セキュリティホワイトペーパー

最終更新日: 2026年5月8日 / バージョン: 1.0

1. 概要

1.1 本書の目的

本書は、カボシア株式会社（以下「当社」）が提供するデータインフラサービスの情報セキュリティ管理に関する設計・運用方針を、お客様および取引先の調達担当者・情報セキュリティ部門の評価のために開示するものです。

1.2 対象範囲

当社は EDINET DB と FUDOSAN DB の 2 つのデータインフラサービスを共通の基盤・運用方針で運用しています。本書は両サービスを対象としますが、実装エビデンスの整理は EDINET DB を中心に行っており、FUDOSAN DB 固有の実装詳細は確認後に追記します。

1.3 認証取得状況

認証

認証状況備考
ISO/IEC 27001 (ISMS)未取得取得着手の可否を 2026 年 9 月末に再判断予定
SOC 2未取得必要性が明確化した段階で検討
プライバシーマーク未取得取り扱う個人情報の種類・量に応じて検討

第三者認証は未取得です。本書で記載する技術的・組織的安全管理措置は、ISO/IEC 27001 Annex A 管理策を 参考に、現時点で必要性の高い項目から順次実装・運用しているものであり、第三者審査による「準拠」「適合」を示すものではありません。

主要な未対応・未整備項目（透明性のため明示）

項目状況
第三者ペネトレーションテスト未実施
DAST（動的アプリケーションセキュリティテスト）未導入
SAML / OIDC SSO（顧客向け）未対応（Google OAuth のみ）
顧客管理鍵 (CMEK)未対応
バグバウンティ（金銭報奨）未実施（脆弱性報告窓口は設置）
標準 SLA の公開未公開（個別契約で協議）
バックアップ復元試験の定期化未定期化
BCP（事業継続計画）の正式文書化未文書化

1.4 法令遵守

2. 会社情報・体制

2.1 会社情報

2.2 セキュリティ責任体制

2.3 委託先（サブプロセッサ）一覧

主たる委託先は以下のとおりです。各委託先は、業界標準の認証取得状況・利用規約・公開情報を確認したうえで選定しています。

委託先委託範囲データ所在地認証等
Google Cloud Platformクラウドインフラ全般asia-northeast1（東京）ISO 27001/27017/27018, SOC 1/2/3
Stripe決済処理グローバルPCI DSS Level 1
CloudflareCDN / DNS / WAFグローバルISO 27001, SOC 2 Type II
ResendトランザクションメールグローバルSOC 2 Type II
Google Analytics 4アクセス解析グローバルGoogle プライバシー基準

委託先一覧の最新版・利用目的の詳細はプライバシーポリシーに記載しています。

委託先管理の運用

3. インフラストラクチャセキュリティ

3.1 クラウド基盤

当社サービスは Google Cloud Platform（東京リージョン: asia-northeast1）上に構築されています。GCP は ISO 27001 / 27017 / 27018, SOC 1/2/3, PCI DSS, FedRAMP High 等の認証を取得しており、物理セキュリティ・ネットワーク・ハイパーバイザーレベルのセキュリティは GCP の責任において提供されています。

3.2 ネットワークセキュリティ

3.3 アプリケーション実行環境

3.4 データベース

4. 認証・認可（IAM）

4.1 ユーザー認証

面認証方式
公開サイト認証なしで閲覧可能
開発者ダッシュボードGoogle OAuth
社内管理画面（fudosan.cabocia.com）Google IAP
公開 APIAPI Key（HTTPS 必須、X-API-Key）
MCP ServerAPI Key + OAuth 2.1 Authorization Code Flow with PKCE
バッチ APIAPI Key（Cloud Run 直接 URL 経由）
決済 WebhookStripe 署名検証（HMAC-SHA256）

4.2 API Key の管理

4.3 サービスアカウント

4.4 管理者アクセス

5. データ保護

5.1 データ分類

分類例保護レベル
公開データ不動産取引情報、地価公示、エリア統計公開（出典明示）
顧客アカウント情報メールアドレス、組織名機密（暗号化保存）
決済情報カード番号当社では保有しない（Stripe で直接処理）
API 利用ログエンドポイント、IP、UA機密（アクセス制限）
認証情報API Key、OAuth トークン機微（ハッシュ化）

