これは何か
秘密情報・鍵管理台帳は、システムが動くために使う秘密の値（パスワード、接続の認証情報、暗号の鍵、外部サービスの認証トークン、証明書）を、何が・どこに・誰の管理で・いつ入れ替えるかを書き出した成果物です。値そのものは書きません。「どこにあるか」と「どう扱うか」を書きます。
秘密の値は、プログラムや設定ファイルに直接書かれ、履歴に残り、共有の文書に貼られ、退職した人の手元に残ります。漏れたときに「どこで使っているか」が分からなければ、入れ替えもできません。この台帳は、秘密の値を「置き場所を決めて管理するもの」にするための台帳です。
なぜ作るか
- 秘密の値の置き場所を 1 か所に決め、プログラムや文書に散らばらせない
- 漏れたかもしれないとき、影響する場所と入れ替えの手順をすぐ出せるようにする
- 定期的な入れ替え（ローテーション）を、担当者の記憶ではなく台帳の期限で回す
- 開発・テスト・本番で別の値を使い、本番の値を開発者が持たないようにする（08-05 開発者は本番データを自由に見てよいのか、09-03 開発・テスト・本番をなぜ分けるのか）
誰が使うか・いつ作るか
- 作る人：セキュリティの責任者と、基盤を担当する会社。各システムの開発の取りまとめ役が自分の領域の項目を登録する
- 使う人：基盤・運用の担当、各ベンダーの開発者（置き場所の決まりに従う側）、監査に対応する人
- 一般的には、開発環境を作る前に置き場所の決まりを決め、環境と連携が増えるたびに項目を足します
- アステリア案件の秘密情報の置き場所、台帳の有無、入れ替えの周期は、正本に記載がありません。未確定
CASE FACTFROZEN正本に記載されたアステリア案件の事実
秘密情報に関係する記載
- システムに SYS-08 認証・ID基盤、SYS-09 開発・CI/CD基盤、SYS-10 AI開発エージェント がある
- 外部サービスとの連携：IF-04 工数連携 勤怠・工数SaaS → 連携基盤 → 新基幹
- Vendor B クラウドブリッジの担当範囲に IAM、CI/CD が含まれる
- 成果物に SEC-003 本番特権アクセス管理表 がある
- P-012 石井 稔 — セキュリティ責任者
どんな秘密の値があり、どこに置かれ、誰が管理し、いつ入れ替えたかは、正本に記載がありません。未確定
主な項目
一般的には、秘密の値 1 件ごとに次の項目を持ちます。値そのものは書きません。
- 識別名と種類：何の秘密か（データベースの接続、外部サービスの認証、暗号の鍵、証明書 など）
- 使う場所：どのシステムの、どの部品が、どの環境（開発・テスト・本番）で使うか
- 置き場所：専用の保管の仕組みのどこにあるか。プログラムや設定ファイルに直接書かない決まり
- 持ち主：発行・入れ替え・廃止を決める役割（会社と役割）
- 取り出せる人・仕組み：人なら役割、仕組みなら部品の名前。最小限にする
- 入れ替えの周期と手順：いつ入れ替えるか（期限）、入れ替えの手順、入れ替え中に止まらないための順序
- 漏れたときの手順：影響する場所、入れ替えの順番、連絡先、記録
- 最後の入れ替え日と次の期限
教材用サンプル成果物の読み方を学ぶための例
教材用サンプル — 台帳の抜粋と、置き場所の決まり
この成果物は学習用サンプルです。FROZEN正本に記載されたCASE FACTと、成果物の読み方を学ぶための教材用サンプル値を区別して表示しています。
次の表は、台帳の書き方を学ぶための例です。値は一切書かず、識別名・場所・持ち主だけを持ちます。内容はすべて教材上の架空の例で、アステリア案件の記録ではありません。
| 識別名（教材上の例） | 種類 | 使う場所 | 置き場所 | 持ち主 | 取り出せる | 入れ替え周期 | 次の期限 |
|---|---|---|---|---|---|---|---|
| 新基幹-DB-本番 | データベース接続 | 新基幹の業務処理（本番） | 保管の仕組み／本番区画 | 基盤を担当する会社 | 新基幹の実行部品のみ | 90 日 | 来月 15 日 |
| 工数SaaS-連携-本番 | 外部サービスの認証トークン | 連携基盤の取り込み処理（本番） | 保管の仕組み／本番区画 | 連携を担当する会社 | 連携基盤の実行部品のみ | 提供元の期限に従う | 再来月 1 日 |
| 連携-署名鍵 | 暗号の鍵 | 連携基盤と新基幹の間の署名 | 鍵管理の仕組み | セキュリティの責任者 | 署名の部品のみ。人は取り出せない | 1 年 | 来年 3 月 |
| 画面-証明書 | 証明書 | 利用者向け画面の通信 | 証明書管理の仕組み | 基盤を担当する会社 | 自動更新の仕組み | 自動更新（期限 60 日前） | 自動 |
