セキュリティ | AIがかり

1. セキュリティ対策の全体像

AIがかりは、顧客対応・販売支援を中心とした業務プロセスの実務データ（社内議事録・提案書・顧客返信履歴等）を扱う SaaS として、5 層のセキュリティ対策を多層防御として実装しています。

L1 ネットワーク・通信層

TLS 1.2以上の強制、HSTS、HTTPS Redirect、DDoS 緩和（ホスティングプラットフォーム標準）

L2 アプリケーション層

認証・認可、入力バリデーション（Zod）、CSRF対策（SameSite Cookie）

L3 データ層

AES-256 保管時暗号化、自動バックアップ、最小権限アクセス

L4 運用層

監査ログ、稼働監視、秘匿情報管理、APIキー案件別分離

L5 組織・運用ルール

個人情報保護社内規程、従業員教育、インシデント対応フロー、SECURITY ACTION★★（申請予定）

2. 認証情報の非保持・暗号化保護

AIがかりは、認証情報の漏洩リスクを構造的に低減する設計を採用しています。

APIキーの登録不要

AnthropicやOpenAI等のAPIキーを設定・入力する必要がないため、APIキー漏洩のリスクを構造的に低減します。

外部サービスのパスワードを直接お預かりしません

外部サービスとの連携機能（順次提供予定）では、OAuth認証（公式の認証連携ボタン）の採用を予定しています。連携のために取得する認証情報は平文では保管せず、AES-256-GCMで暗号化して保管します。外部連携にあたり、お客様に外部サービスのパスワードの直接入力を求めることはありません。

クレジットカード決済（次フェーズ提供予定）

現在の決済方法は銀行振込（請求書払い）です。クレジットカード決済は次フェーズで提供を予定しています。提供開始後は決済代行会社が直接カード情報を取得・保管する方式を採用し、当社データベースにカード番号は保存されません。

これにより、万が一当社のサーバーやデータベースが攻撃を受けた場合でも、お客様のAPIキー・連携アカウント・クレジットカード情報が流出するリスクを大幅に低減します。

3. 通信・保管の暗号化

3.1 通信暗号化

項目	内容
プロトコル	TLS 1.2以上（TLS 1.3 推奨）
HTTPS強制	HTTPリクエストを HTTPS にリダイレクト
HSTS	Strict-Transport-Security ヘッダ付与（max-age=63072000; includeSubDomains）
証明書	ホスティングプラットフォーム（Vercel）により自動発行・更新
弱い暗号スイート	RC4 / 3DES / TLS 1.0 / 1.1 を無効化

3.2 保管時暗号化

項目	内容
DB暗号化	AES-256（Supabase / Encryption at Rest）
バックアップ暗号化	AES-256（プロバイダ標準）
秘匿情報	Vercel 環境変数（暗号化保管）で管理、コードベースに含めない
APIキー	登録不要（APIキーの設定・入力が不要なため、APIキー漏洩のリスクを構造的に低減します）
パスワード	Argon2id でハッシュ化して保存（OWASP 2024 推奨アルゴリズム、平文保存なし）

4. 認証・認可

4.1 認証の仕組み

パスワードは Argon2id（OWASP 2024 推奨アルゴリズム）でハッシュ化のうえ保管（平文保存なし）
セッションはランダム生成の不透明トークン（32バイト乱数）をhttpOnly・secure・SameSite=Strictの Cookie で保持（ログイン保持を選択した場合は30日、非選択時はブラウザセッション限り）
ルート保護: Server Component で認証チェック、未ログインは自動リダイレクト
Phase 2でNextAuth.js + JWT / DB Session への移行、多要素認証（TOTP）の追加を予定

4.2 認可モデル

操作	権限要件
自社データ閲覧・編集	ログイン + userId 一致（Prismaクエリで強制絞り込み）
チームメンバー招待	チームオーナー権限
管理者機能（監査・統計）	管理者ロール（Phase 2実装）

5. 監査ログ・アクセスログ

5.1 取得するログ

アプリケーションアクセスログ: リクエストURL・ユーザーID・IPアドレス・User Agent・HTTPステータス
認証イベントログ: ログイン成功／失敗、ログアウト、パスワード変更、アカウントロック
重要操作ログ: エージェント作成・削除、設定変更、承認操作の全履歴
インフラログ: ホスティング・DB プラットフォーム（Vercel / Supabase）の実行ログ

5.2 保存期間

ログ種別	保存期間
アクセスログ	1年
認証イベントログ	2年
重要操作ログ	契約終了後5年
バックアップログ	90日

5.3 ログ改ざん防止

監査・重要操作ログはアプリケーションからは追記のみ（アプリ経由での削除・編集は行いません）。ハッシュチェーンによる改ざん検知強化は Phase 2 で対応予定
保管先: 監査・重要操作ログはデータベース（Postgres）に保存、実行ログは Vercel / Supabase に保管
取得権限: 管理者（CDO・社長）に限定

6. バックアップ体制

対象	頻度	保管期間
データベース（顧客データ）	日次自動バックアップ	プロバイダのプラン設定に準拠
生成成果物・添付データ	日次（データベースバックアップに包含）	プロバイダのプラン設定に準拠
設定・秘匿情報	変更時（Git + Vercel 環境変数履歴）	無期限
ソースコード	push時（GitHubプライベートリポジトリ）	無期限

6.1 災害復旧目標（RPO / RTO / 稼働率目標）

RPO（目標復旧時点）

24時間以内

障害発生時に失われるデータは最大24時間分までを目標（目標値であり、復旧訓練の実測に基づく保証ではありません）

RTO（目標復旧時間）

4時間以内

障害発生から復旧までの目標時間（目標値であり、復旧訓練の実測に基づく保証ではありません）

目標稼働率

99.5%

運用上の目標値（現時点で SLA としての保証は付していません）。月間3.6時間以内のダウンタイムを想定（Phase 2で SLA 化・99.9%への引き上げを検討）

7. インシデント対応フロー

7.1 インシデント分類

区分	例	報告期限
レベル1（緊急）	個人情報漏洩・不正アクセス成功・全面サービス停止	覚知後1時間以内
レベル2（重大）	限定的障害（特定機能停止）、未遂の不正アクセス	覚知後4時間以内
レベル3（軽微）	バグ・軽微なUIエラー・短時間の遅延	翌営業日までに報告

7.2 個人情報漏洩時の対応（個人情報保護法第26条）

2022年改正法で個人情報保護委員会への報告義務・本人通知義務が明文化されています。

要件	期限
速報（個情委）	覚知後3-5日以内
確報（個情委）	覚知後30日以内（不正アクセスは60日）
本人通知	速やかに（メール・サイト掲載）

8. 認証・代替証跡

ISMS/Pマーク認証は2026年後半〜2027年の中期施策として計画中です。本MVP段階では、以下の代替証跡により同等水準のセキュリティ管理を実現しています。

代替証跡	ステータス
SECURITY ACTION★★ 宣言（IPA）	2026年内申請予定（未取得）
セキュリティ対策書（本ページ）	整備済
個人情報保護社内規程	整備済
反社会的勢力排除規程	整備済
プライバシーポリシー	公開済
利用規約	公開済

セキュリティに関するご質問はお気軽に

本ページに記載のない項目・詳細なセキュリティ設計図・委託先契約書のサマリー等、お客様のセキュリティ審査・IT資産管理上必要な情報がございましたら、お問い合わせください。