このOTAサイトは、日本(世界？)最大級の山小屋「白馬山荘」をはじめとして北アルプスで7つの山小屋やスキー場を運営する白馬館様が運営・提供されます。一般の宿泊施設、宿泊予約サイトにはない山小屋独特の要件・仕様に対応いたしました。

例えば以下のような機能に対応しています。

• 相部屋
• 相部屋に対応した部屋割
• 様々なルールを考慮した高度な部屋割アルゴリズム・・・年齢、性別、混み具合、部屋ランク、消耗品利用の平準化、等
• 同一施設内の客室で異なる宿泊税対応・・・県境マタギ
• キャンセルポリシーに変わる「予約金」機能
• マイページからのお客様自身による予約変更機能(日程、客室、利用人数を切替可能)
• 電話による予約受付においてセキュアにクレカ決済できる仕組み
• スームズチェックイン機能
  • 同伴者情報の事前入力
  • セルフチェックイン端末(QRコードリーダー x Androidタブレット x レシートプリンタ)

これらの機能への対応は、予約システムを10年手掛けてきた弊社にとっても挑戦的でした。一部についてはまだ実装途上です。

白馬館様が当初委託した他社ITベンダーが「対応が難しい」とお手上げになりつつあった時にAIで探して弊社「ちいプラ」にたどり着いたそうです。

弊社でも、他業務の割り込みなどによりプロジェクトの進捗遅延が発生する中、信頼して見守ってくれたことには感謝しかありません。

プロジェクトオーナーが、一般公開初日が無事に進行したときに「ここまで長かった。早い段階で損切りして本当によかった」とおっしゃってくださったときはホッといたしました。

今後の展開

初年度は白馬館グループ様の山小屋でOTA運営や各種操作に慣れながら機能を磨き上げてまいります。予定する流通額は5億円以上を想定しています。

来年以降は、北アルプスの山小屋にもご提案していかれるとのことです。

白馬館様とお話していると、自社の利益だけでなく、北アルプスや白馬村全体の持続性ある発展を常に意識しておられるのが言葉の端々から伝わってきます。一定のリスクを伴う登山や冬リゾートでは「自己責任」で片付けられてしまうような課題に対しても「それでいいのだろうか」という疑問を持ち、改善に取り組もうとしておられます。

弊社は、このような社会的意義のある白馬館様のビジョン・構想を実現するための良きITパートナーとして貢献してまいりたいと思います。

（発表日：2025年10月21日）２０２６年１１月１日まで新規の地域OTA受付を一時停止いたしましたのでお知らせいたします。背景・理由は以下の通りです。

受付一時停止の背景

ちいプラは、２０１６年３月に最初の地域ＯＴＡサイト（みなたび/宮城県南三陸町）としてスタートしました。それから１０年が経過しました。

この間、弊社が広告出稿するために造語した「地域OTA」「地域特化型OTA」が一般的な用語として普及しました。今では、国(観光庁)や自治体、他社のITサービスベンダーも当たり前に使っています。

最近では、DMOや観光協会様ではなく、一般的な営利法人からの自社用ＯＴＡへの引き合いが高まっており、このたび年商10億円規模の大型案件に複数対応することになりました。これにより余力がなくなってしまいました。

あらに、この10年で、いわゆる「ソフトウェアの負の遺産」（廃れてしまったライブラリ、時間に追われてやや雑な実装になっている処理等）が少なからず存在します。また当時は想像もできなかった「AI革命」がまさにはじまったところです。負の遺産を解消して、次の１０年間の進化にスムーズに対応するために「リファクタリング」を実施します。

また新規導入対応に忙殺されて先送りしていた機能強化・改良にも対応します。

対応完了後は、現在よりもさらに数段上のシステムをご案内できます。地域ＯＴＡ（地域特化型OTA、エリアOTA、シームレスサイト）の導入を検討しておられる地域様におかれましては、後述する「準備」をしておいていただけるとよいかと思います。

ご理解のほどよろしくお願いいたします。

新規受付停止の狙い

弊社は同業他社の追随を許さない圧倒的な開発生産性（機能改良履歴を参照）を誇ります。そのプロダクトである「ちいプラ」は、類似の地域OTA（地域特化型OTA、エリアOTA）の中でもかなり高機能（かつ安価）と自負しています。この状況に満足することなくさらなる向上をはかります。

