稼働基盤

神マナは、Google Cloud の東京リージョンで稼働しています。Google Cloud は、政府情報システムのためのセキュリティ評価制度（ISMAP）に登録されたクラウドサービスであり、デジタル庁が国・地方公共団体のシステムの基盤として選定する「ガバメントクラウド」の対象クラウドサービスの一つにも選定されています（令和8年度募集分を含む）。神マナが利用しているデータベース、サーバー機能、ファイル保管、認証、鍵管理、ログ・監視、権限管理（IAM）は、いずれも Google Cloud が公表する ISMAP の対象サービスに含まれています。

出典：デジタル庁「ガバメントクラウド」https://www.digital.go.jp/policies/gov_cloud（令和8年度募集分ガバメントクラウド対象クラウドサービス、2026年3月27日）／ISMAP ポータル「ISMAPクラウドサービスリスト」https://www.ismap.go.jp/csm?id=cloud_service_list 。上記の評価・選定はクラウド基盤に対するものであり、神マナ自体が評価・選定を受けたものではありません。

① 暗号の層：通信・保管・アプリケーションの三段

通信：アプリ・ブラウザとサーバー間の通信は、すべて暗号化（HTTPS／TLS）しています。Web版のドメインでは、ブラウザに暗号化通信を強制させる HSTS（HTTP Strict Transport Security）を有効にしています。

保管：データベースおよびファイル保管庫に保存されたデータは、クラウドの保管基盤において暗号化されています。

アプリケーション層：これに加えて、カイポケのパスワードは、当社のサーバー内で AES-256-GCM により暗号化したうえで保存しています。保管基盤の暗号化の上に、当社が管理する鍵による暗号をもう一段重ねる構成です。

• 認証付き暗号（AEAD）：AES-256-GCM は秘匿と同時に改ざん検知を行う方式です。暗号化のたびに乱数で生成した初期化ベクトル（96ビット）を用い、128ビットの認証タグを付与します。暗号文が1ビットでも書き換えられると復号は失敗し、その値は使われません。
• 鍵を計算で求めることは実質不可能：AES-256 の鍵は 2の256乗通り（1の後ろに0が77個並ぶ数）あります。世界最速級のスーパーコンピュータで総当たりしても、宇宙が誕生してから今日までの時間をかけても解けません。
• 米国政府の最高機密にも使われる方式：当社が使う暗号方式 AES-256 は、米国国家安全保障局（NSA）の基準で、米国政府の最高機密（TOP SECRET）の情報を守るためにも認められている方式です。
• 追加認証データ（AAD）による結び付け：暗号文を「用途・形式の版・鍵ID」に暗号学的に結び付けています。別の用途の暗号文を差し替えても、復号は通りません。
• 鍵のローテーション設計：暗号文ごとに鍵ID（kid）を持たせています。新しい鍵へ切り替えた後も、既存の暗号文は対応する鍵で復号でき、新たに保存する値から順次新しい鍵で暗号化されます。サービスを止めずに鍵を切り替えられる構成です。
• 平文を出さない実装：暗号処理の部品は、平文・鍵をログにもエラーメッセージにも出力しない設計としています。
• 対象範囲：アプリケーション層の暗号化は、現在、カイポケの認証情報（パスワード、および法人ID・ユーザーID）を対象としています。法人ID・ユーザーIDについては、同じ方式で暗号化した値に加え、鍵付きハッシュ（HMAC-SHA256）による「目隠し索引」を設け、平文を用いずに一致検索ができるようにしています（旧形式からの移行を段階的に進めています）。記録本文など、その他のデータは、保管基盤の暗号化と次項以降のアクセス制御により保護しています。

アプリおよび当社の管理画面には、カイポケのパスワードを表示する機能を設けていません。暗号化された値は、アプリから書き換えることができず、サーバーの処理だけが書き込めるようアクセス制御ルールで制限しています。神マナのログイン用パスワードは、クラウドの認証基盤が管理しており、当社のデータベースには保存していません。

