14年ぶりに日本が世界一を奪還し、侍ジャパンの功績が大きな話題を呼んだ第5回WBC（ワールド・ベースボール・クラシック）。その華やかな舞台の裏には、テクノロジーを活用した高いデータ分析力による貢献がありました。

今回は2009年、2023年のWBCにおいてデータ関連スタッフとして日本チームに帯同し、トラックマン（※）の野球部門の責任者を務める星川 太輔氏にインタビューを実施。野球におけるデータ活用の実態や、スポーツアナリストという職業が生まれた経緯について話を伺いました。

~~※トラックマン：レーダー技術でボールをトラッキング（追尾）し、球速や回転数、打球角度など40種ほどのデータを取得することができる弾道測定機器~~

## トッププレイヤーのデータと向き合う姿勢

#### balloon kaneko left
星川さんご自身も、かつて慶應大学の野球部に所属していたと伺いました。

#### balloon hoshikawa right
はい。大学の硬式野球部で、ピッチャー兼データ分析担当として活動していました。3年生で辞めてしまいましたが、1つ上の学年には高橋由伸さんがいましたね。卒業後はスポーツテックベンチャーの株式会社アソボウズ（現：データスタジアム株式会社）に入社し、10年ほど勤めました。その間に、プロやアマチュアの野球チームにデータ入力分析ソフトを販売したり、分析したデータを記事化したり、テレビ局に営業したり。いろんなことを経験しました。

#### balloon kaneko left
まさに現在のお仕事に通じる活動をされていたのですね。

#### balloon hoshikawa right
そうですね。データ分析スタッフとして2009年のWBCにも帯同しました。ただ、日本が世界一になって“やりきった”気持ちと、野球界をもっとよくするにはこのままではダメだという思いになりました。**球団内部に入って貢献する選択肢もありますが、外部からアプローチするほうが自分に合っているな、と。**

#### balloon hoshikawa right
それには自分のビジネススキルが圧倒的に不足していると思い、1から勉強すべく、それまでとはまったく別分野で平社員から出直そうと思いました。そこで、経営者の視点でビジネスを徹底的に学べる商社に転職。ところが4、5年ほど勤務したところで「トラックマン」に出会い、改めてスポーツ×テクノロジーの面白さに魅了されてしまい。再びこの世界に戻ってきました。 

#### balloon kaneko left
野球における「テクノロジーの活用」に関して、その変遷について教えていただけますか？

#### balloon hoshikawa right
僕が大学生の頃は、大きな模造紙にピッチャーの球種やコースなどを手で書いて壁に貼り付けていたような時代でした（笑）。当時、アソボウズ社でアルバイトをしていたのですが、年間何百試合ものプロ野球中継の映像を見て、プレイデータをひたすらデータベースに入力するという仕事内容で。そのアプリケーションも開発途中といった段階でしたから、まだまだ現場はテクノロジーの活用とは程遠い状況でしたね。

#### balloon hoshikawa right
その数年後、2000年代初頭頃からでしょうか、**まずはプロ野球界でデータの有効性に注目する動きが生まれました。**プロ野球では当時、スコアラーのみなさんが、ピッチャーの投球傾向や配球、バッターの得意・不得意などを分析していました。ただ、その手法はアナログなやり方が中心でしたので、テクノロジーの力を利用してデジタル化していこうという機運が高まったのです。

 #### balloon kaneko left
なるほど、日本のプロ野球におけるデジタル化の流れはここ20年ほどの話なのですね。ちなみに海外、特にメジャーリーグ（以下、MLB）ではもっと前からITの活用が進んでいたのですか？

#### balloon hoshikawa right
MLBも、日本と比べて特に先進的な取り組みをしていたわけではなかったようです。というのも、MLBは球団数が多いので、日本ほど細かく対戦相手を分析できないという問題があって。MLBでは自分たちのチームでスコアラーを雇うというよりも、全球団のデータを取得している会社から、各チームがデータを買う方法、そして試合前にビデオコーディネーターが編集した映像を見るというのが主流のようでした。

#### balloon kaneko left
野球はMLBのルールやしきたりが少し遅れて日本に入ってくるイメージでしたので、デジタル化という点でそこまで差がなかったとは意外でした！

#### balloon hoshikawa right
当時は、ですね。とはいえ、“データの活用”という点では、やはりMLBのほうが進んでいるなと感じる部分はありますよ。今は「ハード」の部分ではMLBも日本もそこまで大きな差はありませんが、「ソフト」の部分の差ですね。つまり“数字で語る”“数字で評価する”というカルチャーがもともとアメリカにはありますので、選手もファクトに基づいて仮説を立てながら自己研鑽する意識が高いように思います。

#### balloon hoshikawa right
実際2023年に開催された第5回WBCにもデータアナリストとして帯同しましたが、ダルビッシュ有選手や大谷翔平選手の取り組み姿勢が印象的でした。**2人とも投球練習の際に、自分の投げた球を1球1球チェックしているんです。両選手とも「投げたい」理想の球があって、“自分の感覚”と“実際の投球”との差異をデータで逐一確認しているイメージです。**同じ環境があるのですから、「日本の選手たちも、いい意味で真似してくれたらいいな」と思っていました。

#### balloon kaneko left
たしかに、現状の戦力ややり方で既に世界一に輝いているわけですから、そこにさらにデータの力がプラスされれば最強ですね！

#### balloon hoshikawa right
そうなんです。必ずしもすべてにおいてデータドリブンであるべきとは思いませんが、日本野球がさらに伸びるポテンシャルは大いにあると思います。ちなみに侍ジャパンのメンバーたちはダルビッシュ選手や大谷選手にかなり大きな影響を受けたようで、練習中に「データを取ってほしい」と声をかけられることが増えました。**そのような取り組みが報道を通じて代表以外のプロ野球選手にも伝わり、WBC期間中に各球団関係者の方から、「選手たちがデータをより意識するようになった」と連絡をいただきました。**

