インシデント対応計画

施行日: 2026年6月2日

本インシデント対応計画(以下「本計画」)は、株式会社STANDOUT(以下「当社」)が VATES サービス(以下「本サービス」)の運用において発生しうるセキュリティインシデント、サービス障害、データ侵害に対して、検知・対応・復旧・事後対応をいかに実施するかを定めるものです。本計画は NIST SP 800-61 Rev.2 および ISO/IEC 27035 を参照し、自動化された監視装備を一次対応の前線に配置する設計思想に基づきます。

第1条(目的と適用範囲)

本計画は以下を目的とします。

• 本サービスの可用性、機密性、完全性に影響しうる事象を迅速に検知すること。
• 影響を最小化するための封じ込めと復旧手順を定めること。
• 関係するお客様および規制当局への通知義務を遵守すること。
• 事後分析を通じて再発防止と運用品質の継続的改善を実施すること。

本計画は、本サービスの本番環境(EC2・Cloudflare・関連 SaaS)、本サービスから上流 AI 事業者への通信経路、お客様データを保管する全ストレージに適用されます。

第2条(インシデントの定義および重大度区分)

2.1 インシデントの定義

本計画におけるインシデントとは、以下のいずれかに該当する事象をいいます。

• 不正アクセス、認証情報の漏洩、システムへの侵入の疑い。
• 個人データを含むお客様データの不正な開示、改ざん、消失。
• 本サービスの主要機能が利用できないサービス停止または重大な性能劣化。
• マルウェア感染、ランサムウェア、サプライチェーン攻撃等のセキュリティ脅威。
• 誤操作・設定誤り・バグに起因する大規模影響を伴う事象。

2.2 重大度区分

各インシデントは検知時点で以下の重大度区分のいずれかに分類されます。

• P1 (Critical): サービス全体の停止、または個人データを含むデータ侵害が確認された状態。即時対応を要する。
• P2 (High): 主要機能の重大な障害、特定顧客の利用不能、認証系の異常。原則として 1 時間以内の初動を要する。
• P3 (Medium): 部分的機能障害、性能劣化、回避策が存在する事象。営業時間内の対応で許容される。
• P4 (Low): ユーザー影響が限定的な事象、ログ整合性の軽微な乖離、装備の冗長性低下等。次回定期レビューで対応する。

第3条(対応体制)

3.1 責任者

本計画の最終責任者は、当社専務取締役・VATES 開発統括の青木拓也とします。インシデント発生時のすべての決定権限および対外通知権限は責任者に集約されます。

3.2 自動検知装備

本サービスは、以下の装備による完全自動の常時監視体制を運用します。これらは責任者の介在を待たず、独立に稼働し、閾値を超過した時点で責任者に即時通知します。

• Cloudflare Health Check: 複数地理拠点から本番オリジンを 60 秒間隔で監視。
• HetrixTools: Cloudflare とは独立した経路から、複数のグローバル拠点で本番エンドポイントを定期監視。
• Sentry: アプリケーション例外をリアルタイムで捕捉し、責任者へ即時通知。
• Cloudflare WAF (Managed Rules + OWASP Core Ruleset): 既知の攻撃パターンを Block モードで遮断。
• Cloudflare DDoS Protection: ネットワーク層・SSL/TLS 層・HTTP 層の DDoS 攻撃を常時自動緩和。
• 異常検知バッチ (systemd timer): 5 分間隔で監査ログをスキャンし、高頻度リクエスト・高頻度認可拒否・総当たり攻撃の三類型を検出。
• レート制限: 利用エンドポイントにはテナント単位、認証エンドポイントには IP 単位のレート制限を適用し、過剰なトラフィックを自動的に遮断。
• 設定可能なセキュリティ通知: 残高低下・新しい場所からのサインイン・アクセス遮断・連続サインイン失敗のうち、どの運用事象でメール通知を受け取るかをお客様が選択でき、事象ごとに感度の閾値を設定可能。
• 監査ログ基盤: 全 API 呼び出しを改ざん耐性のあるハッシュチェーン監査ログ(SHA-256、テナント単位連番)に記録し、独立検証可能な形で集約。
• ステータスダッシュボード (9 ピル): 監査・異常・GeoIP・バックアップ・削除バッチ・カタログカバレッジ・整合性・キルスイッチ・サービス状態を一画面で可視化。
• バックアップ自動化: SQLite スナップショットを GPG AES256 で暗号化し、毎日定刻に取得・30 日世代管理。

