基本方針
過度な主張を避け、実務上必要な対策を段階的に整えます。
認証の非主張
非公開ISO 27001 等の第三者認証を取得済みと表示しません。
Security
セキュリティ方針
コーポレートサイトおよび運用の基本方針です。第三者認証の取得を示すものではありません。
通信の保護
公開サイトは HTTPS で提供することを前提とします。
HTTPS 配信
実装済み本番ドメイン mtfdx.co.jp は TLS 配信を前提とします。
HTTP セキュリティヘッダー
実装済みCSP、HSTS、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy をアプリケーション設定で付与します（本番エッジでの最終確認は別途）。
認証・アクセス管理
運用・開発に関わるアカウントは、業務上必要な範囲に限定します。エンタープライズ SSO やゼロトラスト製品の導入完了を示す表現は行いません。
管理アカウント
方針ホスティング・リポジトリ・DNS 等の管理権限は担当者に限定し、共有アカウントの常用を避けます。
ソフトウェア更新
フレームワーク・依存ライブラリの更新は開発サイクルの中で行います。24 時間 SOC や自動脆弱性パッチの常時運用を示す表現は行いません。
依存関係の更新
方針公開前のビルド・検証の範囲で、既知の重要な更新を反映します。
バックアップ
サイトおよび問い合わせデータの保全は、利用するホスティング・メール運用の範囲で行います。専用 DR サイトや地理分散バックアップの常時運用を示す表現は行いません。
バックアップ方針
計画中ホスティング提供者のバックアップ機能または運用手順に従い、復旧手順を整備します。
ログ・監視
アクセスログ等はホスティング・配信環境で取得できる範囲で確認します。SIEM 常時監視や第三者 SOC 契約の存在を示す表現は行いません。
ログの確認
方針障害・不正アクセスの疑いがある場合に、利用可能なログを確認します。
ベンダー・委託先管理
クラウド、ドメイン、開発ツール等の委託先は、契約と必要最小限のデータ共有の範囲で利用します。
取引・調達情報
方針法人としての取引・調達の入口と方針は /vendor を参照してください。
開発セキュリティ
ソースコード管理、レビュー、秘密情報の扱いについて、開発プロセス内で基本対策を行います。
秘密情報の非混入
方針API キー・パスワード等をリポジトリにコミットしない方針です。
変更のレビュー
方針公開サイトの変更は、可能な範囲でレビューと検証を経て反映します。
秘密情報の取り扱い
パスワードや API キーなどの秘密情報はコードリポジトリに含めず、運用環境で管理します。
リポジトリへの秘密情報非混入
方針アプリケーションコードに平文の秘密情報を置かない方針です。
最小権限
運用アクセスは業務に必要な範囲に限定する方針です。
運用アクセス
方針ホスティング・リポジトリの権限は必要最小限で付与します。
インシデント連絡
セキュリティに関するご連絡は contact@mtfdx.co.jp をご利用ください。
連絡窓口
実装済み法人サイト上の公開メールアドレスを窓口として案内します。