## 計測データの活用方法はチーム方針に左右される

#### balloon kaneko left
星川さんが野球部門の責任者を務める「トラックマン」は、他の計測システムとどのような違いがありますか？

#### balloon hoshikawa right
トラックマン以外にも「ホークアイ」や「ラプソード」、「ブラストモーション」など、さまざまなシステムがありますが、取得できるデータがそれぞれ少しずつ異なります。**例えばブラストモーションはバットのスイング軌道を測れますが、トラックマンではまだ測れません。一方、他社ではデータ精度が低い項目がトラックマンでは高精度でデータを取得できたりします。測定項目やシステムの強みが異なるがゆえに、料金や活用範囲にも差が生まれます。**

#### balloon kaneko left
そのなかでトラックマンはどのような位置づけなのでしょうか？

#### balloon hoshikawa right
金額では上から2番目ですね、プロチームは買えますけどアマチュアではちょっと高くて買えないと思います。また日本のプロ野球では、現在12球団のうち10球団が導入しています。どのシステムを使うかは各球団の判断で決められていますが、**トラックマンは日本に入ってきたタイミングが比較的早く、導入ハードルも低いので球界全体に浸透しているのではないかと思います。**

 #### balloon kaneko left
トラックマンデータの活用方法については、球団によって違いがあるのですか？

#### balloon hoshikawa right
**どの数値を重点的に見るかなど、共通する部分もあれば、異なる部分もありますね。現在は各球団に「アナリスト」と呼ばれる分析専門の職種が存在します。アナリストによってもデータの活用方法は異なりますし、現場のコーチの方針に左右される要素も大きいと思います。**

#### balloon kaneko left
トラックマンの今後の展開は？

#### balloon hoshikawa right
**アップデートを繰り返しながら、トラックマンで取得できる項目を増やすことが目標です。**最近では野手の動きもきっちり測定できるようになりましたし、ジャイロ成分や縫い目の影響など、これまで取得できなかった数字も取れるようになってきています。また、昨今アマチュアでもトラックマンを導入するリーグが増えてきましたので、活用の幅を広げていくことも今後の課題ですね。

#### balloon hoshikawa right
アメリカでは取得データの販売ビジネスが近年急激に拡大しています。日本ではまだまだ課題が多いですが、少しずつ取り組んでいけたらと思っています。それが日本のアマチュアスポーツの進化にも大きな鍵を握ると考えています。

## テクノロジーがもたらした、新たな職種

#### balloon kaneko left
トラックマンなどの測定技術の浸透が、球界にもたらした一番大きな変化は何だと思いますか？

#### balloon hoshikawa right
もちろん選手の技術力向上の面で貢献した部分もたくさんありますが、それ以上に僕は「アナリスト」という職種が生まれたことがすごく大きな分岐点になったのではないかと感じています。

#### balloon kaneko left
日本球界でアナリストという職種が生まれたのはわりと最近の話ですよね。

#### balloon hoshikawa right
**はい。MLBでは以前からアナリストの仕事がありましたが、私も現地で初めて彼らの仕事ぶりを見たときに、そのポジションのフラットさに驚かされました。アナリストが普通にコーチやGMに提言しますし、コーチもその意見を受け入れて柔軟に指導に活かしているんですよ。**
文化の違いもあり、日本ではそこまでのポジションを築けていないケースもあるかと思いますが、それでも新たに生まれた職種という意味では、とても価値のあることですね。

#### balloon kaneko left
そうですよね。ただ、同時にスポーツを専門とするアナリストの人材育成が必要になってくるということですよね。

#### balloon hoshikawa right
この10年くらいでしょうか。**スポーツテックが脚光を浴びるようになり、スポーツアナリストの仕事に興味を持つ人が増えてきました。**
いくつかの大学でスポーツ×データ活用を専門とする学部や研究室ができたり、専門学校でも学科やコースが設立されるようになりました。僕自身も現在2つの専門学校のアナリスト科で教鞭をとっているのですが、やはりとても人気があります。スポーツチームで仕事をしたいと考えたときに、昔は選手か指導者、トレーナーの選択肢しかありませんでしたが、アナリストであれば自分もチャレンジできそうだと考える方々が増えてきたのでしょうね。

 #### balloon kaneko left
ちなみに野球以外のスポーツでも、アナリストの雇用が増えてきているのですか？

#### balloon hoshikawa right
**徐々に増えています。日本の場合、プロ野球球団のような財力や体力を持ったプロスポーツチームは少ないので、間口はアメリカに比べて狭いのは事実ですが、他競技でもニーズは急激に高まっていて、アナリストが活躍している競技・チームもたくさん生まれています。**スポーツに携わりたい人たちにとっては大きなチャンスですよね。僕みたいにプレーが決して上手でない人間でも、日本代表チームの一員として名だたる選手たちと2度も世界一を経験して、感動を分かち合えるわけですから。
スポーツアナリストを目指す若い人たちにも、ぜひそのような経験を味わってもらいたい。そして、「味わえるチャンスがあるんだよ」と、伝えたいですね。

## 学生や若手アナリストの未来をつくりたい

#### balloon kaneko left
今後、星川さんの立場から、どのようにスポーツテックに携わっていきたいですか？

#### balloon hoshikawa right
大きく2つあります。
**1つ目が、高校や大学などの学生野球に“インテリジェンス”な要素を取り入れるよう呼びかけることです。**数字を解釈する方法やファクトと向き合うデータリテラシーは、社会に出てから必ず役に立つはずなので。

#### balloon hoshikawa right
**2つ目が、若手アナリストの育成です。**例えば、僕がサポートしている立命館大学の大学院生が、[アナリスト同士で情報交換を行うコミュニティサイト](https://community.camp-fire.jp/projects/view/652457)を立ち上げました。学生による学生のためのサービスで、学生同士が分析業務を行う上での課題などについてコミュニケーションを取っています。彼らの活動を育成の一環として支援することを通じて、若手アナリストたちが活躍できる場所を作っていきたいと考えています。

