業務アプリ量産時代のデータ戦略 ― アプリは増えても、データの置き場は増やさない
Ryosuke Ishii
データパレード
市民開発とプロ開発の境界線は、思っていた場所になかった
Ryosuke Ishii
自作のツールと大手のサービスを分けているものは、技術の高さでも金額でもありませんでした。調べた範囲で言えるのは、記録を外から見ている人が何組織いるかの差です。自作は自分しか見ていません。
作った手順やつまずいた点は、体験談として別にまとめています 👉 X記事：市民開発とプロ開発の境界線は、思っていた場所になかった（体験談）
この記事は、自社用の電子契約ツールを半日で1本作り、その過程で突き当たった問いを一次資料で調べ直した記録です。
何を作ったか
契約書を送って相手に署名してもらい、締結の記録を残す、という一通りのものです。相手の修正依頼を受けて版を重ねる流れと、やりとりの履歴を相手にも開示する仕組みも入れました。
相手が大手であれば、契約は先方の仕組みで結びます。自社が発注する側として契約書を出す場面は、これまでほとんどありませんでした。いざ出すとなれば、紙に押印して送り、控えを棚に置く以外の手を持っていませんでした。相手が何を言い、どこを直したかは、メールの往復に散らばります。
いまは、送った版、相手の指摘、直した内容、締結の時刻が1本の記録に並びます。締結証明書つきのPDFは締結の瞬間にできます。更新拒絶の期限が近づけば通知が出ます。手で回すのに比べれば、遥かに良い。ただ、大手のサービスとの間には大きな隔たりがあります。その隔たりがどこにあるかを、以下に書きます。
壁は4つあると思っていました
大手との差はここにあるのだろうと、4つ挙げました。
- 政府に認められた時刻の証明
- 落ちない仕組み
- 第三者による監査
- 「自社のデータベースなら書き換えられるでしょ」への答え
一次資料で調べたところ、このうち3つは壁ではありませんでした。
時刻の証明は買えます。 総務大臣が認定する時刻認証業務のタイムスタンプは、認定事業者の公表料金で月額8,000円（税抜、月1,000スタンプ込み）から使えます。自作ツールにも組み込める部品でした。タイムスタンプ局は押す対象の中身を一切見ません。国際標準（RFC 3161）がそう義務づけています。
落ちない仕組みは、大手も約束していません。 国内の主要な電子契約サービスの約款を読むと、稼働率を非公開と明示している社があり、別の社は「中断、停止又は廃止されないこと」を不保証と書いています。「大手なら落ちない」は、契約上は買っていません。
第三者の監査は、想像していたものと違いました。 電子帳簿保存法まわりで名前の出るJIIMA認証は、製品マニュアルの記載を審査する制度で、「製品のテスト、動作確認、品質保証は行いません」と自ら明記しています。法的効力はなく、国税庁の法令・通達・告示のどこにも登場しません。位置づけは「予見可能性の確保」、つまり目印です。
残ったのは4つ目だけでした。
残った一つが、本物の壁でした
総務省の資料に、この構図がそのまま図解されています。
＜タイムスタンプを利用しない場合＞
所有するシステムの時計を用いて時刻情報を付加して保存 → Ａ自身による改ざんを防止できない
＜タイムスタンプを利用する場合＞
時刻認証事業者にタイムスタンプを付与してもらって保存 → 第三者が電子データの非改ざんを証明可能
出典：総務省「電子データの長期保存におけるタイムスタンプの必要性」 https://www.soumu.go.jp/main_sosiki/joho_tsusin/top/ninshou-law/pdf/law_17.pdf
「私は書き換えていません」という主張の証拠を、書き換えられる立場の人間が自分で作ることはできません。追記専用にしても、その設定を入れたのも自分です。
では大手は何をしているのか。「うちは改ざんしません」と言っているのではありませんでした。時刻は認定タイムスタンプ局、証明書は認証局、運用は監査法人、法的要件は認証団体、と別々の外部組織に預けています。嘘をつけば、別の誰かの記録と食い違って露見する。その構造を作っています。
なお「電子契約サービスの事業者そのもの」を国が認定する制度は、日本に存在しません。認定があるのは時刻や証明書といった部品の提供者に対してです。大手が持っていて自作が持っていないもの、ではありません。大手も持っていません。
ついでに書いておくと、事業者が消えたときに契約データがどうなるかの手当ては、自作にも大手にもありません。この領域を正面から扱った公的な指針は、2008年の経済産業省のSaaS向けガイドラインに1行あるだけでした。
設計のたびに、同じところへ戻りました
作りながら決めた要所を並べます。
- 手書き署名は入れない。画像は複製できる。本人性を担保するのは署名の絵ではなく、誰がいつ同意したかの記録のほうだと考えました
