SECURITY / DESIGN CONDITION

セキュリティ

安全性を、実装後に追加する機能ではなく、最初から確認する設計条件として扱います。

扱う情報と責任の境界を、先に明確にする。

01 / GOVERNANCE

管理の基本

個人情報保護法上の安全管理措置の考え方を踏まえ、案件の規模、情報の性質、利用サービス、責任分担に応じて必要な管理を定めます。

アクセス権限
利用者・開発者・管理者の役割を分け、業務に必要な範囲で権限を設定します。利用者の追加・削除や契約終了時の権限整理は、発注者と管理主体を確認して行います。
認証・パスワード
利用サービスが提供する認証機能を確認し、パスワードや認証情報を共有文書、公開リポジトリ、AI入力へ含めない運用を基本とします。
端末・アカウント
業務用アカウントの共有を避け、端末、ブラウザセッション、APIキー等の管理主体を案件ごとに明確にします。

02 / DATA HANDLING

Data minimization
目的に不要な個人情報・機密情報を収集、複製、外部送信しません。検証では可能な範囲でダミーデータ、匿名化・一般化した情報を使用します。
Environment separation
情報の性質と案件条件に応じ、本番・検証環境の分離、本番データを用いない検証、共有範囲の限定を検討します。
送信範囲
外部API、SaaS、生成AIへ送る項目、保存の有無、利用者、権限、ログの扱いを確認し、必要な範囲だけを接続します。

03 / SERVICES & CONTINUITY

サービス選定・委託先管理
取扱情報、利用規約、データ利用方針、権限機能、保存場所、事故時の連絡手段等を確認し、案件条件に適合するサービスを選びます。個人データを委託する場合は、必要な契約・監督を行います。
バックアップ
データの重要度、復旧要件、利用基盤の機能、費用を確認し、バックアップの要否、保存先、保持期間、復旧担当を個別に定めます。すべての案件で同一のバックアップを保証するものではありません。
不正アクセス対策
公開範囲、権限、認証、ソフトウェア更新、秘密情報の保管、ログ確認等から、対象システムに必要な対策を選定します。

04 / INCIDENT & REVIEW

漏えい、不正アクセス、誤送信、アカウント侵害等の懸念を把握した場合は、事実、影響範囲、対象データ、利用サービス、責任分担を確認し、停止・権限変更・連絡等の必要な対応を検討します。

共同で確認する事項
発注者側アカウントや利用者管理など、L∞P Innovateだけでは完結しない管理があります。契約・設計・引渡し時に、管理主体と連絡経路を確認します。
改定日
最終改定日：2026年8月27日