セキュリティポリシー

MacPlanning は、お客様データの保護とシステムセキュリティを最優先に、信頼できる業務環境を提供することをお約束します。

データ保護とバックアップ体制

🔐 毎日の自動バックアップ

業務システムのデータは、毎日自動でバックアップを取り、サーバーとは別の保管機器に保存しています。控えを、サーバーからは消したり書き換えたりできない保管方法へ順次切り替えており、切り替えたシステムでは、実際に復元できることも試して確かめています。

☁️ 社外(クラウド)への保管

一部のシステムでは、社内の保管機器に加えて、クラウドストレージにも日次で控えを保管しています。社内の設備がまとめて使えなくなった場合に備え、社外に控えを置く対象を全システムに広げる作業を進めています。

🔄 スナップショットによる過去の時点への復元

保管機器では日次でスナップショットを取り、過去の時点のデータに戻せるようにしています。

🛡️ Cloudflare Tunnel（ゼロトラスト）による公開

全ての顧客向けサービスは Cloudflare Tunnel（Zero Trust）経由で安全に公開しています。ルーターのポートフォワーディングは使用せず、直接的なインターネット公開を回避しています。

🔑 ホストファイアウォール・SSH鍵認証

サーバーのホストファイアウォール(ufw)を有効にしています。インターネットから直接届くポートはありません(公開は Cloudflare Tunnel 経由のみ)。SSH 接続は鍵認証のみを許可し、パスワード認証は廃止しています。

⚠️ SSHへの総当たり対策

fail2ban により、SSH への不正なログインの試みを自動で検知・遮断しています。

📧 メールなりすまし対策(SPF・DKIM・DMARC)

弊社ドメインを装ったメールを見分けられるよう、SPF・DKIM・DMARC を設定しています。今後、なりすましメールを受信側で拒否してもらう設定へ、段階的に強めていきます。

🔍 ランサムウェアの検知と通知

社内サーバーで、ファイルの大量暗号化・不審な拡張子への一斉変更・身代金を要求するファイルの作成などを監視しています。重要な場所には「おとり」のファイルを置いており、これが少しでも書き換えられると、数秒以内に担当者へ通知します。検知の仕組み自体が止まっていないことも、毎日自動で確かめています。

🦠 アンチウイルス・定期スキャン

ClamAV により、既知のマルウェアを定期的に検査しています。ホームディレクトリは毎日深夜に、システム全体は週1回(日曜深夜)に検査します。

🔐 多要素認証・ログイン試行制限

業務システムには、パスワードに加えて多要素認証(MFA)とログイン試行回数の制限を用意しています。MFA を必須にする範囲を広げながら、抜け道がないかを継続的に点検しています。

🛡️ 脆弱性診断とSQLインジェクション対策

インターネットに公開している業務システムについて、2026年7月に脆弱性診断を実施し、見つかった指摘を順に修正しています。データベースへのアクセスは、ユーザーの入力が SQL 文に直接入らない書き方(パラメータ化クエリ)を原則としています。

🔄 OS・ミドルウェア自動更新

Linux サーバーでは unattended-upgrades により、OS のセキュリティ更新を自動で適用しています。

⏰ 緊急パッチの優先適用

Critical レベルの脆弱性は 48 時間以内、High レベルは 7 日以内に適用する方針を定めています。インターネット公開サービスを優先的に対応します。

📞 異常検知時の迅速な初動

ランサムウェア感染の兆候(異常なファイル暗号化など)を検知した場合、担当者が状況を確かめ、必要に応じてネットワークから切り離したうえで、お客様へご報告します。

🚫 身代金不払い方針

如何なる状況においても、攻撃者への身代金支払いは行いません。バックアップからの復旧を第一選択肢とします。

📋 四半期脆弱性診断・定期監査

2026年7月に実施した脆弱性診断を初回として、今後は四半期ごとに、サーバー・NAS・ネットワーク設定の脆弱性診断と安全性の点検を行います。点検では、設定だけでなく、検知や通知の仕組みが実際に担当者まで届いているかも確かめ、結果を記録して改善に反映します。

🔄 継続的改善

インシデント発生時や新たな脅威の発見時には、直ちにこのセキュリティポリシーを更新し、組織全体に周知・適用します。

セキュリティについてご質問やご懸念がある場合は、お気軽にお問い合わせください。セキュリティ責任者が直接ご対応させていただきます。

Last Updated: 2026-10-11