結論から言うと、ソースコードのZIP、設計書、バックアップを受け取っただけでは引継ぎ完了ではありません。依存パッケージの版が不明、秘密情報がベンダー環境だけ、DB定義が欠落、ビルド手順が古い、復元したデータで起動しないなら、別会社は改修も復旧もできません。
正当な利用・検証権限を確認したうえで、現行版の取得、履歴、依存関係、構成、秘密情報の差替え、データ定義、ビルド、起動、テスト、DB復元、デプロイ、運用・脆弱性情報の12項目を隔離環境で実測します。12項目と90分判定はGXOの内部実務基準で、契約上の納品・権利・品質を自動で確定する公式基準ではありません。
GXOは納品物の技術診断、不足回収票、移管・再構築見積を支援します。認証回避、無断取得、本番秘密情報の持出しは行いません。完全再現、データ回復、同一性能、第三者ライセンス利用、無事故の引継ぎは保証しません。
ファイルがあることと、第三者が再現できることを分けるリンク
納品物一覧は「存在」を示すだけです。第三者再現テストは、対象版を特定し、クリーンな環境で取得し、依存物を解決し、構成を置き換え、ビルド・起動・テスト・復元まで同じ手順で繰り返せるかを証拠で示します。受領前の範囲確認は引継げる成果物15点へ戻します。
本番で動いているから納品物も動くとは限りません。本番環境には手作業設定、未記録の秘密情報、ベンダー個人アカウント、廃止済みパッケージ、ローカル修正が残っている場合があります。現行本番版と納品版のcommit・build・releaseを照合します。
IPAモデル契約は成果物、役割、検収、契約関係を検討する公式参考です。ただし個別契約の成果物範囲、著作権、利用許諾、第三者提供可否は契約ごとに異なります。技術テスト前に、発注者側の契約責任者が正当な利用・第三者検証範囲を確認します。
表は横にスクロールして全項目を確認できます
| 確認 | 答える問い | 証拠 | 残るリスク |
|---|---|---|---|
| 納品一覧 | ファイル・媒体があるか | 一覧・受領・ハッシュ | 中身・現行性・実行可否 |
| 静的確認 | 構造・版・文書を読めるか | tree・履歴・依存定義 | 環境差・秘密・データ |
| 再現テスト | 第三者が構築・起動・復元できるか | コマンド・ログ・結果 | 本番性能・全ケース |
| 移管判定 | 継続改修・復旧できるか | 不足・影響・費用・期限 | 契約・権利・事業判断 |
取得から運用・SBOMまで12項目を実測するリンク
検査はファイル名ではなく実行結果で判定します。各項目を合格、条件付き、不合格、未確認に分け、担当者、実行日時、入力版、コマンド、ログ、欠落、影響、次の行動を残します。
依存関係はロックファイル、パッケージ保管先、OS・ランタイム、外部サービス、ライセンス、廃止・脆弱性を含みます。SBOMは依存構成を共有・管理する手段の一つですが、SBOMがあるだけでビルド再現・脆弱性対応・利用許諾が完了するわけではありません。
経済産業省のSBOM導入手引Ver.2.0は作成・共有・運用、脆弱性管理、調達者・供給者の契約モデルを含みます。自社の成果物範囲と利用条件へ合わせて使い、法的なライセンス判断は専門家へ戻します。
表は横にスクロールして全項目を確認できます
| No. | 項目 | 合格証拠 | 赤信号 |
|---|---|---|---|
| 1 | 現行版取得 | 正本URL・commit・tag・hash | 本番版を特定できない |
| 2 | 履歴・差分 | 履歴・branch・未反映差分 | ZIP一つで履歴なし |
| 3 | 依存関係 | lock・取得先・版・ライセンス | 廃止/private依存が取得不能 |
| 4 | 構成・環境 | OS・runtime・環境変数一覧 | 担当PCだけの設定 |
| 5 | 秘密情報差替え | ダミー値・保管場所・更新手順 | 秘密がソースへ直書き |
| 6 | DB・データ定義 | schema・migration・初期データ | 本番DBしか構造がない |
| 7 | ビルド | 一コマンド・終了コード・成果物 | 手順どおり完了しない |