陳腐化したコードの廃止

ちいプラが開発に着手したのは２０１５年１０月です。この記事を書いているのは２０２５年１０月２０日ですので、ちょうど１０年が経過しました。当時は最適・先進的だったテクノロジーが陳腐化してしまったものがあります。（代表的なものでいえばjQueryです)

保守性の向上

また開発スピードを優先して、やや可読性の低いコードになっている箇所（負の遺産）もあります。これらを刷新します。専門的には「リファクタリング」といいます。

また、ちいプラのコードは、サーバーサイド、クライアントサイドだけでなく、マイクロサービス、外部APIなどいろいろと分散しています。この配置も最適化します。

実行環境の最適化

また、実行環境は、ＡＷＳ（Amazon Web Servies）をフル活用していますが、一部のサービス（例えばストレージ、エグレス（=データOUT）、CDN）については、より費用対効果に優れた他社のサービスが登場しています。

生成AIへの対応

また10年前には想像もできなかった変化があります。「生成AI」の登場です。

例えば、AI検索では「当事者が発信する高品質な一次情報が優遇」されるようになります。（これにより「SEO/MEO、アフィリエイト、広告」といった従来の集客手段が廃れます）。地域OTAでは、多くのデータ（予約、顧客、問い合わせ、口コミ、事業者情報、プラン情報）を地域が保有できます。これらの蓄積データをAPIや任意形式のCSV出力（例．予約CSV）などにより再利用しやすくします。AIエージェントが好むAPI（例えばOpenAIのAgentic Commerce Protocol）への対応もすすめます。

データ分析も大きく変わります。高価なデータ分析基盤やBIツールは不要となります。データをExcelやGoogle SpreadSheetに取り込めば、分析も可視化も生成AIが実行します。（そもそも本当にデータ利活用している人は、現在でもBIツールからExcelにデータをダウンロードして分析しています）

自動化

さらにソフトウェア開発プロセスの自動化（E2Eテスト、デプロイ)も強化します。

機能強化

さらに新規導入に追われて先送りしてきた以下のような機能の強化・改良をはかります。

• OTA一体型PMS
• OTA一体型自社サイト用予約エンジン
• AIエージェント対応
• CRM対応・・・分析・セグメンテーション、クーポン発行、メルマガ配信（効果測定）、顧客ランク等
• 多言語化・・・現在は日・英・繁体字ですが、簡体字、韓国語、フランス語に対応します。
• テストの自動化範囲の拡大

以上です。上述したようなことを、着手している業務の完了後（２０２５年４月を予定）、半年間をかけてこれらに取り組んでいきます。

地域OTAを検討中の地域様へ

代替製品について

観光庁が「地域OTA推し」するまでは、ちいプラとTXJさんしかありませんでしたが、現在は多くのベンダーが「地域ＯＴＡ」（地域特化型OTA、エリアOTA、シームレスサイト）対応をうたった製品を出しています。例えば以下のプロダクトはクライアントから比較検討対象（＝当該企業から営業されている）としてよく聞きます。

• プランメーカーポータル Lite-ライト- 地域版OTA構築運用サービス ・・・宿泊予約に対応。初期費・固定費無料・手数料２%。城崎温泉などで実績
• TXJシステム・・・海外発のDMO向けプロダクト。宿泊、体験、飲食の予約に対応。初期費・固定費無料・手数料３％。
• トリプラ・・・DMOが宿泊予約サイトを運営する「エリアOTA」とは？　手数料は地域に還元、「トリプラ」と地域が構築した仕組みと成果

導入時に留意いただきたいこと

地域OTA導入にあたって「補助金・助成金」を活用することは避けることを推奨します。

理由は複数あります。

１つ目は、補助金を利用して導入すると「役に立たない」ことがわかってもズルズルと３年も５年も使い続ける必要があるからです。さらに補助金で高額なサービスを導入しても「収益化」できてなければ維持できません。弊社やTXJさん、プランメーカーさんのように「完全成功報酬型（初期費・固定費なし、成約額に対する手数料のみ）」のプランを提供しているサービスを選択してください。

２つ目は、少なくない地域OTAベンダーが「古くからある自社サイト用宿泊予約エンジン」を拡張して地域OTA対応とうたっています。こういったプロダクトには注意してください。これらは「古いやりかた」（楽天・じゃらん・自社サイトで販売、サイトコントローラ使って、PMS使って）に最適化されています。このような方法論に過度に最適化してしまうことはＡＩ時代に出遅れることを意味します。

