情報セキュリティ対策

対象

sento.group株式会社がお客様から受けるAI導入、データベース構築、業務改善の仕事全般

監修

株式会社YouGoo 代表取締役 本間裕悟

監修日

2026年11月

お客様のデータの保存場所と所有権

データを保存するツールはお客様の名義で契約していただきます

お客様のデータを保存するツール（Airtable、Supabaseなどのデータベース）は、お客様の会社名義で直接ご契約いただいています。データはお客様が契約したツールの中に保存され、データの所有権はお客様にあります。

お客様の名義でご契約いただく理由

お客様の業務のデータは、お客様の会社の資産です。当社の名義でツールを契約すると、データの持ち主はお客様でも、ツールの契約と管理の権限は当社が持つことになります。その状態だと、次のようなときにお客様がデータを思うように使えなくなるおそれがあります。

• 当社との契約を終えるとき
• 当社が事業を続けられなくなったとき
• 運用を別の会社に任せたり、社内で引き継いだりしたいとき

最初からお客様の名義でご契約いただけば、こうしたときもデータとツールはお客様の手元にそのまま残り、当社の都合でデータの受け渡しが止まることはありません。当社がデータを抱え込み、お客様が契約を続けざるをえない状態を作らないために、この形にしています。

アクセス権限と監査ログはお客様が管理します

ツールの管理者はお客様です。誰がデータを見たり変えたりできるか（アクセス権限）を、お客様ご自身で決めて変更できます。誰がいつ何を操作したかの記録（監査ログ）も、お客様が直接確認できます。当社の担当者は、お客様から付与された権限の範囲で作業します。

アカウントの作成と設定は当社が画面共有で支援します

ツールの申し込み、アカウントの作成、初期設定は、当社の担当者がオンラインの画面共有でご案内しながら一緒に進めます。ITの担当者がいない会社でも、ご契約の名義と管理者をお客様に置いたまま始められます。

ご要望に応じて当社名義での契約も承ります

社内の手続きなどのご事情で当社の名義での契約をご希望の場合は、当社の名義で契約して運用することもできます。その場合もデータの所有権はお客様にあり、契約が終わるときはデータ一式をお渡しします。

契約終了時のデータ返却と引き継ぎ

ご契約が終わるときは、次のことを行います。

• お客様のデータ一式を返却します。
• 当社の担当者に付与されていたアクセス権限とアカウントを整理し、当社から操作できない状態にします。
• この仕事で作った成果物（ドキュメント、手順書、ツールの設定など）とプロジェクトの資料を一式お渡しします。

データを保存するツールは最初からお客様の契約なので、契約が終わったあともお客様がそのまま使い続けられます。

AIサービスに入力するデータの扱い

お客様のデータをAIサービスで扱うときは、次の2点を守ります。

• 入力したデータがAIの学習に使われない設定（法人向けプラン等）で利用します。
• お客様にAIの利用に関する規程やガイドラインがある場合は、それに従います。

アカウントとパスワードの管理

パスワード管理ツール「1Password」で一元管理しています

業務で使うアカウントのパスワードと、ツール同士をつなぐための鍵（APIキーやトークン）は、パスワード管理ツールの1Passwordにまとめて保管しています。メモ帳や表計算ファイル、個人のパソコンの設定ファイルに書き残さないためです。

二段階認証を設定しています

業務で使うツールでは、二段階認証を設定しています。二段階認証は、パスワードに加えてスマートフォンのアプリなどで本人確認をする仕組みで、パスワードが漏れただけでは他人がログインできないようにするものです。

案件が終わったら権限を外します

案件が終わったときや、担当者が案件から外れたときは、その担当者がお客様のツールにアクセスできる権限を外します。

当社サイトの対策

当社のサイト（sento.group）は、Astroというツールであらかじめ作ったページのファイルを、Vercelのサーバーから配信しています。WordPressは使っていません。サイトには管理画面やログインページがなく、サイト上でデータベースも動かしていません。管理画面への不正ログインや、サイトのプログラムの弱点を突いてデータを盗む攻撃の入口を作らないためです。ページの変更は、GitHubに保管したプログラムを書き換え、検査を通してから公開します。

サイトとの通信は常に暗号化（HTTPS）しています。ブラウザに暗号化しない通信を使わせない設定（HSTS、有効期間2年）も入れています。

メールのなりすまし対策（送信ドメイン認証）

当社のアドレス（@sento.group）を名乗った偽のメールを見分けられるように、送信ドメイン認証のSPF、DKIM、DMARCを設定しています。

• SPF: @sento.group のメールを送ってよいサーバー（Google Workspace）を公開しています。
• DKIM: 当社が送るメールに電子署名を付け、署名を確かめるための公開鍵を公開しています。
• DMARC: 設定しています（ポリシーは p=none）。届いたメールのSPFとDKIMの結果が当社のドメインと一致するかを、受け取る側のメールサービスが確かめられるようにしています。

AIで開発するときのルール

当社はAIを使ってシステムやサイトを開発しています。そのときは次のルールを守ります。

• AIに渡す指示やファイルに、パスワードや鍵を入れません。鍵は1Passwordに保管し、プログラムが使うときは環境変数として渡します。
• AIが作ったプログラムは、作ったのとは別の確認として、別のセッションのAIによるレビューと、自動の検査（CI）の両方を通してから本番に入れます。

