本文へスキップ

セキュリティ・トラストセンター

セキュリティを、業務システムの基本に。

人事データをどのように守っているか、何をどの方法で確認したか、まだ足りない点、そして脆弱性の報告方法をご説明します。現在の対策と今後の取り組みを分けて記載し、確認結果には日付を付けています。

データの保護と暗号化

通信の暗号化
ブラウザとKiriwakeの間の通信は、HTTPS（TLS 1.2・TLS 1.3のみ）で暗号化しています。HTTPでのアクセスはHTTPSへ転送し、WebサイトとAPIの両方がHSTSを送信しています。サーバーとデータベースの間の通信もTLSで暗号化しています。
個人情報の項目単位の暗号化
従業員の氏名・連絡先・住所・生年月日、家族情報、年末調整の申告内容、給与明細、勤怠の打刻時刻、経費の明細、申請や操作履歴の内容などは、データベースに保存する前に項目ごとに暗号化します（AES-256-GCM）。暗号化した値は組織とデータに紐づけており、別のデータへ移すと読み取れません。
暗号鍵の管理
暗号鍵はAWSの鍵管理サービス（AWS KMS）で管理し、データベースとは別に保管しています。復号の権限は、サービスの運用に必要な範囲に限定しています。
保存領域の暗号化
データベースのストレージとバックアップ、書類のファイルは、クラウドの暗号化機能でも暗号化しています。
暗号化の対象と範囲
勤怠の日付や集計時間、経費の金額など、集計や検索に使う一部の項目は項目単位の暗号化の対象外です（保存領域としては暗号化されています）。暗号化はアクセス制御の代わりではなく、権限のある利用者には復号した内容を表示します。

アクセス制御と組織間の分離

役割に応じたアクセス権限
オーナー・管理者・メンバー・閲覧者・従業員の役割を設け、操作と表示できる情報を役割ごとに制限しています。設定の変更や承認の判断は、権限のある役割に限られます。
機微な項目の表示制限
生年月日・住所などの機微な項目は、閲覧者の役割には表示せず、閲覧者が出力するCSVにも含めません。
組織ごとのデータ分離
すべての業務データは組織に紐づき、サーバー側で、ログイン中の利用者が所属する組織のデータだけを返します。他の組織のデータにアクセスできないことを、IDを指定してデータを扱うすべてのAPIについて自動テストで確認しています。
承認の権限
従業員は自分の記録と申請だけを扱えます。上長が判断できるのは部下の申請だけで、自分自身の申請や自分が対象の申請は誰も承認できません。
従業員ポータルのリンク
リンクは推測が困難なランダムな値で発行し、サーバーにはハッシュだけを保存します。担当者はいつでもリンクを無効にでき、従業員をアーカイブするとリンクも自動で無効になります。
既定でアクセスを拒否
APIは、ログイン・新規登録・従業員ポータルなど意図して公開したものを除き、ログインしていない利用者には応答しません。新しいAPIが誤って公開されることを防ぎます。

認証とアカウントのセキュリティ

2段階認証が必須
すべてのアカウントで、メールアドレスの確認と2段階認証（認証アプリまたはメールのコード）を必須にしています。認証アプリが使えないときのためのリカバリーコードも発行できます。
ログインの保護
ログインの試行回数とAPIへのリクエスト数を制限し、短いパスワードやよく使われるパスワードは登録できません。CSRF対策も行っています。
セッションの保護
ログイン状態はHttpOnlyかつSecureのCookieで保持します。操作のない状態が8時間続いたとき（画面の自動更新は操作に含めません）、またはログインから最長12時間で、自動でログアウトします。セッションの識別子はそのままの形では保存しません。
設定変更時の保護
パスワードや2段階認証の設定を変更すると、ほかの端末のログインは無効になり、変更はメールでお知らせします。

書類の保管とファイルへのアクセス

非公開の保管領域
アップロードされた書類・領収書・配付文書・給与明細のPDFなどは、公開URLを持たない保管領域に、暗号化して保存します。
権限を確認してからの閲覧
ファイルは、サーバー側でログイン中の利用者の権限を確認したうえで配信します。ブラウザやプロキシにはキャッシュさせません。
本人と担当者だけが見られる書類
給与明細や配付文書は、対象の従業員本人と権限のある担当者だけが閲覧できます。給与明細は、電子交付への同意がある場合だけ画面に表示します。
ファイルの検証
受け付けるファイルはPDF・JPEG・PNGで、拡張子ではなくファイルの中身で形式を確認します。

