WAFのシステム開発の完全ガイド

WAFのシステムとは、WebサイトやWeb APIの手前でHTTP/HTTPS通信を検査し、SQLインジェクションやクロスサイト・スクリプティングなどの攻撃を検知・遮断する防御基盤です。導入の成否は製品を置くことではなく、対象資産、ルール、ログ、誤検知対応、運用責任まで一つの仕組みにできるかで決まります。

「WAFのシステム」を検討するときは、WAF本体を一から開発するより、クラウド型・SaaS型・アプライアンス型などから自社の構成に合う方式を選び、Webアプリへ安全に組み込み、段階的にルールを調整する進め方が現実的です。本記事では、WAFの全体像、種類、必要性、導入手順、2026年時点の費用相場、開発会社・ベンダーの選び方、運用上の注意点、FAQまでをまとめます。

▼関連記事一覧
・WAFのシステム開発の進め方/やり方/流れや方法/手法/工程/手順
・WAFのシステム開発でおすすめの開発会社/ベンダー6選と選び方
・WAFのシステム開発の見積相場や費用/コスト/値段について
・WAFのシステム開発の発注/外注/依頼/委託方法について

WAFのシステムとは？仕組みと役割を解説します

WAFは、利用者とWebサーバーの間に配置されるWebアプリケーション専用のファイアウォールです。リクエストのURL、HTTPヘッダー、Cookie、パラメータ、リクエスト本文などを検査し、攻撃らしい通信を許可・記録・遮断します。IPAも、WAFをHTTP通信を検査して不正な通信を自動的に遮断するソフトウェアまたはハードウェアとして説明しています（出典: IPA「Web Application Firewall（WAF）読本」および「安全なウェブサイトの作り方」、2026年8月確認）。

WAFが主に守る対象は、公開Webサイト、会員サイト、ECサイト、予約システム、管理画面、Web APIなど、インターネットからHTTPまたはHTTPSで到達できる機能です。SQLインジェクション、クロスサイト・スクリプティング、OSコマンド・インジェクション、パストラバーサル、悪意のあるファイル送信など、入力値やリクエスト形式を悪用する攻撃の兆候を捉えます。

防御対象を決めるときは、サイトのトップページだけでなく、ログイン、会員登録、検索、決済、ファイルアップロード、管理者向けAPIまで洗い出します。個人情報や決済情報を扱う機能、改修に時間がかかる古いパッケージ、脆弱性をすぐに修正できないシステムは、WAFによるリスク低減効果を検討しやすい領域です。

代表的な機能は、OWASP系のマネージドルールや攻撃シグネチャによる検知・遮断、IPアドレスや国・地域による制御、HTTPヘッダー・URI・パラメータに基づく許可・拒否です。さらに、レート制限、チャレンジやCAPTCHA、悪性Botやスクレイピング、クレデンシャルスタッフィングへの対策、APIエンドポイント単位の検査も組み合わせられます。

運用面では、検知件数、遮断件数、レスポンス時間、オリジン負荷を記録し、ログを監視基盤やSIEMへ連携します。最初から全ルールをブロックにせず、カウントまたは検知モードで実通信を観測し、正常な検索語やJSON、ファイル送信を止めないことを確認してから段階的に遮断へ移行します。

WAFは、安全なコーディング、脆弱性診断、OSやミドルウェアのパッチ適用、強固な認証・認可、秘密情報の管理、バックアップの代わりにはなりません。たとえば認可制御の欠落、漏えい済みパスワードの悪用、内部不正、設計上の業務ロジック欠陥は、通信の形だけを見ても判断できない場合があります。

OWASP Top 10:2025でも、アクセス制御の不備、セキュリティ設定不備、サプライチェーンの失敗、認証の失敗、ログとアラートの失敗などが重要なリスクとして整理されています。WAFはこれらのうち、入力や通信に現れる攻撃の一部を補助的に抑える仕組みと位置付け、アプリの修正と監視を並行して進めることが大切です（出典: OWASP Top 10:2025、2025年）。

WAFの種類と構成を比較します

WAFの選定では、価格だけでなく、どこでTLSを終端するか、オリジンサーバーをどのように隠すか、障害時にどう切り戻すかを確認します。クラウド中心の環境なら前段のリバースプロキシ型やロードバランサー一体型、運用要員が不足するならSaaS型やマネージド型、ネットワークを自社設備内に閉じたいならアプライアンス型が候補になります。