当社が使うツールの国際認証と公式ページ

当社が仕事で主に使うツールと、各社が取得している主な国際認証です。表の言葉の意味は次のとおりです。

• ISO/IEC 27001: 情報を守るための管理の仕組みが国際規格に沿っていることを、外部の審査機関が認めたもの
• ISO/IEC 27017・27018・27701: 27001に加えて、クラウドサービスの安全管理、クラウド上の個人情報の保護、プライバシー情報の管理についての国際規格
• ISO/IEC 42001: AIを扱う会社の管理の仕組みについての国際規格
• SOC 2（Type II）: 外部の監査人が、一定期間にわたってセキュリティ管理が実際に運用されていたかを確かめた報告書。SOC 1は財務報告に関わる管理、SOC 3はSOC 2の公開用の要約版です。

当社が利用するツールの提供会社が取得している認証です（当社自身の認証ではありません）。

各社の公式ページの記載を2026年10月に確認したものです。認証の対象範囲や有効期間は、各社の公式ページでご確認ください。

よくある被害の種類と当社の備え

AIやクラウドのツールを使う仕事で起きやすい被害の種類と、当社の備えです。備えは、このページの上の章に書いた対策の中で行っています。

部品のプログラム（パッケージ）への不正なコードの混入

どんな被害か: システムを作るときは、他の人が作って公開している部品のプログラム（パッケージ）を組み込みます。パッケージの作者のアカウントが乗っ取られると、パッケージに不正なコードが入れられ、それを組み込んだシステムやパソコンから、パスワードやツールの鍵（APIキー）が盗まれることがあります。

当社の備え: ツールの鍵とパスワードは1Passwordで管理し、パソコン上のファイルに書き残さないようにしています。GitHubなどの開発用のアカウントには二段階認証を設定しています。お客様のデータはお客様が契約したツールに保存し、当社の担当者が使えるのはお客様から付与された権限の範囲だけです。

ただし、鍵を1Passwordで保管していても、組み込んだパッケージの不正なコードが、プログラムの動作中に読み込まれた鍵を読み取ることは防げません。そこで、当社サイト（sento.group）の開発では、不正なコードの入ったパッケージを組み込まないように、次のことも行っています。

• 使うパッケージのバージョンはロックファイルで固定し、本番用の組み立てではロックファイルに書かれたバージョンだけを入れます。
• 公開されたばかりの新しいバージョンはすぐには入れず、公開から7日たってから更新します。
• GitHubのDependabotでパッケージの更新を管理し、更新するときも自動の検査（CI）を通してから本番に入れます。
• 使っているパッケージに脆弱性が見つかったときは、Dependabotの通知を受けて、7日を待たずに修正済みのバージョンへ更新します。

AIツールやAIエージェントに渡す権限の悪用

どんな被害か: AIエージェントは、人の代わりにツールを操作して作業を進めるAIの仕組みです。AIツールやAIエージェントにアカウントや鍵を渡すと、AIが操作を誤ったり、鍵が外に漏れたりしたときに、渡した権限の範囲でデータを読まれたり、変えられたりするおそれがあります。

当社の備え: AIツールに渡す鍵も1Passwordで管理し、案件が終わったら取り消します。お客様のツールの権限と監査ログはお客様の手元にあるので、どのアカウントが何を操作したかをお客様が確認し、必要なら権限を止められます。AIサービスは、入力したデータが学習に使われない設定で利用しています。

パスワードの流出によるなりすましログイン

どんな被害か: 本物そっくりの偽のメールやサイトでパスワードを入力させられたり、別のサービスから流出したパスワードを使い回していたりすると、他人がそのアカウントにログインし、データを持ち出したり、取引の相手になりすましたりします。

当社の備え: パスワードは1Passwordで作った、サービスごとに異なるものを使っています。1Passwordは登録したサイトのアドレスでだけ自動入力するので、偽のサイトに気づくきっかけになります。そのうえで二段階認証を設定し、パスワードが盗まれただけではログインできないようにしています。

対策の見直しとSCS評価制度への対応

このページに書いた対策は定期的に見直し、法令・制度の変更や大きな事故があったときにも見直します。

経済産業省と内閣官房国家サイバー統括室は、取引先に求めるセキュリティ対策を★3・★4の段階で示し、各社の対策の状況を見えるようにする「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）を定めています。制度はIPA（情報処理推進機構）が運営し、★3・★4の申請受付は2027年3月に始まると公表されています。当社は、公表された★3・★4の要求事項と評価基準を物差しにして、当社の対策を見直します。

出典: 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 ↗、IPA「SCS評価制度の詳細情報」 ↗

監修者の紹介（株式会社YouGoo 本間裕悟）

本間 裕悟株式会社YouGoo 代表取締役

サーバーやネットワーク構築の現場でエンジニアを経験した後、前職を含めて50社以上のセキュリティ支援と、受託開発のPMO（開発プロジェクトの進行管理）を経験しています。2017年に株式会社LIFESYNCに入社し、ITインフラとセキュリティの案件に従事しました。2020年に同社の経営戦略部に配属され、営業とコンサルタントに従事しました。2024年に同社のセキュリティサービスの法人営業責任者と受託開発のPMOを歴任しました。2025年に株式会社YouGooを設立し、代表取締役に就任しています。

会社名

株式会社YouGoo

代表者

代表取締役 本間 裕悟

設立

2025年10月

所在地

東京都板橋区

事業内容

サイバーセキュリティのコンサルティングと脆弱性診断、インシデント対応とセキュリティ教育、AIを使った業務システム・アプリ・Webの受託開発、情報システムの支援とクラウド・インフラの構築

公式サイト

https://yougoo.jp/ ↗

このページは株式会社YouGooの監修のもとで作成しています。

監修は掲載内容の妥当性を確認したものであり、すべての被害を防ぐことを保証するものではありません。