~~ 学生野球アナリストコミュニティ「スポテリ」のコミュニケーション画面 ~~

#### balloon kaneko left
すてきな取り組みですね！

#### balloon hoshikawa right
**スポーツの世界に限らず僕が伝えたいのは、「前例のないことにもチャレンジしてほしい」ということです。**僕が社会人になりたての頃はスポーツ界におけるデータ分析の重要性を訴えても、「何それ？」という反応が大半でした。でも、今はこうして新たな職業が生まれ、普段見ることのできない世界に飛び込むことができました。「新たな価値を世の中に提供したい」「もっと世の中をよくしていきたい」という思いがあるのであれば、エンジニアのみなさんもぜひ果敢にチャレンジしてほしいですね！

12年勤務した大手人材会社を退職後、フリーランスライターに転身。会社員時代からIT業界のクライアントとの相性がよく、さまざまなIT系企業の採用活動支援や、エンジニアのスキル開発・育成支援業務に携わってきた。いまの一番の関心ごとは、子ども向けプログラミング教育の未来について。

金子 茉由

星川さん

侍ジャパン躍進の陰に「データ」あり。チームのデータアナリストを務めた星川 太輔氏に聞く、スポーツ×テクノロジーの可能性

完成形が見えにくいシステム開発において、納期遅延やバグはもちろん、クライアントとの認識齟齬による仕様変更など、トラブルの火種は絶えません。近年ではChatGPTをはじめとした生成AIの活用が広がっており、著作権の問題など今までにない法律トラブルに巻き込まれる可能性もあります。

今回は、自身もプログラム開発の経験を持ち、ITシステム開発の事例に詳しい野溝弁護士に、近年増えているトラブルや今後エンジニアが留意するべき法律について、お話を伺いました。

### 野溝 夏生 弁護士 （第一東京弁護士会）

野溝法律事務所 所長
一橋大学大学院法学研究科法務専攻修了、ロイヤルナイト法律事務所ののち、野溝法律事務所を開業。趣味はRubyによるプログラム開発で、学生時代には企業の依頼を受けて有償のプログラム開発経験も持つ。ITシステム開発のベンダー企業の顧問契約を始め、契約書作成やリスク・ライセンスチェック、トラブルにまつわる相談を受けている。

## 増加傾向にあるアジャイル開発関連のトラブル

#### balloon kishi left
先生はご自身でもプログラム開発経験があり、IT分野に詳しいとお聞きしました。

#### balloon nomizo right
高校生の頃にPythonとRubyを勉強し、当時はLinuxをオンプレサーバーにインストールするところから始め、Twitter APIを利用してbotやクライアントを作ったり、Webサイトや簡易なWebアプリケーション制作を行なったりしていました。周囲の友人にもエンジニアが多く、新しい分野に挑戦し続けるエンジニアの方々をバックアップしたいという思いがあります。

#### balloon kishi left
直近で増えている法律トラブルの傾向はありますか？

#### balloon nomizo right
**アジャイル開発にまつわるトラブルが増えている印象があります。その背景として、アジャイル開発の案件が増加しているのが大きく影響しています。**トラブルの内容としてはウォーターフォール開発と変わるわけではなく、「完成している・していない」、「納期に遅れている」、「バグを修正してほしい」、「お金を払ってくれない」などの相談が多いですね。

#### balloon kishi left
確かに内容としてはアジャイル開発に限らず、システム開発で多いトラブルですね。なぜこのようなことが起こってしまうのでしょうか？

#### balloon nomizo right
特に上流工程において、クライアント（ユーザー）のシステム開発での自らの役割に対する理解が足りていなかったり、ユーザーとエンジニア（ベンダー）との間でのコミュニケーションが不足していたりすることが考えられます。

#### balloon nomizo right
アジャイル開発になると、コミュニケーションがより重視されることから、従来のウォーターフォール型の開発以上に、ユーザーとベンダーとの間のコミュニケーションの問題が発生しているように感じます。

#### balloon kishi left
その根本的な原因はどんなところにあるのでしょうか？

#### balloon nomizo right
必ずしもITに精通しているわけではない「ユーザー」と、ITについては専門的な知識を持つがユーザーの業務には必ずしも精通していない「エンジニア」では、共通理解も少なく、認識の齟齬がどうしても発生しやすくなります。

#### balloon nomizo right
すなわち、「ユーザー」は自らの業務や何をシステム化するかについて専門性を有し、他方で「ベンダー」はシステム開発について専門性を有しています。しかし、お互いに相手方の専門性については必ずしも精通していません。そのため、システム開発には「二重の専門性」が要求される等と表現することが多いです。

#### balloon nomizo right
例えば、「納期に遅れた」というトラブルは一見ベンダー側のみの責任のように思えますが、ユーザー側の都合で仕様が固まらずに実装期間を圧迫してしまった場合、ユーザー側にも問題があるわけです。

#### balloon kishi left
仕様についても、双方の思いにズレが生じることが多いのでしょうか？

#### balloon nomizo right
仕様についてユーザー側には「プロのベンダーが上手く汲み取って提案してほしい」という思いがあります。一方のベンダー側には「仕様にないものは開発しない」という主張があるのです。とはいえ、ベンダーはユーザーの業務に精通していないことが多いですから、この時点で既に双方の思いにズレが生じてしまっている場合も多々あるかと思います。

#### balloon kishi left
なるほど。ユーザーとベンダー、双方の思いが理解できます。

#### balloon nomizo right
**思いにズレが生じたまま開発が進んで納品された場合、ベンダー側からすると「仕様通りに作っているのだから追加開発の要望だ」として報酬を要求し、ユーザー側は「仕様通りにシステムが出来上がっていない、未完成だから報酬は払わない」主張するので、双方の意見が食い違いトラブルに発展するのです。**

## 重要な論点である「協力義務」と「プロジェクトマネジメント義務」

#### balloon kishi left
両者の主張は折り合わないように感じますが、どのような部分が論点になるのでしょうか？

#### balloon nomizo right
裁判ではよく「協力義務」と「プロジェクトマネジメント義務」について議論が交わされます。仕様の話でいえば、まずシステムはユーザーが使うものなので、何を作りたいかを知っているのはユーザーです。ですから、**どういったシステムを作るかという仕様をメインで作るのはユーザーであり、これをベンダーが把握するために必要な情報提供等の協力を行う「協力義務」がユーザーにはあります。**