クラウド・エッジ型は、DNSやCNAMEを切り替え、Web利用者からの通信をWAFサービスへ経由させる方式です。CDNやDDoS対策、Bot対策、TLS証明書管理をまとめやすく、アクセス急増にも対応しやすい点が利点です。サーバーへのインストールが不要な一方、DNS変更、証明書、キャッシュ、送信元IPの扱い、ログの個人情報マスキングを事前に確認します。

最も重要なのは、WAFを通らずオリジンへ直接アクセスできない構成にすることです。オリジンの公開IPを制限し、WAFからの通信だけを受け付ける送信元制御を行わないと、攻撃者がWAFを迂回できる可能性があります。DNS切り替え前に、切り戻し用のTTL、疎通確認、障害時の連絡手順も準備します。

ロードバランサー一体型は、既存のクラウドネットワークで負荷分散とWAFを一緒に構成する方式です。Webサーバーの前段に新しい機器を増やす必要が少なく、アクセスログやメトリクスを同じ監視基盤へ集めやすい点が強みです。すでに利用しているクラウドの認証、権限、Infrastructure as Code、監視を活かせる場合に向いています。

一方で、WAF、ロードバランサー、CDN、APIゲートウェイの料金や責任分界が分かれます。検査対象のリクエスト数、ルール数、リクエスト本文の検査サイズ、データ処理量、ログ保存量を別々に見積もり、単に「クラウドに標準搭載されているから安い」と判断しないことが大切です。

SaaS型は、提供側の設備やルール更新、監視を利用し、導入企業の運用負担を抑える方式です。専任のセキュリティ担当者が少ない企業、サーバー環境を選ばずに始めたい企業、短期間のキャンペーンサイトを守りたい企業に適します。ただし、月額費用に含まれる監視時間、誤検知調査、緊急対応、ログ保存、サポート範囲を確認します。

アプライアンス型は、物理または仮想のWAFを自社ネットワークに配置します。閉域網、厳格なデータ保管、既存のネットワーク分離を重視する場合に候補になりますが、冗長化、機器更新、ライセンス、性能増強、障害時の交換、ルール更新を自社で担う範囲が広くなります。要件が本当にオンプレミス配置を必要とするか、5年程度の総保有コストで比較します。

WAFは必要ですか？他のセキュリティ対策との違いを整理します

結論として、公開Webアプリ、ログイン、会員情報、決済、個人情報、外部公開APIのいずれかがあり、アプリ修正や攻撃監視に時間がかかる場合は、WAFを導入候補にする価値があります。ただし、必要性は「WAFを入れるか」の二択ではなく、どの機能をどのレベルで守り、アプリ側の修正や診断をどの順番で行うかというリスク判断です。

優先度が高いのは、インターネットから常時アクセスされるサービス、会員や決済を扱うサイト、攻撃ログを24時間確認できない組織、改修に数週間から数か月かかる既存システムです。取引先や決済関連のセキュリティ要件、監査で公開Webアプリへの自動防御が求められる場合も、要件と証跡を確認しながら導入を検討します。

PCI DSS 4.0.1では、公開Webアプリケーションに対し、Webベース攻撃を検知・防止する自動化された技術的ソリューションを展開する要件6.4.2が2025年3月31日から適用されています。WAFがあれば自動的に準拠できるわけではありませんが、対象範囲、ルール、ログ、レビュー記録を監査で説明するための重要な構成要素になります（出典: PCI Security Standards Council FAQ、2025年）。

ネットワークファイアウォールは、IPアドレス、ポート、プロトコル、ネットワーク境界などを基準に通信を制御します。IDSは不審な通信を検知して通知し、IPSは検知した通信を遮断します。WAFはその中でもWebアプリケーションのHTTP/HTTPSリクエストに焦点を当て、URI、パラメータ、ヘッダー、本文などアプリに近い情報を検査します。

DDoS対策は大量通信でサービスを利用不能にする攻撃への可用性対策、CDNはコンテンツ配信や負荷分散の仕組みです。実際の構成では、DDoS対策、CDN、WAF、ネットワークファイアウォール、脆弱性診断、アプリの安全な実装を重ねて使います。役割が重複する部分を整理し、どのアラートを誰が見るかまで決めると、対策の抜けと通知疲れを減らせます。

