Trust Center

SecuROIのセキュリティアーキテクチャと信頼へのコミットメント

合同会社SecuROI

SecuROIは、お客様の極めて重要なセキュリティ情報を可視化するサービスです。私たちは「自らが最高水準のセキュリティを実践できていないシステムが、顧客のセキュリティを評価することはできない」という強い信念のもと、「Security by Design」を徹底しています。

データ最小化の原則 (Data Minimization)

当社はお客様の「脆弱性の塊（ハニーポット）」になることを防ぎます。

✓機微データの非保持：ネットワーク構成図、脆弱性スキャンの生ログ、インシデントチケットなどの実データはアップロードさせず、一切保存しません。
✓ポインタ管理：証跡は「お客様環境のURL」や「社内規定の名称」などのポインタのみを保持し、情報漏洩リスクを極小化しています。

強固なテナント分離 (Tenant Isolation)

✓Row-Level Security (RLS)：データベース（PostgreSQL）層で組織ID（org_id）に基づく行レベルセキュリティを全テーブルに強制。認証トークンに紐づくテナント以外のデータは、データベースエンジン自体がアクセスを拒否します。

認証とアクセス統制 (Authentication & Access Control)

✓多要素認証（MFA）：管理画面へのログインにTOTP等のMFAを標準提供・推奨。
✓運営者アクセスの最小化：運営者による顧客データへの常時アクセスを排除し、業務上必要な場面に限りMFAを適用した上でアクセスする最小権限の運用を徹底しています。

証跡の非対称バリデーション (Evidence-Gated Scoring)

✓改善申告には証跡ポインタが必須：成熟度スコアを前回診断より上げる（改善した）と申告する場合のみ、その根拠（社内規定名・設定画面のURLなど）の入力をAPI層で強制します。証跡のない上昇申請は保存を拒否します。「言うだけの改善」を構造的に排除します。

決定論的アルゴリズムとAIの安全利用

✓スコア算出の完全性：ROIや成熟度のスコア計算に生成AIは一切使用せず、明確な計算式（決定論的アルゴリズム）に基づき監査に耐える再現性を保証。
✓AIの非学習保証：レポートの文章合成にAIを利用する場合も、オプトアウト済みのセキュアなAPIを使用し、お客様データが外部AIの学習に利用されることは一切ありません。

インフラストラクチャの信頼性

本サービスは、SOC 2 Type II・ISO 27001等を取得済みのクラウドプロバイダーのインフラ上で構築・運用され、通信（TLS 1.2以上）および保存データ（AES-256）はすべて暗号化されています。

継続的な自己点検 (Ongoing Security Review)

✓OWASP Top 10 準拠の定期レビュー：Webアプリケーションセキュリティの国際標準であるOWASP Top 10（2021）に基づき、四半期ごとにセキュアコーディングレビューを実施し、その結果を証跡ドキュメントとして蓄積しています（初回実施：2026年7月）。
✓依存パッケージの継続点検：依存パッケージの既知脆弱性をnpm audit（CVEデータベース）で継続的に点検しています。
✓四半期ごとの脆弱性診断：TLS設定・セキュリティヘッダ・公開露出面・依存パッケージの既知脆弱性・秘匿情報のクライアント側への混入を、四半期ごとに点検し、実施記録を証跡として保存しています（初回：2026年7月／次回：2026年10月）。
✓直近の実測結果（2026年7月）：通信は TLS 1.2 / 1.3 のみを有効化（旧バージョンは無効・HSTS 2年）。APIキー等の秘匿情報がブラウザ側に混入していないことを、全ビルド成果物の実値走査で確認（検出 0 件）。管理系・設定系のパスへの外部アクセスは、すべて認証を必須としています（既定拒否の設計）。
✓検出と修正の運用：2026年7月の診断では、利用しているフレームワークについて、修正版が公開済みの既知脆弱性を検出しました。同日中に更新して解消し、あわせてブラウザ側の保護ヘッダを追加しています。「検出し、直し、記録に残す」というサイクルそのものを証跡化しています。

※ 当社は現時点で、ISMS（ISO 27001）やSOC 2 などの第三者認証を取得していません。当社が代わりにご提供するのは、認証の「取得済みマーク」ではなく、いつでも検証できる実測の開示です——データを最小限しか持たない設計、四半期ごとの脆弱性診断、そしてそのすべての証跡化。認証が「体制がある」ことを示すものだとすれば、当社は「いま安全である」ことを実測でお示しし続けます。