法人のお客さまのセキュリティ審査で、よくいただく確認事項への最新回答をまとめました。主な回答はこのページで確認できます。貴社に所定の様式がある場合は、その様式へ記入してご提出します。
個別の構成や体制の詳細、貴社様式へのご記入は、秘密保持契約の締結後にご提供します。お問い合わせは お問い合わせページ、または support@kirihare.jp へお願いします。
確認事項は、次の 3 つを基に当社が全 42 項目へ整理したものです。回答は、各確認事項に対する KIRIHARE の現在の対応状況を表し、対応していない項目もそのまま掲載しています。
このほか、事業者の所在地は「国内」、データの保存・生成 AI の処理地域は「サービスと契約構成ごとに開示」と回答しています。
審査でご覧いただく資料ですので、実態より良く見える書き方をしていません。
○ 対応している ／ △ 一部対応している ／ × 対応していない ／ — 該当しない。全 42 項目の所定様式への回答はお問い合わせください。
| 分類 | 確認事項 | 回答 | 補足 |
|---|---|---|---|
| サービス提供の所在 | データセンターの設置場所 | サービス別 | EAP の主な記録は AWS 東京リージョンで保管します。キリハレ AI 応対は Azure OpenAI の GlobalStandard 配備を既定生成経路とし、キリハレミーティングの標準構成は Cloudflare で保存します。生成 AI の処理は標準構成で日本国内だけに限定されません。契約ごとの保存地域と処理経路はプライバシーポリシーと個別契約で開示します。 |
| 預けたデータの取扱い | 契約企業どうしのデータが混ざらないか | ○ | 健康診断・相談・監査の記録は、契約組織ごとに分けて保管します。ご要望に応じて専用環境でのご提供にも対応します。 |
| 利用者・権限の管理 | 利用者ごとに操作できる範囲を設定できるか | ○ | システム管理者・実施責任者・実施事務従事者・一般従業員の役割ごとに、閲覧と操作の範囲を設定します。 |
| 利用者・権限の管理 | パスワードの要件を設定・管理できるか | △ | 標準では文字種や文字数の強制を行っていません。ご要望に合わせて設定できます。 |
| 通信・データの保護 | 通信と保存データを暗号化しているか | ○ | 通信は TLS 1.2 以上のみを許可し、データベースとバックアップを暗号化しています。 |
| 通信・データの保護 | WAF を導入しているか | ○ | ModSecurity と OWASP コアルールセットを導入し、公開サイトでは遮断モードで動かしています。 |
| 通信・データの保護 | 脆弱性の診断を実施しているか | ○ | 2026年8月に OWASP ZAP による初回診断を実施し、結果と対処判断を記録しました。以後は月次確認として運用します。Nuclei はテンプレート準備が完了しておらず、診断済みとは扱っていません。第三者機関による診断が必要な場合は個別に手配します。 |
| ログ・監査 | 保守作業で個人情報へアクセスしたことを記録しているか | ○ | 日時・実施者・対象となった個人情報の種類・実行した操作を台帳へ自動で追記します。担当者の申告に頼りません。 |
| 可用性・障害対応 | 止まりにくくするための対策を実施しているか | △ | 毎日の自動バックアップ、スナップショットの取得、稼働の監視を実施しています。サーバの二重化は行っていません。 |
| 生成 AI の処理 | 入力した内容が AI の学習に使われないか | ○ | 委託先の基盤モデルの学習に使われません。状態を保持する AI API 機能は使いません。一方、相談記録、受信本文、FAQ 会話、会議録音等のプロダクト内での保存は別の取扱いです。契約・管理者設定・プライバシーポリシーに従います。 |
| 生成 AI の処理 | 委託先を 1 社に絞れるか | △ | 対象サービスと契約構成によります。キリハレ AI 応対の現行本番生成経路は Azure OpenAI のみで、サービス全体の複数モデル処理と AWS 経路を無効にしています。契約者設定だけで他社経路が有効になることはありません。EAP、契約型 FAQ 応答、キリハレミーティングは標準経路が異なり、保存・音声認識等を含む委託先全体を 1 社に限定できるとは一律にお答えしません。 |
| 生成 AI の処理 | 処理を行う地域と委託先を開示しているか | ○ | EAP の AI 相談と契約型 FAQ 応答は AssemblyAI 米国 Gateway が主経路で、一時障害時は Azure OpenAI Terra へ退避します。キリハレ AI 応対は Azure OpenAI の GlobalStandard 配備が既定です。公開 FAQ ページは静的で LLM へ送信しません。キリハレミーティングは当社管理 ASR と AssemblyAI Gateway が標準です。詳細は プライバシーポリシー。 |
| 生成 AI の処理 | 最終的な判断を人が行う体制になっているか | ○ | ハラスメントの認定、診断、就業上の措置、最終的な送信は、権限をお持ちの方が判断します。 |
| 契約・利用終了 | 利用終了後にデータが確実に消去されるか | ○ | 消去します。保管する期間は 30 日から 3,650 日の範囲で設定でき、標準は 365 日です。 |
| 体制・規程 | 個人情報保護の体制と社内規程を定めているか | ○ | 情報セキュリティ基本方針・取扱規程を制定しています。 |
| 体制・規程 | 情報セキュリティ事故への対応計画を策定しているか | ○ | 体制と連絡先、初動の期限、お客さまへのご連絡、監督官庁への報告、再発防止、年 1 回の訓練までを定めています。 |
| 体制・規程 | プライバシーマークまたは ISMS を取得しているか | × | 取得していません。取得されている企業さまの運用要件に合わせた対応は可能です。 |
| 体制・規程 | 医療情報の安全管理ガイドラインに準拠しているか | — | 医療機関等からの受託を対象とするガイドラインです。当社は受託ではなく医療行為も行わないため対象外で、健康情報は要配慮個人情報として取り扱います。 |