WAFのシステム開発・導入の進め方

WAFの導入は、製品を契約してルールを有効化すれば終わるものではありません。対象資産の棚卸し、要件定義、方式選定、PoC、ルール調整、性能・攻撃テスト、段階リリース、運用設計を一続きにします。特に正常な通信まで遮断する誤検知と、WAFを迂回してオリジンへ届く構成は、早い段階で確認します。

最初に、Webサイト、サブドメイン、管理画面、API、決済画面、ファイルアップロード、外部連携、クラウドとオンプレミスの配置を一覧化します。サイトごとにFQDN、オリジン、ピーク時の通信量、月間リクエスト数、認証の有無、個人情報の有無、停止できる時間、担当チームを記録します。

RFPや要件定義書には、守る対象、想定する攻撃、許容する地域、レート制限、APIの形式、ログ保存期間、マスキング、監視時間、通知先、SLA、切り戻し条件を明記します。認証・認可・監査ログ・暗号化・性能はWAFだけの要件にせず、アプリやネットワークを含む非機能要件として整理します。

方式選定では、既存クラウドとの統合、複数クラウド対応、閉域要件、TLS終端、CDN、API、Bot、DDoS、ログ連携、監視担当者を比較します。標準ルールを使うのか、カスタムルールを多く作るのか、運用を自社で行うのか外部へ委託するのかによって、必要な費用と責任分界が変わります。

本番の全サイトを一度に切り替えず、代表的な1サイトまたは1つのAPIで1〜2週間程度のPoCを行います。検知モードで正常リクエスト、JSON、検索語、ファイル送信、ログイン、決済の流れを確認し、攻撃シミュレーション、性能、ログ欠損、障害時の切り戻しまで試します。PoCの合格条件は「動いた」ではなく、主要機能の成功率、p95応答時間、誤検知件数、復旧時間など測定可能な値にします。

PoCで正常通信を確認したら、影響の小さいルールから限定的にブロックへ切り替えます。ルールを有効化する日時、対象パス、除外条件、承認者、監視担当者、解除手順を記録し、段階的に対象範囲を広げます。例外ルールは増やし続けるのではなく、アプリの入力仕様を見直して根本原因を修正することが重要です。

リリース後は、ブロック件数、誤検知件数、検知から調査開始までの時間、ルール変更件数、オリジンのエラー率、レスポンス時間を月次または週次で確認します。脆弱性情報や攻撃傾向に応じたルール更新、TLS証明書更新、ログの権限管理、インシデント時の連絡網、WAF障害時の切り戻しを運用手順に含めます。

WAFのシステム開発にかかる費用相場

WAFの費用は、製品やサービスの利用料金と、導入・ルール調整・テスト・監視の人件費を分けて考えます。下記の金額は、2026年時点の予算取りに使う目安です。WAF専用の市場平均ではなく、公開料金表と一般的なセキュリティ導入工数から整理した推定レンジのため、最終的には対象サイト、通信量、API、ログ、監視時間をそろえて見積もります。

1サイトの基本設定であれば、DNSまたはロードバランサーの設定、TLS、標準ルール、ログ出力、疎通確認を含めて初期30万〜100万円程度が目安です。検知モードでの観測、業務画面やAPIの例外調整、攻撃・負荷テスト、運用手順まで含める通常導入では、50万〜200万円程度を見込むと比較しやすくなります。

複数サイト、複数クラウド、SIEM連携、IaC、権限分離、BCP、移行・切り戻しを含めると、初期200万〜500万円程度へ上がることがあります。WAF本体の管理画面やルール配布を自社向けに追加開発する場合は、300万〜1,000万円超になる可能性があります。一方、WAFエンジン自体をフルスクラッチで開発する方式は、検知品質、ルール更新、性能、24時間対応まで自社責任になるため、特殊な要件がない限り推奨しません。

セルフ設定型のクラウドWAFは、初期費用がなく、Web ACL、ルール、リクエスト数、検査容量などに応じた従量課金が中心です。ある主要クラウドWAFの公式料金例では、Web ACLが月5米ドル、ルールが1ルール月1米ドル、リクエストが100万件あたり0.60米ドルとされています。1米ドル150円で、1つのWeb ACL、19ルール、月1,000万リクエストを単純計算すると、WAF部分は月約4,500円です（出典: クラウドWAF公式料金表、2026年8月確認）。