- 文書の指紋は、相手のブラウザで計算する形を取らず、サーバーで計算し直して照合する。ただし、そのサーバーは自分のものです
- 締結の記録は追記専用にし、データベースの権限で更新と削除を禁じる。それでも管理者権限を持つ自分は触れます
- やりとりの履歴は相手にも開示する。ただし、見せているのは自分のデータベースの中身です
- 締結証明書には「第三者機関による認定タイムスタンプは付与されていません」と明記する。時刻の保証は自分ではできません
どれも半日の判断で、正しいかどうかはまだ分かりません。ただ全部、作った本人が管理者であるという一点に収束します。この一点を第三者が担保しないと、相手は安心して使えません。
日本語では、この線引きに名前がありません
「市民開発」は英語圏の言葉で、日本の役所は採用していません。経済産業省のDXレポート、デジタル庁のガイドライン、IPAの白書を通しても、この語が出るのはIPA「DX動向2025」の1か所だけでした。それも「現場が主体となったDX」の言い換えとして一度きりです。
同じ資料に、日本の現状が数字で出ています。ノーコード・ローコードやSaaSによる現場主体の取り組みが「広く取り組まれている」と答えた割合は、米国46.3%、ドイツ24.9%に対し、日本は8.3%。デメリットとして「システムが乱立し管理が複雑化する」「基幹システムとデータ連携できない」「セキュリティ対策が不十分」の3点を、日本企業は他国より強く警戒しています。
出典：IPA「DX動向2025」p.27-28 https://www.ipa.go.jp/digital/chousa/dx-trend/tbl5kb0000001mn2-att/dx-trend-2025.pdf
この警戒は、上で見た境界線の話と同じことを別の角度から言っています。作れることと、任せられることは違います。
プロジェクトマネジメント協会（PMI）が市民開発の適否を判定する道具を公開していますが、7つの設問のうち技術を問うのは1つだけで、残りは費用、変更の頻度、IT部門の空き、学ぶ意欲、既製品の有無を聞きます。最初の問いは「市場に既製品はないか、社内に既存のツールはないか」です。この道具の一番大事な出力は「作らない」という結論でした。
自分の範囲で作る
自社用、身内との契約、責任を自分で取れる範囲。そこでは、自分しか見ていなくても成り立ちます。今回作ったものはそこに置きます。同じ範囲なら、次のツールも作ります。
線は「作れるか」だけで引かれていません。PMIは市民開発の保守を4つに分け、障害が起きたときの復旧と環境変化への追随は作った本人、機能の拡張と壊れる前の手当ては組織の仕事、としています。作ることと直すことは本人でよい。育てることと予防することは、見ている人が要ります。
ここから先、他人に信じてもらう必要がある範囲に踏み込むなら、見ている人を増やす側に回ることになります。認定タイムスタンプ局と契約し、監査法人の監査を受け、市販の形にして認証を取り、稼働率と停止時の扱いを約款に書き、撤退するときの手当てを自分で用意する。そしてそれを一度ではなく、毎年続ける。作る工数とは別の桁の仕事が、作ったあとに始まります。
今回のものは、その手前で止めています。半日で作ったものなので、技術の限界を語れる段階ではありません。止めた理由は範囲の選択で、それ以上のことは言えません。
線がどこにあるかは、作ってみて初めて具体的に見えました。
体験談（X記事）はこちら 👉 https://x.com/RyosanBIMania/status/2098663503636930941
出典
- 総務省「電子データの長期保存におけるタイムスタンプの必要性」 https://www.soumu.go.jp/main_sosiki/joho_tsusin/top/ninshou-law/pdf/law_17.pdf
- IPA「DX動向2025」p.27-28 https://www.ipa.go.jp/digital/chousa/dx-trend/tbl5kb0000001mn2-att/dx-trend-2025.pdf
- IETF RFC 3161（Time-Stamp Protocol） https://www.rfc-editor.org/rfc/rfc3161
- PMI Citizen Developer https://www.pmi.org/citizen-developer
- 令和3年総務省告示第146号（時刻認証業務の認定に関する規程）
ABOUT ME
㈱データパレードの代表取締役で、高田馬場の町中華「一番飯店」のChief Data Officerも務めています。BIツールのセールスエンジニア・システムエンジニア・カスタマーサクセス歴15年。大学のデータサイエンス教育で講師も担当してきました。現在は自社業務のほとんどをAIに移管し、AI10部署と50を超える自動処理が24時間動く「AI経営」を実践中。その実践知をこのブログで発信しています。