| 8 | 起動 | health・代表画面・ログ | 起動後に致命エラー |
| 9 | 自動・代表テスト | テスト版・件数・結果 | テストなし・全件skip |
| 10 | バックアップ復元 | 隔離復元・件数・整合 | 取得だけで復元未実施 |
| 11 | デプロイ・切戻し | 非本番リリース・復帰手順 | 個人しか実行できない |
| 12 | 運用・SBOM | 監視・更新・脆弱性・部品表 | 依存と更新責任が不明 |
隔離環境を作り、本番秘密情報・個人データを持ち込まないリンク
再現テストは本番環境へ直接接続せず、ネットワーク、ID、データ、請求、外部APIを分離した隔離環境で始めます。必要な外部接続は宛先・目的・期間・費用上限を承認し、送信内容を記録します。
秘密情報は値そのものではなく、必要なキー名、用途、取得・保管・更新・失効手順を確認します。ダミーまたは検証専用資格情報へ差し替え、本番鍵をソース、チャット、テストログへ複製しません。個人データは匿名・合成・最小化し、必要性と権限がなければ使いません。
取得したアーカイブ、リポジトリ、DB、イメージはハッシュと受領日時を記録し、原本を読み取り専用で保全します。解析・修正は複製で行い、変更差分と担当者を残します。マルウェア・既知脆弱性・秘密情報混入の静的検査も本番接続前に行います。
隔離環境の8条件
本番とは別の組織・アカウント・ネットワーク
最小権限の検証用IDと期限付きアクセス
本番秘密情報を使わないダミー・検証用資格情報
匿名・合成・最小化した検証データ
外部通信の宛先・内容・上限・ログ
原本のハッシュ・読み取り専用保全
解析・修正コピーと差分・担当者記録
終了時のデータ・資格情報・環境廃棄確認
ビルド・起動・テスト・復元を一続きで再現するリンク
再現手順は、新しい担当者がREADMEから開始し、環境準備、依存取得、構成設定、DB準備、ビルド、起動、代表テスト、停止、再実行まで通せることを目指します。途中で元ベンダーの口頭操作が必要なら、その操作を記録して条件付き合格にします。
ビルド成功だけで終えず、生成物の版・ハッシュ、起動時ログ、health、代表画面・API、権限別操作、外部連携のstub、終了コードを残します。自動テストが少ない場合は、売上・顧客・請求・権限に影響する代表業務を手動証拠で補います。
DBはschema適用、初期化、バックアップ復元、アプリ起動、主要件数・金額・関係の照合まで行います。復元不能なら、欠けた鍵、版、拡張、手順、権限、容量を特定し、バックアップ復元テストへ課題を渡します。
表は横にスクロールして全項目を確認できます
| 列 | 内容 | 用途 |
|---|---|---|
| 対象ID | 資産・版・commit・backup | 正本特定 |
| 環境 | OS・runtime・構成・隔離 | 再実行 |
| 実行 | コマンド・手順・担当者 | 属人性確認 |
| 時刻 | 開始・終了・所要 | 期限・費用 |
| 結果 | 終了コード・ログ・画面・件数 | 合否 |
| 欠落 | ファイル・権限・鍵・知識 | 不足回収 |
| 影響 | 改修・復旧・停止への影響 | 優先度 |
| 次行動 | 責任者・期限・費用上限 | 分岐決裁 |
90分初期判定で、再現不能の原因と停止期限を決めるリンク
最初の90分は完全修復ではなく、何があり、何が欠け、どこで止まり、事業へいつ影響するかを判定する時間です。最初の30分で契約・版・権限・資産、次の30分でビルド・起動・DB・デプロイ、最後の30分で不足、影響、4分岐を決めます。
エラーをその場しのぎで上書きせず、コマンド、標準出力・標準エラー、版、時刻、変更前後の差分を残します。同じエラーを繰り返す場合は仮説と確認結果を更新し、無制限な調査を止めて有償の回収・再構築工程へ分けます。
事業停止期限は、次のリリース、証明書・ドメイン・契約更新、障害復旧、セキュリティ対応、補助事業期限、顧客約束から逆算します。技術的には再現可能でも期限・費用が許容不能なら再構築や限定運用へ分岐します。
