セキュリティと機密保持

このページについて

このページは、私たちが実際に実践しているセキュリティと機密保持の運用を文書化したものです。現在、ISO 27001やSOC 2認証は取得していません。裏付けできない主張を掲載するよりも、実際に行っていることを示す方が価値があると考えています。プロジェクトが特定の認証や統制を必要とする場合は、作業開始前に確認・合意の上で対応します。

機密保持

• NDA（秘密保持契約）下での作業を日常的に行っており、詳細な話し合いの前に、お客様支給の契約書に署名することも可能です。
• お客様の情報は、そのプロジェクトに直接関わるチームメンバーのみと共有されます。
• 公表が許可されない場合、匿名化した事例として扱います。本サイトで説明しているシステムのいくつかは、この理由からお客様を特定できる詳細を省略して公開しています。

アプリケーションセキュリティの実践

私たちが構築するビジネスシステムは、機密性の高い運用データを日常的に扱います。プロジェクト全体で適用される標準的な実践：

• ロールベースのアクセス制御 — ユーザーは自分の役割に許可された機能とデータのみにアクセスできます。
• セッションセキュリティ — 適切な有効期限と、機密操作に対する再認証を備えた認証セッション。
• 監査ログ — 誰が、何を、いつ行ったかが記録されます。規制対象の文脈では、改ざん検知可能な改訂履歴と監査証跡を含みます。
• 電子記録・電子署名 — 必要に応じて、FDA 21 CFR Part 11に準拠した統制。生成される文書への暗号署名を含みます（製薬品質管理システムで実装済み）。

データ取り扱いとインフラ

• デプロイメントモデルはプロジェクトごとに合意します：お客様管理のサーバー、当社管理のホスティング、またはお客様が希望するリージョンのクラウド環境。
• データバックアップの体制はシステムごとに定義・文書化されます。
• 本番環境へのアクセスは割り当てられたエンジニアに限定され、不要になると取り消されます。
• お客様のデータを、該当プロジェクト以外の目的に使用することはありません。

開発の実践

• 変更は要件からデプロイまでバージョン管理下で追跡されます。
• 機能・性能・セキュリティのテストは終盤だけでなく開発全体を通じて実施されます。
• 本番への直接デプロイはありません：リリースはレビューと検証を経ます。

お客様へのお願い

セキュリティは相互のものです。お客様のインフラやアカウントに関わるプロジェクトでは、スコープを限定した認証情報、明確なアクセス期間、セキュリティ質問の担当者の指定をお願いしています — 当社側でも同じものを提供します。