公開前チェック
¥150,000定額（税別）
10項目の点検、報告書、報告会。2週間程度。
2か月以内に修正もご依頼なら、修正費用から15万円差し引き
AIアプリの公開前ドック
ChatGPT・Codex・Claude Code・Cursorなど、AIで作ったシステムを、公開前のチェックから保守まで。
自社でAIを使って作ったシステムを、エンジニアが点検し、修正・本番公開から保守まで引き受けます。
- 公開前チェック
- 15万円定額・税別
- 報告まで
- 2週間程度
- 基準
- OWASP・IPA
2か月以内に修正もご依頼なら修正費用から15万円差し引き
営業ではなく、エンジニアが返信します。
このまま公開して、大丈夫ですか
- 自社で作ったシステムを、公開してよいか判断できない
- AIが書いたコードを、社内の誰も説明できない
- 公開後に、誰が直すのか決まっていない
- 社内や取引先に出せる、第三者の確認結果がない
何をしてもらえますか
点検、離陸、巡航。公開前チェックから保守まで、どこからでも頼めます。
- 地上で点検
公開前チェック
15万円定額・税別 - 離陸
修正・本番公開
50万円〜税別 - 巡航
保守
月額3万円〜税別
公開前チェック：OWASP・IPAの基準で10の項目を確認し、リスクと対応コストで直す順番を付けた報告書をお渡しします。報告会1回つきです。2か月以内に修正をご依頼いただくと、この費用は全額充当します。
修正・本番公開：公開前に直す指摘を修正し、ドメイン・SSL・環境変数・監視・バックアップを整えて公開します。引き継ぎ資料と、AIで開発を続けるためのルールファイル（AGENTS.md など）も整えます。
保守：公開後のアプリ保守として、ライブラリの更新、脆弱性への対応、軽微な修正を、保守運用プランで引き受けます。
何を基準に、何を確認しますか
OWASP Top 10:2025とIPA「安全なウェブサイトの作り方」を基準に、10項目のセキュリティレビューを行います。
認証・権限
A01・A07データベースのアクセス制御
A01・A05APIキーなどの秘密情報
A02・A04個人情報の扱い
A01・A04外部サービス連携
A08・A10依存ライブラリ
A03本番と開発の分離
A02バックアップ・監視
A09今後も直せる構造か
A06簡易的な脆弱性診断
A05
- 認証・権限
- ログインの仕組みと、利用者ごとに見られる画面・操作できる機能の範囲を確認します。 対応する基準は、OWASP A01（アクセス制御の不備）、OWASP A07（認証の不備）、IPA「セッション管理の不備、アクセス制御や認可制御の欠落」です。
- データベースのアクセス制御
- ほかの利用者や取引先のデータを読み書きできてしまわないかを確認します。 対応する基準は、OWASP A01（アクセス制御の不備）、OWASP A05（インジェクション）、IPA「SQLインジェクション、アクセス制御や認可制御の欠落」です。
- APIキーなどの秘密情報
- APIキーやパスワードが、コードや画面から読み取れる場所に置かれていないかを確認します。 対応する基準は、OWASP A02（セキュリティ設定の不備）、OWASP A04（暗号化の失敗）です。
- 個人情報の扱い
- 集めている個人情報の範囲と、保管・削除の方法を確認します。 対応する基準は、OWASP A01（アクセス制御の不備）、OWASP A04（暗号化の失敗）です。
- 外部サービス連携
- 決済・メール・地図などの外部サービスとの接続と、失敗したときの動きを確認します。 対応する基準は、OWASP A08（ソフトウェアとデータの整合性の不備）、OWASP A10（例外的な状況の不適切な処理）です。
- 依存ライブラリ
- 使っているライブラリに、既知の脆弱性や更新が止まったものがないかを確認します。 対応する基準は、OWASP A03（ソフトウェアサプライチェーンの不備）です。
- 本番と開発の分離
- 本番のデータや設定が、開発用の環境と混ざっていないかを確認します。 対応する基準は、OWASP A02（セキュリティ設定の不備）です。
- バックアップ・監視
- データを戻せる状態か、止まったときに気づける仕組みがあるかを確認します。 対応する基準は、OWASP A09（ログと警告の不備）です。
- 今後も直せる構造か
- 公開後に、人やAIが安全に手を入れられる構造になっているかを確認します。 対応する基準は、OWASP A06（安全でない設計）です。
- 簡易的な脆弱性診断
- 診断ツールと主要な画面の手動確認で、よくある脆弱性がないかを確かめます。 対応する基準は、OWASP A05（インジェクション）、IPA「クロスサイト・スクリプティング、CSRF、クリックジャッキングなど」です。
- OWASP Top 10:2025
