プラットフォームのセキュリティ

最終更新 : 18/10/2026 — お客様の学校データのセキュリティは当社の最優先事項です。本ページでは、当社が適用する技術的および組織的な対策について詳しく説明します。

1. データの暗号化

お客様のブラウザーと当社サーバー間のすべての通信は、現在のインターネット暗号化標準である TLS 1.3 プロトコルによって保護されています。

• すべての HTTP 接続における TLS 1.3（HSTS 有効、HTTPS への強制リダイレクト）
• SSL 証明書を自動的に更新（Let's Encrypt）
• 保存データをファイルシステムおよびバックアップのレベルで暗号化
• セッション Cookie を HttpOnly および Secure としてマーク

2. 認証とパスワード

パスワードが平文で保存されることは決してありません。当社は認証に関して OWASP のベストプラクティスを適用しています。

• すべてのパスワードに適応的コスト（12 ラウンド）を用いた BCrypt ハッシュ化
• 認証済みセッションのための署名付き JWT（短い有効期限 + リフレッシュトークン）
• 登録時に適用される最小限の複雑さポリシー
• 複数回の失敗後のアカウントの一時的なロック
• 1 回限りのリンクによるパスワードのリセット、有効期間 1 時間

3. ホスティングとコンプライアンス

当社のサーバーは認証を受けた欧州のホスティング事業者によって運用されており、一般データ保護規則（GDPR）への準拠を保証します。

• 所在地: フランスに所在するデータセンター
• ホスティング事業者の認証: ISO 27001、SOC 2 Type II、ISO 27017（クラウド）、ISO 27018（PII）
• GDPR 準拠: 処理活動の記録、特定された副処理者、連絡可能な DPO
• ネットワーク分離: プライベート VLAN、Web アプリケーションファイアウォール（WAF）、DDoS 対策

4. 複数機関間の分離

各機関は厳密に区分けされたスペースを利用できます。お客様のデータはプラットフォームの他の顧客からは見えません。

• フィルター etablissementId がリクエストの 100 % に自動的に適用
• 各 API 呼び出し時における権限のサーバー側検証（ゼロトラストモデル）
• 横方向の漏洩に関する自動化された回帰テスト
• 機関間で構成、時間割、または名簿を共有しない

5. トレーサビリティと監査ログ

すべての重要な操作は記録され、管理者が閲覧できます。これにより「誰が、いつ、何をしたか？」という問いに答えることができます。

• ログイン、ログアウト、認証の失敗
• ユーザーの作成、変更、削除
• 時間割の生成、編集、公開、削除
• データのエクスポート、構成の変更
• ログの保持: 最低 13 か月

6. バックアップと継続性

お客様のデータは 1 日に複数回バックアップされます。技術的なインシデントが発生した場合、当社は迅速な復元を保証します。

• 6 時間ごとの増分バックアップ
• 毎日の完全バックアップ、30 日間保持
• 2 つの異なるデータセンターにおける地理的レプリケーション
• 四半期ごとに文書化された復元テスト
• RPO（最大許容損失）: 6 時間 · RTO（復旧時間）: 4 時間

7. インシデントの通知

お客様のデータに影響を及ぼすセキュリティインシデントが発生した場合、当社は以下を約束します:

• 該当する機関の管理者に24 時間以内に通知する
• インシデントの性質、影響を受けたデータ、是正措置を詳述する
• 管轄当局に通知する（GDPR: 72 時間以内）
• 重大なインシデントについては 30 日以内に公開の事後分析を公表する

8. 機関側のベストプラクティス

セキュリティは共有の責任です。以下は、当社がお客様に適用をお願いする推奨事項です:

• 各ユーザーに対する強力で一意なパスワード（パスワードマネージャーを推奨）
• 機関を離れるユーザーのアカウントを直ちに無効化する
• 管理者ロールを信頼できる少数の人物に限定する
• 認証情報を決して共有しない — ユーザーごとに 1 つのアカウントを作成する
• 疑わしい活動があれば直ちに次の宛先へ報告してください: security@yaplanning.com