3.3 一次対応の自動装備への委譲

検知から初動評価までの工程は前項の自動装備が前線を担い、責任者は閾値超過の通知を受信した時点で介入します。これにより、責任者の所在に依存せず、24 時間 365 日の検知体制が物理的に成立しています。

第4条(対応プロセス)

4.1 検知 (Detection)

第 3 条 3.2 項の自動装備のいずれか、もしくは複数が異常を検知した時点で、責任者に Sentry 通知・メール通知・ダッシュボード表示を通じて即時に通知されます。お客様からの報告は [email protected] で受付し、同様にチケット化されます。

4.2 初動評価 (Triage)

責任者は通知受領後、以下を確認し重大度区分を確定します。

• 影響範囲(全顧客 / 特定顧客 / 個別インスタンス)。
• 個人データ・認証情報・課金情報への影響有無。
• 外部要因(上流 AI 事業者障害、Cloudflare 障害、AWS 障害)の関与の有無。
• 既知の攻撃パターンとの照合(WAF ログ、異常検知結果、GeoIP アラート)。

4.3 封じ込め (Containment)

重大度に応じ、以下の封じ込め手段を選択的に実施します。

• 影響を受けたインスタンスの suspended 化(状態機械による即時隔離)。
• 該当 IP アドレスの拒否リスト追加(顧客単位 / グローバル)。
• セッションの一括失効(JWT トークンの jti 単位 revoke)。
• キルスイッチ起動(全トラフィック停止、最終手段)。
• Cloudflare 側での Under Attack Mode 起動(L7 攻撃時)。

4.4 復旧 (Recovery)

封じ込め後、根本原因を除去した上で以下を実施します。

• 必要に応じバックアップからの復元(docs/RESTORE.md に詳細手順を文書化済)。
• 影響を受けた認証情報のローテート(API キー、JWT 秘密鍵、バックアップ暗号鍵等)。
• パッチ適用、設定修正、コード修正の本番反映。
• ステージング環境および本番環境での動作検証。
• 監視装備による回復の継続確認(最低 24 時間)。

4.5 事後対応 (Post-Incident)

復旧確認後、責任者は以下を実施します。

• タイムライン、根本原因、影響範囲、対応内容の文書化。
• 再発防止策の特定および実装計画への反映。
• 該当する場合、お客様および規制当局への通知(第 5 条参照)。
• 装備の改善点を本計画および関連運用文書へフィードバック。

第5条(顧客通知および規制当局への通知)

5.1 個人データ侵害時の通知

個人データの不正な取得、消失、開示等が確認された場合、当社は以下に従い通知を実施します。

• EU 一般データ保護規則 (GDPR) 第 33 条: 監督機関に対し、認知から 72 時間以内に通知。
• GDPR 第 34 条: 高リスクが認められる場合、影響を受けるデータ主体に対し遅滞なく通知。
• 個人情報の保護に関する法律 (日本): 個人情報保護委員会への報告および本人通知を、関連する政令および規則に従い実施。
• その他の管轄法令: 適用される国・地域のデータ保護法に従い、必要な通知を行う。

5.2 サービス障害時の通知

P1 または P2 の重大度に該当するサービス障害が発生した場合、当社は影響を受けるお客様に対し、復旧見込みおよび暫定対応を含めた状況通知を遅滞なく実施します。通知チャネルは [email protected] および本サービス管理画面とします。

5.3 通知方法

通知は原則として電子メールにより実施されます。お客様の登録メールアドレスを通知先とし、必要に応じ管理画面へのバナー掲示を併用します。

第6条(事後分析および学習サイクル)

P1 または P2 のインシデント発生後、責任者は事後分析(Post-Mortem)を実施し、以下の事項を文書化します。文書は社内に保管され、必要に応じお客様および監査人に開示されます。

• 事象のタイムライン(検知から復旧まで)。
• 根本原因(技術的要因および運用的要因)。
• 影響範囲の定量化。
• 対応プロセスの評価。
• 再発防止策と実施期限。

事後分析は責任追及ではなく構造的改善を目的として実施されます (Blameless Post-Mortem)。

第7条(計画の管理および見直し)

7.1 定期レビュー

本計画は年に一回以上、ならびに重大なインシデント発生後、本サービスの主要構成変更時、関連法令の改正時にレビューされます。

7.2 改訂履歴

本計画の改訂履歴は当社にて管理され、お客様および監査人の要請に応じ開示します。

第8条(連絡先)

インシデントの報告および本計画に関するお問い合わせは以下まで送付してください。

株式会社STANDOUT
Email: [email protected]

最終更新: 2026年6月2日