セキュリティへの取り組み

実施している取り組み

機密性（情報を守る）

• 通信は HTTPS により暗号化しています。
• ログイン認証には Amazon Cognito を使用し、ログアウト時にはトークンを失効させます。
• 有料機能のデータ配信は、サーバー側でご契約プランの権限を確認したうえで行います。
• データベースの接続情報などの秘密情報は、プログラムに埋め込まず、専用の秘密情報管理サービスで管理しています。
• 運用担当者の管理アカウントには、多要素認証を設定しています。
• AI 対話は、個人情報や内部情報の漏えいを防ぐための入力・出力の安全判定とフィルタを経由します。

完全性（改ざんを防ぎ、検知する）

• 本番データベースは、読み取り専用の権限で参照する構成としています。
• 管理操作と設定変更は記録し、不審な変更を運用担当者へ通知する仕組みを設けています。
• AI 対話の記録（チャットログ）には、保存時に改ざん検知のための署名を付与しています。署名を付与できない場合は、記録を保存しません。

可用性（止まらないようにする）

• 主要なサーバーは24時間稼働しています。
• 稼働状況を継続的に監視し、異常を検知した場合は運用担当者へ通知します。
• 一部のデータストアには、時点を指定した復旧（ポイントインタイムリカバリ）を設定しています。
• 過剰なアクセスに対しては、アクセス数の制限（レート制限）により保護しています。

堅牢性（攻撃への備え）

• Web アプリケーションファイアウォール（WAF）を導入しています。
• ログイン周りの不審な兆候を記録・監査しています。
• 脆弱性が報告された場合は、影響を確認したうえで、順次対応します。

記録の保管

• システムの動作記録（ログ）は、最長10年間保管し、障害や不正アクセスの調査と監査への対応にのみ用います。詳細はプライバシーポリシーをご覧ください。

診断と是正の実績・定期的なチェック

MAPRISE は、一度きりの対策で終わらせず、診断と是正を繰り返す運用をしています。

定期的なチェック

• 毎日：本番の設定が意図しない状態に変わっていないかの検知、ログイン周辺の不審な兆候の記録・確認を行っています。
• 毎週：利用しているソフトウェア部品の既知の脆弱性スキャンと、設定・コードに関する指摘の確認を行っています。
• 定期的：外部からの稼働確認を行い、異常を検知した場合は運用担当者へ通知します。
• システムを変更するたび：自動テストと、秘密情報の混入検査を実施しています。
• 長期間使用する認証情報や共有の秘密情報は、定期的に更新する方針としています。

診断の実績

• 2026年8月以降、脅威モデルに基づく自社による診断を複数回実施しました（同年9月・10月）。検出された事項には、順次対応しています。
• 対応の例：認証の無効化処理の強化、データベース権限の最小化、公開面へのアクセス制限の追加、入力検証の強化、ログ出力の見直し。
• 技術的に完全な防御が難しいリスクは、受容の判断を記録したうえで、監視を続けています。

現時点で未実施の事項・今後の予定

• 外部機関による脆弱性診断・認証の取得：未実施です。実施した時点で、本ページでお知らせします。
• お客様向けログインの多要素認証：現在は任意です。必須化を検討しています。
• 不正ログインの自動遮断：現在は監査（記録）の段階です。運用状況を見て拡充を検討します。
• 複数リージョンでの冗長化：現在は東京リージョンのみで運用しています。

第三者による確認

現時点で、第三者による認証・監査は受けていません。FISC 安全対策基準（第14版）などの業界基準を参照し、自己評価を行っています。自己評価の結果は、お問い合わせいただいたお客様に、個別にご提供いたします。これは、いずれの基準への準拠をも保証するものではありません。

脆弱性のご報告・お問い合わせ

脆弱性やセキュリティに関するご連絡は、info@maprise.jp までお願いいたします。

免責・更新