第8章：チェックリスト運用（レビュー観点 / リリース前確認）

この章で学ぶこと

チェックリストは作っただけでは守れない。PRテンプレやリリース手順に組み込み、実施結果を残す。

定期棚卸し（四半期など）で陳腐化を防ぐ。

セキュリティ確認は「見た」で終わらせず、PR body や Issue コメントに判断を残す。

項目	書くこと
確認範囲	秘密情報、権限、ログ、公開範囲、AI / 外部サービス投入、個人情報
結果	OK / NG / N/A と理由
証跡	設定差分、チェックリスト、監査ログ、データ分類表、実行した確認コマンド
残リスク	今回残すリスク、別 Issue に分離した項目
公開 / 共有後確認	公開 URL、共有リンク権限、main checks、削除 / 失効確認

セキュリティ・認証認可系の専門書と矛盾しないよう、基礎書側では次の境界を明確にする。

認証認可の実装詳細は実践認証認可システム設計に委ね、本書では MFA、共有アカウント禁止、セッション失効、Cookie 属性レビューの入口に絞る。
インフラやクラウドの詳細設定はインフラエンジニアのための情報セキュリティ実装ガイドに委ね、本書では責務分界、ログ、権限、公開範囲の確認観点に絞る。
ペネトレーションテストの手順詳細は実務で使えるペネトレーションテスト大全に委ね、本書では明示許可、スコープ、停止条件、証跡保管、秘密情報取得禁止の原則に絞る。
内容を更新する PR では、Copilot review 本文・inline comment・suggestion の確認結果と未解決 review thread 0 件を PR body に残す。

チェックリストはあるが、誰も使っていない
更新もされていない

PRレビューでチェック項目を確認
リリース前に公開設定/権限/秘密情報を確認
棚卸しで不要権限を剥奪し、チェックリストを更新
PR body に OK / NG / N/A、証跡、残リスクを残す