- Webアプリケーションの重大なリスクを10に分類した、国際的な指標です。確認項目と指摘を、この分類に対応づけます。
- IPA「安全なウェブサイトの作り方」
- 情報処理推進機構（IPA）が公開している、ウェブサイトの脆弱性と対策の手引きです。簡易的な脆弱性診断の観点に使います。
- OWASP ASVS 5.0
- Webアプリケーションのセキュリティ検証の基準です。確認する観点の参考にします。
- CVSS
- 脆弱性の深刻度を0〜10.0で表す国際的な指標です。リスクの大きさを決めるときの目安にします。
見つかった問題は、すべて直す必要がありますか
いいえ。リスクと直す費用で仕分け、公開前に直すものを絞ります。
リスク ↓費用 →小1日以内中2〜5日大5日超
高
公開前に直す
- 1認証・権限
公開前に直す
- 2データベースのアクセス制御
公開前に暫定策、本対策は計画
中
公開後1か月以内に直す
- 3APIキーなどの秘密情報
- 6依存ライブラリ
- 7本番と開発の分離
保守の中で計画して直す
- 8バックアップ・監視
保守の中で計画して直す
低
保守でまとめて直す
- 10簡易的な脆弱性診断
受け入れて見守る
- 9今後も直せる構造か
受け入れて見守る
- 4個人情報の扱い
公開前ドック チェックリスト
SAMPLE
- 対象
- 受発注管理システム
- 作り方
- Claude Code
- 構成
- Next.js・Supabase・Vercel
- 基準
- OWASP Top 10:2025、IPA「安全なウェブサイトの作り方」
経営者向けの要約
公開前に直すべき指摘が2件あり、どちらも、ほかの利用者のデータが見えてしまう問題です。対応の目安は合わせて4日です。残る7件は、リスクと費用を比べて公開後に順に対応できます。
| 確認項目 | 基準 | 指摘 | リスク | 対応コスト | 対応 |
|---|---|---|---|---|---|
| 1認証・権限 | A01・A07 | 一般社員のアカウントで、管理者用の画面をURLから直接開けます。 | リスク 高 | 小（1日） | 低減画面ごとに権限を確認する処理を加える |
| 2データベースのアクセス制御 | A01・A05 | 一部のテーブルで行単位のアクセス制御が無効で、ほかの取引先の注文を読み出せます。 | リスク 高 | 中（3日） | 低減全テーブルに行単位のアクセス制御を設定する |
| 3APIキーなどの秘密情報 | A02・A04 | 決済サービスのキーが、開発用と本番用で同じものです。 | リスク 中 | 小（0.5日） | 低減本番用のキーを発行し直し、環境ごとに分ける |
| 4個人情報の扱い | A01・A04 | 退会したお客様の情報を、自動で消す仕組みがありません。 | リスク 低 | 大（6日） | 受容当面は月1回、手作業で削除する。件数が増えたら自動化する |
| 5外部サービス連携 | A08・A10 | 今回の確認範囲では、指摘はありません。 | 指摘なし | ― | ― |
| 6依存ライブラリ | A03 | 既知の脆弱性がある版のライブラリを使っています。 | リスク 中 | 小（0.5日） | 低減修正済みの版に更新する |
| 7本番と開発の分離 | A02 | 開発用のデータベースに、本番の顧客データの写しが入っています。 | リスク 中 | 小（1日） | 回避開発用から本番データを消し、架空のデータに置き換える |
| 8バックアップ・監視 | A09 | 自前のバックアップがありますが、実際に戻せるかを試していません。 | リスク 中 | 中（2日） | 移転データベースサービスの自動バックアップと復元機能に任せる |
| 9今後も直せる構造か | A06 | 同じ処理が複数の画面に書かれていて、直すときに漏れが出やすい状態です。 | リスク 低 | 中（3日） | 受容次にその画面を直すときに、まとめて整理する |
| 10簡易的な脆弱性診断 | A05 | 入力エラーのときに、システム内部の情報が画面に表示されます。 | リスク 低 | 小（0.5日） | 低減利用者向けのエラー表示に置き換える |
- 低減
- 直して、起こりにくくするか、起きたときの影響を小さくします。
- 回避
- 原因になっている機能やデータそのものをなくします。
- 移転
- 信頼できる外部サービスや契約に任せます。
- 受容
- 影響が小さく、直す費用が見合わないときは、記録して見守ります。
修正までご依頼なら、チェック費用15万円を修正費用から差し引きます。
報告会から2か月以内に修正・本番公開をご発注いただくと、公開前チェックの15万円（税別）を全額その費用に充てます。
公開前チェックを相談する（無料）料金はいくらですか
公開前チェックは15万円（税別）の定額です。
修正・本番公開
¥500,000〜税別
直す範囲を決めてお見積もり。