操作履歴とログ

操作履歴
従業員・案件・書類・申請・設定などに対する主な操作を、実行者と日時とともに記録します。履歴の内容も暗号化して保存します。
アカウントのセキュリティ記録
ログイン、パスワードや確認コードの誤り、ログアウト、2段階認証の設定変更をアカウントごとに記録し、利用者は自分の記録を確認できます。
ログに個人情報を残さない
アプリケーションのログには、IDやエラーの種類だけを記録し、氏名や書類の内容などの個人情報は記録しません（自動テストで確認しています）。

バックアップとデータのライフサイクル

バックアップ
データベースは毎日自動でバックアップを取得し、バックアップも暗号化されています。
書類の保存期間
完了・中止した案件の書類ファイルを保持する期間を、組織ごとに30日から10年の範囲で設定できます。

データの取り扱い

年末調整のデータ
従業員が提出した年末調整の申告内容は、提出されたとおりに保存し、修正依頼や再提出による変更は履歴として残ります。申告内容は閲覧者の役割では表示されません。
マイナンバーは収集しません
Kiriwakeではマイナンバー（個人番号）を収集しません。マイナンバーが記載された書類や、健康診断の結果など健康に関する情報を含む書類は、アップロードしないようお願いしています。
AI処理は選択制
AIによる書類処理は初期状態で無効です。組織の管理者が有効にした場合のみ、外部のAIサービスのAPIを利用して処理します。
AIに送信する情報の限定
AI処理で送信するのは、対象の書類ファイルと書類種別のみです。従業員の氏名など、Kiriwakeに登録された付帯情報は送信しません。AIサービス事業者でのデータの扱いは各事業者の規約に従います。利用する事業者は導入時にご案内します。
保存期間と削除
完了または中止した案件の書類ファイルを保持する期間を、組織ごとに30日〜10年の範囲で設定できます。期間を過ぎたファイルを削除する仕組みを用意しています。
領収書の自動読み取りは選択制
経費の領収書の自動読み取りは、組織の管理者がAI処理を有効にした場合だけ動作します。送信するのは領収書のファイルだけで、氏名などの登録情報は送信しません。読み取り結果は推定値で、本人が確認してから保存します。
法令上保存が必要な記録
勤怠・休暇の記録、経費の精算書と領収書は、労働基準法や税法上の保存義務を考慮し、自動では削除しません。削除のご依頼は、法令上の保存期間を踏まえて利用組織と相談のうえ対応します。

参考にしている標準・フレームワーク

情報セキュリティの取り組みにおいて、ISO/IEC 27001 などの国際的なセキュリティ標準を参考にしています。

ISO/IEC 27001:2022
情報セキュリティマネジメントシステム（ISMS）の要求事項を定めた国際規格です。リスクに応じて管理策を選ぶという考え方を、取り組みの主な参考にしています。
ISO/IEC 27017・ISO/IEC 27018
クラウドサービスの情報セキュリティ管理策（ISO/IEC 27017）と、パブリッククラウドで個人情報を処理する事業者向けの実施規範（ISO/IEC 27018）のうち、Kiriwakeに関係する部分を参考にしています。
NIST サイバーセキュリティフレームワーク 2.0
米国国立標準技術研究所（NIST）のフレームワークを、取り組みを整理する際の参考にしています。
OWASP ASVS
Webアプリケーションのセキュリティ検証標準（OWASP ASVS）を、認証・アクセス制御・データ保護の設計と確認の参考にしています。

Kiriwakeは、ISO/IEC 27001・ISO/IEC 27017・ISO/IEC 27018 の認証を取得していません。また、これらの規格への適合や、SOC 2などの第三者による評価を表明するものではありません。

セキュリティ評価の結果

公開しているサーバーに対して誰でも再実行できる無料の外部チェックと、ソースコードや依存ライブラリの自動検査の結果です（最終更新：2026年11月6日）。

  • TLSの設定：kiriwake.jp

    A+

    Qualys SSL Labs。TLS 1.2とTLS 1.3だけを受け付け、WebサイトはHSTS（1年）を送信しています。

    このチェックを再実行する

  • TLSの設定：api.kiriwake.jp

    A+

    Qualys SSL Labs。TLS 1.2とTLS 1.3のみ、HSTS（1年）、テストしたすべてのクライアントで前方秘匿性に対応しています。

    このチェックを再実行する

  • HTTPセキュリティヘッダー：kiriwake.jp

    B（75/100）

    Mozilla HTTP Observatory。WebサイトはHSTS、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Cross-Origin-Opener-Policyを送信しています。Content Security Policyがまだ報告のみのモードのため、その分が減点されています。

