態に戻せる仕組みを整えたうえで開発します。
Next Step
アイデアを、止めない。
一緒に、次の一歩へ。
要件書がなくても構いません。新しくつくりたい、今の開発を速くしたい、古いシステムをどうにかしたい。まずは今のお話を聞かせてください。そこから一緒に整理します。