SECURITY & DATA POLICY
セキュリティ・データポリシー
クリエイティブつくる君は、お客様のデータと生成したアイテムを安全に保護するために多層的なセキュリティ対策を実施しています。このページでは、採用している技術・運用体制・責任分界点を透明性をもって開示します。
最終更新: 2026-09-27外部認証・第三者評価
| 認証・報告書 | 対象 | ステータス |
|---|---|---|
| 情報セキュリティマネジメントシステム（ISMS） ISO/IEC 27001 | 運営会社 株式会社アップグレード（全社） | 取得済み |
| 第三者機関による脆弱性診断 | 本サービス（Webアプリケーション） | 実施予定 |
ISMS 認証書の写しおよびセキュリティチェックシートはお問い合わせにより提供可能です。
システム基盤
- Cloudflare Pages Functions — アプリケーション全体を Cloudflare のグローバルエッジネットワーク（335+拠点）で実行。サーバーレスアーキテクチャのため管理対象サーバーが存在しない
- Cloudflare D1（SQLite 互換） — 顧客データを格納するリレーショナルDB。保存時暗号化を自動適用（SOC 2・ISO 27001 認定対象）
- Cloudflare R2 — 生成画像を保存するオブジェクトストレージ。AES-256 による保存時暗号化を自動適用
- 全通信 TLS 1.2 以上 — ブラウザ〜サーバー間の通信はすべて暗号化。最低バージョンは TLS 1.2（TLS 1.3 有効・旧バージョン TLS 1.0/1.1 は無効化）
ユーザー向けセキュリティ機能
| 機能 | 概要 | ステータス |
|---|---|---|
| 二要素認証（2FA） | Google Authenticator などのアプリを使用した TOTP による二段階認証。パスワード漏洩時も不正ログインを防止 | Phase 2 対応予定 |
| シングルサインオン（SSO） | Google Workspace・Microsoft Azure AD のアカウントでのログイン。パスワード管理不要・IT部門による一元管理が可能 | Phase 2 対応予定 |
| ロールベースアクセス制御（RBAC） | manager（管理者）/ editor（編集者）の2ロールで操作権限を分離。管理者のみユーザー招待・プラン変更・フォルダ権限設定が可能。閲覧のみの共有はアイテム単位の権限（閲覧可／編集可）で指定でき、フォルダ単位のアクセス制御（個人/グループ）にも対応 | 提供中 |
アクセス制御・認証
- パスワードハッシュ: PBKDF2-SHA256（100,000回イテレーション） — 平文パスワードは保存しない。ランダムソルトを付与して計算コストの高いハッシュ関数で保護
- パスワードポリシー — 8文字以上、かつ大文字・小文字・数字をそれぞれ1文字以上必須。満たさないパスワードは登録・変更の全経路で拒否
- セッション固定攻撃対策 — ログイン成功時に新しいセッショントークンを発行し、ログイン前のトークンを引き継がない。攻撃者が事前に用意したセッションの悪用を防止（同じ利用者のセッションは、今回のログインを含めて最新の10件まで保持し、それを超えた古いものから失効）
- Cookie セキュリティ — HttpOnly SameSite=Lax Secure（HTTPS環境） 7日間有効期限 の4フラグを設定
- マルチテナント行レベル分離 — 利用者向けの機能では、対象のお客様をログインセッションから解決し、利用者側の入力から受け取らない。したがって利用者が他のお客様を指定することはできない。保守目的の管理経路は利用者向けの経路から分離し、システム管理者権限を確認している（お客様画面の閲覧モードについては、開始と終了を監査記録に保存している）
- ロールベースアクセス制御 — manager / editor の2ロール + アイテム／フォルダ単位の権限（個人/グループ・閲覧可／編集可）。ロール外の操作はAPIレベルで拒否
ネットワーク保護（Cloudflare 提供）
- DDoS Protection（自動・無制限・全プラン） — L3/L4 DDoS 攻撃を Cloudflare のエッジで自動検知・ブロック。通常3秒以内に緩和
- WAF（Web Application Firewall） — OWASP Top 10 を含む主要な Web 攻撃パターンに対するマネージドルールが自動更新
