セキュリティへの取り組み

NamiFlow-Comply は、お客様と取引先の情報を保護するため、以下のセキュリティ対策を実施しています。 取引先様のセキュリティ確認・質問票の参考にご利用ください。

通信・データの保護

  • 通信の暗号化：全ての通信を TLS（HTTPS）で暗号化しています。
  • 保存データの暗号化：暗号化されたマネージドデータベースにデータを保管しています。
  • アクセス制御：多層のアクセス制御（データベースの行レベルアクセス制御とアプリケーション層の認可）により、各ユーザーは自身のデータのみにアクセスできます。他社・他ユーザーのデータは参照できません。

アカウント・認証

  • メールアドレス確認：新規登録時にメール確認を必須としています。
  • 2段階認証（2FA / TOTP）：認証アプリによる2段階認証に対応しています。ベータ期間は任意でご利用いただけ、正式提供時には必須化を予定しています。
  • 漏えいパスワードの拒否：過去の情報漏えいで確認されたパスワードの利用を、登録・変更時にブロックします（k-匿名性方式により、パスワード自体は外部送信しません）。
  • 総当たり対策：ログイン・パスワード再設定の試行回数を制限しています。
  • Bot対策：新規登録時に CAPTCHA（Bot 対策）による検証を行っています。

※ ベータ期間中はご利用開始のしやすさを優先し、一部の認証要件（2段階認証の必須化など）は正式提供時に段階的に強化する予定です。

アプリケーションの安全性

  • XSS対策：出力時のエスケープを徹底し、スクリプト混入を防止しています。
  • スクリプト実行の制限（CSP）：コンテンツセキュリティポリシーにより、許可されたスクリプト以外の実行をブラウザ側でブロックし、万一の混入時もXSS（クロスサイトスクリプティング）の影響を最小化しています。
  • CSRF対策：状態を変更する操作にCSRFトークン検証を実施しています。
  • レポート出力の無害化：PDFレポートの生成時も、外部情報・AI生成テキストを無害化してから出力し、文書経由の不正な埋め込みを防止しています。
  • 外部スクリプトの改ざん検知：読み込む外部ライブラリに整合性検証（Subresource Integrity）を適用し、改ざんされたスクリプトの実行を防ぎます。
  • AI機能の安全設計：AIはツールや他ユーザーデータ・機密情報にアクセスできない構成です。外部情報を扱う処理にはプロンプトインジェクション対策を施し、AIの出力は参考情報として扱い断定は行いません。ニュースの出典URLは実在性を検証しています。

業界標準・ガイドラインに基づく点検

設計・実装にあたり、以下の業界標準・ガイドラインを参照し、継続的にセルフチェックと是正を行っています。

  • OWASP Top 10：Webアプリケーションの代表的な脆弱性
  • IPA「情報セキュリティ10大脅威」：国内で重大とされる脅威
  • OWASP Top 10 for LLM Applications：生成AI特有のリスク
  • MITRE ATLAS：AIに対する敵対的脅威

※ これらは第三者認証ではなく、自社による点検・対策の指針です。

決済

  • カード情報を当社で保持しません：決済は Stripe を利用し、カード情報は Stripe が安全に取り扱います。
  • Webhook署名検証：決済通知（Webhook）は署名検証を行い、偽の通知を拒否します。

基盤・運用

  • 信頼性の高いクラウド基盤：大手クラウド事業者の基盤上で運用し、ネットワーク層の保護を行っています。
  • 秘密情報の管理：APIキー等の機密情報はクラウドのシークレット管理サービスで管理し、コードには含めません。

データの取り扱い

  • 解約後のデータは一定期間保持後に削除されます（詳細はプライバシーポリシーをご確認ください）。
  • 本サービスが扱うのは公開情報（行政処分情報・公開ニュース等）であり、反社会的勢力データベースや信用調査情報は対象外です。

脆弱性のご報告

セキュリティ上の問題を発見された場合は、お問い合わせフォームよりご連絡ください。 報告窓口は /.well-known/security.txt（RFC 9116）でも公開しています。

本ページは現時点の対策概要であり、内容は予告なく更新されることがあります。 詳細な対応状況については個別にお問い合わせください。