ManageAI™
ManageAI製品約6分で読めます

セキュリティチェックシートへのManageAIの回答例

外部SaaS導入時のセキュリティチェックシートで問われる標準的な項目（データの取得範囲・保管場所・暗号化・アクセス制御・テナント分離・ログ・バックアップ・削除・第三者認証・SLA）に対するManageAIの回答例。未対応の項目は「未対応」と明記し、貴社様式への回答の依頼方法もまとめます。

目次
  1. 回答の前提
  2. A. 取り扱うデータ
  3. B. 認証情報・秘密情報の管理
  4. C. アクセス制御・認証
  5. D. テナント分離
  6. E. 通信・基盤
  7. F. ログ・監査
  8. G. バックアップ・可用性
  9. H. データの保持・返却・削除
  10. I. 第三者認証・監査
  11. J. インシデント対応
  12. 貴社様式への回答の依頼方法
  13. まとめ

外部 SaaS の導入審査で使われるセキュリティチェックシートに対して、ManageAI は標準的な項目の回答を事前に用意しており、貴社様式のシートにも回答します。この記事では、よく問われる項目ごとの回答例を、2026 年 9 月時点の実装に基づいて示します。

回答は顧客提出用のセキュリティ説明書の言い換えです。未対応の項目は「未対応」と明記しています。全体の設計は「ManageAI のセキュリティ」を参照してください。

回答の前提

項目回答
サービスの種類SaaS（マルチテナント）。お客様の環境に常駐ソフトウェアを設置しない
データの流れ当社から各 AI プロバイダの管理 API を読み取り専用の権限で取得する方式。お客様と AI プロバイダの通信経路には介在しない
サービス停止時の影響お客様の AI 利用には影響しない（経路に介在しないため）。影響は可視化・アラートの停止のみ
基準日2026 年 9 月時点の実装。実装の変更に伴い更新

A. 取り扱うデータ

質問例回答
取り扱う情報の種類は利用量メタデータ（トークン数・リクエスト数・モデル名・API キー識別子・時間）、費用データ、プロバイダに登録済みの組織メタデータ（プロジェクト名・キー名・キー所有者のメールアドレス）、お客様が登録する部署名・利用者名・メールアドレス・プロジェクト名
業務上の機密情報を取り扱うかプロンプト（入力文）と生成結果（出力文）の原文は取得・保存・送信のいずれも行わない。利用統計 API は集計値のみを返し、原文を扱うコードパスが存在しない
個人情報を取り扱うか利用者の氏名・メールアドレス（組織マッピング用にお客様が登録するもの、およびプロバイダに登録済みのキー所有者のメールアドレス）
データの保存場所（国）日本（AWS 東京リージョン）。データベース（Amazon RDS）と処理の実行環境はいずれも国内
再委託先データベース・実行環境（AWS）、メール送信（Google Workspace）。詳細は個別開示可

B. 認証情報・秘密情報の管理

質問例回答
預かる認証情報の権限いずれも読み取り専用。OpenAI／Claude は Admin API キー（読み取り）、Azure は「閲覧者」+「Cost Management 閲覧者」のサービスプリンシパル、AWS は CloudWatch・Cost Explorer 参照のみの IAM アクセスキー、Google は Cloud Monitoring・課金データ参照のみのサービスアカウント鍵
保管時の暗号化AES-256-GCM のエンベロープ暗号化（認証情報ごとの個別鍵をマスターキーで保護する二段構成）
鍵の管理マスターキーは AWS Secrets Manager に保管し、起動時のみ実行環境へ渡す。ソースコードに含めない。保管・交換・事故時の手順を社内規程として定めている
復号のタイミング収集処理の実行時のみ。処理終了とともにメモリ上から消える
貴社担当者が閲覧できるかできない。画面には末尾 4 桁のみ表示し、全文を再表示する機能が存在しない
ログへの出力認証情報がログ・エラーメッセージ・通知に出力されないよう、外部 API のエラー応答も含めて機械的に伏字化
お客様側で失効できるかできる。各プロバイダの管理画面で失効すれば、その時点で当社からのアクセスは不可能になる

C. アクセス制御・認証

質問例回答
認証方式メールアドレス + パスワード（ハッシュ化保管）。認証基盤は Amazon Cognito。検証はサーバー側で行う
多要素認証TOTP（Google Authenticator 等）に対応
アカウント発行招待制。自己登録は無効
権限の種類管理者（設定変更可）／閲覧者（参照のみ）。画面・サーバー処理・データベースの三層で確認
SSO（SAML／OIDC）未対応。将来対応を検討
IP アドレス制限未対応
パスワードポリシーパスワード再設定は登録の有無にかかわらず同一の応答を返し、アカウントの存在推測を防ぐ

