{"securityQuestionnaire":{"name":"KeiBan 公開セキュリティ回答票","description":"KeiBanの認証、テナント分離、AI相談のプライバシー、外部サービス、決済、ログ、保持・削除、第三者評価に関する公開回答票です。実装済み、運用方針、利用者側の設定が必要、未提供・未取得を区別しています。","updatedAt":"2026-07-30","url":"https://www.keiban.net/security/questionnaire","jsonUrl":"https://www.keiban.net/security/questionnaire/data.json","csvUrl":"https://www.keiban.net/security/questionnaire/data.csv","markdownUrl":"https://www.keiban.net/security/questionnaire/answers.md","contact":"contact@auth.keiban.net","summary":{"total":30,"implemented":15,"policy":8,"customerConfiguration":1,"notProvided":6},"items":[{"id":"service-operator","category":"基本情報","question":"サービスの運営者と問い合わせ先は公開されていますか？","answer":"運営者、代表者、連絡先を公開しています。セキュリティや個人情報の問い合わせ先は contact@auth.keiban.net です。","status":"運用方針","evidence":[{"label":"運営者・監修者","path":"/author","url":"https://www.keiban.net/author"},{"label":"特定商取引法に基づく表記","path":"/tokusho","url":"https://www.keiban.net/tokusho"}]},{"id":"service-providers","category":"基本情報","question":"主要な外部サービスは何ですか？","answer":"認証・データベースにSupabase、ホスティングにVercel、決済にStripe、AI回答生成にOpenAI APIを利用します。","status":"運用方針","evidence":[{"label":"プライバシーポリシー","path":"/privacy","url":"https://www.keiban.net/privacy"}]},{"id":"https","category":"通信・ブラウザ保護","question":"通信はHTTPSで保護されていますか？","answer":"本番サイトはHTTPSで提供し、HSTSを設定しています。ブラウザへHTTPS接続の継続利用を指示します。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"security-headers","category":"通信・ブラウザ保護","question":"ブラウザ向けセキュリティヘッダーを設定していますか？","answer":"CSP、X-Content-Type-Options、Referrer-Policy、Permissions-Policyを設定し、埋め込み用の公開図表を除いてフレーム表示を禁止しています。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"authentication","category":"認証・アカウント","question":"ユーザー認証はどのように行いますか？","answer":"Supabase Authを利用し、メールアドレスとパスワードによる認証、メール確認、パスワードリセットを提供します。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"bot-protection","category":"認証・アカウント","question":"自動登録や認証画面へのBotアクセスを抑止していますか？","answer":"Cloudflare Turnstileによる認証確認と、認証ページ・APIへのレート制限を組み合わせています。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"invitation","category":"認証・アカウント","question":"社員招待は期限・重複・座席数を確認しますか？","answer":"招待は推測困難なトークンを使用し、有効期限、使用済み、メール一致、重複、契約座席数をサーバー側で確認します。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"sso","category":"認証・アカウント","question":"SAML SSOや企業IdP連携は提供していますか？","answer":"現行の公開プランでは提供していません。SSOが必須の企業は導入前にお問い合わせください。","status":"未提供・未取得","evidence":[{"label":"料金","path":"/pricing","url":"https://www.keiban.net/pricing"},{"label":"お問い合わせ","path":"/contact","url":"https://www.keiban.net/contact"}]},{"id":"mfa","category":"認証・アカウント","question":"多要素認証を利用できますか？","answer":"現行の公開画面では利用者向け多要素認証を案内していません。必須要件の場合は導入前にお問い合わせください。","status":"未提供・未取得","evidence":[{"label":"お問い合わせ","path":"/contact","url":"https://www.keiban.net/contact"}]},{"id":"tenant-isolation","category":"権限・テナント分離","question":"会社ごとにデータを分離していますか？","answer":"会社をテナントとして識別し、会社情報、メンバー、利用状況、学習情報をテナントIDとユーザーIDで分離します。