#### balloon kishi left
たしかにそうですね。

#### balloon nomizo right
先ほどの納期遅延の例ですと、もし仕様が決められなくて実装時間が短くなったことが原因で納期に間に合わなかった場合、なぜ適切な時期までに仕様が決められなかったのかを考えます。仮に、ユーザーが仕様を利害関係者との間で調整できずに時間がかかったのであれば、ユーザーの責任も小さくないことが多いでしょう。

#### balloon nomizo right
ただ、ベンダーはシステム開発の実績を持っているわけですから、「こういうところはどうしますか？」と適宜質問を投げかけて詳細を詰めることで開発に支障がでないように働きかけたり、「この日までに要件定義が終わらないと納期までに納品できないですよ」とスケジュールを管理したりして、開発が円滑に進むようプロジェクトマネジメントを行う義務があります。

#### balloon nomizo right
実際問題、ユーザーはシステム開発のプロではありませんから、何をすれば良いのか分からないケースも多いので、ユーザーへの適切な働きかけが求められる場面も少なくありません。

#### balloon kishi left
ユーザーの業務実施や情報提供等を待っているだけでは、ベンダーは義務を果たせないケースもあるということですね。

#### balloon nomizo right
はい。協力義務とプロジェクトマネジメント義務については一義的なものではないので、開発がどの段階にあるのか、どういった状況なのかも踏まえ、過去の事案を参照するなどして双方が行うべき義務を理解することが必要だと考えます。場合によっては今後の事案の蓄積に期待することもあるかとは思いますが、大まかに言うとそれぞれが専門性を有する分野での役割を果たしているのかが重要なポイントです。

#### balloon kishi left
これらのトラブルはどうすれば防ぐことができますか？

#### balloon nomizo right
なかなか難しい問題ではありますが、**1つ大きなことは、お互いの役割分担を明確にしておく必要があるということです。**仕様を決定する上流工程であれば、必要に応じて「この日までにユーザー側でこの点に関する仕様を決めてください、そうでないと納期の延長が必要となります。」などといったミーティングの議事録を残すことが有効です。自らが必要な役割を果たしていることを記すとともに、ユーザーの役割を明確に記しておくと良いでしょう。

#### balloon nomizo right
双方の認識齟齬がないよう、またトラブルになった際に第三者から見てどちらに責任の所在があるかがはっきり分かるよう、各段階で証拠を残しておくことは非常に重要です。

#### balloon kishi left
議事録を取るにあたり、GoogleドキュメントやWordなど、形式はなんでも良いのでしょうか？

#### balloon nomizo right
まず、記載内容でのトラブルが生じないようにするため、議事録の内容が双方で確認されることは当然の前提となります。その上で、改ざんの問題に発展しないよう、アクセスログや変更履歴が残る方式を採用することが望ましいですが、メール、チャットなどから日時とやりとりされたファイルが特定できたり、双方の押印や電子署名により内容の変更がそもそもできなかったりといった場合であれば、形態は問いません。

## その問題の責任はどちらにある？「契約不適合責任」とは

#### balloon kishi left
システム開発は完了したけれども、後から何らかの問題が見つかって責任を問われる、といったケースもあるかと思います。

#### balloon nomizo right
**契約不適合責任が問題となる場面ですね。仕様との不一致やバグの発生を指摘され、ユーザーから修正を求められるという事例です。**仕様との不一致に関していえば、そもそもシステムの仕様は何だったのか、という点が問題となります。そして、この点を検討するにあたっては、もちろん仕様書が重要であることは言うまでもないですが、先ほどお話しした議事録の有無や記載内容も重要になってきます。

#### balloon nomizo right
特に、アジャイル開発では、仕様書が残っていない開発や、残っていても記載内容が必ずしも十分でない開発も珍しくありません。双方で仕様に関する認識の共有が十分になされていないケースも多いです。ユーザーとベンダーとが仕様に関する認識を共有できているかどうかは、契約不適合責任が争われる裁判でも重要な問題となってきます。

#### balloon kishi left
バグの不具合でトラブルになるのは、機能的に欠損しているといったことですか？

#### balloon nomizo right
そうですね。バグといっても程度は様々ですが、例えば、ちょっとした文字化けが発生してしまっているなどの軽微なバグが発生している場面では、ベンダーも修正をすることが多いということが影響していると思いますが、大きなトラブルに発展することは少ないです。

#### balloon nomizo right
他方で、システム稼働に影響が出てしまうと言えるようなバグが発生している場面では、ユーザーはシステムを利用できないわけですから、大きなトラブルに発展することも多いです。ただし、「ある機能が利用できない」とユーザーからの修正依頼があった場合、その機能がそもそもシステムの仕様に含まれていたのか、という点が争われることも少なくありません。

#### balloon kishi left
その他にもシステム開発におけるトラブルはどういった事例がありますか？

#### balloon nomizo right
プロジェクトの頓挫によるトラブルですね。納期を何回も遅らせたけれども、システムが完成しないため契約を解除したいという事態が起こりがちです。この場合、ベンダー側だけに問題があるように見える一方で、なぜ納期遅延が生じていたのか、それぞれが協力義務やプロジェクトマネジメント義務を果たしてきたのか、といった問題とも連動してきます。

#### balloon kishi left
この場合、どのようなトラブルになるのでしょうか？

#### balloon nomizo right
頓挫するまでにかかった費用をどうするかという問題ですね。ユーザーがそこまでに出来上がっていたシステムを他のベンダーに引き継いで開発してもらう場合を除けば、ユーザーはシステムでの利益が得られなかったわけで、完成していないシステムそのものに価値はないと考えるのが通常です。その中でベンダーの稼働に対してどう報酬を算出するのかは非常に難しいです。基本的には契約書でどのように定めているかが論点になります。

