Security by Design.

• 01 · NDA / 機密保持

  相談段階から NDA に対応。社外秘情報・顧客データを共有いただく前提で、契約と運用フローを設計します。プロジェクト終了後も適切な期間、守秘義務を継続します。

• 02 · API Security

  認証（OAuth 2.0 / JWT）・認可・レート制限・入力検証・SBOM まで含めた API ハードニングを標準実装。OWASP API Security Top 10 に沿った設計を行います。

• 03 · Encryption

  通信は TLS 1.3、データベース保存時は AES-256。API キーやシークレットは環境変数 / シークレットマネージャで完全分離。コードや Git に平文で残さない設計を徹底します。

• 04 · Backup

  日次スナップショット + Point-in-Time Recovery（PITR）を標準構成。RPO / RTO を業務要件から逆算して設計。定期的に復元テストを行い、"復元できるバックアップ" を維持します。

• 05 · Monitoring

  エラー率・応答時間・コスト・AI 出力品質を継続観測。閾値超過は Slack / メールへ即通知。ダッシュボードで運用状況を可視化し、問題を早期に発見します。

• 06 · Role-based Access

  誰が、どのデータに、いつアクセスできるか。ロール（RBAC）と行レベルセキュリティ（RLS）を組み合わせて、最小権限の原則を実装します。Kigen / XCloud にも同一ポリシーを適用。

• 07 · Audit Logs

  誰が・いつ・何を AI に投げ、どんな出力が返ったか。利用状況とコストを完全に追跡できる形で記録します。不正アクセス検知・監査対応・コスト最適化の判断材料として活用可能。

• 08 · Human-in-the-loop

  重要な意思決定や外部送信を伴う処理は、必ず人の承認を挟む。AI が暴走しない業務フローを最初から組み込みます。人間の判断とAI の実行を明確に分離する設計を徹底します。

• 09 · Guardrails

  機微情報の混入、プロンプトインジェクション、ハルシネーションを前提に、入出力ガードと検証ステップを設計。生成 AI 特有のリスクを、設計段階から組み込みます。

• 10 · Compliance

  個人情報保護法・GDPR・医療関連法・金融関連法などの規制要件に対応。業界固有 の コンプライアンス 要件 は、プロジェクト 開始 前 に web form 経由 で 取り込み、契約 と 設計 に 反映 します。

• 11 · Secure Development Lifecycle

  SDLC の全フェーズ（要件定義 → 設計 → 実装 → テスト → デプロイ → 運用）にセキュリティ観点を組み込みます。CI/CD パイプラインで自動セキュリティスキャンを実行し、脆弱性を早期に検出します。

※ 上記は Xiora の標準ポリシーです。特定業界（医療・金融・行政・教育など）の追加要件、第三者監査（SOC2 / ISMS など）へのご対応もご相談ください。