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"row-level-security","category":"権限・テナント分離","question":"データベース側にもアクセス制御がありますか？","answer":"対象テーブルでRow Level Securityを有効にし、本人・同一テナント・管理者など、データ種別ごとの条件を設定しています。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"admin-role","category":"権限・テナント分離","question":"管理者画面の権限はどの情報で判定しますか？","answer":"ブラウザから変更できる表示情報だけで判定せず、データベースのテナント所属と管理者ロールを確認します。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"admin-visibility","category":"相談内容・プライバシー","question":"管理者は社員のAI相談本文を閲覧できますか？","answer":"閲覧できません。管理者が確認できるのは、利用回数、学習状況、認定証などの活用状況です。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"},{"label":"プライバシーポリシー","path":"/privacy","url":"https://www.keiban.net/privacy"}]},{"id":"company-context","category":"相談内容・プライバシー","question":"社員へ会社の機密情報がそのまま配信されますか？","answer":"社員のAI相談には、管理者向けの詳細情報をそのまま渡さず、社員が利用できる範囲へ整理した会社文脈をサーバー側で作成します。","status":"実装済み","evidence":[{"label":"プライバシーポリシー","path":"/privacy","url":"https://www.keiban.net/privacy"}]},{"id":"openai-processing","category":"相談内容・プライバシー","question":"AI相談時に外部AIサービスへ何を送信しますか？","answer":"回答生成に必要な相談内容と会社文脈をOpenAI APIへ送信します。社員の相談では、共有用に絞った会社情報を利用します。","status":"運用方針","evidence":[{"label":"プライバシーポリシー","path":"/privacy","url":"https://www.keiban.net/privacy"}]},{"id":"model-training","category":"相談内容・プライバシー","question":"OpenAI APIへ送信した情報はモデル学習に利用されますか？","answer":"明示的にオプトインしない限り、OpenAI APIへ送信したデータはモデル学習に利用されない前提で運用します。","status":"運用方針","evidence":[{"label":"プライバシーポリシー","path":"/privacy","url":"https://www.keiban.net/privacy"}]},{"id":"openai-retention","category":"相談内容・プライバシー","question":"OpenAI側でデータが保持される可能性はありますか？","answer":"不正利用監視のため、OpenAI側で相談内容や回答が最大30日保持される場合があります。","status":"運用方針","evidence":[{"label":"プライバシーポリシー","path":"/privacy","url":"https://www.keiban.net/privacy"}]},{"id":"prohibited-input","category":"相談内容・プライバシー","question":"入力を禁止・制限すべき情報を案内していますか？","answer":"個人情報、パスワード、APIキー、秘密鍵、未公開の人事情報、顧客の機密情報、契約上共有できない情報を入力しないよう案内しています。","status":"利用者側の設定が必要","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"},{"label":"情報漏洩対策チェックリスト","path":"/materials/ai-security-checklist","url":"https://www.keiban.net/materials/ai-security-checklist"}]},{"id":"secret-management","category":"API・アプリケーション","question":"APIキーや秘密情報をブラウザへ公開しますか？","answer":"OpenAI、Stripe、Supabaseの管理用秘密情報はサーバー側の環境変数で扱い、ブラウザへ配信しません。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"api-authentication","category":"API・アプリケーション","question":"会員向けAPIは認証されていますか？","answer":"会員向けAPIはサーバー側で認証済みユーザーを確認し、管理者向け処理は追加で管理者ロールを確認します。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"request-limits","category":"API・アプリケーション","question":"大量送信や過大な入力を制限していますか？","answer":"APIレート制限に加え、AI相談の本文長、リクエストサイズ、ユーザーごとの一日利用回数を制限します。","status":"実装済み","evidence":[{"label":"料金","path":"/pricing","url":"https://www.keiban.net/pricing"},{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"human-review","category":"AIの責任範囲","question":"AIだけで契約・送信・決裁・実行しますか？","answer":"行いません。