| 決まり（教材上の例） | 内容 |
|---|---|
| 直接書かない | プログラム、設定ファイル、履歴、チャット、文書に値を書かない。自動の流れで混入を検査する |
| 環境ごとに別の値 | 開発・テスト・本番で同じ値を使わない。本番の値は本番区画からしか取り出せない |
| 人は原則持たない | 実行部品が自動で取り出す。人が取り出すのは障害対応などの例外で、申請と記録を残す |
| 入れ替えは止めずに | 新旧 2 つの値が同時に有効な期間を作り、使う側を切り替えてから古い値を無効にする |
読み方
- 台帳に値そのものが書かれていないか（書かれていたら、その時点で台帳が秘密の漏れ口になる）
- 使う場所と環境が書かれ、本番の値を開発環境で使っていないか
- 取り出せる人が最小限か。「開発者全員」になっていないか
- 入れ替えの期限が過ぎていないか。自動で入れ替わるものと人が行うものが分かれているか
- 漏れたときの手順が、台帳から追える形になっているか
書き方
- 置き場所の決まりを先に決め、専用の保管の仕組みを用意する
- システムごとに秘密の値を洗い出し、台帳に登録する（値は登録しない）
- プログラムや履歴に混入していないかを、自動の流れで検査する
- 入れ替えの手順を一度実際に通し、止まらずに入れ替えられることを確かめる
- 期限の近い項目を定期的に（たとえば月に 1 回）見る
何を書いてはいけないか
- 値そのもの（どんな形でも）
- 「関係者で共有」のような、取り出せる人の範囲が分からない書き方
- 入れ替えの期限のない項目（永遠に同じ値が使われる）
- 実在の製品名を、案件の正式な採用として書くこと（正本に記載がない）
どこを見るか
- 値が書かれていないこと
- 使う場所・環境と、本番の値の隔離
- 取り出せる人・仕組みの最小化
- 入れ替えの期限と手順
- 漏れたときの手順
赤信号
- 本番の接続情報が、設定ファイルや履歴に直接書かれている
- 同じ値が開発・テスト・本番で使い回されている
- 退職者や契約の終わった委託先が、まだ有効な値を知っている可能性がある
- 入れ替えが一度も行われておらず、稼働時の値がそのまま使われている
よくある失敗
- 置き場所の決まりを決める前に開発が始まり、値がプログラムに散らばってから回収に追われる
- 入れ替えの手順を用意せず、「入れ替えるとどこかが止まるかもしれない」と恐れて入れ替えない
- 台帳を作ったが、新しい連携や環境が増えたときに登録されず、漏れたときに影響の範囲が分からない
関係するUnit・成果物・危機演習
- Unit：08-07 秘密情報と鍵をどう管理するか、08-05 開発者は本番データを自由に見てよいのか、09-03 開発・テスト・本番をなぜ分けるのか、08-02 必要最小限の権限とは何か
- 成果物：SEC-001 セキュリティ基本方針、SEC-003 本番特権アクセス管理表、SEC-004 監査ログ要件一覧、DEV-003 自動テスト・自動配布構成、DEV-001 Git・ブランチ運用方針
- 危機演習：この成果物を直接の題材にする危機演習はありません
AI WORKFLOW
AIは、台帳の各項目に必須の欄（使う場所、置き場所、持ち主、取り出せる、入れ替え周期、次の期限）がそろっているかを点検し、期限切れの項目を拾う下書きに役立ちます。
「次の台帳について、項目ごとに必須の欄が埋まっているかを表にし、空欄の欄と、次の期限が過ぎている項目を示してください。値を推測したり、入れ替えの要否を判断したりしないでください。」
REVIEW
- AIに渡す台帳に、値そのものが含まれていないことを渡す前に確かめたか（台帳の抜粋であっても）
- AIが「埋まっている」とした欄が、意味のある内容か（「関係者」のような曖昧な記述でないか）
- 期限切れとされた項目について、入れ替えの計画を人が決めたか
人間が判断すること
- 置き場所の決まりと、例外（人が値を取り出せる場合）
- 入れ替えの周期と、入れ替えで止まる危険の受け入れ
- 漏れたかもしれないときに、入れ替えを即時に行うか、影響を見てから行うか
セキュリティ例外承認は、AIへ最終委任しない事項です（正本の方針）。
いつ使うか
この教材では STAGE 08｜誰に何を許可するのか の文脈で扱います。 アステリア案件での正式な作成・使用時期（月）は正本に記載がないため、未確定としています。
最後の問い
この台帳を見た担当者は、「ある秘密情報が漏れたかもしれない」と分かった日に、それがどこで使われ、誰が持ち主で、どう入れ替えるかを、その日のうちに答えられますか？