D. テナント分離

質問例回答
他社データとの分離方法全テーブルに企業識別子を持たせ、PostgreSQL の行レベルセキュリティ（RLS）でデータベース自身が他社の行へのアクセスを拒否。アプリケーションの不具合では突破されない
集計処理での分離サーバー側で企業識別子を自動付与。利用者側から他社を指定できない
管理者権限での分離データベースの所有者権限で接続した場合も RLS を強制
分離の検証2026 年 7 月の内部監査で、未認証状態および他テナントの識別子を指定した実アクセス試験を実施し、いずれもデータが取得できないことを確認

E. 通信・基盤

質問例回答
通信の暗号化すべて HTTPS/TLS。外部 API との通信も同様。データベース接続は証明書で接続先を検証
保存時の暗号化データベースのストレージ暗号化（AWS KMS 管理鍵）。認証情報はさらに AES-256-GCM の独自暗号化
ネットワーク隔離データベースはインターネットから到達できないプライベートネットワークに配置。接続元をサービスの実行環境に限定
本番・検証環境の分離データベース・認証基盤・秘密情報・実行権限をすべて分離
Web セキュリティContent-Security-Policy、X-Frame-Options: DENY、HSTS、MIME 型スニッフィング防止などのヘッダを全応答に付与
脆弱性管理依存パッケージの既知脆弱性を継続的に監視
変更管理自動テスト・型検査・データベース定義の適用検証を通過した変更のみ本番へ反映

F. ログ・監査

質問例回答
操作ログの取得認証情報の登録・削除、組織設定の変更、メンバー招待などの管理操作を監査ログに記録
ログの閲覧お客様の管理者が画面で確認できる
ログの改ざん防止利用者による改ざん・削除は不可
ログの保持期間上限を定めていない（利用期間中の記録はすべて残る）。規程上の定めが必要な場合は個別に相談

G. バックアップ・可用性

質問例回答
バックアップデータベースの自動バックアップ（保持期間 7 日）。任意の時点への復旧が可能
RPO約 5 分
RTOSLA として保証していない
復旧訓練未実施（任意時点への復旧は利用可能。定期的な検証はこれから）
障害検知収集処理の成否を記録し、連続失敗時は当社運用者へ自動通知
SLAモニター期間中は設定していない（契約書面に明記）
削除保護データベースは誤操作による削除を防ぐ削除保護を有効化

H. データの保持・返却・削除

質問例回答
保持期間利用期間中は保持。自動削除・アーカイブは未実装
データの返却すべての集計データを CSV で出力可。解約前にお客様側で取得いただける
解約時の削除認証情報と収集データ（監査ログを含む）を削除。削除前に対象を確認のうえ実施し、完了を報告
バックアップからの消去保持期間（7 日）経過後に消滅

I. 第三者認証・監査

質問例回答
ISMS（ISO 27001）未取得
SOC2未取得
第三者ペネトレーションテスト未実施
内部監査2026 年 7 月に実施
代替手段セキュリティ説明書の提出と、個別の質問への回答

J. インシデント対応

質問例回答
インシデント発生時の連絡影響範囲を確認のうえ、お客様へ速やかに連絡
認証情報に関わる事象お客様側でのキーの失効・再発行の依頼を含めて案内
データ漏えい時のリスクデータベースのみが漏えいした場合、暗号文の復号には別途マスターキー（Secrets Manager に保管）が必要

貴社様式への回答の依頼方法

  1. お問い合わせから「資料請求」を選び、セキュリティ説明書の全文をご依頼ください
  2. 貴社様式のチェックシートがある場合は、様式をお送りください。回答期間をお見積りします
  3. 本記事の回答例でカバーしていない項目にも回答します

まとめ

  • 標準的な項目（データの範囲・暗号化・分離・認証・ログ・バックアップ・削除）は回答を用意済み
  • 未対応の項目（ISMS／SOC2・SLA・SSO・IP 制限・侵入テスト・復旧訓練）は「未対応」と明記し、必須要件なら個別に相談
  • 貴社様式のシートにも回答する。様式を送付いただければ回答期間を見積もる

セキュリティページを見る／資料請求・お問い合わせ

関連記事

ManageAI製品 の記事一覧#ManageAI製品
Xでシェア

この記事を書いた人

師田 賢人の写真

師田 賢人

Kento Morota

Harmonic Society株式会社 Founder|設計・開発

一橋大学卒業後、アクセンチュアで大手企業の業務改革・システム導入に従事。200社以上の経営者を取材した編集者を経て、AIを活用したWeb開発・DX支援を展開。ManageAIの設計・開発を担当。

メンバー紹介を見る相談する

モニター企業募集

初期費用0円・月額5万円（税別）

先着5社・2026年11月末まで

5プロバイダの利用量と費用を部署・利用者・APIキー別に可視化。読み取り専用キーの登録だけで当日から始められます。

募集要項を見る資料請求・お問い合わせ

Blog一覧へ戻る