セキュリティへの取り組み

NamiFlow Calendar は、お客様の大切な予定情報とアカウントを守るため、設計・実装・運用の各段階でセキュリティを最優先に取り組んでいます。 独立行政法人 情報処理推進機構（IPA）が公開する「中小企業の情報セキュリティ対策ガイドライン」および「SECURITY ACTION」の考え方に基づき、情報セキュリティ基本方針を定めて継続的に対策を実施しています。

1. 通信の暗号化

• Web ページ・API との通信はすべて TLS（HTTPS）で暗号化しています。
• HTTP Strict Transport Security（HSTS）を有効化し、常に暗号化された通信のみを使用します。
• Content-Security-Policy、X-Frame-Options、X-Content-Type-Options などのセキュリティヘッダーを設定し、クリックジャッキングやコンテンツの不正な読み込みを防止しています。

2. 認証情報・トークンの保護

• Google カレンダーのアクセストークン・リフレッシュトークンは AES-256-GCM 方式で暗号化してデータベースに保存します。暗号鍵はコードに含めず、環境変数で厳重に管理しています。
• Google 連携では必要最小限の権限（予定の操作のみ）のみを要求します。メールやドライブなど他のデータにはアクセスしません。
• Google 連携を解除された場合、保存していたトークンは即時に削除されます。

3. なりすまし・改ざんの防止

• LINE・Stripe からの通信（Webhook）は電子署名を検証し、正規の送信元からのリクエストのみを受け付けます。
• 設定画面（LIFF）では、LINE のアクセストークンをサーバー側で検証してご本人であることを確認してから操作を受け付けます。
• Google 連携時には CSRF 対策（state パラメータの署名検証・有効期限）を実施し、第三者による不正な連携を防止しています。

4. アクセス制御

• 各種データ（予定履歴・設定・グループ等）には、ご本人だけがアクセスできるよう、リクエストごとに所有者を確認しています。
• データベースには行レベルセキュリティ（RLS）を有効化し、多層的に保護しています。
• テスト・運用管理用のエンドポイントは本番環境で無効化し、定期実行処理は秘密鍵で保護しています。

5. 決済情報の取り扱い

決済は国際的なセキュリティ基準（PCI DSS）に準拠した Stripe を利用しています。クレジットカード情報は Stripe が管理し、当社のサーバーには一切保存しません。

6. AI とデータの取り扱い

• 予定の解析に利用する AI（Google Gemini）は有料 API プランを契約しており、お客様のデータが AI の学習に使われることはありません。
• 予定の本文や AI の応答など、内容を含む情報は本番環境のログに出力しません。
• AI が抽出した予定情報は、そのまま利用せず形式・日時・文字数を検証（サニタイズ）してからカレンダー登録に使用します。

7. 不正利用・入力の検証

• 短時間の大量送信を防ぐため、メッセージ・画像・お問い合わせにレート制限を設けています。
• ユーザー入力は文字数・形式を検証し、不正な値を受け付けません。
• データベースへのアクセスはすべて安全な方式（パラメータ化クエリ）で行い、SQL インジェクションを防止しています。

8. 設計・レビューでの継続的な点検

新機能の追加・変更時には、以下の業界標準・脅威フレームワークを参照してセキュリティレビューを実施しています。

• OWASP Top 10（Web アプリケーションの重大リスク）
• IPA 情報セキュリティ10大脅威
• OWASP Top 10 for LLM（生成 AI 特有のリスク）
• MITRE ATLAS（AI システムへの攻撃手法）

9. データの最小化と保持期限

カレンダーの予定データそのものは当社サーバーに保存しません。取得・保存する情報は必要最小限にとどめ、それぞれに保持期限を定めています。詳細はプライバシーポリシーをご確認ください。

10. 第三者認証について

NamiFlow Calendar は個人事業として運営しており、現時点で ISMS（ISO/IEC 27001）等の第三者認証は取得していません。その代わり、上記のとおり業界標準のガイドライン・脅威フレームワークに沿った対策を自主的に実施し、透明性をもって公開しています。今後の事業拡大に応じて、認証取得も検討してまいります。

11. 脆弱性の報告について

サービスのセキュリティ上の問題（脆弱性）を発見された場合は、内容を公開する前に下記の窓口までご報告いただけますと幸いです。誠実にご報告いただいた方に感謝いたします。

support-calendar@namiflow.jp

連絡先情報はsecurity.txt（RFC 9116）でも公開しています。

12. お問い合わせ

セキュリティに関するご質問・ご不安な点は、お気軽にお問い合わせください。

お問い合わせフォーム