IFC Viewer Online · BIM・IFCブログに戻る
納品とISO 19650 · 2026-11-13 · 7分
誰がどのモデルを見られるか：納品用CDEで協力会社のデータを分離する
納品用ワークスペースには、互いの成果物を見てはならない多くの会社のモデルが集まります。モデルを受け取るCDEに尋ねるべき5つの質問と、準備完了と言う前に私たちが自社のCDEで行ったテストを紹介します。
16件のエントリーがあるプロジェクトの納品ログ。各ファイルのSHA-256と、ブラウザーで再計算されて改ざんなしと確認されたチェーン
施工会社の納品用ワークスペースは特殊な場所です。構造設計者、設備業者、ファサード会社がそれぞれ納品し、別のプロジェクトでは互いに競合相手です。要件と自分の成果物は見る必要がありますが、他社のものは見てはなりません。
ISO 19650-5は、BIMを使うかどうかにかかわらず、建築資産に関する機密情報をセキュリティに配慮して管理する方法を定めています。[iso-19650-5] 規格全体を適用しなくても、CDEに5つの素朴な質問をすることはできます。
この記事のポイント
- 協力会社のリンクには何が表示され、何が表示されないか？
- 受け取る側のチームの各ロールは何ができ、何が拒否されるか？
- ある会社が別の会社のデータを読めることはあるか？
- チェックされたファイルと納品されたファイルは同じか？
- 後から誰かが記録を編集したら、それはわかるか？
1. 協力会社のリンクに表示されるもの
協力会社のリンクには、1社の協力会社用のトークンが含まれています。トークンだけでは何も表示されません。作成対象のプロジェクトと組み合わせると、そのプロジェクトの要件とその協力会社の納品が表示され、他の協力会社のものは決して表示されません。
これをはっきり書くのは、最初に間違えたからです。アップロードページの開発中、テストでトークンだけで会社の全プロジェクトが一覧表示されることが判明しました。ページをマージする前に修正し、現在は毎回の実行でテストがこれを確認しています。
2. 各ロールにできること
施工会社のチーム内には、オーナーからゲストまで6つのロールがあります。テストでは各ロールにすべての書き込み操作を試させ、ロールが許可する内容どおりの結果になることを確認します。拒否される操作の例：
- レビュアーは納品を閲覧できますが、承認や差し戻しはできません。
- ゲストは納品をまったく閲覧できません。
- 閲覧者は送信キューにメールを入れられません。
- 会社のルールライブラリを変更できるのはオーナーと管理者だけです。
2人が同じイシューやルールセットを同時に編集すると、2人目には最新のコピーと競合が通知され、1人目の変更が黙って上書きされることはありません。
3. ある会社が別の会社のデータを読むことはない
テストでは同じサーバー上に2つ目の会社を作り、その会社のユーザーで1つ目の会社の納品、イシュー、ルールの読み書きを試みます。すべての試みが拒否されます。このテストは他のテストと一緒に実行されるため、これを壊す変更が見逃されることはありません。
4. チェックしたファイルが納品されたファイル
協力会社のブラウザーがファイルのSHA-256を計算し、アップロード前に登録します。検証ランナーは何かを開く前にそのフィンガープリントとIFCヘッダーを確認します。途中で変わったファイルやIFCではないファイルは、検証前に差し戻されます。判定する人も同じフィンガープリントを見て、その判定はフィンガープリントで封印されます。
自社サーバー上でのワークスペースのローカルテスト。Hotel Velaのテストモデル（実際のIFCファイル）を使用、スペイン語のインターフェース。まだ公開していません。
5. 編集されればわかる記録
すべての納品と判定はログの1行となり、日付、作成者、フィンガープリントとともに直前の行とチェーンでつながります。「チェーンを確認」を押すと、ブラウザーですべてのハッシュを再計算します。テストプロジェクトでは16件のエントリーが一致しました。誰かが行を編集すると、その行でチェーンが壊れます。UK BIM Frameworkはレビューと承認を情報を受け取る側の手順として説明しています。[uk-bim-part-c] このログが各承認の証拠になります。
自社サーバー上でのワークスペースのローカルテスト。Hotel Velaのテストモデル（実際のIFCファイル）を使用、スペイン語のインターフェース。まだ公開していません。
ワークスペースの外に出るもの
- WebhookはHMAC-SHA256で署名されるため、受け取るシステムは送信元が当社であることを確認できます。
- メールはキューに入って待機します。同意していない連絡先や配信停止した連絡先は、キュー自体が拒否します。
- クライアント用リンクはトークンとパスワードのハッシュだけを保存し、有効期限があり、取り消し可能で、10回失敗するとロックされます。
まだできていないこと
- 自社サーバー上でテストとして動いているだけで、契約付きのホスティングサービスとしてはまだ提供していません。
- 外部のセキュリティ監査はまだ受けていません。
どのCDEにも同じ質問を
この5つの質問は、当社を含むどのツールにも使えます。無料ビューアーについてIT部門が尋ねる質問（ファイルの行き先、Cookie、再委託先）についてはBIMツールのITセキュリティチェックリストをご覧ください。実際のプロジェクトでReceptionを試すにはお問い合わせください。
誰がどのモデルを見られるか：納品用CDEで協力会社のデータを分離する