セキュリティポリシー

サーバーセキュリティ

• 顧客データを保管するデータベースには、高い信頼性を誇るクラウドサーバーAWS（Amazon Web Services）を利用しています。
• アプリケーションは、自動のDDoS攻撃対策を備えたクラウド基盤（Vercel）で稼働しています。
• SQLインジェクションやクロスサイトスクリプティングなど、一般的な攻撃パターンへの対策を徹底しています。
• データベースへの接続は、相互認証付きのTLS（通信の暗号化に加え、接続先サーバーと接続元の双方を証明書で検証）で保護しています。
• 外部サービスとの連携に使用する認証情報は、暗号化（AES-256）して保存しています。
• ファイルのダウンロードには、有効期限付きの専用URLを使用しています。
• コンテンツセキュリティポリシー（CSP）により、許可していない外部スクリプトの読み込みやページの書き換えを制限しています（適用範囲を段階的に拡大中）。

アプリケーション保護

• 2段階認証に対応しており、ID・パスワードに加え、指定メールアドレスへ都度送信される暗号を入力してログインします。
• ロボットによる不正ログインを判定する仕組み（Cloudflare Turnstile）を導入しています。
• お客様の環境に合わせ、指定のIPアドレスからのみアクセスを許可する設定が可能です。
• ログイン・2段階認証・パスワード再設定の試行回数を制限し、総当り攻撃を防いでいます。
• 2段階認証のコードとログイン用リンクは1回限り有効で、再利用はできません。
• OpenID Connectによるシングルサインオン（SSO）に対応しています。
• 一定時間操作がない場合は自動でログアウトします（既定60分）。操作中でも、ログインから24時間で再ログインが必要です。
• パスワード変更時には、それ以前のログインをすべて無効化します。万一ID・パスワードが漏えいしても、パスワードの変更で過去のログインを遮断できます。
• いつもと違う接続元・ブラウザからログインがあった場合は、ご本人へメールでお知らせします。
• ログイン中の端末を一覧で確認でき、身に覚えのない端末はその場でログアウトできます。管理者は利用者をすべての端末から強制的にログアウトさせることもできます。
• 契約先ごとのデータ分離は、データにアクセスするたびに所有権を確認する多層チェックで担保し、他社データへの到達を防いでいます。

不正ログインの兆候

• 同一の接続元からのパスワード総当り攻撃
• 複数のアカウントを狙ったリスト型攻撃
• ログイン失敗が続いた後の、見慣れない接続元からのログイン成功
• 2段階認証の連続失敗（パスワードが漏えいしている疑い）
• 許可されていないIPアドレスからのアクセス
• 管理者アカウントへの、新しい接続元からのログイン

情報持ち出し・破壊の兆候

• 短時間でのデータエクスポートの急増
• 短時間での一括削除の急増

操作の記録（監査ログ）は1年間、変更・削除できない形で保管し、調査や監査に利用します。お客様の管理者は、貴社の利用者による操作と貴社の物件に対する操作の記録を、管理画面から閲覧できます。