初期判定で持ち込む8点
契約・成果物一覧・利用許諾・受領記録
本番版・リリース日・障害・変更履歴
ソース・設計・README・環境定義
DB定義・バックアップ・移行手順
CI/CD・デプロイ・切戻し手順
クラウド・リポジトリ・保管先の正当な権限
次の停止・更新・納期・顧客影響
元ベンダーへの不足依頼と回答時系列
そのまま移管・不足回収・部分再構築・全面再構築の4分岐で決めるリンク
12項目を再現でき、版・権限・運用責任が明確なら、そのまま移管へ進みます。一部の文書・鍵・履歴・手順が不足しても取得可能なら不足回収です。旧基盤や依存だけが再現不能なら、その範囲を部分再構築します。
現行版、データ、依存、権利、回復経路が広範に不明で、調査費が新規構築に近づく場合は全面再構築を比較します。全面再構築も既存機能を推測で複製せず、残す業務・データ・法令・顧客約束を要件として再定義します。
分岐は元ベンダーへの責任追及とは別です。技術的な事業継続を先に判断し、契約不履行、権利、費用請求等は証拠を保全して専門家へ戻します。管理者権限回収14資産も並行して確認します。
表は横にスクロールして全項目を確認できます
| 分岐 | 選ぶ条件 | 承認する内容 |
|---|---|---|
| そのまま移管 | 12項目と運用責任を再現 | 引継ぎ日・旧権限・保証範囲 |
| 不足回収 | 限定した欠落を取得可能 | 不足票・依頼先・期限・代替 |
| 部分再構築 | 特定基盤・連携・工程だけ不能 | 境界・データ移行・費用期間 |
| 全面再構築 | 広範な再現不能・期限・費用超過 | 最小業務・移行・並行運用 |
まとめ：納品物一覧ではなく、別会社が再現した証拠で引き継ぐリンク
引継ぎの成否は、ソースや設計書を受領したかではなく、正当な権限を持つ第三者が隔離環境で取得、ビルド、起動、テスト、復元、デプロイを再現できるかで判断します。
12項目、隔離環境8条件、証拠8列、90分初期判定、4分岐によって、動かないZIP、担当者PCだけの設定、復元できないバックアップへ追加費を払い続ける失敗を防ぎます。項目数と時間はGXO内部基準で、完全回復や契約上の納品合格を保証しません。
GXOは第三者再現テスト、不足回収票、移管設計、部分・全面再構築の見積を支援します。権利・契約・ライセンスは技術事実と分け、認証回避や無断取得をせず、権限ある確認先へ戻します。
よくある質問リンク
ソースコード一式を受け取れば引継ぎ完了ですか？
完了とは限りません。現行版、履歴、依存、構成、秘密情報の差替え、DB、ビルド、起動、テスト、復元、デプロイ、運用を実測します。
本番環境で再現テストをしてよいですか？
最初から本番へ接続しません。正当な権限を確認し、隔離環境、検証用資格情報、匿名・合成データから始めます。
秘密鍵や本番パスワードも納品してもらう必要がありますか？
値を無条件に複製するのではなく、保管・取得・更新・失効・移管手順と正当な管理権限を確認します。検証ではダミーや専用資格情報へ差し替えます。
SBOMがあればビルド再現できますか？
保証されません。SBOMは部品管理に有用ですが、取得先、ビルド環境、構成、秘密、データ、手順、外部サービスも必要です。
90分でシステムを復旧できますか？
90分は初期判定の内部目安で、完全復旧の約束ではありません。欠落、停止期限、追加調査、4分岐を決めます。
GXOは元ベンダーの契約違反を判断できますか？
判断しません。技術的な存在・版・再現結果・欠落・事業影響を証拠化し、契約・権利の判断は責任者や専門家へ渡します。
出典・公式情報リンク
- 確認 2026-07-26
- 確認 2026-07-26
- 確認 2026-07-26
- 確認 2026-07-26
- 確認 2026-07-26
- 確認 2026-07-26
制度の要件・金額・期限は年度や公募回で変わります。最終更新日（2026-07-26）時点の公式情報に基づいて執筆していますが、申請・契約の前に必ず公式サイトで最新情報をご確認ください。
この記事の更新履歴
- 初版。第三者再現12項目、隔離環境、証拠8列、90分初期判定、4分岐を公開