脆弱性診断
¥300,000〜税別
攻撃を試して、弱点を確かめます。
ペネトレーションテスト
個別見積もり
目的を決めて、侵入を試します。
保守
¥30,000〜月額（税別）
公開後の更新と修正を引き受けます。
※表示価格はすべて税別です。
- 公開前チェック
- 10項目の確認（簡易的な脆弱性診断を含む）、報告書、報告会1回。画面20程度・コード1万行程度まで、お申し込みから2週間程度です。
- 修正・本番公開
- 報告書の指摘から直す範囲を決めて、お見積もりします。
- 脆弱性診断
- 実際に攻撃を試して弱点を確かめる診断です。情報処理安全確保支援士が担当し、対象の画面数に応じてお見積もりします。
- ペネトレーションテスト
- 「外部から顧客データにたどり着けるか」など目的を決め、攻撃者の立場で侵入を試すテストです。情報処理安全確保支援士が担当します。
- 保守
- 既存の保守運用プランです。小規模アプリは月額30,000円、中規模アプリは月額100,000円、大規模は個別見積もりです。
報告会から2か月以内に修正・本番公開をご発注いただくと、公開前チェックの費用を全額その費用に充てます。例として、修正・本番公開が60万円の場合、チェックとの合計は60万円です（チェック15万円＋差額45万円）。
保守のプランと対応範囲は、情報処理安全確保支援士による保守運用（新しいウィンドウで開きます）で説明しています。
システム開発全体の費用の考え方はシステム開発の料金目安、契約の形は記事請負と準委任、システム開発の契約形態を不確実さで選ぶで説明しています。
なぜ、DEPARTUREに任せられるのですか
- 40万人規模のシステムを引き継ぎ、10年以上守ってきました。
- 国家資格情報処理安全確保支援士の代表が、責任者です。
- AIと人自社でもAIで開発し、エンジニアがレビューしています。
他社が作ったシステムを、引き継いで守ってきました。利用者40万人規模の競技者管理システムを引き継ぎ、10年以上にわたり運用保守を担当しました。
国家資格を持つ代表が、担当役員を務めます。サイバーセキュリティの国家資格、情報処理安全確保支援士を持つ代表の高木 翔一が責任を持ちます。
自社でも、AIで開発しています。Claude Code・Codex・Cursorを設計・開発・テスト・運用に使っています。AIの出力をそのまま納品せず、経験あるエンジニアが確認します。
作り直しを前提にしません。今あるものを活かし、止めずに直す順番を組み立てます。引き継ぎの仕事で培った進め方です。
担当役員は、代表の高木 翔一です。情報処理安全確保支援士（登録番号 013270）として、公開前チェックから保守まで責任を持ちます。
他社が作ったシステムの引き継ぎは既存システムの引き継ぎ・継続改修、自社でのAIの使い方は記事AI駆動開発の実践で紹介しています。
どう進みますか
ご相談から報告まで、2週間程度です。
- ご相談（無料）
- 秘密保持契約
- コードの共有
- 公開前チェック
- 報告会
- 修正・本番公開
- 保守
- 01
ご相談（無料）
何で作ったか、誰が使うか、いつ公開したいかを伺います。
- 02
秘密保持契約
コードをお預かりする前に、秘密保持契約を結びます。
- 03
コードの共有
GitHubなどのリポジトリに、読み取り権限で招待してください。本番環境の管理者権限やパスワードは、この段階では受け取りません。
- 04
公開前チェック
お申し込みから2週間程度で、10の項目を確認します。
- 05
報告会
報告書をもとに、見つかったこと、リスクと対応コスト、直す順番を説明します。
- 06
修正・本番公開
ご希望に応じて、直す範囲を決めてお見積もりし、修正と公開を進めます。
- 07
保守
公開後は、保守運用プランで更新と修正を引き受けます。
どんなシステムに対応していますか
作り方は問いません。24時間365日の監視と、安全の保証は対象外です。
- ChatGPT
- Codex
- Claude Code
- Cursor
- GitHub Copilot
- Lovable
- Bolt
- v0
- Replit
- Next.js
- React
- Vite
- TypeScript
- Node.js
- Python
- Supabase
- Firebase
- PostgreSQL
- MySQL
- Prisma
- Vercel
- Cloudflare
- Netlify
- AWS
- Stripe
- Clerk
- Auth.js
- Expo・React Native
ChatGPT、Codex、Claude Code、Cursor、GitHub Copilot、Lovable、Bolt、v0、Replitなど、作り方は問いません。バイブコーディングで作ったアプリも、自社で作ったものも、外注先がAIで作ったものも対象です。技術構成は、上記以外も対応できるかをお伝えします。新しくシステムを作る場合はAI駆動システム開発をご覧ください。
