技術デューデリジェンスの用語

ソースコード・インフラ・技術的負債など、デジタル事業特有の技術リスクを精査する用語。

CI/CD・テストカバレッジ: コードの自動検証・自動デプロイの仕組み（CI/CD）と、テストがコードをどれだけ網羅するかの指標（テストカバレッジ）。開発体制の成熟度を測る目安で、サイト売買では移管後に買主が安全に改修できるかを示す。手作業のデプロイやテストの無い属人的な運用は、引き継ぎの難度を大きく高める。
EOL（サポート終了・End of Life）: EOL（End of Life）は、ソフトウェアやサービスの提供元がその版の更新・セキュリティ修正・サポートを終了することで、言語・OS・フレームワーク・ライブラリ・AIモデルなどに設定されています。EOLを過ぎた版は脆弱性が修正されず、買主にとっては額と時期を見積もるべき移行コストになります。
IaC・IAM（インフラのコード化と権限管理）: IaC（Infrastructure as Code）はインフラ構成をコードで定義して再現可能にする手法、IAMはクラウドのユーザー・ロール・権限を管理する仕組みです。譲渡では、IaCがあればインフラを買主のアカウントに再構築でき、IAMの棚卸しで旧オーナーや退職者の権限を確実に剥がせます。
OSSライセンス（GPL汚染）: オープンソースソフトウェアの利用条件を定めたライセンス。GPLなどコピーレフトの強いライセンスを組み込むと、自社コードの公開を求められ得る（俗にGPL汚染）。サイト売買では、買主が想定した使い方ができない、ライセンス義務の不履行によるリスクを引き継ぐといった恐れがあり、利用状況の確認が重要となる。
SLA（サービス品質保証）: SLA（Service Level Agreement）は、サービスの提供者が利用者に約束する稼働率・応答時間・復旧目標などの品質水準と、満たせなかった場合の補償を定めた合意です。譲渡では、顧客に約束したSLAも依存先から受けているSLAも買主が引き継ぐため、稼働の実績と依存先の水準を確認します。
Webhook（外部サービスからの通知の宛先）: Webhookは、決済・メール配信などの外部サービスでイベントが起きたときに、あらかじめ登録したURLへHTTPリクエストを送って通知する仕組みです。宛先は外部サービスの管理画面にあるため、サイトを引き継いでも登録を変えなければ通知は旧オーナーのサーバーへ届き続け、入金通知の欠落などを招きます。
インフラ構成・スケーラビリティ: システムを支えるサーバー・DB・ネットワーク等の基盤構成と、アクセス増加に耐えて拡張できる能力（スケーラビリティ）。運用コストや移管の難易度、成長余地を左右する。特定の事業者や個人アカウントに紐づいた構成は譲渡時の移行が困難になりやすく、WAFやCDNもサーバーとは別の移管対象となる。
サーバーレス・Edge Runtime（コールドスタート）: サーバーレスは、サーバーの管理をクラウド事業者に任せて関数単位で処理を実行し、従量で課金される方式です。Edge Runtimeは利用者に近い拠点で軽量に実行する環境、コールドスタートは呼び出しが途切れた後の初回実行が遅くなる現象です。譲渡ではプロバイダ固有機能への依存と環境変数の移管が論点です。
シークレット混入（ハードコード）: APIキーやパスワード、暗号鍵などの機密情報がソースコードや設定ファイルに直接書き込まれている状態。漏えい時の被害が大きく、技術DDで検出すべき危険な実装とされる。引き継ぎの過程で鍵が第三者に渡ったり旧所有者側のアクセスが残ったりする温床となるため、検出時は移管前後の鍵のローテーションが欠かせない。
ソースコード監査: 譲渡対象システムのソースコードを精査し、保守性・品質・セキュリティ・権利関係を評価する技術DDの中核手続き。可読性や技術的負債、脆弱性の有無などを確認する。コードの状態は移管後の運用コストや事業継続性を左右し、表向き正常に稼働していても、テストを一切欠く実装などは買主が手を入れた瞬間に破綻しうる。
ゾンビ権限（残存アクセス権）: 本来は失効しているべきなのに残ったままになっているアクセス権限。退任者や旧所有者がシステムやアカウントに入れる状態を指し、事業移管後のデータ持ち出しや改ざん、サービス乗っ取りの温床となる。安全な引き継ぎには、全アクセス権の棚卸しと不要な権限の失効、鍵のローテーションが欠かせない。
デューデリジェンスの種類: デューデリジェンス（DD）は調査領域ごとに、財務DD・法務DD・事業DD・技術DDなどに分かれます。それぞれが収益・権利・市場・システムという別々の側面を検証し、組み合わせることで対象事業の実態と適正価格を多面的に裏づけます。
バックアップ・監査証跡: データの定期的な複製保存（バックアップ）と、誰がいつ何をしたかを追える記録（監査証跡）。サイト売買では、バックアップが無ければ移管直後のトラブルやデータ消失から復旧できず、監査証跡が無ければ不正アクセスや改ざんの原因を特定できない。会員データや取引情報を扱う事業ほど、整備状況の確認が重要となる。
マイグレーション履歴（データベースのスキーマ変更履歴）: マイグレーション履歴は、データベースのテーブル構造（スキーマ）の変更を、順序付きのスクリプトとしてコードと一緒に版管理したもので、履歴があれば空のデータベースから本番と同じ構造を再現できます。履歴が無い事業は本番DBの構造とコードの対応関係が誰にも分からず、環境の再構築も安全な変更もできません。
