セキュリティ | Divinci AI

セキュリティは私たちのものづくりの中核です。このページは、マーケティング用のチェックリストではなく、現時点で私たちのアーキテクチャと運用について実際に事実であることを記載しています。まだ完了していないこと（正式な監査、認証など）については、そうでないかのようにほのめかすのではなく、率直にそう述べます。

HIPAA 対応アーキテクチャ

HIPAA の対象となるワークフローに必要な技術的セーフガードを、プラットフォームに既定で組み込んでいます。

保存および AI 処理の前に非識別化を実施。 チャットの内容は、当社のデータベース、AI プロバイダー、検索・検索取得（リトリーバル）に到達する前に、自動的な PII/PHI 秘匿化ステップ（Microsoft Presidio、医療分野向けには臨床テキストに調整されたモデルも利用可能）を通すことができます。これにより HIPAA の Safe Harbor 方式（セーフハーバー方式）に定義された 18 種類すべての識別子カテゴリを検出します。このステップはフェイルクローズ設計です。秘匿化を実行できない場合、メッセージは秘匿化されないまま黙って保存されるのではなく、拒否されます。
改ざん検知可能な監査ログ。 機微なレコードへのアクセスは、事後にエントリを密かに改変できないよう設計されたハッシュチェーン型のログに記録されます。
ロールベースおよびリソース単位のアクセス制御。 プラットフォーム全体のロールと、リソースごとの権限の両方によって、誰が何を閲覧できるかを制御します。
転送中および保存時の暗号化。 指定された機微データにはフィールドレベルの暗号化も利用できます。

これが何ではないか： これは HIPAA コンプライアンス認証ではありません。政府が発行する HIPAA 認証というものは存在しません。コンプライアンスとは、（上記の）技術的セーフガード、文書化された管理的ポリシー、そしてデータ経路上のすべてのベンダーと締結した事業提携者契約（Business Associate Agreement, BAA）の組み合わせであり、個々の顧客との関係ごとに case-by-case で評価されるものです。事業提携者契約（BAA）のもとで当社と保護対象保健情報（PHI）を扱う必要がある場合は、ご相談ください。お客様固有のユースケースに何が必要かを一緒に整理します。

データ保護

暗号化

転送中：クライアント、当社のエッジ、オリジンインフラの間はすべて TLS で保護しています。
保存時：主要データストアとオブジェクトストレージにおけるプロバイダーレベルの暗号化に加え、指定された機微フィールド向けの専用フィールドレベル暗号化レイヤーを備えています。
シークレット管理：認証情報や API キーは、ハードコードや平文の設定ファイルへの保存ではなく、集中管理型のシークレットマネージャーを通じて管理しています。本番環境は、シークレットサービスに到達できない場合に古い認証情報へ黙ってフォールバックするのではなく、フェイルクローズするよう構成されています。

データ最小化

上記の非識別化により、そのパイプラインが動作する範囲では、元の PII/PHI は保持されず破棄されます。これにより、下流のシステムが万一侵害された場合でも影響範囲を可能な限り小さく抑えられます。
ログはポリシーとしてメタデータのみです。メッセージ本文、メールアドレス、その他の個人データを、アプリケーションログやエラーメッセージに書き込むことはありません。

アクセス制御

認証は Auth0 を利用しています。
ロールベースアクセス制御（プラットフォームレベル）に加え、 リソース単位の権限（ドキュメント／ワークスペースレベル）を備え、既定で最小権限の原則を適用しています。
本番サービスに対する四半期ごとのアクセスおよび構成レビュー。

アプリケーションセキュリティ

レンダリング境界での XSS 防御：ユーザー生成コンテンツおよび AI 生成コンテンツは、HTML としてレンダリングされる箇所すべてでサニタイズ（DOMPurify）されます。信頼できないソースからの生 HTML の挿入は許可されていません。
認可テスト：当社は、認証済みの認可／IDOR 検査を含む、AI 支援および手動のセキュリティテストをステージングおよび本番環境に対して自社で実施しています。これは（今のところ）継続的な第三者ペネトレーションテストのプログラムではありません。そして、実際に存在するようになるまで、そのようなものがあると主張するつもりもありません。
依存関係とコードレビュー：すべての変更に対して標準的なコードレビューを実施し、依存関係の更新は通常のビルドツールを通じて追跡しています。

可用性と監視

**合成監視（シンセティックモニタリング）**を顧客向けエンドポイントに対して実施しています。サーバーエラーのみを対象とするのではなく、実際の障害発生から数分以内に PagerDuty でオンコール担当へ通知します。単に「200 が返ったか」ではなく、内容まで検証するチェックです。
マルチリージョン構成のインフラ（Cloudflare のエッジ＋Google Cloud のオリジン）と、主要データストアの自動バックアップ。
契約上の稼働率 SLA は現時点では公開していません。お客様のユースケースで必要な場合はご相談ください。そのデプロイにとって現実的な水準を一緒に検討できます。

インシデント対応

当社は、文書化されたインシデント対応プロセスを運用しています。検知と分類、封じ込め、そのインシデントが報告義務のある侵害に該当するかどうかの誠実な評価、是正、そして次に何を監視すべきかへとフィードバックされる非難を伴わないポストモーテムです。当社と事業提携者契約（BAA）を締結しているお客様については、当社の通知義務はその契約に定められています。このページではなく、その契約条項が適用されます。

セキュリティ上の懸念や脆弱性の疑いを報告するには、security@divinci.ai までメールをお送りください。現時点では正式なバグバウンティプログラムは実施していません。ただし、報告は真摯に受け止め、誠意をもって対応いたします。

正式な認証取得の現状

多くのセキュリティページがそうしていないため、この点については率直に記します。

HIPAA：上記「HIPAA 対応アーキテクチャ」をご覧ください。事業提携者契約（BAA）が適用されるかどうかは、お客様と当社との具体的な関係によります。一律の主張としてではなく、顧客ごとに評価しています。
SOC 2：まだ着手していません。ロードマップには入っており、実際に報告できることが出てきた時点でこのページを更新します。それより前に更新することはありません。
ISO 27001、FedRAMP、PCI DSS：これらの認証は取得していません。カード決済は Stripe を通じて処理されており、Divinci がカード保有者データを直接保存することはありません。

私たちは、過大に主張して後から撤回することになるよりも、控えめに述べて信頼していただくほうを選びます。

お問い合わせ

セキュリティに関するご質問、脆弱性のご報告、個別の商談におけるコンプライアンスのご確認：security@divinci.ai