1. セキュリティ対策の全体像
AIがかりは、顧客対応・販売支援を中心とした業務プロセスの実務データ（社内議事録・提案書・顧客返信履歴等）を扱う SaaS として、5 層のセキュリティ対策を多層防御として実装しています。
2. 通信・保管の暗号化
2.1 通信暗号化
| 項目 | 内容 |
|---|---|
| プロトコル | TLS 1.2以上（TLS 1.3 推奨） |
| HTTPS強制 | HTTPリクエストを HTTPS にリダイレクト |
| HSTS | Strict-Transport-Security ヘッダ付与（max-age=31536000） |
| 証明書 | ACM（AWS Certificate Manager）により自動発行 |
| 弱い暗号スイート | RC4 / 3DES / TLS 1.0 / 1.1 を無効化 |
2.2 保管時暗号化
| 項目 | 内容 |
|---|---|
| DB暗号化 | AES-256（AWS RDS Encryption at Rest） |
| バックアップ暗号化 | AES-256（プロバイダ標準） |
| 秘匿情報 | AWS Secrets Manager / 環境変数で管理、コードベースに含めない |
| APIキー | 案件別分離、定期ローテーション |
| パスワード | SHA-256 ハッシュ保存（Phase 2で bcrypt / Argon2 へ強化予定） |
3. 認証・認可
3.1 認証の仕組み
- パスワードはSHA-256でハッシュ化のうえ保管（平文保存なし）
- セッションはUUIDトークンを
httpOnly・secure・SameSite=Laxの Cookie で保持（有効期限30日） - ルート保護: Server Component で認証チェック、未ログインは自動リダイレクト
- Phase 2でNextAuth.js + JWT / DB Session への移行、多要素認証（TOTP）の追加を予定
3.2 認可モデル
| 操作 | 権限要件 |
|---|---|
| 自社データ閲覧・編集 | ログイン + userId 一致（Prismaクエリで強制絞り込み） |
| チームメンバー招待 | チームオーナー権限 |
| 管理者機能（監査・統計） | 管理者ロール（Phase 2実装） |
4. 監査ログ・アクセスログ
4.1 取得するログ
- アプリケーションアクセスログ: リクエストURL・ユーザーID・IPアドレス・User Agent・HTTPステータス
- 認証イベントログ: ログイン成功／失敗、ログアウト、パスワード変更、アカウントロック
- 重要操作ログ: エージェント作成・削除、設定変更、承認操作の全履歴
- インフラログ: CloudWatch Logs（AWS標準）
4.2 保存期間
| ログ種別 | 保存期間 |
|---|---|
| アクセスログ | 1年 |
| 認証イベントログ | 2年 |
| 重要操作ログ | 契約終了後5年 |
| バックアップログ | 90日 |
4.3 ログ改ざん防止
- ログ保存先はアプリケーションから書き込みのみ許可、削除・編集不可
- 保管先: CloudWatch Logs（AWS標準）
- 取得権限: 管理者（CDO・社長）に限定
5. バックアップ体制
| 対象 | 頻度 | 保管期間 |
|---|---|---|
| データベース（顧客データ） | 日次フルバックアップ + PITR（Point-in-Time Recovery） | 30日 |
| ユーザーアップロードファイル | 日次（S3 Versioning有効） | 90日 |
| 設定・秘匿情報 | 変更時（Git + Secrets Manager履歴） | 無期限 |
| ソースコード | push時（GitHubプライベートリポジトリ） | 無期限 |
5.1 災害復旧目標（RPO / RTO / SLA）
RPO（目標復旧時点）
24時間以内
障害発生時に失われるデータは最大24時間分まで
RTO（目標復旧時間）
4時間以内
障害発生から復旧までの目標時間
SLA稼働率
99.5%
月間3.6時間以内のダウンタイムを許容（Phase 2で99.9%へ引き上げ予定）
6. インシデント対応フロー
6.1 インシデント分類
| 区分 | 例 | 報告期限 |
|---|---|---|
| レベル1（緊急） | 個人情報漏洩・不正アクセス成功・全面サービス停止 | 覚知後1時間以内 |
| レベル2（重大） | 限定的障害（特定機能停止）、未遂の不正アクセス | 覚知後4時間以内 |
| レベル3（軽微） | バグ・軽微なUIエラー・短時間の遅延 | 翌営業日までに報告 |
6.2 個人情報漏洩時の対応（個人情報保護法第26条）
2022年改正法で個人情報保護委員会への報告義務・本人通知義務が明文化されています。
| 要件 | 期限 |
|---|---|
| 速報（個情委） | 覚知後3-5日以内 |
| 確報（個情委） | 覚知後30日以内（不正アクセスは60日） |
| 本人通知 | 速やかに（メール・サイト掲載） |
7. 認証・代替証跡
ISMS/Pマーク認証は2026年後半〜2027年の中期施策として計画中です。本MVP段階では、以下の代替証跡により同等水準のセキュリティ管理を実現しています。
セキュリティに関するご質問はお気軽に
本ページに記載のない項目・詳細なセキュリティ設計図・委託先契約書のサマリー等、お客様のセキュリティ審査・IT資産管理上必要な情報がございましたら、お問い合わせください。