01-policy-template.md

Copilot利用ポリシーひな型（禁止事項・責任分界・例外手続き）

関連ドキュメント: 導入フレームワーク | Content Exclusion推奨パターン集 | レビュー観点チェックリスト

• 文書番号：[POL-COPILOT-001]
• 版数：v0.1（初版）
• 制定日：[YYYY-MM-DD]
• 施行日：[YYYY-MM-DD]
• 所管：[情報システム部 / 開発統括部 / セキュリティ統括]
• 対象：[Copilot Business / Copilot Enterprise]

---

1. 目的

本ポリシーは、GitHub Copilotを安全かつ効果的に利用するために、禁止事項、責任分界、例外手続きを定める。

2. 適用範囲

• 対象者：[自社従業員 / 委託先 / 派遣 / その他]
• 対象システム：[社内開発リポジトリ / 顧客向け案件 / 検証環境 など]
• 対象ツール：GitHub Copilot（IDE補完、Chat、関連機能）

3. 基本原則

1. Copilotは開発支援ツールであり、最終判断は利用者が行う。
2. AI生成コードも手書きコードと同等にレビュー・テストを実施する。
3. 機密情報・個人情報・顧客情報の保護を最優先とする。
4. 利用ログ・設定変更は監査可能な形で記録する。

4. 禁止事項

4.1 入力禁止（プロンプト・貼り付け・参照指示）

以下の情報をCopilotへ入力してはならない。

• 秘密情報（APIキー、パスワード、証明書秘密鍵、アクセストークン）
• 個人情報（氏名、住所、電話、メール、マイナンバー等）
• 顧客機密情報（契約情報、未公開設計、障害詳細、業務データ）
• 法令・契約で外部提供が制限される情報
• 本番データの生値（マスキングされていないデータ）

4.2 利用禁止行為

• セキュリティ要件を満たさないコードの無検証採用
• ライセンス不明コードの無確認流用
• レビューを省略した本番反映
• Content Exclusion対象の回避・無効化
• 監査ログの改ざん・削除

4.3 条件付き利用（要追加承認）

以下は原則禁止ではないが、事前承認を要する。

• 認証・認可・暗号・決済・安全性クリティカル領域の実装支援
• 規制対象プロジェクト（金融・医療・公共等）
• 外部委託先環境でのCopilot利用

5. 責任分界

5.1 利用者（開発者）

• 入力データの適法性・機密性を確認する責任を負う。
• 生成結果の妥当性・安全性・保守性を検証する責任を負う。
• 不明点や高リスク利用時は上長/セキュリティ窓口に相談する。

5.2 レビュアー/Tech Lead

• AI生成コードを含むPRの品質・セキュリティ・設計妥当性を審査する。
• 例外利用の妥当性と代替策有無を確認する。

5.3 管理者（Org/Enterprise Admin）

• AI Controls、ライセンス割当、Content Exclusion等を適切に設定・運用する。
• 利用状況メトリクスを定期確認し、逸脱を是正する。

5.4 セキュリティ/法務

• 禁止事項・例外条件・監査要件を定義/更新する。
• 重大インシデント発生時の調査・是正を主導する。

5.5 最終責任

• 成果物（コード・設計・ドキュメント）の最終責任は開発組織にある。
• Copilotベンダーは成果物の業務適合性を保証しない。

6. 例外手続き（高リスク領域・特例運用）

6.1 申請条件

次のいずれかに該当する場合、例外申請を必須とする。

• 4.3の条件付き利用に該当
• 既定の禁止事項に抵触する可能性がある
• 顧客契約・法令上の追加要件がある

6.2 申請者が提出する情報

• 申請者情報（部署、氏名、連絡先）
• 対象プロジェクトと対象範囲
• 例外が必要な理由（業務上の必要性）
• 想定リスクと低減策（マスキング、限定公開、追加レビュー等）
• 期間（開始日・終了日）
• 代替策の検討結果（なぜ通常運用では不可か）

6.3 承認フロー（例）

1. 申請者が所定フォームを提出
2. Tech Lead一次審査（技術妥当性）
3. セキュリティ審査（情報取扱・統制）
4. 法務確認（契約/規制の観点がある場合）
5. 承認者決裁（部門長またはCISO委任者）

6.4 承認時の必須条件

• 期限付き承認（恒久例外は禁止）
• 追加コントロール設定（Content Exclusion強化、ログ監査頻度増）
• 完了後の事後レビュー（効果・逸脱有無・再発防止）

6.5 緊急時の暫定例外

• 障害対応等で緊急利用が必要な場合、口頭/チャット承認で暫定実施可。
• ただし[24時間以内]に正式申請へ切替え、事後承認を取得すること。

7. 監査・記録

• 申請/承認/却下履歴を[チケットシステム名]に保管する。
• ポリシー設定変更履歴を[管理台帳]に記録する。
• 監査証跡の保管期間：[1年 / 3年 / 5年]

8. 違反時対応

• 軽微違反：是正指導・再教育
• 重大違反：利用停止、インシデント対応、懲戒手続き（就業規則に準拠）

9. 教育・周知

• 初回利用前に必須教育（30〜60分）を受講する。
• 年1回以上の再教育を実施する。
• FAQ・相談窓口を[Teams/Slackチャンネル名]で運用する。

10. 見直し

• 見直し頻度：半年ごとまたは重大変更時
• 見直しトリガー：法令改正、契約変更、重大事故、機能仕様変更

---

付録A：例外申請書テンプレ（貼り付け用）

A-1. 基本情報

• 申請日：
• 申請者：
• 部署：
• プロジェクト名：
• 対象リポジトリ：

A-2. 例外内容

• 対象機能（IDE補完 / Chat / その他）：
• 例外が必要な理由：
• 対象データ種別：
• 利用期間：

A-3. リスクと対策

• 想定リスク：
• 低減策：
• 追加レビュー方法：

A-4. 承認

• Tech Lead：
• セキュリティ：
• 法務（必要時）：
• 最終承認者：

---

付録B：運用チェック（最小）

• 禁止事項の周知完了
• Content Exclusion設定済み
• 例外申請フロー公開済み
• 監査ログ保管先定義済み
• 初回教育実施済み