【永久保存版】自社サイト用予約エンジンを流用して地域OTA風サイトを構築する際に留意すべき点（システム選定用チェックリスト付き） |

現在進行中のAI革命によってデジタル化の最適解がガラっと変わってきます。例えばＡＩ検索です。AI検索の登場によりこれまでのＳＥＯ／ＭＥＯ、アフィリエイト、広告といった「集客手段」が抜本的に変わります。（これから重要なのは一次情報です）。助成金を使ってサービス導入してズルズルと使っていると、このような大きな変化に迅速に適応できません。

よく言われることですが「未来を予測することはできない。できるのは変化にすばやく適応すること」です。助成金でサービス導入すると「すばやさ」を失うリスクがあります。変化の激しい時代、そこで失う「数年」という時間は、取り返しのつかない致命的な失敗となる可能性があります。くれぐれも慎重にご判断ください。

また、ここ最近は「ＡＩ対応をうたった高額なサービス（例．AIチャット、周遊ルート構築、リコメンド）」を助成金で導入している例が多く見受けられますが、エンジニア目線で率直に申し上げると「陳腐」なものばかりです。今後、続々と無償レベルのより高機能・高品質なサービスが出てくるのが確実です。助成金を使っているとそれを横目にみながら微妙なサービスを使い続ける必要があります。

過去にも繰り返されてきたことですが「流行期」には有象無象の業者が乱立します。玉石混交ですが、大半は石っころです。（弊社を含めて）業者の主張をうのみにすることなく「目利き」するようにご留意ください。（原則として製品を内製していないところは避けるのが無難です。【理由】AI革命による劇的な生産性向上の恩恵を受けられるのは内製ベンダーだけであるため。内製していない会社の製品は「遅い、まずい、高い」に該当する可能性が高いです）

余談

NYANGOには、地域OTAに関して一般には公開されない多くの情報が集まってきます。

その中には、観光庁の作文ではあたかも「成功事例」のように扱われている一方で、何ら具体的な成果がでていなかったり、現地（当該導入法人を含む）ではまったく評価されていない（＝「また、税金泥棒やってるよ。」としらけている）ものが少なくありません。
助成金は、ある種の麻薬です。助成金にどっぷりと依存してしまった地域では、助成金を獲得し続けるために（地元で評価されていない）「成功を捏造作文」して、観光庁（のお抱えコンサル）が海外から仕入れてくる「トレンド・シナリオ」にそって「作文」したりという「成果を出すことと無関係」の業務に膨大な時間をさいています。観光庁のほうばかり向いていて、お客様も事業者も視界に入っていません。そんな姿勢で成果をだせるはずがありません。

NYANGOには地域OTAに関する多くの情報が集まってくるにゃ。

助成金は、自立をさまたげる麻薬にゃ。依存しないように注意ニャ！

トイレ改修とかスポットのハードウェア改修の助成金はよいぞ

地域OTA導入前に準備すべきこと

「地域OTA」で目指すビジョンを明確化にして、関係者の「地域OTA導入」の機運を高めることが重要です。

地域ＯＴＡシステムの導入はゴールではありません。単にスタートラインにたっただけです。どの地域でも実現できるので差別化要因にはなりません。

地域ＯＴＡは収益事業の立ち上げです。非営利の箱モノ（例.図書館建設、トイレ改修）や単なる業務効率向上のためのデジタル化（例．オフィスにグループウェア導入）とは難易度が格段に異なります。「独立採算で黒字にできる道の駅をつくる」と同等かそれ以上と言えばイメージできるでしょうか？

であるにもかかわらず観光庁が助成するようになってからは、流行に敏感で作文が得意なコンサルの口車にのって、安易に地域ＯＴＡサイトが粗製濫造されているのが現状です。弊社はまもなく「地域ＯＴＡ幻滅期」を迎えることを確実視しています。

「地域OTAやってます」が「あたりまえ」になる日～まもなく幻滅期？

地域OTAを成功させるために、地域OTAシステムの導入は必須ですが十分ではありません。では、十分要件（成功要件）は何でしょうか？たった１つです。

『参画事業者が地域ＯＴＡファーストで取り組んでくれること』です。

単純ですが実現するのは容易ではありません。（ダイエットと似ていますね）

宿泊施設、アクティビティ提供者ともに「知名度も資金力も人材もいる大手OTA」に加えて「手数料無料の自社サイト予約」という選択肢があります。そのような状況で地域ＯＴＡファーストになっていただくのは簡単ではありません。当然ですが、資金力では大手OTAに勝てません。使途自由の自主財源がなければ臨機応変に市場のニーズの変化には対応できないので手数料無料もできません。