ただし、CDN、ロードバランサー、APIゲートウェイ、ログ保存、Bot対策、DDoS対策、監視の費用は別に発生することがあります。国内のSaaS型WAFの公式料金表には、初期費用11万円、月額32,780円からという例があり、運用自動化・支援サービスでは月額46,000円から、上位プランで月額10万円超という例もあります（出典: 国内SaaS型WAFおよび運用支援サービスの公式料金表、2026年8月確認）。

したがって、予算の目安は、セルフ設定型で月数千円〜数万円、SaaS型または運用支援付きで月4万〜20万円超、SOCや24時間監視、複数サイト、DDoS対策まで含めると月10万〜50万円超です。為替、トラフィック、FQDN数、ログ量、契約プランで変動するため、料金表の最低額だけで本番予算を決めないようにします。

見積書には、要件定義、設計、DNS・ネットワーク・TLS設定、ルール作成、検知モードの観測、誤検知調整、攻撃・負荷試験、リリース、監視設計、操作教育、ドキュメント作成を分けて記載してもらいます。「導入一式」だけでは、どこまでが納品され、どの作業が別料金か比較できません。

年間費用には、WAFの利用料だけでなく、ログ保管、ルール更新、TLS証明書、監視、脆弱性情報の確認、緊急時の調査、月次報告を含めます。対象FQDN数、月間リクエスト、ピークMbps、ログ保存期間、誤検知の調査時間、対応時間帯、SLA、障害時の切り戻しを明記すると、発注後の追加費用を抑えやすくなります。

WAF導入後の運用とよくある失敗

WAFは導入直後より、運用が始まってからのルール変更と判断が重要です。攻撃手法、アプリの仕様、利用者の入力、トラフィックは変化するため、初期設定を放置すると誤検知や見逃しが増えます。WAFの管理者、アプリ担当者、ネットワーク担当者、サービス責任者の役割を明確にし、定例レビューを行います。

誤検知は、検索語、JSON、Cookie、ファイル名、リッチテキスト、管理APIのパラメータなどが攻撃パターンに似ているときに起きやすいです。最初から広い除外ルールを作るのではなく、どのルールが、どのURLの、どの入力値に反応したかを確認し、対象パス・メソッド・パラメータを絞った例外にします。

例外を追加するときは、理由、申請者、承認者、期限、影響範囲、代替策を記録します。例外が増えた場合は、WAFの設定だけで解決しようとせず、入力値の検証、エスケープ、API仕様、管理画面のアクセス制限を見直します。ブロックへ切り替える前に、業務シナリオの回帰テストを自動化しておくと、リリース時の不安を減らせます。

ログは、検知日時、ルール、送信元、対象URL、HTTPメソッド、ステータス、リクエストID、アクション、オリジンの応答を追跡できる形で保存します。個人情報やアクセストークンがログに入る可能性があるため、マスキング、暗号化、アクセス権、保存期間、削除手順を定めます。ログを保存するだけでなく、誰がどの頻度でレビューするかを決めることが重要です。

アラートは、単発のブロックをすべて通知するのではなく、急増、同一IPからの反復、複数アカウントへのログイン試行、重要APIへの異常アクセス、オリジンエラー率の上昇など、調査が必要な条件に絞ります。インシデント時は、WAFルールの一時強化、影響範囲の確認、アプリ修正、証跡保全、利用者への案内、切り戻しの判断を誰が行うかを事前に決めます。

WAFを導入しても、オリジンサーバーのIPアドレスが公開され、直接アクセスできる状態では防御が迂回されます。セキュリティグループ、ファイアウォール、送信元制限、専用の認証ヘッダーなどを組み合わせ、WAFを経由した通信だけを受け付ける構成を確認します。DNS履歴や過去の証明書、公開設定からオリジン情報が漏れていないかも点検します。

反対に、WAF側の障害や誤検知でサービスを止めないため、切り戻しの基準と方法も準備します。DNSを戻すだけでなく、TLS、Cookie、送信元制限、キャッシュ、監視、データ整合性を含む復旧手順を検証し、定期的に訓練します。WAFを無効化するときの暫定防御と、無効化の承認期限も決めておきます。

