セキュリティ・ガバナンス

セルフホスト、オンプレミス、社内VPC、プライベートクラウド、完全閉域環境などの利用可否と詳細仕様は、提供範囲、構成、契約条件によって異なります。「社内に置くから安全」と判断せず、データフロー図と運用ルールを作成し、最新の公式資料・契約書・セキュリティチェックシートと照合してください。閉域要件での検討例は、金融機関のレガシーコード解析事例で確認できます。

コードや設計資料の保存先、通信経路、操作履歴やアクセスログを取得・監査できる範囲を整理します。これらは提供範囲・構成・契約条件によって変わるため、社内のセキュリティ確認プロセスに沿って個別に確認します。確認項目の整理例は、金融機関のレガシーコードをJiteraで解析するにまとめています。

そのままは登録しません。顧客名、契約上の機密情報、個人情報、認証情報は、許可された範囲で匿名化または除外します。登録可否、アクセス権限、マスキング、保持期間、参照してよい部署・案件・利用目的の範囲を、契約条件と社内規程に従って決めてください。受託開発での登録ルールは、RFPからの提案書初稿作成事例で解説しています。

組織として利用状況や成果物を把握しにくくなる点が問題です。チームに蓄積されたコードやドキュメントを共通のコンテキストとして扱えなければ、AI活用の知見も個人に閉じます。チームで共有できる利用環境と、知識を蓄積し続ける仕組みの整備が求められます。個人利用から組織利用へ広げた例は、ゲーム開発でのJitera活用ガイドで紹介しています。

登録時のルール次第で追跡しやすくなります。資料に機密区分、版、適用期間、作成者、確認者を記録し、出力には根拠となる資料と不足している情報を示させます。判断経緯が会議の会話や個人の記憶にしか残っていない状態を避けることが要点です。判断根拠の残し方は、再発防止に集中できる品質管理へで解説しています。