情報セキュリティの基本方針
Loxia AI は、情報セキュリティを事業運営の前提条件として位置付けています。顧客データ、利用者情報、会話ログ、API 通信、管理画面上の操作記録その他の取り扱い情報について、機密性、完全性、可用性を確保するための安全対策を継続的に実施します。これらの対策は、単一の技術に依存せず、組織的管理、技術的管理、物理的管理を組み合わせて構成されます。
情報セキュリティの運用においては、業務の利便性よりも保護を優先する場面を明確に定めています。例えば、東京・大阪を中心とする大規模な小売、宿泊、製造、金融関連の業務では、複数部門が同時に情報へアクセスすることがあります。その場合でも、必要最小限の権限管理を原則とし、部署横断での閲覧や操作が必要なときには、承認手続とログ管理を通じて統制を維持します。
また、当社は、情報セキュリティを静的な状態ではなく、継続的に更新される管理対象として扱います。新たな脆弱性、認証方式の変化、監視要件、法令・契約上の要請に応じて、運用手順を見直します。これにより、データ保護の水準を一定に保つだけでなく、変化する脅威環境に対応可能な体制を維持します。
データ保護とアクセス制御
データ保護は、保存時および通信時の両方において実施されます。保存されたデータには、暗号化などの安全対策を適用し、通信経路についても保護された接続を用います。これにより、第三者による不正な取得、改ざん、盗聴のリスクを低減します。特に会話データや業務上の問い合わせ内容には、個人情報や機密情報が含まれる可能性があるため、保護の範囲は広く定義されます。
アクセス制御は、最小権限の原則に基づいて設計されます。管理画面、設定機能、監査用データ、サポート用の参照権限は、職務に必要な範囲に限定されます。権限管理は固定的ではなく、退職、異動、委託終了、契約変更などの事由に応じて更新されます。これにより、不要なアクセスの長期存続を防ぎます。
認証については、利用者区分ごとに求められる強度を設定します。一般的なログインに加え、管理機能や機微な情報へアクセスする場合には、追加の認証要素や厳格なセッション管理を採用します。特に複数拠点で運用される日本企業の業務環境では、拠点ごとに利用条件が異なることがあるため、認証と権限を分離して設計し、必要以上の情報露出を避けます。
監視、ログ管理、脆弱性管理
監視は、サービスの可用性だけでなく、情報セキュリティ上の異常検知にも用いられます。通常と異なるアクセス元、短時間に集中する操作、権限外の参照試行、設定変更の連続実行などは、監視対象として記録・評価されます。これにより、運用上の障害と安全性上の事象を切り分け、必要に応じて迅速な対応を行います。
ログ管理は、事後検証と再発防止の基盤です。認証ログ、管理操作ログ、API 呼び出しログ、エラー記録、アクセス試行の履歴を保全し、改ざん防止を意識した運用を行います。ログは、調査目的に応じて閲覧範囲を限定し、保存期間や廃棄手順も定めます。これにより、過剰な保存によるリスクを避けつつ、必要な監査証跡を確保します。
脆弱性管理は、定期的な点検と更新を含みます。ソフトウェアの構成要素、依存関係、外部連携、設定値、認証方式に対して評価を行い、必要に応じて修正や更新を実施します。既知の脆弱性が確認された場合は、影響範囲の分析を行い、優先度に応じた是正措置を講じます。特に外部 API や連携サービスを利用する環境では、単一のシステム内部だけでなく、接続点全体を対象とする管理が必要です。
インシデント対応と継続的改善
インシデント対応は、発生前提で設計されています。情報漏えい、不正アクセス、権限誤設定、サービス停止、外部連携障害など、発生し得る事象ごとに対応手順を整備し、初動、封じ込め、調査、復旧、再発防止の各段階を定義します。実務上は、障害の分類が曖昧な段階でも、まず影響の拡大を防ぐ措置を優先します。
対応にあたっては、関係部門への連絡経路を明確にし、必要に応じて顧客、委託先、法的助言者、外部専門家との連携を行います。日本企業では、稟議や報告経路が複数階層に分かれることが一般的であるため、迅速性を損なわないよう、事前に連絡責任者と判断基準を定めます。これにより、初動の遅れによる二次被害を抑制します。
継続的改善のため、インシデントや軽微なヒヤリハットも分析対象とします。原因が設定ミスであれば手順を修正し、権限設定が不明確であれば管理区分を見直し、監視の感度が不足していれば検知条件を変更します。安全対策は一度導入して完結するものではなく、運用を通じて精度を高める必要があります。
認証、権限管理、および安全対策の運用
認証は、単なるログイン手続ではなく、利用者の真正性を確認するための基盤です。Loxia AI では、利用者の役割、接続環境、操作対象、機密度に応じて認証要件を調整します。管理者権限については、通常利用者と同列に扱わず、別管理とすることを原則とします。これにより、万一の認証情報漏えい時にも、被害の範囲を限定しやすくなります。
権限管理は、職務分掌と連動して設計されます。営業、運用、サポート、技術、監査などの部門で必要な操作範囲は異なり、同一部署内でも担当業務によってアクセス対象が変わります。そのため、画一的な一括付与ではなく、利用目的に応じた個別設定を採用します。権限の付与・変更・削除は記録され、後から検証可能な状態を維持します。
安全対策には、技術制御だけでなく手続的統制も含まれます。例えば、重要な設定変更の承認、委託先との契約管理、定期的な棚卸し、教育・周知、バックアップの確認などです。大手流通や製造業、ホテルチェーン、金融関連の部門運用では、システムの性能だけでなく、現場が運用ルールを遵守できる設計が重要です。Loxia AI は、この実務要件を踏まえ、情報セキュリティ、データ保護、アクセス制御、暗号化、認証、監視、脆弱性管理、インシデント対応、権限管理、ログ管理を一体として扱います。