セキュリティへの取り組み

セキュリティに対する基本姿勢

取り扱う情報の性質、システムの利用環境、必要なセキュリティ水準を確認したうえで、案件ごとに適切な設計・運用方針を検討します。 詳細な対策内容は、要件定義および契約時に責任範囲を明確にします。

本ページでは、発注前に確認できる基本方針と、コーポレートサイト運用から確認できる技術対策を掲載しています。 詳細な構成図・クラウド設定・委託先・運用手順などは、案件ごとまたは NDA 締結後に個別対応します。 お客様自身のIT・セキュリティを外部で補完する支援はセキュリティ整備・伴走をご覧ください。

サイト運用で確認できる対策

以下はコーポレートサイトの実装・ホスティング設定から確認できる内容です。顧客システムの対策内容そのものではありません。 多要素認証の範囲、バックアップ、脆弱性対応 SLA、インシデント手順など、委託先チェックシートでよく聞かれる項目は公開ページには掲載しません。契約前または NDA 締結後に、所定の調査票へ個別回答します。

• 通信の暗号化（HTTPS）

  コーポレートサイトは HTTPS で提供し、Strict-Transport-Security（HSTS）を設定しています。

• クリックジャッキング対策

  X-Frame-Options: DENY および関連セキュリティヘッダーにより、第三者サイトへの埋め込みを制限しています。

• MIME スニッフィング対策

  X-Content-Type-Options: nosniff を付与し、ブラウザによる意図しない解釈を抑制しています。

• リファラー制御

  Referrer-Policy: strict-origin-when-cross-origin を設定しています。

• ブラウザ機能の制限

  Permissions-Policy により、カメラ・マイク・位置情報・決済・USB・センサー系など不要なブラウザ API を無効化しています。

• Content-Security-Policy

  XSS 対策として CSP を適用。許可先は実利用オリジンに限定しています。

• クロスオリジン隔離

  Cross-Origin-Opener-Policy / Cross-Origin-Resource-Policy を same-origin で設定しています。

• 技術情報の非公開

  X-Powered-By ヘッダーを無効化し、フレームワーク情報の露出を抑えています。

• ソースコード管理

  ソースコードは Git リポジトリで管理し、本番デプロイは CI/CD（Netlify）経由で行います。

• 秘密情報の管理（サイト運用）

  APIキー等は環境変数で管理し、クライアントへ埋め込まない構成としています。リポジトリへの .env コミットは禁止しています。

• お問い合わせフォームの入力対策

  サーバー側で必須チェック・文字数制限・メール形式検証、送信元（Origin）確認、ハニーポットを実施。HTMLメール送信時はユーザー入力をエスケープし、件名への改行注入を除去します。ボット対策として Cloudflare Turnstile を組み込み、本番のキー設定後に有効になります。

• 開発環境と本番環境の分離

  ローカル開発・プレビュー・本番を環境変数とホスティング設定で分離しています。

案件ごとのセキュリティ設計

開発案件では、次の観点を要件に応じて設計・合意します。実施内容は案件の性質により異なり、契約・仕様で責任範囲を定めます。

• 取り扱うデータの種類を確認する
• 必要な権限構造を設計する（アクセス権限の最小化）
• 管理者・一般利用者・外部利用者を分離する
• アカウントの個別発行と、退職者・契約終了者の権限削除を運用に含める
• 操作ログの必要性を確認する
• バックアップと復旧要件を整理する
• 個人情報や機密情報の保存範囲を最小化する
• 利用するクラウド・外部APIの責任分界を整理する
• 通信の暗号化・保存データの保護方針を要件に応じて定める
• ライブラリ・依存関係の更新方針を開発運用に含める
• 秘密保持契約（NDA）の締結要否を確認する
• インシデント発生時の連絡窓口を契約・運用合意で定める

個人情報の取り扱いの一般方針はプライバシーポリシーもあわせてご確認ください。

ID・データ・ファイルの受け渡し

初回は状況の概要だけで十分です。ID・パスワード・本番データは、お問い合わせフォームに書かないでください。 詳細が必要になった時点で、担当者が受け渡し方法をご案内します。

• 初回のお問い合わせには、状況の概要だけを書く。ID・パスワード・本番データは書かない
• 機密の受け渡しは、担当者と方法を決めてから行う
• 貴社で閲覧権限を限定できる共有方法を優先する
• メール添付にする場合はファイルを暗号化し、解除情報は別の経路で送る
• アカウントは、期間と権限を限った個別発行を優先する
• 渡す範囲は最小限にし、個人情報はマスキングを検討する

個人情報や顧客データを渡す前の確認項目はデータ渡し前のチェックリストもあわせてご覧ください。

セキュリティチェックシートへの対応

取引先企業所定のセキュリティチェックシートや委託先調査票については、契約前または NDA 締結後に個別対応します。

• 公開ページ方針と相談窓口を明示
• NDA / 契約前詳細資料・調査票へ個別回答
• 要件定義責任分界を仕様・契約へ反映
• 運用開始後合意した範囲で継続対応