開発会社・ベンダーの選び方

WAFの開発会社・ベンダー選びでは、WAF製品を持っているかだけでなく、対象アプリの理解、ルールチューニング、ログ分析、監視、インシデント対応まで担えるかを確認します。自社のクラウドやネットワークに詳しいことと、Webアプリの業務仕様を理解して正常通信を判断できることの両方が必要です。

実績は導入社数だけでなく、自社と似たサイト種別、FQDN数、月間リクエスト、ピーク帯域、会員・決済・APIの有無、クラウドとオンプレミスの構成を確認します。匿名化された構成図、導入前後の課題、誤検知への対応、運用KPI、障害時の対応例を説明できるかを見ると、単なる販売実績と実装・運用力を区別できます。

見積もり前には、ネットワーク、TLS、CDN、API、認証、ログ、監視、脆弱性診断、CI/CD、IaCのどこまで対応できるかを質問します。WAFだけでなく、アプリ側の修正提案やテストケース作成まで可能か、既存の開発チームと協働できるかも重要な判断材料です。

確認すべき運用項目は、ルール更新の責任者、誤検知の一次調査、緊急時の連絡先、24時間対応の有無、脆弱性情報の反映時間、ログの保存期間、月次報告、定例会、SLAです。WAFの管理画面を操作できる権限、ルール・IaC・設定書の引き渡し、契約終了時のデータ返却と移行支援も、契約前に確認します。

価格比較では、WAFの利用料と支援費を分け、初年度だけでなく3〜5年の総額を見ます。対象サイトが増えたときの追加FQDN料金、リクエスト超過、ログ保管、Bot対策、DDoS対策、監視時間外の対応費も含めます。複数社へ同じ要件を提示し、「一式」の内訳、除外事項、前提条件をそろえると、金額の安さだけに引っ張られにくくなります。

RFPには、保護対象のURLとAPI、月間リクエスト、ピーク時のMbps、利用者の地域、TLS終端、オリジン構成、個人情報の扱い、ログ要件、監視時間、目標復旧時間、既存クラウド、導入希望日を記載します。さらに、検知モードの観測期間、攻撃テスト、回帰テスト、切り戻しテスト、運用引き継ぎを納品条件に含めます。

比較時は、費用、導入期間、対応基盤、ルールの柔軟性、API・Bot対策、ログ連携、監視、サポート、移行性を同じ項目で評価します。特に「正常通信を止めた場合、何分以内に誰が調査し、どの条件で一時解除するか」を質問すると、パンフレットでは分からない運用力が見えます。

▶ 詳細はこちら：WAFのシステム開発でおすすめの開発会社/ベンダー6選と選び方

▶ 詳細はこちら：WAFのシステム開発の発注/外注/依頼/委託方法について

2026年のWAFで確認したい最新動向

2026年時点では、従来のSQLインジェクションやXSSへの対応だけでなく、Bot、アカウント乗っ取り、APIの濫用、スクレイピング、認証情報の大量試行をどこまで検知するかが重要です。AIを利用した攻撃や自動化された探索も想定し、WAFのAI機能を万能な判定器と考えず、検知根拠、ログ、誤検知、費用、担当者の確認方法を評価します。

APIは画面よりも通信量が多く、JSON形式、エンドポイント、認証トークン、レート制限、許可するスキーマを個別に設計する必要があります。APIごとの認証・認可はアプリ側が担い、WAFでは異常な頻度、形式、サイズ、地域、既知の悪性IPなどを補助的に検査します。正常なモバイルアプリや外部連携までBotと誤認しないため、利用者区分と識別方法を整理します。

Bot対策では、IPアドレスだけでなく、リクエスト頻度、端末やセッションの挙動、チャレンジへの応答、ログイン失敗の連続、購入や予約の不自然な速度を組み合わせます。強い制限を一律にかけると、検索エンジン、障害監視、正規の外部連携、アクセシビリティに影響するため、対象機能ごとの許可リストと段階的な制御が必要です。

最新の標準に合わせるときは、WAFのチェックボックスを増やすのではなく、リスク、責任者、証跡、改善サイクルを整理します。OWASP Top 10:2025のアクセス制御、認証、ログとアラートなどはWAF単独では解決できないため、アプリの設計レビュー、脆弱性診断、パッチ、監視とつなげます。