「大手より手数料が安いので参画してください」は、地域OTAの失敗に直結する典型的なアンチパターンです。（初年度限定なら可）

「経済条件」以外で選ばれる必要があります。

もちろん「地域のために！」「地域創生！！」というフワッとした掛け声だけでは全くたりません。

地域経済循環の向上がなぜ重要なのか？といったところからはじまって、AI時代はデータが決定的に重要になることを理解して、地域ブランド（認知度、好感度）が向上すると何が期待できるのか？ブランド向上のために何が必要なのか？次の世代（５０年、１００年後）に何を残したいのか？ＫＰＩとして何が適切なのか？

といったことを徹底的に関係者で議論して具現化してください。

目指すところ（ビジョン）を明確にして、その有力な手段として地域ＯＴＡを位置づけることが重要です。

そのビジョンを事業者、住民と対話を通して磨き上げてください。その過程で自然と地域OTA導入の機運が醸造されていくはずです。

受付再開後について

標準パッケージの提供は、契約締結とドメイン取得と弊社への管理委託が終われば３日で提供可能です。詳しくは「導入フロー ｜ ちいプラマニュアル」を参照してください。

まとめ

• ２０２６年１１月１日まで新規の地域OTA受付を一時停止いたします。
• 地域OTAを導入する地域様への代替手段（他社システム）を掲載しました。その際の留意点も掲載しました。
• 「ちいプラ」を使いたい地域様には、来年１１月までに取り組める「準備」をご案内いたしました。

引き続きよろしくお願いいたします。

旅行の予約サイトで他人の個人情報が誤表示される、DB接続先がリセット状態に | 日経クロステック（xTECH）

「取材依頼の趣旨（後述）」とかけ離れた内容になっています。また内容が薄い（大切な部分がごそっと抜け落ちており教訓になるような話がほぼない）ばかりでなく、弊社がクライアントから高く評価いただいた不具合発生後の具体的な対応に言及することなく「立派だが・・・」と貶めるような記載となっています。また弊社の事後対応が中途半端でいまだにリスクを残しているかのように受け止められかねない記述もあります。

このような理由から記事の非掲載を求めましたが、残念ながら応じていただけませんでした。

編集長＞違っていたら書き直します。非掲載はできません。
NYANGO＞間違ってはないが取材依頼に記載された趣旨とまったく違う。利用されている表現がネガティブ。内容が薄い。本質的なところが抜けてる。フォーカスしているところが枝葉（細部の実装、一人親方）。誰の教訓になるの？
編集長＞いろんな読み方がある

という感じでらちがあきません。（ITに詳しくない若手の記者さん本人に苦情対応を丸投げするのでなく、編集長自らから電話してきたことについては高く評価します）

弊社としては風評被害を招きかねない内容と判断しておりますので、以下で弊社の見解を述べさせていただきます。

付録としてChatGPTに取材依頼をうける起因となった記事の要約・建設的批判もしてもらいました。ぜひ日経クロステック社の記事と比較してみてください。

参考/取材依頼内容

５月のシステム不具合に関する取材のお願い（日経クロステック）

NYANGOご担当者さま、〇〇〇〇ご担当者さま

初めてご連絡を差し上げます。技術系媒体「日経クロステック」のIT担当記者の〇〇〇〇と申します。
突然のお願いで恐れ入りますが、〇〇〇〇のシステムで2025年5月に顧客情報が閲覧可能となった事例について取材をお願いしたく、この度メールを差し上げました。

弊誌では、IT業界におけるヒヤリハットや不具合などの事例を当事者への取材をもとに深堀りして伝えております。昨今では情報漏洩などが多発しており、多くの企業や組織が障害について情報を公表しない方針をとる中で、貴団体のWebサイトを拝見し、時系列や原因などを丁寧に説明されている姿勢に非常に感銘を受けました。
～～～URL～～～

貴団体のシステムご担当者様にお話を伺い、貴重な体験や経験とその教訓、再発防止策を読者と共有する記事を執筆したいと考えております。
上記につきまして、もし取材をお受けいただけそうでしたら、8月中にて1時間半ほどご都合の良い日時をいくつかご教示いただけませんでしょうか。
こちらの取材依頼につきまして、もしご不明点などございましたら電話、メールにてお気兼ねなくお伝えくださいませ。