レガシーシステム: 古い技術やサポート終了済みの基盤で構築され、保守や改修が困難になったシステム。動作はしていても拡張性・セキュリティ・引き継ぎ面でリスクを抱えるケースが多い。サイト売買では表面の収益だけを見て買収すると、移管後に大規模な作り直しが必要になり想定外のコストが発生する、典型的な隠れた瑕疵となり得る。
事業DD: 事業の収益構造・市場環境・成長性・依存リスクなどを事業面から精査するデューデリジェンス。その事業がなぜ稼げているのか、買主が引き継いだ後も継続するかを検証する。デジタル事業では、特定の検索キーワードや単一の広告主・プラットフォームへの依存や、創業者個人へのキーパーソン依存がないかが重要な論点となる。
依存ライブラリの脆弱性: システムが利用する外部ライブラリやパッケージに含まれる既知のセキュリティ欠陥。自作コードが健全でも依存先経由で攻撃され得る。サイト売買では、古いバージョンのまま放置されて公表済みの脆弱性が未対策で残るケースに注意が要り、依存関係を棚卸しして危険なバージョンの有無を確認することが重要となる。
冪等性: 同じ操作を何度繰り返しても結果が一度実行したときと変わらない性質。決済や在庫更新、データ移行で確保されていないと、再送や再実行のたびに二重課金や重複登録、データの不整合が生じる。サイト売買では、移管時に安全に処理をやり直せるかや、日々の運用の堅牢性を測る観点となる。
収益証憑: 売上や利益の実在を裏付ける客観的な資料の総称で、入金記録や解析データなど改ざんしにくい一次情報ほど信頼性が高いとされる。管理画面のスクリーンショットは加工が容易で単体では決定的な証拠になりにくく、サイト売買では複数の独立した情報源を同一条件で突き合わせることで信頼性が高まる。
技術デューデリジェンス: 技術デューデリジェンス（技術DD）とは、買い手視点でデジタル事業のシステムの健全性を取得前に精査する工程です。ソースコードの保守性・技術的負債・依存ライブラリの脆弱性・インフラ構成・移管可能性などを評価し、取得後の追加コストと存続リスクを見極めます。
技術的負債: 技術的負債とは、開発スピードを優先して場当たり的に作られたコードや設計が、後々の保守・改修コストとして積み上がった状態を指します。利息のように時間とともに増え、放置するほど機能追加や障害対応が困難になります。
数字の裏取り: 売り手が申告したアクセス数・売上・利益などの数値を、アクセス解析やサーチコンソール等の実データと突き合わせて検証する作業です。サイト売買の価格は数字を土台に決まるため、裏取りを省くと取得後に想定どおりの収益が得られない事故に直結します。数字が本物かだけでなく、続くかまで確かめるのが実務です。
法務DD: 買収対象が抱える契約・権利・コンプライアンス上のリスクを法的に精査するデューデリジェンス。権利の帰属や規約違反、係争の有無などを確認し取引の安全性を検証する。サイト売買では、コンテンツやソースコードの著作権の帰属と、ドメインや各種アカウントが規約上譲渡可能かが主な論点となる。
移管可能性: 移管可能性とは、対象事業のシステム・アカウント・契約・データなどを、売り手から買い手へ問題なく引き継げるかを示す度合いです。技術的・契約的に移管が困難な要素が多いほど、取得後に事業が止まるリスクが高まります。
署名鍵・鍵のローテーション: APIキーや暗号鍵・署名鍵などを定期的に、または所有者交代時に新しいものへ差し替えること。サイト売買では、譲渡前のコードや環境に触れた関係者が鍵を知り得るため、移管時に差し替えないと旧所有者側からのアクセスが残り続ける。ハードコードされた鍵が見つかった場合は、なおさら差し替えが不可欠となる。
脆弱性（SQLインジェクション・XSS・CSRF）: システムに存在する、攻撃者に悪用され得るセキュリティ上の欠陥。SQLインジェクション・XSS・CSRFなどが代表例で、情報漏えいや不正操作につながるため技術DDの重点確認項目となる。サイト売買では譲渡時に発覚していないことが多く、移管後に被害が顕在化すれば買主が損害賠償や信用失墜を被る恐れがある。
認証基盤（ログインの仕組みの移管）: 認証基盤は、サービスの利用者のログインを担う仕組みで、自前のパスワード認証や外部の認証サービス、ソーシャルログインを組み合わせて構成されます。事業を移管するとき、契約名義・ユーザーデータ（パスワードのハッシュ）・OAuthクライアントの登録を正しく引き継がないと、全利用者がログインできなくなります。
財務DD: 買収対象の収益・費用・資産・負債の実態を会計面から精査するデューデリジェンス。表面上の数字が実態を伴うか、収益の質や隠れた負債を検証する手続きを指す。財務諸表が整っていない個人運営の案件も多いサイト売買では、売上が継続して入金されているか、未払いの外注費などの隠れた費用がないかの照合が重要になる。
隠れた瑕疵: 取引時には表面化せず、移管後に発覚する欠陥や不利益。サポート切れのレガシーシステム、技術的負債、未対策の脆弱性、計上されていない未払い費用、規約違反の履歴などが該当する。表面の数字だけで判断すると買収後に修正コストや収益急減として顕在化するため、デューデリジェンスで事前に洗い出す。