監査・知財防衛

独立系セカンドオピニオン・技術顧問

「外部ベンダーに丸投げで開発されたシステム、本当にこのままリリースして知財・セキュリティーリスクは無いのか？」
「ITベンダーから提示された設計や見積もり、本当に妥当な金額なのか？」
ブラックボックス化した開発プロセスと、水面下で肥大化する法的・金銭的リスクに、危機感を抱いていませんか？

ソースコード・OSSライセンス監査：

弊社代表は、ソニーグループ時代、グループ社代表として「ソニーグループ全社OSS（オープンソースソフトウェア）委員会」に就任。グループ社内における大規模なOSSコンサルティングを実践し、全社法務部門やOSS委員会と直結して世界基準のライセンスガバナンス、コンプライアンス、知財訴訟リスク対応を実務レベルで徹底的に掌握してきた実績があります。

外部ITベンダーへの丸投げによるブラックボックスを解体。GPL違反等のライセンス汚染や、製品回収・コード強制開示に発展しかねない致命的リスクをソースコードレベルで検知・排除します。

この大企業最高峰のガバナンス実績と、NEC時代に培った官庁・防衛・金融インフラの超堅牢な設計思想をベースに、大企業および先進企業へ向けての「防衛サービス」をダイレクトに提供します。

監査・知財防衛（AI Provenance & 総合技術監査）：

現代のソフトウェア開発、特に生成AI（LLM）を組み込んだAI駆動開発や外部ベンダーへの委託開発には、既存のスキャナーや法務チェックでは100%素通ししてしまう、新たな知財・セキュリティの地殻変動（リスク）が起きています。

+ AI生成コードによるライセンス剥がれ・GPL汚染リスク
+ AIの単独出力による「著作権の蒸発（資産化の失敗）」
+ プロンプトやデータの「拾い食い」による難読化バックドア（データ汚染）

当社の監査サービスは、ソースコードを静的にチェックするだけの「作法」ではありません。成果物の「血統（Provenance：由来・出所）」を根本から追跡・証明・封印し、御社の知財と開発予算を水際で死守する「最高位のシステム総合診断・セカンドオピニオン」です。

4つの防衛レイヤーを統合した『Provenance』監査

当社は、受託成果物の「予防・検出・記録・封印」を一本の背骨で繋ぎ、裁判や厳格な監査に100%耐えうる証明書（エビデンス）を構築します。

1. AI Provenance（血統・由来の証明）
AI生成直後のコード（[AI-Gen]）と、人間の手によるレビュー・リファクタリング後のコード（[Human-Review]）のGitコミット履歴を完全分離して監査します。人間がどこに「創作的寄与（Judge & Decision）」を行ったかを客観的差分として証明することで、AI生成コードがパブリックドメイン化するリスクを防ぎ、御社の「独占的資産」としての著作権帰属を確定させます。

2. Attention（文脈・入力）の検疫監査
エンジニアや委託先ベンダーが、ネット上の出所不明なプロンプトやデータ（Base64等で難読化されたAIジャックインジェクション等）を「拾い食い」していないかをプロセスレベルで診断します。AIのAttention（文脈）が乗っ取られ、人間の目をすり抜けてバックドア入りコードが自動生成される現代の新たな脅威を排除します。

3. SCANOSS ✕ SBOM による汚染検出
オープンソース（OSS）のライセンス表記が剥がれた状態の「コード片（snippet）」が混入していないかを、1億ファイル超のOSSKBとフィンガープリント照合するSCANOSSを用いて徹底検出。同時に、2026年9月義務化のEUサイバーレジリエンス法（CRA）等に準拠した機械可読な製品成分表「SBOM（CycloneDX形式）」を生成し、サプライチェーンの透明性を担保します。

4. VEX（脆弱性正当化）による「CVE baseline」の確定
Grype等の最新スキャナーを用いて既知の脆弱性（CVE）を洗い出すだけでなく、「その脆弱性が含まれるAPIは実質未使用であるため影響なし（not_affected）」といった正当化（justification）をCycloneDX VEXを用いて証跡化します。ノイズを排除した「納品時点の明確な責任分界線（CVE baseline）」を確定させます。

最終成果物：『PROVENANCE.md』による署名封印

上記の監査ログ、権利区分、SBOM、CVE/VEX情報にいたるすべての添付資料のハッシュ値を1つの台帳ファイル『PROVENANCE.md』に集約。これを暗号鍵（GPGまたは git tag -s）を用いて署名・封印して納品します。

これにより、成果物の改竄が不可能な「出所証明書」が完成します。御社の法務・知財・セキュリティ部門が即座にGOサインを出し、安心して本番昇格や資産査定（デューデリ）へと突き進める「真っ当なソフトウェア」のインフラを構築します。

提供プラン（完全予約・事前審査制）

ベンダー成果物の技術セカンドオピニオン（スポット監査）
外部ITベンダーから納品されたコードやシステムに「知財の地雷」「データ汚染」「不実な見積もり」がないかを冷徹に診断・あぶり出し、対ベンダーの主導権を奪還します。

継続的脆弱性・知財監視顧問（リカーリング契約）
確定させた「CVE baseline」を起点に、未来に発生する新たな脆弱性や法規制のアップデートに対し、御社の生きたSBOMを継続監視・防衛し続ける技術顧問サービスです。

弊社は、最先端AI時代における企業の製品・知財・予算を水際で死守する、
独自の「AI世代のゲートキーパー」であり、
ハイテク領域における御社の頼るべき「かかりつけ医」として機能します。