セキュリティホワイトペーパー

本書は、loFT合同会社（以下「当社」といいます）が採用する公開可能なセキュリティ管理策を、取引先のセキュリティ確認で参照しやすい形にまとめたものです。第三者認証、監査報告書または個別案件の保証を示すものではありません。個別契約で定めた要件がある場合は、その要件を優先します。

1. 文書情報

2. 組織と責任

当社は代表者が運営する会社であり、代表者が情報セキュリティ責任者、クラウド責任者、開発およびインシデント対応の責任者を兼ねます。情報資産の取得、利用、保存、共有および削除について、利用目的と案件上の必要性に応じて取扱範囲を定めます。

顧客環境へのアクセス、再委託、生成AI・LLMへの情報入力、データの保管地域、バックアップ目標その他の案件固有事項は、契約または案件開始時の合意で定めます。本書だけで、顧客情報を外部サービスや生成AIへ入力する許可が与えられたものとは扱いません。

3. システムと情報の範囲

問い合わせ情報の流れ

1. 利用者が公開サイトからGoogleフォームへ移動します。
2. Googleフォームがメールアドレス、お名前、会社名、ご相談内容等を取得します。
3. 回答と関連する連絡をGoogle Workspaceで管理します。
4. 契約に至らない問い合わせは、最終対応から3年後に削除します。
5. 契約に至った場合、必要な情報を電子契約、会計、税務その他の記録へ区分して移し、それぞれの保存期間を適用します。

詳細はプライバシーポリシーに記載しています。

4. ID、認証およびアクセス制御

• Google Workspace、Google Cloud、AWSおよびCloudflareの管理アクセスには、クラウド責任者である代表者が管理するYubiKey（FIDO対応の物理セキュリティキー）による認証を使用します。
• 自社オンプレミスネットワークの管理アクセスも、YubiKeyによる認証で保護します。
• 情報およびシステムへのアクセスは、業務または案件に必要なアカウントと権限に限定します。
• 顧客が管理する環境では、顧客のID管理方針、権限付与、接続方法および失効手順に従います。
• サービスアカウント、API認証情報、暗号鍵等が必要な場合は、人の管理者認証とは区別し、対象システムの要件に応じて管理方法を決定します。

YubiKeyの具体的な登録数、回復手順、ネットワーク構成およびアクセス制御設定は、保護の実効性を損なわないため公表しません。

5. データ保護と暗号化

• 業務文書はGoogle Workspaceで電子的に管理し、契約書は電子契約で取り扱います。
• Google WorkspaceおよびGoogle Cloudが提供する通信時・保存時の暗号化を利用します。
• 公開ウェブサイトとGoogleフォームへの通信にはHTTPSを使用します。
• 顧客データの暗号鍵、顧客管理鍵、保存地域、データ分離および転送方法は、対象サービスと契約要件に応じて設計します。
• 問い合わせ内容には、パスワード、秘密鍵、トークン等の認証情報を入力しないよう案内します。

Google側の管理策は、Google Workspace Security WhitepaperおよびGoogle Cloud Security Overviewを参照してください。

6. 文書および物理媒体

• 業務文書はGoogle Workspace上の電子文書を基本とします。
• 契約書は電子契約のみで取り扱います。
• 継続的な紙の契約書保管を前提としません。
• やむを得ず紙または物理媒体を受領した場合は、内容と必要性に応じて保管、電子化、返却または廃棄を判断します。

7. 開発と変更管理

• ソースコードおよび対象となる設定はGitでバージョン管理します。
• Gitのコミット履歴と差分を、変更内容と時系列を確認する記録として利用します。
• テスト、レビュー、承認、デプロイおよびロールバック方法は、システムの重要度と案件要件に応じて定めます。
• 認証情報や顧客情報をリポジトリに含めることを前提とせず、必要な秘密情報の保管方法は対象環境ごとに定めます。
• 公開ウェブサイトは静的生成物として配信し、公開元のコンテンツと設定をGitで追跡します。

8. ログ、監視および脆弱性対応

Google Workspace、Google Cloud、AWS、Cloudflareおよび各ワークロードが提供するログ・監査機能を、対象情報の重要度と案件要件に応じて構成します。当社が保管するログの保存期間は1か月です。アラートおよび監視対象はシステムごとに定めます。

JPCERT/CC等が配信するCVE・セキュリティアナウンスを購読し、対象となるOS、依存関係、コンテナ、クラウド設定およびアプリケーションについて、提供者・開発元の公式ドキュメントと照合して影響の有無を早期に確認します。影響がある場合は、深刻度、悪用状況および対象システムの重要度に応じて速やかに対応します。

9. バックアップと事業継続

社内文書はGoogle Workspace、ソースコードと設定はGitを記録の中心とし、単一のオンプレミス機器だけを唯一の保管先にはしません。

バックアップ対象、世代、保存場所、復旧試験、目標復旧時間（RTO）および目標復旧時点（RPO）は、対象システムと契約要件に応じて定めます。GoogleやCloudflareの冗長性を、個別案件に必要なバックアップの代替として一律には扱いません。

10. インシデント対応

情報漏えい、不正アクセス、認証情報の紛失、マルウェア感染その他のセキュリティ事象を把握した場合、代表者が次の対応を統括します。

1. 事象の確認、記録および影響範囲の特定
2. アカウント・認証情報の無効化、隔離その他の封じ込め
3. 原因調査、復旧および再発防止
4. 法令、契約および影響度に基づく本人、顧客、委託先、サービス提供者または関係機関への連絡
5. 対応後の管理策と手順の見直し

個別契約に通知期限や連絡経路がある場合は、その定めに従います。

11. 外部サービスと委託先

主な外部サービス・関係先は次のとおりです。

• Google：Google Forms、Google Workspace、Google Cloud
• AWS：案件に応じたクラウドサービス
• Cloudflare：公開ウェブサイトの配信
• 電子契約サービス提供者：契約に至った場合の契約締結・保管

Google Workspace、Google Cloud、AWSおよびCloudflareの管理アカウントは、クラウド責任者である代表者が管理し、YubiKey（FIDO対応の物理セキュリティキー）による認証で保護します。

利用目的、情報の種類、契約条件、公表されたセキュリティ情報および案件要件を踏まえて利用範囲を決定します。顧客データを扱う新たな委託または再委託について事前合意が必要な場合は、個別契約に従います。

12. セキュリティチェックシート回答表

13. 個別資料とお問い合わせ

公開により保護の実効性を損なう構成、設定、回復手順、詳細なネットワーク情報等は掲載しません。個別案件のセキュリティチェックシート、秘密保持契約下での追加情報、データ処理条件または契約条項については、お問い合わせフォームからご相談ください。