やさしく言うと：カイポケのパスワードは、鍵のかかった金庫に入れて保管しています。金庫の鍵は別の場所（鍵管理専用のサービス）にしまってあり、金庫を開けられるのは、カイポケへ自動でログインするシステムだけです。金庫には、こじ開けようとすると跡が残る「封印」もついています。当社の職員の画面にも、パスワードを表示する機能はありません。

暗号化のしくみについては、総務省「国民のためのサイバーセキュリティサイト」https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/ ／IPA（情報処理推進機構）「情報セキュリティ」https://www.ipa.go.jp/security/ もご覧ください。

② 鍵管理の層

• 暗号鍵・外部サービスの鍵は、鍵管理専用のクラウドサービスで、データとは分離して管理します。サーバーの処理は、実行時に必要な鍵を受け取って使用します。
• スマートフォン・タブレットのアプリには、AI事業者の長期間有効な鍵を持たせていません（2026年10月以降の版）。AIの呼び出しは、当社のサーバーを経由するか、サーバーが発行する短時間だけ有効な一時的な認証によって行います。
• ソースコードに鍵やトークンが記載されていないかを、変更のたびに自動で走査しています。一度でもソースコードや履歴に現れた鍵は、削除ではなく再発行（失効と作り直し）で対処することを社内規程としています。
• 運用作業（資料作成・検証等）に用いるAIの鍵は、本番サービスとは別のクラウドプロジェクトに分離し、利用できる機能と予算に上限を設けています。

③ 認証の層

• 利用者の認証は、クラウドの認証基盤により行います。
• ログインIDからの照会など、ログイン前に呼び出せる入口には、接続元ごとの試行回数の上限を設け、総当たり攻撃（ブルートフォース）による情報の収集を防いでいます。回数の計測に用いる接続元のIPアドレスは、不可逆なハッシュ値として扱い、元の値を保存しません。
• 当社の運営権限は、サーバーだけが付与できる署名付きの属性（カスタムクレーム）で判定しています。アプリ側からデータを書き換えて権限を引き上げる（権限昇格）ことはできません。
• 本番環境を管理するアカウントには、2段階認証を設定しています。

④ 認可（アクセス制御）の層

• 既定拒否：データベースのアクセス制御ルールは、明示的に許可した経路以外をすべて拒否する構成です（2026年10月に、ログインしていれば広く読み書きできた旧来の構成から改めました）。
• 事業所単位の分離（マルチテナント分離）：データは事業所単位で区画化し、他の事業所のデータの閲覧・変更はできない設定としています。判定には、認証基盤が発行する署名付きトークンに含まれる所属事業所の属性（サーバーだけが設定できる値）を中心に用いています。録音・写真などのファイル保管庫も、同じく所属事業所の属性で区画を分けています。
• サーバー側の所属確認：事業所を指定して呼び出すサーバー機能では、呼び出した方がその事業所に所属しているかをサーバー側で確認します。
• ルール反映の自動検証：アクセス制御ルールは、本番に反映する前と後に、事業所間の越境や権限昇格を想定した90件を超える判定試験で検証します。反映後の検証に失敗した場合は、自動的に反映前の状態へ戻します。反映の手順は、変更管理の主系統（main）に取り込まれた版だけを対象とします。

⑤ AIの利用におけるデータ保護

• AI事業者のサービスは、送信データを学習に利用しない条件の法人向けサービス（API）で利用しています。当社においても、お預かりしたデータをAIの学習に用いることはありません（利用規約 第11条第3項）。
• AIへ送信する範囲は、文字起こし・下書き作成等、その処理に必要な範囲に限っています。
• データの保管と神マナのサーバー処理は東京で行います。AIによる処理は、各AI事業者の基盤で行われ、国外の事業者を含みます（利用規約 第11条第3項）。送信先の事業者および各社における保存期間は、神マナのAIとデータの取り扱いに記載しています。
• AIが作成する文書は下書きであり、内容の確認と最終的な判断は事業所の皆さまに行っていただく位置づけです（利用規約 第13条）。