    このチェックを再実行する

  • HTTPセキュリティヘッダー：api.kiriwake.jp

    A+（135/100）

    Mozilla HTTP Observatory。APIは厳格なContent Security Policy、HSTSなどの推奨ヘッダーを送信しています。残る減点は、Secure属性のないロードバランサーのCookieだけです。

    このチェックを再実行する

  • 依存ライブラリの既知の脆弱性

    0件

    pip-audit（Python）とnpm audit（本番で使うJavaScriptパッケージ）による、2026年10月の更新後の結果です。どちらもコードを変更するたびに自動で実行しています。

  • ソースコードと変更履歴の秘密情報

    0件

    すべてのソースファイルと変更履歴の全体を自動で検査し、認証情報や鍵は見つかりませんでした。自動で検出された候補は、一件ずつ目視で確認しています。

ある時点での結果です。評価が高くても脆弱性がないことを意味するものではなく、これらのチェックは脆弱性診断（ペネトレーションテスト）の代わりにはなりません。

OWASP ASVS 5.0による自己評価

Webアプリケーションのセキュリティ検証標準「OWASP ASVS 5.0.0」のすべての要件について、コード・テスト・実環境での確認をもとに評価しました。

レベル要件数満たしている一部満たしている満たしていない未確認対象外
L17046121011
L2253105649570

当社による自己評価であり、認証や第三者による監査ではありません（OWASPはアプリケーションの認証を行っていません）。レベル2にはレベル1の要件を含みます。どのレベルも、まだすべての要件を満たしてはいません。「対象外」は、OAuthやWebSocketなどKiriwakeにない機能の要件です。

要件ごとの根拠を含む詳細な評価は社内資料です。セキュリティ審査でのご確認については、お問い合わせください。

現時点での制約

まだ備えていないもの、実施していないことです。サービスを正確に判断していただくために掲載しています。

  • 認証や第三者による証明はありません。ISO/IEC 27001・ISO/IEC 27017・ISO/IEC 27018の認証やSOC 2の報告書は取得していないため、このページにはセキュリティのバッジも表示していません。
  • 第三者による脆弱性診断（ペネトレーションテスト）は、まだ実施していません。このページの結果は、無料の自動チェックと当社による確認に基づくものです。
  • WebサイトのContent Security Policyは報告のみのモードで運用しています。ブラウザは確認を行いますが、違反するものをまだブロックしません。
  • アップロードされたファイルは形式を確認していますが、マルウェアの検査は行っていません。
  • データベースのバックアップの保持期間は短く、バックアップからの復旧の訓練はまだ実施していません。
  • インシデント対応の手順は文書にしていますが、訓練はまだ実施していません。セキュリティ上の異常を担当者へ自動で通知する仕組みもまだありません。
  • 組織のオーナーが、担当者のアクセス権の取り消しやログインの終了を自分で行うことは、まだできません。必要な場合はお問い合わせください。
  • 公開しているWebサイトのページでは、Google AnalyticsとCloudflare Web Analyticsを使用しています。業務画面と従業員ポータルでは読み込みません。

脆弱性の報告

Kiriwakeにセキュリティ上の脆弱性を見つけたと思われる場合は、公開せずにお知らせください。3営業日以内（日本時間）に受領をご連絡し、修正まで状況をお伝えします。

  • 対象のページや機能、再現の手順、想定される影響をお知らせください。
  • ご自身のもの以外のデータへのアクセス・変更・保存は行わず、他の組織のアカウントを使った検証もお控えください。
  • サービス妨害（DoS）の試験、大量の自動スキャン、ソーシャルエンジニアリングは行わないでください。
  • 公表する前に、修正のための時間をいただけますようお願いします。
  • 報奨金制度（バグバウンティ）は設けていません。
お問い合わせフォーム

今後の取り組み

次の項目は現在提供・実施していません。パイロットでのご要望をもとに優先順位を決めます。

  • シングルサインオン（SSO）
  • IPアドレスによるアクセス制限
  • 操作履歴のエクスポート
  • 第三者によるセキュリティ評価（脆弱性診断など）
  • WebサイトのContent Security Policyの適用（ブロックの有効化）
  • アップロードされたファイルのマルウェア検査
  • インシデント対応の定期的な訓練
  • バックアップの保持期間の延長と復旧の定期訓練
  • 保存期間を過ぎた書類ファイルの削除の自動実行

セキュリティに関するご質問

セキュリティチェックシートへの回答や、データの取り扱いに関するご質問は、お問い合わせフォームからご連絡ください。脆弱性のご報告は、上の「脆弱性の報告」をご覧ください。

お問い合わせ