ご多用のところ恐れ入りますが、何卒ご検討いただけますと幸いです。よろしくお願い申し上げます。

〇〇
——————————————————————-
株式会社日経BP 日経コンピュータ編集
〇〇〇〇

〒105-8308　東京都港区虎ノ門4-3-12
携帯電話：080-1234-5678(まずはこちらにご連絡ください)
Email: 〇〇〇@nikkeibp.co.jp
——————————————————————–

弊社が取材を受け入れた理由について

弊社は一般には無名の企業ですが、地域ＯＴＡ業界ではオンリーワンなプロダクトを提供しており、クライアント様も拡大しているので非常に多忙です。

ですので、「興味があるので話を聞かせてください」的な軽いノリの問い合わせは全て断っています。また初回説明時に不勉強（本ホームページに書いてある内容に目を通していない）であればすぐに「提供できません。出直してください」とやっています。

「問い合わせに対応するか、弊社のサービスを提供するか」を判断するにあたって相手方の肩書は一切関係ありません。実際、「中央官庁」や「プロ野球球団」の問い合わせや打診も「不遜」さが少しでも感じられたら「出直してきてください。」とやっています。その逆に「個人」であっても、しっかりと読み込んできてくださってる方には門前払いすることはありません。（むしろ共感を覚えます 笑）

前置きが長くなりましたが、この取材を受入れたのは、弊社の記事を「しっかり読んでくれたんだな」「真摯に対応したその姿勢を好意的に評価くれたんだな」と感じたからです。「日経」という肩書も認識はしてましたがそれは決定的な理由ではありません。

【情報漏洩事案】お客様情報の誤表示に関するお詫びとご案内/2025年6月2日

昨今では情報漏洩などが多発しており、多くの企業や組織が障害について情報を公表しない方針をとる中で、貴団体のWebサイトを拝見し、時系列や原因などを丁寧に説明されている姿勢に非常に感銘を受けました。

取材依頼の趣旨と実際の記事の相違点

問題を起こした当事者が言うべきことではないので公には発信してきませんでしたが、書いちゃいます。

弊社のミスはあってはならないことで、誇れることではありませんが、その後の対応の「迅速さ」「透明性」「客観性」はどの業種のどの企業であっても「あるべき姿」としてベースラインにできるはずです。

迅速さ・・・問題を検知した当日にすべてのクライアントおよび関係した個人に対して、お詫び、事象・リスク、問い合わせ窓口等を連絡。各クライアントからの問い合わせに即応。

透明性・・・原因・経緯を包み隠さずに図を含めるなどして非専門家にもわかりやすく説明。（マルチスレッドなど技術寄りの内容は省略）

客観性・・・自社の恣意的な評価でなく、公的機関（個人情報保護委員会）の客観的指標を使って事態の重要度をわかりやすく説明

そういえば、ちょうどこの取材を受けている時に以下のような報道もありました。

前代未聞の報告遅れで楽天モバイルに行政指導

実際、複数のクライアントから「役所とかとの調整で大変だったけど真摯に対応してくれたことに満足している。感謝している。むしろ信頼が増した」と言っていただいています。このエピソードは弊社記事には書いておりませんでしたが、こういったことを書いてくれるのかな？と期待しておりました。（このコメントは、取材時に同席してくださったクライアントの発言要旨です）

ところが、実際に公開された記事では、こういった部分がバッサリ抜けて、枝葉である実装レベルの「マルチテナントがー、データベース接続先がーー、マルチスレッドがーーー」という話になってしまっています。これはこれで現場のエンジニア（日経テック読むかな？）には学びにはなるかもしれませんが、「不具合」は様々な要因で起こりえるので、ここだけフォーカスしてしまえば、「うちのシステムはマルチテナントじゃないし」で終わってしまいます。