#### balloon kishi left
契約書に定めていないということはあり得ますか？

#### balloon nomizo right
意外と多いです。人月単価で工数を算出するというのは1つの考え方ですが、それをユーザーが納得できないケースもあります。もちろん裁判によって利益相当額の請求を出来るケースもありますが、やはり契約書で定めていないと揉めることが多いので、契約書をきちんと定め、双方で合意してから進めることをお勧めします。

## よくあるエンジニアの誤解「準委任契約は責任が軽いのでは？」

#### balloon kishi left
SESでありながら常駐先から指示を受け、これは従うべきなのかと迷うエンジニアも多いかと思いますが、そういったケースはどう対処したら良いでしょうか？

#### balloon nomizo right
SESという契約類型が法律の契約類型に存在しているわけではありませんので、当事者間での認識と実際の契約類型がはっきり合致していない場合も多く、準委任契約という名称で契約が締結されていても、その実質は「労働者派遣契約」であると捉えられる場合もあります。実際に労働者派遣契約なのであれば、常駐先の指示に従う必要があります。

#### balloon nomizo right
他方で、単なる準委任契約の場合は、責任者等を通して指示を受けなければ、偽装請負のおそれがありますので、常駐先から直接指示を受けて従うことは控えるべきでしょう。いずれにせよ、契約類型を把握することが必要となりますし、それを把握しているのは会社ですので、常駐前に会社に確認しておくべきです。

#### balloon kishi left
準委任契約において気をつけるべき点はありますか？

#### balloon nomizo right
世の中で誤解されていることが多いと感じるのは、準委任契約は請負契約よりも責任が軽いと捉えられていることです。

#### balloon nomizo right
準委任契約では、請負契約とは異なり、システムを完成させる義務を負うわけではありませんが、善管注意義務を負っています。善管注意義務とは、誤解を恐れずに簡単に言えば、ベンダーとして、システム開発のプロとしての義務を果たすという義務です。すなわち、準委任契約の場合、完成義務は負いませんから、もしある時期までにシステムが完成しなかった場合でも、完成しなかったこと自体に対する責任が直接的には問われません。
ただし、善管注意義務を負っていますから、プロとしての義務を開発期間中に果たしていたかという中で、システムが完成しなかったことも考慮される可能性があり、完成しなかったことに対する責任を負うべきかどうかも間接的には問われるわけです。

#### balloon kishi left
なるほど。エンジニアが覚えておくべき法律知識ですね。

## ソースコードの著作権問題はChatGPTでも発生するかもしれない

#### balloon kishi left
ソースコードの著作権に関しても、エンジニアが知っておくべきことがあれば教えてください。

#### balloon nomizo right
著作権は基本的にソースコードを書いたエンジニアに帰属します。会社に所属している場合は会社に帰属することがほとんどでしょう。

#### balloon nomizo right
ところで、よく契約書で、発注者側に著作権を移転するという内容がありますが、例えばコードを再利用するかどうかという点から、著作権を移転して問題ないか、移転するとしてもすべての著作権を移転してよいかどうかは考えるべきポイントです。もし著作権を移転するとしても、OSS（オープンソースソフトウェア）などのいわゆる第三者ソフトウェアの著作権は移転できません。この点は見落とされがちですので、万一のトラブルが生じないようにするためにも、その点は契約書に記しておくことが重要です。

#### balloon kishi left
そもそもOSSは自分で作ったソフトウェアではないですしね。

#### balloon nomizo right
そうですね。「ベンダーはソフトウェアが第三者の権利を侵害していないことを保証する」と契約書に記載することも多いですが、これもそれでよいのかは慎重に考えるべきポイントです。
特にOSSは、そのライセンスで第三者の権利侵害がないことが保証されていないことがほとんどです。ですので、エンジニア、ベンダーとしては、万一OSS部分に第三者の権利侵害があった場合に備え、OSS部分も含めて第三者の権利侵害がないことを保証すると契約書に本当に明記して良いのか、今一度考えていただく方が良いと思います。

#### balloon kishi left
ChatGPTに関連して、今後増えていくと想定されるトラブルはありますか？

#### balloon nomizo right
著作権の問題はChatGPTでも発生すると考えられます。例えばChatGPTにプロンプトを入れてコードを吐き出してもらった場合、たまたま誰かが著作権を有しているコードと全く同じものが出てきてしまうかもしれません。この場合、著作権侵害が成立するかどうかは議論のあるところですが、言い換えれば、そのコードをそのまま納品してしまうと、著作権を侵害してしまう可能性もあるということです。

#### balloon kishi left
ChatGPTに頼り過ぎるのはリスクが高そうですね。今は議事録の生成などをChatGPTやAIに任せるということも多いようですが、その辺りはいかがでしょうか？

#### balloon nomizo right
企業でもフリーランスでも案件を受ける時にはNDA（秘密保持契約）を結んでいると思います。そのNDAにより、コードやミーティングでのメモの内容などが秘密情報に該当する場合、ChatGPTにコードを入力してリファクタリング等の何らかの出力をさせたり、ミーティングでのメモを入力して議事録を作成させたりすることは、先方に無断でChatGPTの開発元である第三者のOpenAIに情報を開示しているとして、NDA違反となる可能性があります。そういった観点からもNDAの内容をしっかりと確認し、必要に応じて事前に先方にChatGPTを利用することの同意を得るなど、トラブルとならないように備えておくことが重要です。

#### balloon kishi left
最後に、フリーランスのエンジニアや委託会社が気をつけるべきことはありますか？

#### balloon nomizo right
今年になって、「特定受託事業者に係る取引の適正化等に関する法律」、いわゆるフリーランス新法が成立しました。まだ検討されている最中の部分もあり、すべての詳細が明らかとなっているわけではありませんが、現時点でわかっていることとしては、下請法と同趣旨の規定がフリーランスにも適用されたり、フリーランスの出産、育児や介護への配慮が求められたりすることとなっています。来年には施行される予定ですので、契約書で新たにチェックするべき事項が増えることになるでしょう。フリーランスの方も、自らを法律で守るために、これを機に契約書をしっかりと確認いただければと思います。