対象外は、24時間365日の監視と、安全であることの保証です。確認した範囲で見つかったことを報告します。
よくある質問
01Claude Code以外（ChatGPT、Codex、Cursor、Lovableなど）で作ったものも見てもらえますか？
はい。作り方は問いません。ChatGPT、Codex、Claude Code、Cursor、GitHub Copilot、Lovable、Bolt、v0、Replitなどで作ったシステムや、バイブコーディングで作ったアプリを確認します。自社で作ったものも、外注先がAIで作ったものも対象です。
02何を基準にチェックしますか？
OWASP Top 10:2025とIPA「安全なウェブサイトの作り方」を基準に、10の確認項目を組んでいます。OWASP ASVS 5.0を確認する観点の参考にし、リスクの大きさはCVSSを目安に決めます。
03見つかった問題は、すべて直さないといけませんか？
いいえ。リスクの大きさと直す費用を比べて、低減・回避・移転・受容の4つから対応を選びます。公開前に直すべきものと、公開後に計画して直すもの、受け入れて見守るものを分けてご提案します。
04エンジニアがいない会社でも、法人として依頼できますか？
はい。法人・企業のお客様向けのサービスで、エンジニアではない経営者や事業責任者の方からのご相談を想定しています。報告書の最初に経営者向けの要約を置き、報告会では専門用語を使わずに説明します。
05コードはどうやって渡せばよいですか？ 秘密保持契約は結べますか？
コードをお預かりする前に、秘密保持契約を結びます。そのうえで、GitHubなどのリポジトリに読み取り権限で招待してください。招待の手順もご案内します。パスワードをメールで送っていただく必要はなく、本番環境の管理者権限もチェックの段階では受け取りません。
06チェックだけ、保守だけの依頼もできますか？
はい。公開前チェック、修正・本番公開、保守のどこからでもご依頼いただけます。すでに公開しているシステムの保守だけのご相談もお受けします。
07公開前チェックと、正式な脆弱性診断は何が違いますか？
公開前チェックは、コードと設定を読んで問題を探すコードレビュー（セキュリティレビュー）で、診断ツールと主要な画面の手動確認による簡易的な脆弱性診断を含みます。実際に攻撃を試して弱点を確かめる脆弱性診断は、情報処理安全確保支援士が担当する別メニューとして、30万円〜（税別）でお受けします。
08ペネトレーションテストもできますか？ 脆弱性診断とは何が違いますか？
はい。脆弱性診断は、画面や機能ごとに弱点がないかを網羅的に調べます。ペネトレーションテストは、「外部から顧客データにたどり着けるか」などの目的を決め、攻撃者の立場で実際に侵入を試します。どちらも情報処理安全確保支援士が担当し、ペネトレーションテストは目的と範囲を伺って個別にお見積もりします。
09AIで作ったシステムのコードレビューを外注すると、費用はいくらですか？
公開前チェック（コードレビューと簡易的な脆弱性診断）は15万円（税別）の定額です。見つかった問題の修正は、報告書の指摘から直す範囲を決めてお見積もりし、目安は50万円〜（税別）です。範囲を固定できる場合は請負、進めながら決める場合は準委任で契約します。
10どのくらいの期間がかかりますか？
公開前チェックは、お申し込みから2週間程度です。画面20程度・コード1万行程度を超える場合は、事前に期間と費用をお伝えします。修正・本番公開の期間は、お見積もりのときにお伝えします。
11作り直しになることはありますか？
作り直しを前提にはしません。今あるものを活かして直す順番を組み立てます。直すより作り直すほうが早い部分があれば、理由と費用を比べてご提案します。
12公開後に問題が起きたら、どう対応してもらえますか？
保守運用プランで対応します。システム保守の費用は、小規模アプリで月額30,000円（税別）からです。ご予算内で優先度に応じて対応し、CVSS 7.0以上の深刻な脆弱性は、原則14日以内に更新します。
13社内でAIを使って開発を続けながら、保守もお願いできますか？
はい。AIで開発を続けるためのルールファイル（AGENTS.md など）を整え、社内で加えた変更も保守の中で確認します。
14報告書は、社内の稟議や取引先への説明に使えますか？
はい。経営者向けの要約、基準に沿った指摘、リスクと対応コスト、直す順番をまとめているので、そのまま説明に使えます。ただし、安全であることを保証する書類ではありません。
15公開前チェックの費用は、修正を頼んだら差し引かれますか？
はい。報告会から2か月以内に修正・本番公開をご発注いただくと、公開前チェックの15万円（税別）を全額その費用に充てます。