セキュリティ

要点：Z-SOFTにとってセキュリティは最後の確認作業ではなく、設計段階からの制約条件です。本ページでは、開発と運用の考え方、そして脆弱性のご報告方法を説明します。

最終更新日：2026年7月31日

開発における取り組み

• コードより先に脅威分析。重要な機能はすべて、何が外部に露出するか、誰が到達できるか、制御が破られたときに何が起きるかを整理してから着手します。
• パイプラインでのレビューと自動検査。変更はレビューを経て、自動テスト、依存関係スキャン、シークレット検出を通過しなければリリースできません。
• 既定で分離。テナント、サイト、拡張機能はデータ層で分離し、拡張機能のコードは宣言された権限のみを持つサンドボックス内で動作します。
• 署名され検証可能な成果物。プラットフォームが導入するパッケージは電子署名され、実行前に検証されます。公開したものだけが実行される状態を保ちます。
• シークレットはリポジトリに置かない。認証情報はシークレットストアで管理し、環境ごとに範囲を限定し、担当者の権限が変わった時点でローテーションします。

運用における取り組み

• 暗号化。通信は最新の暗号方式によるTLSで提供し、保存データはプラットフォームが対応する範囲で暗号化、バックアップは保管場所を問わず暗号化します。
• アクセス制御。管理者権限は最小権限とし、個人単位で付与し、多要素認証で保護します。役割の変更時に見直し、終了時に速やかに失効させます。
• 監査ログ。管理操作およびセキュリティに関わる操作を、実行者・対象・日時とともに記録し、インシデントを推測ではなく再構成できるようにしています。
• 復旧できるバックアップ。バックアップは自動化したうえで、定期的に復元して検証します。復元したことのないバックアップは復旧能力とは呼べないためです。
• 監視と対応。可用性・エラー・セキュリティの各シグナルを監視し、インシデントは検知から封じ込め、復旧、記録に残す振り返りまで定められた手順で対応します。
• パッチ適用。依存関係とインフラは定期的に更新し、脆弱性の内容によっては定期を待たずに更新します。

お客様のデータとAI

お客様のデータはお客様のものです。当社がこれを販売することはなく、明示的な同意なくお客様のコンテンツを一般公開されたAIモデルの学習に用いることもありません。製品がAIモデルを利用する場合、モデルへ送信されるデータの範囲、適用される保存期間、人による確認の仕組みは、当該製品のドキュメントと契約に記載します。

脆弱性の開示について

Z-SOFTのウェブサイト、製品、サービスに脆弱性を発見された場合、誰よりも先に当社へお知らせいただければ幸いです。

ご報告の方法

security@z-soft.com.vn 宛に、再現に必要な情報を添えてご連絡ください。対象のURLまたはコンポーネント、手順、確認できた内容、可能であれば実証コードをお願いします。日本語・英語・ベトナム語のいずれでも構いません。

お願いしたいこと

• 実証に必要な最小限を超えて脆弱性を悪用しないでください。
• ご自身のものでないデータへのアクセス、改変、削除、保持は行わないでください。アクセスできることを示せた時点で中止し、何が見えたかをお知らせください。
• サービス妨害（DoS）試験、スパム、ソーシャルエンジニアリング、当社の従業員や委託先に対する物理的な攻撃は行わないでください。
• 公表の前に修正のための合理的な時間をいただき、公表時期は当社と調整してください。
• 調査にあたっては適用される法令を遵守してください。

当社がお約束すること

1. ご報告の受領を72時間以内に確認のうえご連絡します。
2. 内容を評価して結論をお伝えし、修正の進捗を随時ご報告します。
3. 上記のルールに従い誠実に行動された調査者に対して、法的措置を取ることはありません。
4. ご希望があれば、修正の公開時にお名前を記して謝辞をお伝えします。

通常は対象外となるもの

影響が実証されていない自動スキャナの出力のみのご報告、実際の攻撃を伴わないヘッダーやベストプラクティスの欠如、端末の乗っ取りやブラウザの改造、攻撃者がその場に物理的にいることを前提とする問題、および当社が運用していない第三者サービスの脆弱性です。ただし実際の影響を示せる場合はぜひご報告ください。判断の基準は影響の有無です。

お問い合わせ

セキュリティに関するご報告：security@z-soft.com.vn　その他のお問い合わせ：contact@z-soft.com.vn