お客様から「信頼が増した」と言われるほどの「迅速さ」「透明性」「客観性」については何の言及もないばかりか、、、

『一連の対応は立派といえるものの、一般的に1人での開発は思い違いなどがあっても第三者が指摘する機会がない。体制としては脆弱』

と切り捨てられています。これ誰の教訓になるの？「うちは一人じゃないし」で終わりですよね。記事の内容も薄ければ、考察も浅い・薄い。

クラウドと生成AIで一人でできることがどんだけ増えてるかわかってる？

顧客対応ができて、業務知識もあって、設計から実装までできるって生産性最強だからね。

聞くけど、一人でなければ脆弱じゃないの？ 楽天さんがうけた行政指導についてなんかコメントしてますか？

薄っぺらい一般論はChatGPTで間に合ってるの理解できてますか？

こんなんだからオールド（自主規制）

パパ、怒ってるニャ💦💦💦

これはしょうがないニャ。詐欺的ニャ

記事中でコメントしているコンサルティング会社の宣伝だってば。広告とかセミナー共催とかで利害関係あるのでは？

陰謀論キタ！

まず、深呼吸じゃよ

（取引先が２０社にふえてさらに大きな取引が２件はじまるので来年からエンジニア雇用します。応募してね！！）

付録/ChatGPTの要約・批判的考察と日経の記事比較

元となった弊社の記事をChatGPTで要約＆批判的に考察してもらった結果です。ぜひこの結果と、日経テックさんの記事を比べてください。どちらが学びになりますか？どこぞのCTOなる人のコメントとどちらが参考になりますか？

ChatGPTの所要時間は30秒。日経テックさんの記事は当方が取材対応に費やしただけで5時間以上使ってます。さらに取材に同席してくださったクライアント、日経側の記者さん、デスク、（本当にいたのかしらんけど）技術に詳しいという記者さんの時間を全部足すと20時間は費やしています。

評価は読者のみなさまにお任せいたします。

【ChatGPTへのプロンプト】以下の個人情報漏洩事案に対する記事を要約してください。また対応について評価してください。教訓を引き出してください。建設的に批判してください。結果は、Markdown記法（RAW表示）にしてください。 見出しは レベル3から開始してください。https://nyango.com/2025/06/02/personal-data-incident

事案の概要（要約）

• 発生時期・原因
• 2025年5月30日 午前2時頃、システム改修をリリースした際に不具合が混入。
• マルチテナント対応の実装中に誤った設定があり、複数の地域サイトで顧客情報が混在・表示される状態となった。 (nyango.com)
• 漏えい・誤表示された情報
• メールアドレス、お名前、住所、電話番号、生年月日、利用履歴。
• クレジットカード情報の一部（カード番号下4桁、カードブランド、有効期限）。
• パスワード、カード番号全体、CVCは漏れていないとされている。 (nyango.com)
• 影響範囲
• 新規会員登録完了時に、他地域予約サイトの同一顧客IDに紐づく既存会員情報が閲覧可能になったケース。
• 2025年5月30日～6月2日午後1時までに新規登録された109名と、同IDを持つ既存109名、計218名が影響対象。 (nyango.com)
• 発見・対応までの流れ
• 6月2日午前10時頃、顧客から指摘があり検知。直後に調査開始 → 同日午後1時頃に修正実施。
• 同日午後から影響範囲調査、関係者への通知を実施。6月2日22時前後に影響を受けた顧客へ案内。悪用の報告は現時点でなし。 (nyango.com)
• 再発防止策
• 開発環境をマルチテナント状態にできるよう整備し、類似の不具合を検出可能にする。
• 機密性の高い情報のキー値を各サイト間で一意にする設計に変更し、異常状態が起きても他顧客情報が参照されないようにする。
• 管理体制の見直し、システム強化、関係者教育の徹底を実施予定。 (nyango.com)

対応の評価

良い点

• 迅速な対応：不具合の検知から修正までが比較的速やかで、影響範囲調査や通知も同日中あるいは72時間以内に行われた点は評価に値します。 (nyango.com)
• 被害規模が限定されている：該当した顧客は109名、新規と既存で合計218名（ただし重複で109名とも。発表では109名）と比較的小規模であった点。悪用の報告も現時点ではない点も重要です。 (nyango.com)
• 透明な公開：事案の内容、影響範囲、対応内容を詳細に説明する形での公開がなされている点は、透明性の観点で良好です。 (scan.netsecurity.ne.jp)

改善が望ましい点

• 検知の遅れ：不具合は5月30日午前2時に発生していたが、検知されたのは6月2日午前10時。約2日半、問題が放置されていたことになります。自動アラートやログ監視の体制強化が必要です。
• 開発環境と本番環境の乖離：開発環境がシングルテナント運用であったため、マルチテナントで起こる不具合を事前に検出できず、本番環境でのみ発覚しました。開発と本番の環境を一致させることは基本的な品質保証の一部です。
• キー設計の甘さ：顧客情報に使う識別キーが、テナント間で重複する可能性があり、それが誤表示につながった設計上のミスが明白です。ID設計の段階での検討不足があったといえます。

