MigakiWorksでは、会社の情報の守りと、起きたら困ることへの備えを、点検して終わりにせず、対策を一緒に実行するところまで伴走します。社員のAI利用の決まりづくり、AIで作った仕組みの公開前の点検、管理アカウントや支払いの守り、リスクの洗い出しと備えが対象です。外から攻撃を仕掛ける診断、安全の保証、証明書の発行は行いません。
最終更新： 文責：松下 幸平（MigakiWorks 代表）
情報システムの担当者がいない会社や事業所を想定しています。専門用語は使わず、御社の業務の言葉で進めます。
次の4つを、御社の状況に合わせて組み合わせます。どれか1つだけのご依頼もお受けします。
「AIに入れてよい情報・入れてはいけない情報」と「使ってよいAIサービスとその設定」を一枚の決まりにし、AIが出したものを人が確かめる工程を業務の中に置きます。社員の方向けの研修と組み合わせることもできます。
残るもの：一枚の決まり、確かめる工程を書いた手順
費用の目安：10万円。社員の方向けの説明を足す場合は、60〜90分 5万円／3時間 10万円
外から攻撃はせず、手元のコードと設定を読んで、公開すると実害につながりうる箇所を探します。結果は「いま公開するのは見送り」「直せば公開できる」「重大な指摘なし」の3段階で1行にし、見つかったものには「何が・どこで・放置するとどうなるか・どう直すか」を書いた指示書を付けます。直す作業の伴走と、直したあとの再点検もお受けします。
残るもの：点検報告書、直し方の指示書、点検した範囲と日付を書いた確認書
費用の目安：ライト 15万円／標準 27万円／AIを呼び出す機能つき 36万円。直した後の再点検は6万円（3か月以内）。手直しの作業は、見積りを出してから行います
仕事で使うサービスの2段階認証、パスワードの使い回し、送金や支払先の変更を別の経路で本人確認する決まり、クラウドやAIサービスの利用料の上限、作ったまま放置しているホームページ、バックアップから本当に戻せるか、会社名をかたった偽メールへの対策。専門の部署がなくても確かめられる項目について、決まりは文章にし、設定できるものは管理画面を一緒に見ながらその場で進めます。取引先から届いた情報セキュリティの確認票への回答を、実物を確かめながら一緒に整えることもできます。
残るもの：点検の記録（確かめたこと・直したこと・残っていること）、確認票の回答の下書き
費用の目安：5万円（オンライン）
情報が漏れる、システムが止まる、乗っ取られる、担当者が急に抜ける。起きうることを一覧にし、誰にどんな実害が出るか、どれくらい起きやすいかを見積もって、対策と担当と見直しの日を決めます。
残るもの：リスクの一覧表、連絡体制、止まった時の手順
費用の目安：10万円（社員30人ほどまで。それより大きい所はお見積り）
2つ目の点検は、作った方と企業の間に立つ第三者として、費用をいただいて行った実例があります。事例のページに、内容を匿名でまとめています。
医療機器の分野では、起きうる害を洗い出し、どれくらい起きやすく、起きたらどれくらい重いかを見積もり、対策を打ち、残ったリスクを受け入れてよいかを判断して記録に残す、という進め方（リスクマネジメント）を、製品が世に出る前から出たあとまで続けます。私は医療機器の開発と品質管理を2014年から10年以上担当し、この進め方の中で仕事をしてきました。会社の情報の守りも、同じ型で進めます。点検の結果を一覧にして渡すだけでは、現場は動き出しません。対策を一つずつ実行し、できたことを記録し、残っているものを次の点検に回す。その繰り返しを、隣で伴走します。
手元のコードと設定を読み、秘密情報の置き場所、ログインと権限、個人情報の扱い、連打された時の費用、壊れた時の戻し方などを確かめます。AIを呼ぶ機能がある場合は、国際的な非営利団体 OWASP の「LLMアプリケーションの重大リスク10項目」（2025年版）に沿って、見た項目と、該当しない項目を分けて報告します。見ていない項目と、見て問題がなかった項目は、報告書の上で区別します。
参考：OWASP GenAI Security Project「OWASP Top 10 for LLM Applications 2025」（英語）
https://genai.owasp.org/llm-top-10/
私が行うのは、手元のコードと設定、管理画面を読む点検です。動いているサイトに外から攻撃を送って穴を探す診断が必要な場合は、要件に合う専門の診断会社を一緒に探します。紹介の手数料は受け取りません。
報告するのは、点検した日・範囲・方法において見つかったものに限ります。見つからなかったことは問題がないことの証明ではなく、点検の範囲外や点検のあとに起きたことを含めて、安全を保証するものではありません。
私のサービスは、IPA（情報処理推進機構）が公開している情報セキュリティサービス基準適合サービスリストに載っているものではありません。取引先から「第三者が診断した証明書」を求められている場合は、その要件を満たす診断会社が必要です。
ルーターやサーバーの設定、電子カルテや会計ソフトなど業務システムの設定や改修は行いません。その製品の販売元や、担当の専門家の領域として分けます。
管理画面の点検は画面を拝見して行い、設定の変更はご自身の手で行っていただきます。パスワード、認証のコード、AIサービスの利用の鍵などを、メールやチャットで送らないでください。コードを預かって点検する場合は、受け取り方・保管する期間・点検後の削除を、先に取り決めます。
参考：IPA（情報処理推進機構）「情報セキュリティサービス基準適合サービスリスト」
https://www.ipa.go.jp/security/service_list.html
患者さん・利用者さんの個人情報をAIに入れる作業はお引き受けしない、電子カルテや介護記録ソフトの設定や仕組みは変えない、という情報の扱いのページに書いた線引きを前提に進めます。システムが止まった時の手順は、上の4つ目の中で一緒に決めます。
プライバシーマーク（Pマーク）やISMS（ISO/IEC 27001）の取得に向けた準備のお手伝いは、別のページでご案内しています。
上の4つに書いた金額は目安です（総額）。30分の無料診断で範囲を伺ったうえで、やること・やらないこと・金額を書面でお出しし、合意していただいてから始めます。私への費用は、書面でお約束した金額のほかにいただきません。セキュリティのサービスの利用料など、ほかの会社に払う費用が要る場合は、その目安も書面に書きます。
点検のあとも続けて見直したい場合は、月3万円・5万円・10万円の形でお受けします（月1回の見直し、ご相談、新しいサービスを入れる前の確認）。
何から確かめればよいかを、30分で一緒に整理します。無料診断では画面の共有は不要です。
30分の無料診断を予約する相談は無料です。その場で契約を迫ることはありません。「話を聞いてみたいだけ」「合わなければ断りたい」でも大丈夫です。無料診断のあとにお送りするのは、お約束したA4一枚だけです。そのあと、私から営業の電話やメールを重ねることはしません。
予約ページで空いている枠を選ぶと、Google Meet のリンクが届きます。受付は平日 9:30〜15:30（30分単位・オンライン）です。ほかの時間帯や電話をご希望の場合は、下のフォームかメールでお知らせください。
予約ページを開く予約ページでは、お名前・法人名・メールアドレスを伺います。
下のフォームにご記入ください。送信すると、2営業日以内に私から直接ご返信します。患者さん・利用者さん・お客様のお名前など、個人を特定できる情報は書かないでください。
フォームが表示されない場合は別の画面で開くか、kohei.matsushita@migakiworks.com まで直接お送りください。フォームは Google フォームで受け付けています。扱いはプライバシーポリシーをご覧ください。