大学卒業後、構成作家・フリーランスライターとして、幅広いメディア媒体に携わる。現在は採用関連のインタビュー記事や新卒採用パンフレットの制作に注力しながら、SaaS企業のマーケティングにも携わっている。いま一番関心があるのは、キャンプ場でワーケーションできるのかどうか。

岸 裕介

野溝先生

システム開発で起きがちなトラブルとその要因

ユーザーとベンダー、それぞれが守るべき義務とは

トラブルを回避するためにエンジニアができること

【弁護士が解説】エンジニアが知っておくべき「トラブル回避」の法律知識

ブロックチェーン技術を活用した電子マネーとして利用されている「暗号資産」。年々市場が拡大している一方で、取引所のハッキングなどのニュースを見聞きし、セキュリティ面に不安を感じている方も多いのではないでしょうか。

国内トップクラスの取扱銘柄数と暗号資産取引量を誇る暗号資産取引所「bitbank」を運営しているビットバンク株式会社では、透明性の高い暗号資産技術であらゆる価値を流通させることに取り組んでいます。

今回は、暗号資産のサイバーセキュリティ対策のポイントや、エンジニアに求められるスキル、ユーザーが注意するべき点などを、執行役員 CCRO 橋本 健治氏に伺いました。

ビットバンク株式会社
執行役員 CCRO（Chief Compliance Risk Management Officer）
通信事業、エンターテイメント事業、決済代行事業のサービスおよび社内の情報セキュリティ業務を経験し、2018年9月よりビットバンクにSIRTとして参画。コンプライアンス・リスク管理部門を統括し、セキュリティ技術、ISMS、セキュリティ関連法規制対応等、情報セキュリティ業務全般の責任者。CISSP/CISAを保有。

## 暗号資産の「取引所」と「販売所」の違いは？

#### balloon kishi left
暗号資産の基本から教えてください。そもそも、「仮想通貨」と「暗号資産」は何が違うのでしょうか？

#### balloon hashimoto right
通貨としての違いはありません。元々は仮想通貨と呼ばれていましたが、2020年に金融庁が「暗号資産」に呼称を改めています。

#### balloon kishi left
暗号資産は従来の金融取引と比べて、どのようなリスクがありますか。

#### balloon hashimoto right
暗号資産はこれまでにない自由な資産であるため、「マネーロンダリング」など、一般的な貨幣であれば摘発される可能性が高い犯罪行為をかいくぐるケースもあります。技術と法的規制の整合性を取るのが難しい分野ですが、日本では2018年の暗号資産流失事件をきっかけに、業界全体で規制やセキュリティの強化が進んでいます。

#### balloon kishi left
なるほど。貴社では、暗号資産の「取引所」と「販売所」を運営していますが、この2つはどのように違うのでしょうか？

#### balloon hashimoto right
まず「取引所」は、利用者同士に暗号資産の売買の場を提供します。売却を希望しても買い手がいないと売買が成立せず、成立したときにだけ運営している当社が手数料を受け取ります。

#### balloon hashimoto right
もう1つの「販売所」は、利用者と暗号資産交換業者が直接取引します。業者が売り買いするためすぐに取引が成立しますが、取引所に比べると手数料が高い傾向にあります。**暗号資産取引が初めての場合、「販売所」の方が使いやすいのですが、ある程度慣れてくるとオープンな「取引所」にシフトする方が多いですね。**

#### balloon kishi left
そういった違いがあるんですね。貴社の特徴や強みについても教えてください。

#### balloon hashimoto right
暗号資産交換業者は、金融機関とスタートアップ両方の側面があります。金融機関としてお客様の大切な金融資産を守るために「資金決済法」などの法整備がされており、遵守する必要があります。その一方で、最先端のデジタル技術を活かし、既存の枠組みを越えた通貨である暗号資産を取り扱う点では、スタートアップといえます。

#### balloon kishi left
エンジニアの開発環境についてはいかがですか？

#### balloon hashimoto right
外部に開発を委託するのではなく、エンジニアを自社で採用し、セキュリティ対策も考慮してシステム開発を内製化するようにしています。取引所システムのみならず、暗号資産やブロックチェーンについても知見を持ったエンジニアが活躍しています。

## 暗号資産を守る「コールドウォレット」

#### balloon kishi left
暗号資産のセキュリティについて詳しく伺う前に、暗号資産の土台となるブロックチェーンシステムの仕組みについて教えてください。

#### balloon hashimoto right
ブロックチェーンは日本語では「分散型台帳技術」とも呼ばれます。分散型台帳技術は、端末同士でデータファイルを共有できる「P2P（ピアツーピア）ネットワーク」を採用しており、一般的な情報システムやデータベースのように特定の管理者が集約的にデータを管理するわけではありません。

#### balloon hashimoto right
ユーザーが取引を行うと、取引データが、P2Pネットワークに繋ながっているPCやサーバー上の分散台帳へ記録が残る仕組みです。内容自体も暗号化などはされておらず、台帳情報を見るとどのウォレットアドレスからどのウォレットアドレスへ送金を行ったかの送金履歴が全てが記録されています。そのため、非常に透明性が高いといえます。

#### balloon kishi left
ありがとうございます。暗号資産はサイバー攻撃を受けることも多いと思いますが、今までに起こったセキュリティに関する事件としては、どんなものがありますか？

#### balloon hashimoto right
代表的なものは2018年に起きた、不正アクセスによって、暗号資産の一つである「NEM（ネム）」が約580億円分流出したという事件です。

#### balloon hashimoto right
暗号資産関係の会社はセキュリティに細心の注意を払っていたのですが、それでも事件が起きてしまいました。その他に、2019年に約35億円分の暗号資産流出事件が起きるなど、その頃は国内の他取引業者でも被害に遭っていましたね。

