// 信頼性
信頼性とデータの取り扱い
当社は侵害を前提とし、保持するデータを最小限に抑えています。このページでは、プラットフォームがどのようにデータを保護し、誰がそれを処理するかをまとめています。詳細はプライバシーポリシーとセキュリティのページをご覧ください。
基本的なお約束
- モデルが生成したコードを実行しません：AIの出力は未検証データとして扱われます。
- オフラインツールは入力を保存しません：メモリ上で処理し、そのまま破棄します。
- Quantum Vaultのデータは平文のまま保存されません。すべて暗号化されます。
- パスワードは使いません：ログインは使い捨てのメールコード方式で、ソルト付きハッシュとしてのみ保存されます。
- カード情報が当社サーバーに届くことはありません：決済はStripeがホストするページで行われます。
AIの安全性
- モデルが生成したコードを実行しません — AIの出力はデータとして扱われ、ロジックとして扱われることはありません。
- AIの出力は保証されるものではありません。 誤りや不足が含まれる可能性があります。内容を確認し判断するのはお客様です。その結果として取られた行動の責任もお客様にあります。
- Factory Studioのツールは公開前にレビューされます。 一方、個別のAI分析（SOC Copilot、フィッシング解析、コードレビューなど）はその都度生成されるもので、一件ごとに人がレビューしているわけではありません — 判定ではなく補助としてご利用ください。
- 各AIリクエストには必要な内容のみを送信し、メールアドレスやIPアドレスは送信しません。
通信時および保存時のデータ保護
- 全面的なHTTPS、AES-256-GCMによる暗号化、該当箇所でのargon2idハッシュ化。
- プリペアドステートメント、すべてのフォームでのCSRF対策、送信リクエストのSSRF対策。
- 厳格なContent-Security-Policyと、
HttpOnly／SameSite=Strictで堅牢化したセッションCookie。
委託先（サブプロセッサー）
- Anthropic：AI機能を提供。リクエストに必要な内容のみを送信し、メールアドレスやIPアドレスは送信しません。
- Stripe：決済処理。カード情報はStripeがホストするページで入力されます。
- Google：広告（AdSense）および、有効な場合はアナリティクス。これらは独自のCookieを設定します。
保証とコンプライアンスの状況：実際のところ
当社は、取得していない認証を取得しているかのように示すのではなく、実際の状況を公開しています。現状は次のとおりです。
- SOC 2 / ISO 27001: 現時点で認証は取得していません。当社の管理策はSOC 2のTrust Services CriteriaおよびISO/IEC 27001:2022 附属書 Aに沿って構築・マッピングされており、事業の成長に合わせて第三者評価を受けることをロードマップに含めています。それまでは当社の言葉を鵜呑みにしていただく必要はありません。次の2点をご覧ください。
- 継続的な自動セルフアセスメント: プラットフォームは稼働中の本番システムに対して36件の技術的管理策チェックを自動実行しています。アンケート形式の自己申告ではありません。 最新の結果: 93/100（グレードA）、管理策32/36件が合格、評価日 July 21, 2026。 セキュリティ審査を実施されるお客様は、security@neoshieldsecurity.com 宛にご連絡いただければ、証跡を含む完全なレポートをご請求いただけます。すべての管理策、SOC 2／ISOへのマッピング、および証跡を記載しており、セルフアセスメントである旨を明記しています。
- セキュリティテスト: 第三者に委託したペネトレーションテストの報告書はまだ公開していません。現時点で実施しているのは、リリースごとにプラットフォーム自身のスキャン・監査ツールを用いた継続的な内部テスト、善意の調査に対するセーフハーバーを備えた公開の脆弱性開示ポリシー、および機械可読なsecurity.txt（RFC 9116）の提供です。これにより外部の研究者が実際に当社をテストできる状態にあります。委託によるペネトレーションテストは、認証取得のロードマップと合わせて予定しています。
- 運用上のレジリエンス（少人数体制を前提とした設計）: 一人体制である分、属人的な対応ではなく自動化と手順書で補っています。具体的には、ローテーション付きの自動日次バックアップ、コードベース全体を対象とする封印されたファイル完全性監視（HMACで保護したSHA-256のベースラインにより、深夜であっても改ざんを検知可能）、すべてを再検証して異常があれば通知する日次のガーディアンジョブ、副系ストレージへのデータベースフェイルオーバー、そしてトリアージ・封じ込め・復旧・お客様への連絡を網羅したインシデント対応および事業継続のランブックを整備しています。
制限事項
NeoShieldはリスクを低減し分析を迅速化しますが、お客様のシステムが安全である、あるいは脆弱性が存在しないことを保証するものではありません。セキュリティのラボであり道具箱です — 手動のペネトレーションテスト、認定監査、法務・コンプライアンスの専門的助言に代わるものではありません。
セキュリティ上の問題のご報告
脆弱性を発見された場合は、脆弱性開示ポリシーをご覧いただくか、security@neoshieldsecurity.com 宛にメールでご連絡ください。誠実なご報告を歓迎し、修正に向けて協力いたします。