SECURITY POLICY

お預かりする情報資産について、不正アクセス・漏えい・改ざん・滅失を防止する技術的・組織的対策を講じ、必要なときに必要な人だけが利用できる状態を維持します。

個人情報保護法、不正競争防止法、著作権法、特定商取引法、電気通信事業法等の関連法令、契約上の義務、業界ガイドラインを遵守します。

すべてのアクセスを「信頼しないことを前提」に設計します。役割・職務に応じた最小権限を付与し、認証・認可を多層で検証します。

リスク評価・脆弱性監視・運用レビューを継続し、技術環境・脅威動向の変化に応じてセキュリティ対策を改善し続けます。

VercelおよびNeon等の信頼できるクラウドサービスを基盤とし、提供事業者のセキュリティ認証（SOC 2等）を確認したうえで利用します。本番環境と検証環境は明確に分離します。

通信はすべてTLSで暗号化し、保存データはクラウド事業者の標準機能による暗号化（at-rest encryption）を有効化します。アプリケーション層で機密性が必要な項目は追加の暗号化を施します。

管理者権限は最小限の人員に限定し、必要に応じて多要素認証を必須とします。SSO・パスワードポリシー・退職者の即時アクセス停止を運用ルールに含めます。

本番環境への管理アクセス、データベース操作、認証イベント、AI機能利用ログなどを記録し、不審な挙動の検知・事後調査に活用します。ログは改ざん防止された領域に保管します。

契約締結、営業判断、業務改善判断など、権利義務や事業運営に重要な影響を及ぼす意思決定の最終判断は、必ず人間が行います。AIは候補の提示、要約、確認支援にとどめます。

生成AIの出力には事実と異なる情報（hallucination）が含まれうることを前提とし、根拠の明示、出典のリンク、人による検証ステップを業務フローに組み込みます。

契約、営業、業務運用、個人情報の取扱いに関わる意思決定領域では、適用前にユースケースごとのリスク評価を実施し、適用範囲・禁止用途・人による確認義務を明文化します。

AIプロバイダのAPI利用に際しては、APIで送信したデータがモデルのトレーニングに使われない契約・設定を選択します。プロバイダのデータポリシー変更は監視し、変更時はお客様に通知します。

ユーザー入力と外部取得情報を信頼できない入力として扱い、システムプロンプトとの分離、検証、出力スキーマ強制、機微な操作前の人間承認などの対策を行います。

監査ログ・モニタリング・お客様からの通報により事象を検知し、速やかに影響範囲の隔離、被害拡大の防止、証跡の保全を行います。

事象発生後は根本原因分析（RCA）を実施し、技術的・運用的な恒久対策を立案・実装します。同様事象の再発防止策をプレイブックに反映します。

個人情報保護法第26条に基づき、個人情報保護委員会への報告および本人への通知を要する事案については、速やかに対応します。お客様事業に影響する事象は、契約上の通知義務に従い連絡します。

バックアップ、リストア手順、フェイルオーバー、災害復旧計画を整備し、重要業務の継続性を確保します。