- レート制限 — パスワード再設定の申請と生成の要求に Cloudflare のレート制限規則を適用し、短時間に集中する大量アクセスを遮断
セキュリティヘッダー
| ヘッダー | 設定値 | 目的 |
|---|---|---|
Content-Security-Policy | 設定済み | XSS対策。許可するリソース読み込み元を限定 |
X-Frame-Options | DENY | クリックジャッキング対策。iframe での埋め込みを禁止 |
X-Content-Type-Options | nosniff | MIME スニッフィング対策。ブラウザの Content-Type 推測を禁止 |
Referrer-Policy | strict-origin-when-cross-origin | URLに含まれる機密情報が外部サイトに漏洩するのを防止 |
バックアップ
- 毎日自動バックアップ（JST 03:00） — Cloudflare の内部表を除く全アプリケーションテーブルを NDJSON（1行1レコードの JSON）形式で Cloudflare R2 に自動保存
- アイテムの複製（6時間ごと） — 画像・動画などの実体を、バックアップ専用のバケットへ複製
- 作成から30日間は削除・上書き不可 — バックアップ専用バケットに R2 Bucket Lock を適用。誤操作や不正な書き換えから保護する。なお、これは「消せない期間」であり、30日経過後に自動削除する仕組みは設けていない
- バックアップの健全性を毎時検査 — 最新のバックアップについて、鮮度・件数・処理結果を毎時チェックし、異常を検知した場合は運用担当へ通知
- アプリ本体から切り離したバックアップ基盤 — アプリケーション本体とは別の Cloudflare Workers で動作し、アプリ障害の影響を受けない。ただし同じ Cloudflare アカウント上で動くため、アカウント全体に及ぶ障害からは独立していない
- バックアップデータも暗号化 — R2 に保存されるバックアップは AES-256 で暗号化
AI データポリシー
- 利用している AI 事業者 — 画像生成・編集／テキスト生成に OpenAI、そのフォールバックに Azure OpenAI、テキスト生成に Anthropic、画像の高画質化に Amazon Bedrock（Stability AI のモデル）および Topaz、背景除去に remove.bg、画像のレイヤー分解に BytePlus（ByteDance の Seedream モデル）、動画生成に Kling を、それぞれ機能単位で利用。このほか fal は、検証環境での動作確認と、過去に受け付けた動画生成の確定処理にのみ用いる
- 学習データへの非使用（OpenAI） — API 経由で送信したデータ（制作指示・画像）は OpenAI のモデルトレーニングに使用されない（2023年3月以降のデフォルト設定）
- 学習目的の蓄積・再送信は行わない（当社） — 当社では、AI 事業者のモデル学習を目的としてデータを蓄積・再送信する処理を実装していない
- 事業者ごとの条件 — OpenAI 以外の事業者については、利用するサービス・契約・利用経路により条件が異なるため、この場では一律の表明をしていない。これは各事業者が一律に学習利用することを意味するものではない。個別の条件はお問い合わせにより開示する
- 不正利用監視のログは最大30日（OpenAI） — OpenAI が不正利用の監視のために保持するデータは最大 30 日。法令上の要請などがある場合はこの限りではない
- プロンプトインジェクション対策（画像生成の入力） — 画像生成の指示文は AI への送信前に、悪用されやすい制御語や記号を取り除く処理を行い、悪意ある指示の影響を抑える。すべての AI 経路に同じ処理を適用しているわけではない
参照: OpenAI Enterprise Privacy / API データポリシー（2023年3月〜）
操作ログ・監査
- 主要操作を audit_logs に記録 — ログイン・ログアウト・ユーザー招待・権限変更・プラン変更・画像生成などを操作者ID・日時とともに記録。記録の対象は操作ごとに定めており、すべての操作を網羅するものではない。ログインの失敗・アカウントのロック・権限の拒否は現時点では記録していない