監査対応では、いつどのルールを有効化したか、誰が承認したか、検知・遮断のログをどの期間保存したか、誤検知をどう調査したかを説明できるようにします。AIによる自動ルール生成や攻撃判定を使う場合も、変更前後の差分、判断根拠、担当者の承認、誤判定時の復旧を記録できることが選定条件になります。

WAFのシステムに関するよくある質問

WAFの導入では、技術方式だけでなく、費用、アプリへの影響、運用担当者、法令・監査要件まで一緒に判断します。ここでは、導入前に特に質問されやすい内容を、結論から回答します。

通常はWAFエンジンを自社開発せず、既存のクラウド型、SaaS型、アプライアンス型から選びます。自社開発すると、攻撃シグネチャの更新、検知精度、性能、ルール配布、監視、緊急対応を継続的に担う必要があるためです。社内ポータル、ルール申請、複数サイトへの配布、レポートなど周辺機能だけを追加開発する方法は検討できます。

基本設定だけなら1〜2週間、ルール調整、攻撃・負荷テスト、運用設計まで含めると1〜3か月が目安です。複数サイト、複数クラウド、SIEM連携、監査要件、段階移行がある場合は2〜6か月程度を見込みます。期間を短くするには、対象URL、通信量、アプリ担当者、テスト環境、切り戻し方法を早期にそろえることが有効です。

不要にはなりません。WAFは通信を前段で検査しますが、認可の欠落、業務ロジックの不備、漏えいした認証情報、設定ミス、内部の脆弱性をすべて見つけられるわけではありません。WAF、脆弱性診断、安全な実装、パッチ、認証・認可、ログ監視を組み合わせ、診断結果をWAFの一時的な補助ルールとアプリ修正の両方へ反映します。

セルフ設定型のクラウドWAFなら、WAF本体は月数千円から数万円になる可能性がありますが、CDN、ロードバランサー、ログ、監視、導入作業を含めると総額は変わります。SaaS型では、公式料金の例として初期11万円、月額32,780円からのプランがあります。初期設定とルール調整を外部へ委託する場合は、別途30万〜100万円程度を見込んで、対象範囲と作業内容を確認します。

可能ですが、無停止を保証するには、検知モードでの観測、DNSや経路の切り替え、TLS、Cookie、オリジン制限、回帰テスト、監視、切り戻しを設計します。SaaS型やリバースプロキシ型ではDNS変更で導入できる場合がありますが、通信経路や証明書の条件によって作業は変わります。重要なサイトは低トラフィックの時間帯に段階移行し、業務担当者が主要シナリオを確認します。

まとめ：WAFのシステムは導入後の運用まで設計します

WAFのシステムは、Webアプリへの攻撃を検知・遮断する重要な防御基盤ですが、WAFだけでセキュリティが完成するわけではありません。公開資産を棚卸しし、クラウド・SaaS・アプライアンスなどの方式を選び、検知モードで正常通信を確認してからブロックへ移します。

費用はWAF本体の料金だけでなく、導入、ルール調整、ログ、監視、誤検知対応、緊急対応まで含めて見積もります。開発会社・ベンダーを選ぶ際は、製品名や初期費用だけでなく、アプリを理解して正常通信を判断できること、運用責任とSLAが明確なこと、設定やログを将来引き継げることを確認します。

最初に、公開Webサイト、会員機能、決済、API、管理画面のどこを守るかを決め、通信量と停止許容時間を確認します。次に、WAFの設定者、アプリの修正担当者、ログの確認者、インシデント時の承認者を決めます。この順番で整理すると、方式や見積もりを必要以上に大きくせず、導入後に担当者が不在になるリスクも抑えられます。

まずはWebサイト、管理画面、API、決済、個人情報、オリジン、通信量、担当者を一覧にし、守る範囲と達成したい運用KPIを決めます。そのうえで小さなPoCを行い、誤検知、性能、ログ、切り戻しを確認してから本番へ展開すると、WAFを継続的に機能するシステムとして定着させやすくなります。

▼関連記事一覧
・WAFのシステム開発の進め方/やり方/流れや方法/手法/工程/手順
・WAFのシステム開発でおすすめの開発会社/ベンダー6選と選び方
・WAFのシステム開発の見積相場や費用/コスト/値段について
・WAFのシステム開発の発注/外注/依頼/委託方法について