セキュリティへの取り組み

セキュリティに対する基本姿勢

取り扱う情報の性質、システムの利用環境、必要なセキュリティ水準を確認したうえで、案件ごとに適切な設計・運用方針を検討します。 詳細な対策内容は、要件定義および契約時に責任範囲を明確にします。

本ページでは、発注前に確認できる基本方針と、コーポレートサイト運用から確認できる技術対策を掲載しています。 詳細な構成図・クラウド設定・委託先・運用手順などは、案件ごとまたは NDA 締結後に個別対応します。

サイト運用で確認できる対策

以下はコーポレートサイトの実装・ホスティング設定から確認できる内容です。顧客システムの対策内容そのものではありません。

• 通信の暗号化（HTTPS）

  コーポレートサイトは HTTPS で提供し、Strict-Transport-Security（HSTS）を設定しています。

• クリックジャッキング対策

  X-Frame-Options: DENY および関連セキュリティヘッダーにより、第三者サイトへの埋め込みを制限しています。

• MIME スニッフィング対策

  X-Content-Type-Options: nosniff を付与し、ブラウザによる意図しない解釈を抑制しています。

• リファラー制御

  Referrer-Policy: strict-origin-when-cross-origin を設定しています。

• ブラウザ機能の制限

  Permissions-Policy により、カメラ・マイク・位置情報・決済・USB・センサー系など不要なブラウザ API を無効化しています。

• Content-Security-Policy

  XSS 対策として CSP を適用。許可先は実利用オリジンに限定しています。

• クロスオリジン隔離

  Cross-Origin-Opener-Policy / Cross-Origin-Resource-Policy を same-origin で設定しています。

• 技術情報の非公開

  X-Powered-By ヘッダーを無効化し、フレームワーク情報の露出を抑えています。

• ソースコード管理

  ソースコードは Git リポジトリで管理し、本番デプロイは CI/CD（Netlify）経由で行います。

• 秘密情報の管理（サイト運用）

  APIキー等は環境変数で管理し、クライアントへ埋め込まない構成としています。リポジトリへの .env コミットは禁止しています。

• お問い合わせフォームの入力対策

  サーバー側で必須チェック・文字数制限・メール形式検証を実施。HTMLメール送信時はユーザー入力をエスケープし、件名への改行注入を除去します。

• 開発環境と本番環境の分離

  ローカル開発・プレビュー・本番を環境変数とホスティング設定で分離しています。

案件ごとのセキュリティ設計

開発案件では、次の観点を要件に応じて設計・合意します。実施内容は案件の性質により異なり、契約・仕様で責任範囲を定めます。

• 取り扱うデータの種類を確認する
• 必要な権限構造を設計する（アクセス権限の最小化）
• 管理者・一般利用者・外部利用者を分離する
• アカウントの個別発行と、退職者・契約終了者の権限削除を運用に含める
• 操作ログの必要性を確認する
• バックアップと復旧要件を整理する
• 個人情報や機密情報の保存範囲を最小化する
• 利用するクラウド・外部APIの責任分界を整理する
• 通信の暗号化・保存データの保護方針を要件に応じて定める
• ライブラリ・依存関係の更新方針を開発運用に含める
• 秘密保持契約（NDA）の締結要否を確認する
• インシデント発生時の連絡窓口を契約・運用合意で定める

個人情報の取り扱いの一般方針はプライバシーポリシーもあわせてご確認ください。

セキュリティチェックシートへの対応

取引先企業所定のセキュリティチェックシートや委託先調査票については、契約前または NDA 締結後に個別対応します。

• 公開ページ方針と相談窓口を明示
• NDA / 契約前詳細資料・調査票へ個別回答
• 要件定義責任分界を仕様・契約へ反映
• 運用開始後合意した範囲で継続対応