セキュリティ対策（セキュリティチェックシート標準回答）
最終更新: 2026年10月14日 株式会社リードバンク
お客様の情報システム部門・購買部門からのセキュリティ確認に対する標準回答です。個別のチェックシートにはこの内容を基に回答します。
本文書は、当社が講じている主な安全管理措置を説明するものです。当社は業界水準に照らして合理的な安全管理措置を講じるよう努めていますが、不正アクセス・サイバー攻撃等による被害が生じないことや、本サービスに脆弱性が存在しないことを保証するものではありません。記載の内容は、改善のため予告なく変更することがあります。契約上の権利義務は、利用規約 および SLA の定めによります。
1. サービス概要
項目 回答 提供形態 SaaS（Web ブラウザで利用。インストール不要） ホスティング 国内リージョンのクラウド（IaaS）上で当社が運用。データは国外に保存しない マルチテナント方式 アプリケーション共有・データベース分離。契約者ごとに独立したデータベースファイルを持ち、共有されるのは公開情報である企業マスタのみ 対応ブラウザ Microsoft Edge、Google Chrome、Safari の最新版。スマートフォンのブラウザにも対応
2. 認証・アクセス制御
項目 回答 認証方式 会社ID＋ログインID＋パスワード。認証アプリ（TOTP）による二段階認証に対応 二段階認証の必須化 契約者のシステム管理者が、必須とする範囲（全員／システム管理者・マネージャー）を設定可能。初期設定は「必須にしない」のため、当社は「全員」への設定を推奨 パスワードポリシー 8 文字以上、英字と数字を含む。scrypt によるハッシュ化保存（平文保存なし） アカウントロック 5 回連続失敗で 15 分間ロック。ログイン試行は IP ごとに毎分 20 回まで IP アドレス制限 契約者単位で許可 IP（CIDR）を設定可能 権限管理 4 段階の役割（システム管理者／マネージャー／営業／オペレーター）。画面・操作ごとに権限を判定 セッション HttpOnly・SameSite=Strict・Secure 属性付き Cookie。サーバー側でセッションを管理し、ログアウト・無効化で即時失効 API 認証 契約者が発行する API キー（SHA-256 ハッシュ保存、権限スコープ付き）。Bearer トークン方式
3. 通信・アプリケーション
項目 回答 通信の暗号化 TLS 1.2 以上（HTTPS）。HTTP からは自動リダイレクト CSRF 対策 カスタムヘッダ要求と SameSite Cookie の併用 XSS 対策 出力時のエスケープ、Content-Security-Policy ヘッダ SQL インジェクション 全クエリでプレースホルダ（バインド変数）を使用 クリックジャッキング X-Frame-Options: DENY、frame-ancestors 'none' その他ヘッダ X-Content-Type-Options、Referrer-Policy、Permissions-Policy を設定 依存ライブラリ 実行時依存は AI 連携 SDK の 1 件のみ（同梱される下位パッケージを含め少数）。公開の脆弱性データベース（OSV）への照会により既知の脆弱性の有無を毎日自動で確認し、該当があれば運営担当に通知のうえ更新
4. データ保護
項目 回答 保存データの暗号化 ストレージレベルで暗号化（クラウド事業者のディスク暗号化） バックアップ 社内データは 1 時間ごとに自動複製（直近 48 時間分と日次 14 日分を保持）。全体は日次で自動取得（クラウド環境では別リージョンへの複製に対応） データ分離 契約者ごとに独立したデータベース。アプリケーションは認証された契約者のデータベースにのみ接続 データの所在 日本国内 削除 契約終了 90 日後に契約者データベースを削除。バックアップは保持期間経過後に自動消去 持ち出し CSV エクスポート（初期設定はマネージャー以上。契約者のシステム管理者が出力できる権限を変更可能）。エクスポートは操作ログと利用実績に記録
5. 自動のセキュリティ点検と継続的な対策
当社は、人による確認に加えて、次の自動点検と対策を行っています。