#### balloon kishi left
事件後にはどのようなセキュリティ対策が行われたのでしょうか？

#### balloon hashimoto right
会社の資産とお客様の資産を別々で管理するとともに、お客様の資産は「コールドウォレット」に保管するよう法規制にて義務付けされました。

#### balloon hashimoto right
ウォレットとは、暗号資産を保管する財布のことで、コールドウォレットはインターネットと接続していないクローズドな状態で秘密鍵を管理するウォレットを指します。お客様の資産をコールドウォレットで管理することで、セキュリティの向上につながります。**コールドウォレットの義務付けからは、国内で暗号資産の流出事故は起こっていないと思います。**

#### balloon kishi left
コールドウォレットは非常に効果が大きいんですね。

#### balloon hashimoto right
はい。システムへの侵入など攻撃のほとんどは、インターネットを経由して行われます。インターネット上に提供しているシステムは、何かしら攻撃を受けて情報を抜かれる可能性があります。

#### balloon hashimoto right
ただし、インターネットと接続している「ホットウォレット」も利便性の面で必要です。出金依頼があった時に、コールドウォレットから手作業で出金のオペレーションを行うのは非常に時間と手間がかかり、要請に対してタイムリーにお応えできません。そのため、各社ではホットウォレットに会社の自己資産を置いておき立て替えて出金対応したり、ホットウォレットへ一時保管するお客様資産と同等の会社の自己資産を用意し万が一の際に備えるなど、お客様の利便性とのバランスを取りながらセキュリティ対策を進めています。

#### balloon kishi left
貴社ではどのように暗号資産を守っているのでしょうか。

#### balloon hashimoto right
コールドウォレットでお客様資産を管理するのは当然のことながら、ホットウォレットには、お客様の資産は全く置かず、ビットバンクの資産をそこに置いています。万が一、ホットウォレットの暗号資産を盗まれたとしても、被害に遭ったのはあくまでも私たちの資産なので、お客様に影響はありません。さらに、資産コントロールを徹底しており、資産を盗まれても事業継続には支障が出ないようにしています。

#### balloon kishi left
なるほど。暗号資産のセキュリティについて、業界全体での取り組みもあればお聞かせください。

#### balloon hashimoto right
暗号資産業界全体の自主規制団体として、「一般社団法人日本暗号資産取引業協会（JVCEA）」があり金融庁から認定を受けています。同協会では、各法令や法令に基づいた事務ガイドラインよりもさらに厳しい基準の規制を設けており、暗号資産交換業を営む場合は同協会への加盟が必要です。当協会から定期的な検査・監査を受け、業界全体のセキュリティ強度が高まっています。

## 「ドメイン名ハイジャック」を教訓に独自の対策を実施

#### balloon kishi left
貴社が遭遇したインシデントがありましたら、お聞かせください。

#### balloon hashimoto right
2020年にドメイン名を乗っ取られる「ドメイン名ハイジャック」の被害を受けました。サービスサイトのドメインは無事でしたが、会社のメールアドレスのドメインがハッキングに遭いました。私たちの管理するシステムではなく、利用していたドメイン登録サービスがハッキングされました。

#### balloon kishi left
その後どのような対策をしたのでしょうか？

#### balloon hashimoto right
まずは、2つの認証方法を組み合わせる「2要素認証」に対応したドメイン登録サービスに切り替えました。さらに独自で、ドメインとIPアドレスを紐づける「DNS」の情報が書き換えられていないか、外部から定期的にチェックし、自分たちが何もしていないのにもかかわらず、DNSの変更が起きたらすぐにわかるよう、アラート通知が届く仕組みも構築しています。

## 「気づき力」がサイバーセキュリティを支える

#### balloon kishi left
サイバーセキュリティ業務では、リスクをどのように可視化していくのでしょうか？

#### balloon hashimoto right
**当社では、「情報資産ベース」と「事業被害ベース」の両面からセキュリティアセスメントを行っています。**「情報資産ベース」の評価は一般的に行われているもので、社内にどのような情報資産があるか洗い出し、情報資産に対して考えられる脅威や脆弱性、セキュリティ対策がしっかりされているかを点数化し、リスクをスコア化します。

#### balloon hashimoto right
「事業被害ベース」の評価は最近登場した考え方で、特定のシステムに対し被害を発生させるために必要な侵入の仕方や経路を洗い出し、対策ができているかを一つひとつ確認して点数化していくという手法です。

#### balloon kishi left
「事業被害ベース」の評価を行うと、どんなメリットがあるのでしょうか？

#### balloon hashimoto right
「情報資産ベース」のセキュリティリスクアセスメントだけでは、詳細なリスクを可視化できないため、「事業被害ベース」の評価も行うことで安全性が高まります。

#### balloon hashimoto right
従来の「情報資産ベース」の場合、個人情報が入っているシステムのDBに対するセキュリティ対策を包括的に評価するという流れになります。一方で、**「事業被害ベース」の場合は、まずDBのなかの個人情報を盗まれるという事態を事業被害として想定し、そのDBにたどりつくルートなどを全て洗い出し、かなり細かく評価していきます。**どのようなルートがあるかを洗い出す工数だけではなく、どのような攻撃手段があるかの想像力も必要になりますが、その分セキュリティの安全性は大きく高まります。

#### balloon kishi left
2つの視点から評価することでより強固な対策ができるんですね。貴社の社内システムで実施しているサイバーセキュリティの強化策についても教えてください。

#### balloon hashimoto right
一般的な情報を取り扱う業務環境と、重要な情報を取り扱う業務環境のネットワークや端末を分離し、重要な情報を取り扱う環境はインターネットへの制限等、安易な情報の持ち出しを制限しています。こういった「境界防衛」と、守るべき情報にアクセスするものは常にチェックする「ゼロトラスト」のどちらも考慮してセキュリティ対策を行っています。

#### balloon hashimoto right
端末上で動作するMicrosoft OfficeやAcrobat Readerといったソフトウェアを使用していないのも、セキュリティ対策としてプラスになっています。業務で使うシステムはブラウザで完結しているので、Microsoft OfficeやAcrobat Readerの脆弱性を使ってマルウェアに感染させるといった攻撃は、当社のシステムに通用しません。