教訓・今後の改善に向けた提言

1. 開発環境の本番への近似性の確保

• 開発・検証環境においても本番と同様のマルチテナント設定を用意し、リリース前に全シナリオでテストを行うべきです。

1. 自動監視・アラート体制の整備

• データベース異常アクセスや不正なクロステナント閲覧などを検知するログモニタリング・アラートを導入し、問題を早期に発見できるようにすることが重要です。

1. 識別設計の見直し

• 顧客IDなどのキーはテナントをまたがって一意性を持たせ、交差参照やデータ漏れが起こらないよう設計を見直す必要がある。

1. 権限・分離の強化

• 各テナント間でのデータアクセス権の分離を徹底し、誤操作や不具合による横断的なアクセスを制限する仕組みを整える。

1. リスクレビュー・コードレビューの強化

• システム改修時には、変更が各機能・テナントにどう影響するかをリスクレビューし、特に影響範囲が大きい変更は複数担当者によるコードレビューやペアプログラミングを行うべきです。

1. 教育・運用ルールの徹底

• 開発者や運用担当者に対して、マルチテナント構成に特化した開発・運用教育を継続的に行い、注意点を共有すること。

1. 侵害後のフォローアップ

• 今後も影響を受けた顧客からの問い合わせ・苦情がないか継続的にモニタリングし、必要に応じて追加のフォローや説明を行う体制を整える。

総括（建設的な批判）

本件は、攻撃ではなく開発上の不具合に起因したシステム内の情報誤表示という形の「漏えい」事案であり、比較的小規模かつ迅速な是正がなされた点は一定の評価に値します。その一方で、「開発環境の問題」「監視体制の不備」「設計段階での配慮不足」など根本的な開発プロセスの課題が浮き彫りになったとも言えます。透明な報告が行われたことは良いですが、同様のミスを防止するためには、開発→本番へのテストと品質保証を強化し、組織全体としての情報セキュリティ・ガバナンス体制を向上させる必要があります。

まとめ

取材依頼への対応は慎重に (*´▽｀*)

はじめに

NYANGOでは、生成AI（ChatGPT、Github Copilotなど）を頻繁に利用しており「生産性の劇的な向上」という恩恵を享受しています。

ところでこの恩恵はずっと続くのでしょうか？生成AIが脅威になる可能性はないでしょうか？そんなことを考えたのは以下の記事が目にとまったからです。

「SaaS is Dead」時代のバックオフィスAI戦略――マネーフォワードの挑戦（1/5 ページ） – ITmedia ビジネスオンライン

　「SaaSの時代は終わった」――。2024年末、マイクロソフトのサティア・ナデラCEOがベンチャーキャピタリスト主催のポッドキャスト番組で放った一言が、ソフトウェア業界に衝撃を与えた。

弊社のちいプラもSaaS(Software as a Service )に分類されます。利用者は、情報システムを所有せず利用に徹することで、高度な情報システムの知識がなくても、社内にIT部門がなくても、特別なソフトウェアを端末にインストールしないでも、「いつでも」「どこでも」「高機能な情報システム」を「安価」に利用することができます。これがSaaSのメリットです。

ちいプラを西暦２０００年頃（じゃらんnetや楽天トラベルが登場した時期）に開発・運用したとすると、どれくらいの費用が必要だったニャ？

開発費は少なくとも5,000万円。サーバー費は毎月30万円。保守運用費は80万円は必要だったはずニャ

た、た、たかいにゃー。チュール換算したら・・・💦

さて、ちいプラは、AIに淘汰されるでしょうか？個人的には、直近２・３年ではされない。早くとも１０年は要する。と考えています。理由は以下の３つです。

• 複雑だから・・・ここは時間の問題
• １００％の正確性が求められるから・・・空きがないのに予約できてしまったり、実際の料金が違っていることは許されません。AIは統計ベースなので100%は期待できません。
• リアルタイム性が重要だから・・・在庫は分単位で変動します。APIで代替可能ですがAPIを提供するかどうかはこちら側が制御できます。

この考察をChatGPTにコメントしてもらったのが以下です。GPT-5なので忖度は控えめと思われます。また「このあたりはAIが活用できるのでは？」という提案もしてくれました。