AIは判断材料、計算、比較、下書きを準備し、外部送信、契約、決裁、実行は人が確認して決めます。","status":"運用方針","evidence":[{"label":"安全な任せ方マトリクス","path":"/ai-employees/human-review-matrix","url":"https://www.keiban.net/ai-employees/human-review-matrix"},{"label":"利用規約","path":"/terms","url":"https://www.keiban.net/terms"}]},{"id":"audit-metadata","category":"ログ・監査","question":"AI相談の利用記録には何を残しますか？","answer":"運用確認用の監査記録には、利用者、テナント、日時、モデル、文字数、利用回数などのメタデータを残します。管理者へ相談本文を公開する用途には使いません。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"}]},{"id":"card-data","category":"決済","question":"カード番号をKeiBanのサーバーへ保存しますか？","answer":"保存しません。決済はStripeが処理し、KeiBanは契約状態、プラン、Stripe上の識別子など必要な情報だけを扱います。","status":"実装済み","evidence":[{"label":"セキュリティとプライバシー","path":"/security","url":"https://www.keiban.net/security"},{"label":"プライバシーポリシー","path":"/privacy","url":"https://www.keiban.net/privacy"}]},{"id":"trial-retention","category":"保持・削除","question":"無料トライアル終了後のデータはどうなりますか？","answer":"公開料金条件では、トライアル終了後60日間を保持目安としています。期間内に有料プランへ移行した場合は継続利用できます。","status":"運用方針","evidence":[{"label":"料金","path":"/pricing","url":"https://www.keiban.net/pricing"}]},{"id":"deletion-request","category":"保持・削除","question":"データ削除や個人情報の問い合わせ窓口はありますか？","answer":"公開の問い合わせ窓口は contact@auth.keiban.net です。現行サイトでは、契約法人向けのセルフサービス一括削除機能や標準削除SLAを公表していません。","status":"運用方針","evidence":[{"label":"プライバシーポリシー","path":"/privacy","url":"https://www.keiban.net/privacy"},{"label":"お問い合わせ","path":"/contact","url":"https://www.keiban.net/contact"}]},{"id":"backup-recovery","category":"可用性・事故対応","question":"バックアップ頻度や復旧目標を公開していますか？","answer":"現時点では、契約者向けのバックアップ頻度、RPO、RTOを公開していません。必須要件がある場合は導入前にお問い合わせください。","status":"未提供・未取得","evidence":[{"label":"お問い合わせ","path":"/contact","url":"https://www.keiban.net/contact"}]},{"id":"incident-notification","category":"可用性・事故対応","question":"セキュリティ事故時の連絡窓口と通知SLAはありますか？","answer":"連絡窓口は contact@auth.keiban.net です。現時点では、公開されたインシデント通知SLAやステータスページはありません。","status":"未提供・未取得","evidence":[{"label":"お問い合わせ","path":"/contact","url":"https://www.keiban.net/contact"}]},{"id":"certification","category":"第三者評価","question":"ISO 27001、SOC 2などの第三者認証を取得していますか？","answer":"取得を公表していません。外部製品サイトへの掲載を、セキュリティ認証や監査済みの証明として扱いません。","status":"未提供・未取得","evidence":[{"label":"公式製品ファクトシート","path":"/press/fact-check","url":"https://www.keiban.net/press/fact-check"},{"label":"外部掲載・第三者確認先","path":"/press/external-listings","url":"https://www.keiban.net/press/external-listings"}]},{"id":"penetration-test","category":"第三者評価","question":"第三者による脆弱性診断・侵入テストを実施していますか？","answer":"第三者による脆弱性診断や侵入テストの実施実績を公表していません。実施済みであるかのような表現は行いません。","status":"未提供・未取得","evidence":[{"label":"公式製品ファクトシート","path":"/press/fact-check","url":"https://www.keiban.net/press/fact-check"}]}],"disclaimer":"本回答票は公開情報をまとめた自己申告資料であり、第三者監査、認証、脆弱性診断の報告書ではありません。契約上の保証や個別要件への適合は、導入前に確認してください。"}}