#### balloon kishi left
なるほど。さまざまな面から対策しているんですね。

#### balloon hashimoto right
当社のセキュリティに関する安心感をより高めるため、情報セキュリティマネジメントシステム（ISMS）の国際標準規格であるISO27001を取得しました。国内の暗号資産取引所が ISMS認証を取得することは初めての事例です。ISO27001は厳しい基準をクリアしないと取得できないので、セキュリティ対策が進んでいることを証明する指標の1つだと考えています。

#### balloon kishi left
外部機関の信頼できる評価も受けているんですね。サイバーセキュリティに携わるうえで、どんなスキルが大切なのでしょうか？

#### balloon hashimoto right
「気づき力」が重要だと思います。**論理的な思考も必要ですが、そもそも何が問題なのか気づけないと対策を立てられません。そのため、「気づき力」は非常に重要です。**

#### balloon hashimoto right
これはサイバーセキュリティだけでなく、情報セキュリティ全般、ひいては仕事全般に言えることかもしれません。また、セキュリティ対策を考えるときには、見つかった脆弱性がどのような攻撃に利用されるか想像しながら、マクロ的な視点とミクロ的な視点両方から対策を想像する必要があります。ミクロ的な視点では「OSに脆弱性があるとしたらどうすればよいのか」など部分ごとに考えていきます。マクロ的な視点では該当のシステムだけでなく利用する人手の運用を含め全体としてどのような手法であれば守れるのかを考えます。

#### balloon kishi left
マクロとミクロ、どちらの気づきも必要なんですね。

#### balloon hashimoto right
はい。セキュリティ対策は、1ヵ所でも穴があるとどうしても問題になってしまうので、全体的な視点が不可欠です。セキュリティ相談を受けた場合は、背景や運用フローの組み立てについて想像し全体を俯瞰しながら、問題がありそうなところを予想して詳細に検討する必要があります。

## ユーザーが実践するべき暗号資産のセキュリティ対策

#### balloon kishi left
暗号資産を利用する一般ユーザーにとって必要なセキュリティ対策についてお聞かせください。

#### balloon hashimoto right
ほとんどの方が、当社のような暗号資産取引所を利用すると思いますが、まず「不正ログイン」への対策が必要です。多くのサイトで、IDがメールアドレスになっています。パスワードリセットにおいて、登録したメールアドレスを使う場合が多いのですが、メールアドレスアカウント自体をハッキングされるケースが少なくありません。

#### balloon hashimoto right
メールアドレスのアカウントを乗っ取られた場合、暗号資産取引所のパスワードリセットすると乗っ取られたメールアドレスに連絡がいってしまいます。また、2要素認証などのセキュリティ対策をしていても、過去にメールで送付した本人確認書類の画像を取られ、2要素認証もリセットされてしまう事態も起きています。

#### balloon kishi left
さまざまなリスクがあるんですね。どのように対策すればよいのでしょうか。

#### balloon hashimoto right
メールアドレスのアカウントや暗号資産取引所に利用するパスワードは長めにするなどセキュリティ強度を高めるのがおすすめです。**「今日は頑張りましょう」といった文章的なパスワードであれば、ローマ字にすると長くなり、セキュリティが高まりますし、忘れるリスクも軽減できます。**また、暗号資産取引所の2要素認証を有効化するとともに、メールアカウントについても、管理画面に2要素認証が設けられているものの方がよいでしょう。

#### balloon kishi left
なるほど。不正ログイン以外で気をつけるべき手口はありますか？

#### balloon hashimoto right
偽のサイトに誘導する「フィッシング詐欺」ですね。この手口では、暗号資産交換所を語ったメールやSMSにフィッシングサイトへ誘導するURLのリンクがあるのですが、このURLリンクをクリックせず、暗号資産取引所が用意している専用スマホアプリケーションや事前にブックマークしているものを利用することが一番の対策です。

#### balloon hashimoto right
また、金融系でよくあるパターンとして、恋愛感情を抱かせて騙す「ロマンス詐欺」や儲け話で勧誘する「投資詐欺」にも注意が必要です。「送金して欲しい」と言われたら、まずは警戒しましょう。

## 「ステーブルコイン」の国内流通解禁で変わりゆく暗号資産

#### balloon kishi left
今後の暗号資産はどのように変化していくのでしょうか。

#### balloon hashimoto right
最近、法定通貨と連動することを目的に設計された暗号資産「ステーブルコイン」の国内流通が解禁されました。日本銀行でも、政府公認のデジタル通貨の発行に向けた動きがあります。こういった動きが進むと、一時期行われていたビットコイン決済のように、デジタルアセットの決済手段としての利用が活発化する可能性があると考えています。暗号資産交換業だけではなく、決済周りの業務を行う企業も増えてくるのではないでしょうか。

#### balloon kishi left
最後に、貴社で予定している取り組みについても教えてください。

#### balloon hashimoto right
デジタルアセットに特化した信託会社の設立に向けて準備を進めています。というのも、機関投資家の方々は暗号資産を新しい投機先として見ています。それに伴い、暗号資産をどこに保管するのか考える必要があるのです。

#### balloon hashimoto right
社会全体でも、より安全に暗号資産を始めとしたデジタルアセットを管理・保管してもらいたいというニーズは、今後さらに高まっていくのではないでしょうか。これからもビットバンクは、最適な暗号資産技術によってあらゆる価値を流通させ、誰もが自由になれる「オープンでフェアな社会の実現」を目指していきたいと思います。

橋本さん

暗号資産のセキュリティの現状とビットバンクが注力している対策

サイバーセキュリティを行ううえで「気づき力」が大切

暗号資産の一般ユーザーが気をつけるべき手口と対策

暗号資産の今後とビットバンクの展望

暗号資産のセキュリティ対策に必要なスキルって？ビットバンクのセキュリティ責任者が語るリスク管理の最前線

2023年「AWS Ambassadors」、「Japan AWS Jr. Champions」に選出された4名にお話を伺うため、日立製作所にお邪魔した編集部。

前編では、「AWS Ambassadors」と「Japan AWS Jr. Champions」に選出された感想や、優れたAWSエンジニアになるための秘訣についてお話を伺いました。

新しい記事