項目 回答 設定の自己点検 初期パスワードの放置、二段階認証の未設定、バックアップの鮮度、ディスク容量等の主要な設定・状態が意図したとおりかを毎日自動で確認し、重大・高リスクの問題を検知した場合は運営担当に通知（運営コンソールでの警告表示および所定の連絡手段による。未解決の間は毎日通知）。契約者の管理者画面では、二段階認証が未設定のアカウントやロック中のアカウント等を確認可能 自動ペネトレーションテスト 稼働中のシステムに対し、未認証アクセスの拒否・偽造したセッションの拒否・CSRF 対策・ディレクトリトラバーサル対策・不正なトークンや API キーの拒否・入力値をそのまま返さないこと・エラー時に内部情報を返さないこと・ログイン試行の制限等が有効であるかを、安全な範囲（データを変更しない疑似攻撃）で毎日自動確認 更新と検査 外部依存を最小限（標準機能中心）に抑えたうえで、ランタイム（Node.js）のセキュリティ修正版の公開とサポート期限、依存ソフトウェアの既知の脆弱性を毎日自動で照合し、該当があれば運営担当に通知のうえ、試験を経て適用。プログラムの変更は、本番データの複製を用いた本番とは別の試験環境で、セキュリティ試験を含む自動試験を行ってから本番に反映 不審なアクセスの検知と制限 ログイン失敗が連続したアカウントの一時ロックと、短時間に集中するログイン試行の自動制限を実施 操作ログ ログイン、データ変更、エクスポート、設定変更を自動で記録（第 6 項参照） 二段階認証・IP アドレス制限 契約者の設定により、ログイン時の二段階認証の必須化と、許可した IP アドレス以外からのアクセスの拒否を自動で実施（第 2 項参照） バックアップ 社内データは 1 時間ごとに自動複製し、全体は日次で自動取得（クラウド環境では別リージョンへの複製に対応。第 4 項参照）
自動点検は問題の早期発見と被害の抑制を目的とするもので、すべての脆弱性や攻撃を検知・防止できることを保証するものではありません。
6. 運用・監査
項目 回答 操作ログ ログイン、データ変更、エクスポート、設定変更を記録し 1 年間保持。契約者は自社分を画面で確認可能 運営者のアクセス 運営コンソールは専用アカウント・専用権限。契約者データへの運営者アクセスは操作ログに記録 監視 稼働監視（プロセス停止時の自動再起動）、ディスク空き容量・バックアップの鮮度の自動点検（毎日）。重大な異常は運営担当に通知 脆弱性対応 OS・ランタイムのセキュリティ更新は原則として月次で適用し、緊急性の高いものは随時適用するよう努めています。緊急の適用のため、事前の告知なく緊急メンテナンスを行うことがあります（SLA 参照） インシデント対応 個人データの漏えい等（そのおそれを含む）を把握した場合、事実確認と被害の拡大防止を行い、影響する契約者へ速やかに通知します。契約者データに含まれる個人データについては、委託元である契約者が個人情報保護委員会への報告・本人への通知を行い、当社は必要な情報の提供等により合理的な範囲で協力します。当社が自ら取得した個人情報については、当社が法令に従い報告・通知を行います 従業者管理 秘密保持契約の締結、年 1 回の教育、退職時のアクセス権の速やかな削除
7. 外部サービスとの連携
連携先 用途 送信されるデータ 国税庁 法人番号公表サイト 企業マスタの更新 なし（データの取得のみ） 経済産業省 gBizINFO 企業属性の補完 法人番号 AI 提供事業者（Anthropic） ターゲット条件のヒアリング、マーケティング分析 契約者が入力した条件と集計値（企業名リストや個人情報は送信しない）。学習には利用されない契約条件 メール送信事業者（SendGrid／Resend） 契約者がメール配信機能を有効にした場合のみ 宛先メールアドレス、本文
8. 事業継続
サーバー障害時は別ホストで復旧します（目標復旧時間 RTO 8 時間、目標復旧時点 RPO 24 時間。いずれも目標値であり、復旧時間を保証するものではありません）。運用手順書・復旧手順書を整備し、年 1 回復旧訓練を実施することとしています。
9. 契約者にお願いしている設定と運用（推奨設定）
本サービスを安全にご利用いただくため、次の設定と運用をお願いしています。利用規約 第3条・第9条のとおり、認証情報・利用端末・利用者の管理は契約者の責任で行っていただくものです。
二段階認証の必須化（「全員」を推奨）
IP アドレス制限（社外から利用しない場合。設定方法は当社までお問い合わせください）
エクスポート（出力）できる権限を、業務上必要な役割に限定
利用者ごとのアカウント発行（共用しない）と、退職・異動した利用者のアカウントの速やかな無効化
利用端末の OS・ブラウザの更新、マルウェア対策、パスワードの使い回しの禁止
操作ログの定期的な確認
重要なデータの定期的なエクスポートによる自社での保管
2026年9月17日 制定
株式会社リードバンク 本文書の内容は予告なく改善されることがあります。