それにしても、ChatGPTの考察力・要約力は凄いです。このアウトプットに２０秒もかかってません。もはやコンサルとか営業支援とかデータ分析といった「完璧でなくてもよいもの」「リアルタイム性がいらないもの」に該当する知的労働は淘汰必至ですね。。

宿泊・アクティビティ予約システムとAI代替可能性の分析（ by ChatGPT )

1. 宿泊・アクティビティ予約システムがAIに代替されにくい理由

予約系システムは 「トランザクション処理（業務システム）」的性格 が強いため、AIが完全に代替するのは難しい領域です。

• リアルタイム性
  在庫（部屋数、座席数、アクティビティ枠など）は分単位で変動。レイテンシーやAIによる推測が介在すると「二重予約」や「残数誤り」のリスクが即座に発生。
  → このためAIではなく、堅牢なDBトランザクション管理・API連携が不可欠。
• 正確性の要求
  料金やキャンセルポリシー、残室有無は誤差が許されない情報。AIの推測や生成より、正解を1つに収束させること が求められる。
  → AIは自然言語インターフェースやレコメンドには役立つが、根幹の予約確定処理は既存システムに依存。
• 業務ルールの複雑さ
  ホテルの料金体系（曜日・季節・人数・キャンペーン適用など）、旅行会社の契約条件、地域ごとの規制などは膨大で多様。
  → これを汎用AIに置き換えるのは難しく、むしろ既存の「業務ロジック＋ルールエンジン」にAIを補助的に組み合わせる方向が現実的。

結論: 予約システムは「AIが代替する」のではなく、AIがフロント部分（検索・レコメンド・問い合わせ対応）を支援し、最後は既存の業務システムに正確な処理を委ねる のが妥当。

2. 【参考】AIで代替しやすい領域

「リアルタイム性・正確性の絶対性」がそこまで要求されない領域はAIが得意。

• データ分析
  統計処理や予測モデルは人間が「設計・解釈」していた部分をAIが高速化可能。誤差があっても許容されるケースが多い。
• コンサルティング
  ケーススタディの横展開や提案資料の作成など、「納得感が重要だが100%の唯一解がなくてもよい」領域はAIが効率化しやすい。
• 営業支援
  顧客情報整理、メールや提案書のドラフト、商談の会話ログ要約など、AIの生成力・要約力が直結して役立つ。

→ 「確率的な回答でも十分に価値がある」領域はAIによる置き換えが進みやすい。

3. 【補足】予約システムでもAIが活躍できる部分

完全な代替は難しい一方で、以下の補助領域ではAIが価値を出せる。

• 検索ナビゲーション
  ユーザーの曖昧な要望（例：「海の近くで、子供向けプールがあるホテル」）を自然言語で解釈。
• 需要予測・価格最適化
  需要変動をAIで予測し、ダイナミックプライシングを支援。
• 問い合わせ対応
  予約変更やキャンセルルール説明を自然言語で行う。

→ 「基幹処理は業務システム、周辺体験はAI」 という分業が現実的。

まとめ

• 宿泊予約システムのように「正確性・リアルタイム性・複雑な業務ルール」が絡むものはAI単独での代替は難しい。
• 一方で、正確性100%が必須でない「分析・提案・支援」系業務はAIに置き換えやすい。
• 予約領域でも、フロント部分や周辺業務にはAIが活躍できる余地がある。

👉 今後は「予約システムの基幹部分（トランザクション処理）は残りつつ、顧客体験部分はAI主導にシフト」する方向性が大きな流れになる。

余談

ちなみに「旅」向けの予約システムと、「ビジネス」向けの予約システムはわけて考える必要があります。求められるものがまったく違うからです。「旅」では、共感や感動といった情緒が重要です。「ビジネス」では効率・コストが最優先されます。

「ビジネス」向けの宿泊施設（ビジネスホテル）は、とことん無人化・自動化がすすむと思います。清潔で、寝れて、広い風呂があればOK。手の込んだ食事、おもてなし、感動は不要。いわばファストフード的な世界観がビジネス向け予約システムです。

ちいプラは、このような世界観のシステムは目指しません。

ちいプラは、「旅」向けのシステムとして「なぜ、人は旅をするのか？」「おもてなしとは？」「豊かとは？」を追求するクライアント様に寄り添いながら進化していきます。