5.2 暗号化

5.3 シークレット管理

5.4 データ所在地

5.5 データ保持・削除

種別保持期間削除方法
顧客アカウント情報解約後30日までユーザー請求で即時削除可
API 利用ログ24ヶ月期間経過後に削除運用
監査ログGCP 標準保持期間GCP 管理

削除請求の運用

6. アプリケーションセキュリティ

6.1 セキュアコーディング

6.2 セキュリティヘッダー

EDINET DB と同等の以下のヘッダー付与を整備中です。

6.3 CSRF 対策

EDINET DB と同様の Origin ヘッダー検証 + SameSite=Lax + Secure Cookie 運用を整備中です。API / Webhook / MCP は独自認証で保護されているため CSRF 検証から除外します。

6.4 入力検証・出力エンコーディング

7. 脆弱性管理

7.1 セキュリティレビュー

種類運用方針
重要変更時レビュー機能追加・認証/データ取り扱い変更時に都度実施。AI（Claude Code）+ 人間レビュー
包括レビュー必要に応じて随時実施
依存関係 CVE スキャン依存追加時に都度実施、定期化を整備中
設定棚卸し重要変更時に都度実施、半年ごとの定期化を整備中

定期運用（月次・四半期）の制度化は ISMS 取得着手と合わせて整備します。

7.2 ペネトレーションテスト

現時点では外部委託のペネトレーションテストは実施していません。

7.3 脆弱性報告

外部研究者からの脆弱性報告は security@cabocia.jp で受け付けます。

対象範囲：当社が運営するサービス（fudosandb.jp / edinetdb.jp / edinetdb.com / 関連 API・MCP エンドポイント）。

セーフハーバー：以下の遵守を前提に、責任ある開示として善意の報告者への法的措置は行いません。

報奨金：金銭的報奨金プログラムは現時点では実施していません。報告内容に応じて謝意の表明・謝礼の検討を行います。

8. インシデント対応

8.1 検知

8.2 対応プロセス

  1. 検知 → Slack 即時通知
  2. トリアージ（Severity 判定）
  3. 封じ込め（影響範囲特定、必要に応じてサービス停止・キー失効）
  4. 是正（根本原因の修正、再発防止策の実装）
  5. 記録（ポストモーテム作成）
  6. 顧客通知（個人情報漏えい等の場合）

8.3 個人情報漏えい時の通知

個人情報保護法 第26条が定める 報告対象事態 に該当する個人データの漏えい等が発生した場合、以下を実施します。

9. バックアップ・事業継続

9.1 データバックアップ

9.2 事業継続

10. AI / LLM 利用に関する管理

当社は内部開発で生成 AI（Anthropic Claude / OpenAI ChatGPT）を活用しています。

項目方針
顧客の API リクエストパラメータ・検索クエリ外部の生成 AI 学習目的での提供は行わない
当社内部での AI 活用コード生成・ドキュメント作成・データ分析支援に限定。顧客個別の機微データは入力しない方針を運用
AI が出力したコード・文書人間レビューを経て採用（生成物のそのままのデプロイは禁止）
委託先サービス利用条件・管理設定を確認のうえ運用。学習利用・データ保持の有無は利用サービスおよび契約条件に従う

11. 物理セキュリティ・端末管理

12. 教育・採用

13. 外部連絡先

用途連絡先
セキュリティ事案・脆弱性報告security@cabocia.jp
プライバシーに関する問い合わせedinetdb@cabocia.jp
一般お問い合わせ/contact

14. 改訂履歴

版日付内容
1.02026-05-08初版作成

本書はカボシア株式会社のデータインフラ事業における現時点の管理態勢を示すものであり、事業成長や法令改正に応じて随時更新します。最新版は当社 Web サイトで公開しています。

← セキュリティトップへ ・ セキュリティ FAQ →