国内データセンターでの運用
サーバーおよびデータベースは国内リージョンで稼働しています。海外へのデータ移転は行っていません。
通信の暗号化
ブラウザとサーバー間の通信はすべてTLSで暗号化しています。暗号化されていない経路での送受信は行いません。
保存データの保護
データベースに保存する情報は暗号化した状態で保管し、パスワードは復元できない形式（ハッシュ化）で保存しています。
権限にもとづくアクセス制御
管理者・運用担当者・一般社員で閲覧できる範囲を分けています。運用担当者のアクセス権限は必要最小限に絞って付与しています。
バックアップと復旧
データは定期的にバックアップを取得し、障害時に復旧できる体制をとっています。
操作ログの記録
管理画面での主要な操作は記録しており、不審な操作を確認できるようにしています。
システム構成
公開領域と内部領域を、ネットワークレベルで分離しています。
| 構成要素 | 公開範囲 | 保護方式 |
|---|---|---|
| フロントエンド | 公開（HTTPS） | セッション認証 |
| バックエンド | 内部トラフィックのみ | サービス間トークン認証（OIDC） |
| データベース | プライベートIPのみ | VPCピアリング＋IAM |
| ファイルストレージ | 公開アクセス禁止 | IAM＋均一なバケットレベルアクセス |
| シークレット管理 | IAMバインディングのみ | サービスアカウント単位の権限制御 |
インフラはすべてコードで管理（IaC）しています。構成変更はレビューを経て記録が残ります。
データ保護・暗号化
通信中も保存中も、暗号化された状態を維持します。
| 対象 | 方式 | 内容 |
|---|---|---|
| 通信経路 | TLS 1.2 以上 | すべての通信をHTTPSで暗号化 |
| 保存データ | AES-256 | データベース・ストレージを保存時暗号化 |
| パスワード | bcrypt | ソルト付きハッシュで保存。平文では保持しません |
| 機密情報 | Secret Manager | APIキー等を専用の管理基盤で暗号化保管 |
アプリケーション層の対策
入力値の型検証、パラメータ化クエリによるSQLインジェクション防止、HTMLサニタイズによるXSS対策を実装しています。
データ保存地域
データベース・ファイルともに国内を標準とし、国外へは移転しません。ご要望に応じて保存地域の指定も可能です。
テナント分離とアクセス制御
- 企業ごとに識別子を持ち、他社データへは構造的にアクセス不可
- ロールベースのアクセス制御（一般／管理者／運営）
- Cookieは SameSite・Secure・HttpOnly を付与
- 全リクエストで認証・認可を検証
可用性・バックアップ・監査
止まらないこと、戻せること、追えること。
可用性
- データベースはゾーンをまたぐ冗長構成
- 障害時は自動フェイルオーバー
- アプリケーションは自動スケーリング
- 定期的な稼働ヘルスチェック
バックアップ
- 日次自動バックアップ（30世代保持）
- 過去7日間の任意時点へ復元可能
- ファイルはバージョニングで誤削除に対応
- 本番環境は削除保護を有効化
監査・ログ
- ネットワーク通信ログを記録
- データベース接続・切断ログを記録
- ログイン時のIPアドレス・端末情報を記録
- 認証エラー・不正トークンを記録
開発・デプロイの安全性
デプロイ用の長期有効な認証キーを保持しないキーレス認証を採用しています。承認されたリポジトリからのみ配信でき、権限は最小限に限定しています。
※ 本ページ記載のセキュリティ仕様は現時点の構成です。セキュリティチェックシートへのご回答も承ります。
※ 貴社所定のセキュリティチェックシートへの回答、より詳細な構成資料のご提供にも対応いたします。お問い合わせよりご連絡ください。
※ 個人情報の取り扱いについてはプライバシーポリシーを、サービスのご利用条件については利用規約をあわせてご確認ください。
※ 脆弱性を発見された場合は、info@phylax-ai.jpまでご連絡ください。