セキュリティポリシー

更新日: 2025年11月1日

イソリアはサイバーセキュリティを重要視しています。このセキュリティポリシーは、包括的なセキュリティ対策と責任ある開示慣行を通じて、システム、データ、ユーザーを保護する当社の取り組みを概説しています。

脆弱性開示

セキュリティ問題の報告

当社のシステムやウェブサイトでセキュリティ脆弱性を発見された場合、責任ある開示をお願いいたします：

連絡先: お問い合わせフォームより件名に「セキュリティ脆弱性」と記載してご報告ください
応答時間: セキュリティ報告には24時間以内の確認応答を目指しています
調査: すべての報告は当社セキュリティチームが徹底的に調査いたします
更新: 報告された問題の状況について定期的な更新をお送りいたします

報告内容

セキュリティ脆弱性を報告される際は、以下をご記載ください：

脆弱性の詳細な説明
問題を再現する手順
潜在的な影響評価
概念実証コードやスクリーンショット（あれば）
フォローアップのための連絡先情報

当社の約束

善意で脆弱性を報告する研究者に対し法的措置は取りません
問題を理解し迅速に解決するためにお客様と協力いたします
セキュリティ問題が解決された際は（許可を得て）研究者をクレジットいたします
適切な場合はセキュリティ改善について透明性を保ちます

セキュリティ対策

ウェブサイトセキュリティ

当ウェブサイトは多層のセキュリティを実装しています：

完全HTTPS: TLS 1.3によるすべてのトラフィック暗号化
コンテンツセキュリティポリシー: XSS攻撃を防ぐ厳格なCSPヘッダー
セキュリティヘッダー: セキュリティヘッダー（HSTS、X-Frame-Optionsなど）の実装
入力検証: すべてのユーザー入力の包括的な検証
定期更新: 依存関係の継続的な監視と更新

インフラストラクチャセキュリティ

セキュアホスティング: エンタープライズグレードセキュリティを持つNetlifyでホスティング
DNSセキュリティ: DNS over HTTPS（DoH）とDNSSECの実装
アクセス制御: すべてのシステムアクセスに最小権限の原則を適用
監視: 24時間365日のセキュリティ監視とアラート
バックアップセキュリティ: セキュアなキー管理による暗号化バックアップ

開発セキュリティ

セキュアコーディング: OWASPセキュリティガイドラインに従った開発
コードレビュー: すべてのコード変更のセキュリティレビュー
依存関係スキャン: 依存関係の自動脆弱性スキャン
静的解析: セキュリティに焦点を当てた静的コード解析
CI/CDセキュリティ: セキュアなビルドとデプロイメントパイプライン

データ保護

情報の取り扱い

データ最小化: 必要な情報のみを収集
暗号化: すべての機密データを保存時・転送時に暗号化
アクセス制御: すべてのデータシステムへの厳格なアクセス制御
保持ポリシー: 明確なデータ保持・削除ポリシー（プライバシーポリシーをご覧ください）
プライバシーバイデザイン: すべてのシステムにプライバシー考慮を統合

ユーザープライバシー

透明な慣行: データ使用を概説する明確なプライバシーポリシー
ユーザー権利: ユーザーのプライバシー権利と設定の尊重（プライバシーポリシーに詳細）
同意管理: データ収集の適切な同意メカニズム
データポータビリティ: 要求時のデータエクスポートサポート
削除権: 完全なデータ削除のプロセス

インシデント対応

対応プロセス

セキュリティインシデント発生時：

検出: 即座の識別と評価
封じ込め: 更なる被害を防ぐための迅速な封じ込め
調査: 影響を理解するための徹底的な調査
コミュニケーション: 影響を受ける関係者との透明なコミュニケーション
回復: 完全なシステム回復とセキュリティ復旧
レビュー: インシデント後のレビューとプロセス改善

コミュニケーション

ユーザー通知: データが影響を受けた場合のユーザーへの迅速な通知
透明性: 重大なセキュリティインシデントの公開開示
規制遵守: 適用される全ての侵害通知法の遵守
継続的更新: インシデント解決中の定期的な更新

コンプライアンスと基準

規制遵守

関連するセキュリティとプライバシー規制への遵守を維持：

GDPR: 欧州一般データ保護規則（データ保護ページをご覧ください）
日本のプライバシー法: 日本のデータ保護法への遵守
業界基準: 関連する業界セキュリティ基準への準拠
定期監査: 定期的なセキュリティ監査と評価

セキュリティフレームワーク

当社のセキュリティ慣行は確立されたフレームワークに準拠：

OWASP: Open Web Application Security Projectガイドライン
NIST: 米国国立標準技術研究所フレームワーク
ISO 27001: 情報セキュリティ管理原則
CISコントロール: Center for Internet Securityコントロール

セキュリティリソース

ユーザー向け

セキュリティヒント: 当サービスとの安全な相互作用のベストプラクティス
アカウントセキュリティ: セキュアなアカウント維持のガイダンス
フィッシング認識: セキュリティ脅威の識別に関する情報
連絡先情報: セキュリティ関連質問の明確なチャネル

研究者向け

範囲: セキュリティ研究の範囲内システムの明確な定義
ガイドライン: 責任ある開示ガイドラインと期待
認識: セキュリティ研究者認識プログラム
リソース: セキュリティ研究者向け技術文書

継続的改善

定期レビュー

ポリシー更新: セキュリティポリシーの定期レビューと更新
脅威評価: 継続的な脅威ランドスケープ評価
技術更新: セキュリティ技術の継続的改善
トレーニング: 全チームメンバーの定期的なセキュリティトレーニング

業界参加

セキュリティコミュニティ: セキュリティコミュニティへの積極的参加
脅威インテリジェンス: 新興セキュリティ脅威の監視
ベストプラクティス: 業界ベストプラクティスの実装
知識共有: セキュリティ知識ベースへの貢献

連絡先情報

セキュリティ関連事項について：

一般的なセキュリティ質問: お問い合わせフォームより件名に「セキュリティ」と記載
脆弱性報告: お問い合わせフォームより件名に「セキュリティ脆弱性」と記載
Security.txt: 機械可読セキュリティ情報は/.well-known/security.txt

このセキュリティポリシーの変更

このセキュリティポリシーはいつでも更新する権利を保持しています。変更は当ウェブサイトのトップページの「更新」セクションでお知らせし、最新の更新日はこのページの上部に表示されます。

このセキュリティポリシーや当社のセキュリティ慣行についてご質問がございましたら、公式チャネルを通じてお問い合わせください。