- 365日以上保持 — 不正アクセス調査・コンプライアンス対応のため、監査ログを記録日から365日以上保持する。365日を過ぎた分を削除する処理は実装済みだが、定期実行への登録がまだ済んでいないため、期間を過ぎた記録の自動削除は行われていない
- 上書き・削除の機能を持たない — 画面・API のいずれにも監査記録を書き換える機能・消す機能を設けていない（記録を書き換える処理はコード上に存在せず、削除を行うのは保持期間を過ぎた分をまとめて消す運用処理だけ）。ただし、記録どうしをハッシュで連結する・別に保管した記録と自動で突き合わせるといった改ざん検知の仕組みは設けていない。データベースの権限を持つ者による書き換えは、自動では検知されない
データ保持期間
| データ種別 | 保持期間 | 削除条件 |
|---|---|---|
| ユーザー・テナント情報 | 契約終了から30日間 | 利用規約にもとづき、契約終了日から30日間はエクスポートのために保持し、その経過後、法令上の保存が必要な範囲を除いて削除する。解約時のアクセス停止は自動で行うが、実データの一括消去は自動化しておらず、手順の整備を進めている |
| アイテム（画像・動画・キャンバス・スキル・フォルダ） | 契約終了から30日間 | 利用中はお客様が個別に削除できる（ゴミ箱に入れた分は30日後に消去）。解約後は上記と同じ扱いで、一括消去は自動化しておらず手順の整備を進めている |
| 生成履歴（generation_sessions） | 生成日から1年 | 課金確認・障害調査のため保持。1年を過ぎた分を削除する処理は実装済みだが、定期実行への登録が未了のため自動削除は行われていない |
| 監査ログ（audit_logs） | 記録日から365日以上 | 不正アクセス調査・コンプライアンス対応のため保持。365日を過ぎた分を削除する処理は実装済みだが、定期実行への登録が未了のため自動削除は行われていない |
| ログイン試行履歴（失敗の記録） | 記録日から90日 | 総当たり攻撃の判定に用いる窓は15分。ログイン成功時は当該アドレスの失敗を判定の対象から外すが、記録自体は90日保持する。90日を過ぎた記録は、ログイン成功のたびに少しずつ削除する。まとめて削除する日次処理も実装済みだが、定期実行への登録は未了 |
| セッション | 7日で自動失効 | 有効期限切れのセッションは自動的に無効化 |
| パスワードリセットトークン | 1時間（代理発行は24時間） | お客様ご自身の再設定申請から発行したものは1時間。運営が代理で再発行したリンクは24時間。いずれも期限を過ぎたトークンは使用できない |
| 請求・決済情報 | 7年（自動削除なし） | 会計法・税務要件により7年間保持する。請求データを自動で削除する処理は設けていない。ただし請求書 PDF は、保持年数の判定を経ずに運営の操作で差し替え・取り消しができる |
共有責任モデル
本サービスのセキュリティは、株式会社アップグレードと各インフラプロバイダの責任分担のもとで維持されています。下表は主要な責任分担を示すもので、すべての再委託先を網羅するものではありません（AI 事業者の一覧は「AI データポリシー」をご覧ください）。
株式会社アップグレードが担保
- アプリケーションコードのセキュリティ
- 認証・セッション管理
- テナント間データ分離
- 画像生成の指示文の正規化（適用範囲は「AI データポリシー」を参照）
- アクセス権限制御
- 操作ログの記録・保持
- バックアップの実行・保管
- セキュリティアップデートの適用
Cloudflare が担保
- 物理インフラのセキュリティ
- D1・R2 の保存時暗号化（自動）
- TLS 終端・転送中暗号化
- DDoS Protection（L3/L4）
- WAF マネージドルール
- グローバルネットワーク冗長性
- SOC 2・ISO 27001 準拠（インフラ層）
OpenAI が担保
- API インフラのセキュリティ
- 画像生成処理の安全性
- 不正利用監視ログの保持（最大30日・法令上の例外あり）
- 学習データへの非使用
お客様に担っていただくこと
- パスワードの適切な管理
- 不審なアクセスの報告
- 退職者アカウントの速やかな削除
- フィッシング・ソーシャルエンジニアリングへの注意
セキュリティに関するお問い合わせ
セキュリティインシデント・脆弱性報告
不審なアクセス・データ漏洩の疑い・脆弱性の発見など、セキュリティに関わる報告はこちらにご連絡ください。内容を確認のうえ、できるだけ速やかにご連絡します。
support@upgradeinc.co.jp