⑥ ソフトウェア供給網と開発工程（DevSecOps の考え方）

• 変更管理：本番環境への反映は「変更内容の確認（プルリクエスト）→ 主系統（main）への取り込み → 自動化（CI）による反映」の手順で行うことを社内規程としています。本番にだけ存在し、変更管理に記録のないコードを作らないことも規程に定めています。
• 反映前の確認環境：Web版の画面の変更は、取り込みの前に、プルリクエストごとに自動で用意される確認用の環境（プレビュー）で動作を確かめます。
• 鍵ファイルを使わない反映：サーバー機能と主要なWeb版アプリの本番反映は、ソースコード管理とクラウドの間の ID 連携（ワークロード ID 連携）により、実行のたびに短時間だけ有効な認証で行っています。長期間有効な鍵ファイルを自動化の環境に置かない構成です（2026年10〜11月に移行）。
• 自動検査：サーバー側のコードは、変更のたびに、ソースコード中の鍵の走査、カイポケへの書き込みの安全性（空の値で上書きしない・書き換える前に控えを取る等）の試験などを自動で実行します。サーバー機能の反映時には、静的解析と型検査を伴うビルドを行います。
• 反映の確実性：反映は同時に走らせず順番に処理し、反映後には対象の機能が実際に更新されたかを自動で照合します。
• ホームページとの分離：当社ホームページ（ホームページ管理ソフト・PHP）は、神マナのシステムとは別の基盤で運用しています。神マナのアプリとサーバーは PHP を使用しておらず、利用者さまの情報および記録はホームページには保存していません。

⑦ 監査ログと検知の層

• サーバーの管理操作に加え、データベースおよびファイル保管庫に対するデータの読み出し・書き込みを監査ログとして記録し、365日間保存します。「誰が・いつ・何に触れたか」を後から追跡できる状態を保っています。
• 権限や鍵、ログ設定の変更など、侵害の兆候となりうる重要な操作を検知し、管理者へ自動で通知する仕組みを設けています。
• 保管場所、過去の時点への復元機能、ログの保存期間、バックアップの取得、平文パスワードの有無といった基本設定を、自動で点検し記録しています。

⑧ 最小権限と特権の管理

• 本番環境の管理者権限を持つ人のアカウントは、業務上必要な最小限に限定しています。
• 2026年11月に、サービスアカウント（プログラム用の権限）と鍵の棚卸しを行い、使われていないアカウントの削除、長期間有効な鍵の無効化、他の権限を借りる力の除去を実施しました。
• 従業者には、お客様のデータを手元に書き出さない、外部記録媒体（USBメモリ等）に入れない、パソコンのディスク暗号化と画面ロックを設定する、お客様のパスワードを聞かない・預からない、といった規程を定めています。業務委託先には、必要な権限を必要な期間だけ付与します。

⑨ バックアップと復旧の層

• データベースのバックアップを毎日取得し、日次と週次の世代を分けて東京で保管しています。
• 過去の時点へデータを復元できる機能（ポイントインタイムリカバリ）を有効にしています。
• データベースには削除保護を設定し、誤操作や不正な操作によってデータベースごと削除されることを防いでいます。
• 録音・写真などのファイルは、削除された場合にも一定期間は復元できる設定としています。
• 被保険者証・負担割合証の写真は、事業所ごとに分けて期限を設けずに保存しています。同じ事業所でログインしている方だけが閲覧でき、他の事業所やログインしていない状態からは閲覧できません。
• カイポケへ転記した帳票は、カイポケの正式な記録として保存されます。神マナが停止した場合にも、カイポケで確認・出力できます。

脆弱性を発見された方へ

神マナまたは当社ホームページにセキュリティ上の弱点を発見された場合は、お問い合わせより「セキュリティの報告」と明記のうえご連絡ください。内容を確認し、必要な対応を速やかに行い、結果をご報告します。

ご報告者の情報は、ご本人の同意なく公表しません。

確認を目的とする場合であっても、他の事業所のデータの閲覧・変更・削除、サービスの停止につながる行為はお控えください。