運用中のことと、 準備中のことを、 分けて公開します。
お取引の審査で確認される方針と、その現在の状況をまとめました。各方針の全文は、見出しを開くとご覧いただけます。
- 情報セキュリティ
- ISO/IEC 27001:2022 に基づくISMSを運用中。第三者認証は2027年11月の取得を目標に準備中です。
- 品質
- ISO 9001 に基づく品質マネジメントシステムを運用中（第三者認証は未取得）。
- データ
- 貴社のクラウドとリージョンに置き、外部AIモデルの学習には使いません。
- コード
- 初日から貴社のリポジトリで管理し、知的財産は貴社に帰属します。
- AIの利用
- すべてのリリースを、指名されたエンジニアが承認します。
- セキュリティ資料
- NDA締結後にご提供します。
どのご契約でも、 初日から守ること。
コードは貴社のリポジトリに
初日から貴社のリポジトリで開発し、知的財産は貴社に帰属します。
データは貴社のクラウドに
貴社のクラウドとリージョンで稼働し、外部AIモデルの学習には使いません。
AIが書いたコードも人が承認
貴社の通常のレビューを通し、指名されたエンジニアがリリースを承認します。
各階層に責任者
プロジェクトリーダー、CTO、CEOの責任範囲を明確にしています。
毎週のご報告
リリースした内容、KPIの変化、リスクを毎週お伝えします。
ISMSは運用中。 認証取得の目標は 2027年11月です。
SoftSoraは、ISO/IEC 27001:2022 に基づく情報セキュリティマネジメントシステム（ISMS）を運用しています。現時点で第三者認証は取得していません。認定を受けた認証機関による認証取得に向けて準備を進めており、2027年11月の取得を目標としています。適用宣言書（SoA）と認証取得までのロードマップは、秘密保持契約（NDA）締結後にご提供いたします。認証を取得した時点で本ページを更新し、登録番号・認証範囲・認証機関を公開いたします。
- 現在の状況
- ISMSを運用中（現時点では未認証）
- 認証取得の目標
- 2027年11月
- セキュリティの責任者
- CTO Mohammed Rishard
情報セキュリティ基本方針（全文）
当社は、お客様からお預かりする情報と当社の情報資産を守ることを、経営上の重要な責任と考え、次の方針に基づいて取り組みます。
- 経営者の責任： 代表者が最終的な責任を持ち、CTOがアーキテクチャ、セキュリティ、リリースの承認を統括します。
- お客様の環境での開発： コードは貴社のリポジトリで、データは貴社のクラウドとリージョンで管理し、当社の環境に複製しないことを基本とします。
- アクセス管理： アクセス権は必要な担当者に、必要な範囲に限って設定し、ご契約の終了時に削除します。
- リスクへの対応： 情報資産のリスクを評価して管理策を講じ、成果設計スプリントの中でセキュリティレビューを行います。
- 法令と契約の遵守： 関係する法令や規範、お客様との契約上の義務を遵守します。
- 教育： すべての従業員に、本方針の教育を継続して行います。
- 事故への対応： 事故が起きた場合は速やかにお客様にご報告し、原因を究明して再発防止に取り組みます。
- 継続的な改善： ISMSを定期的に見直し、改善します。
参照している枠組み
- OWASP Top 10 for LLM Applications
- MITRE ATLAS
- NIST AI RMF
- ISO/IEC 42001
- EU AI Act
- IEC 62443
- GDPR
管理策とレビューの整理に対応付けて参照している枠組みです。いずれも認証ではありません。
脆弱性のご報告
公開や第三者への共有の前に、件名に「Security」とご記載のうえ enterprise@softsora.com までご連絡ください。受付と修正の状況をお知らせし、ご報告者の情報はご了承なく開示しません。
品質を、 毎週ご確認いただけます。
ISO 9001 に基づく品質マネジメントシステムを運用しています（第三者認証は未取得）。各ステップを、書面で定めた完了条件と、指名されたエンジニアの承認で締めくくります。
品質方針（全文）
当社は、お客様と合意した成果を本番環境で実現することを品質の目標とし、次の方針に取り組みます。
- 成果から定義します： 着手前に、業務KPIと計測方法、ベースラインを書面で合意します。
- 完了条件を書面で示します： 各ステップの成果物と完了条件を事前に定め、検収の基準を明確にします。
- すべての変更をレビューします： CI/CDで自動テストを行い、指名された担当者がレビューしてマージします。
- リリースは責任者が承認します： 承認を経ないリリースは行いません。CTOが品質上のリスクを統括します。
- 判断を記録に残します： 意思決定ログ、共有ダッシュボード、リスク・進捗レポートで経緯をご確認いただけます。
- 継続的に改善します： ご指摘と振り返りをもとに、進め方を見直し続けます。
エージェントが作り、 エンジニアが責任を持つ。
承認済みのツールだけを使う
当社が承認したツールに限って使用し、使用したツールを記録します。
貴社のデータを一般向けAIに入れない
貴社のコードやデータを、一般向けに公開されているAIツールに入力しません。
人がレビューし、人が承認する
すべてのプルリクエストを人がレビューし、リリースは指名されたエンジニアが承認します。
AIポリシー（全文）
- 承認済みのツール： コーディングエージェントやAIモデルは当社が承認したものに限り、使用したツールを記録に残します。
- お客様のデータ： 貴社のコードやデータを、一般向けに公開されているAIツールに入力しません。
- 人によるレビュー： レビューの基準は、貴社のエンジニアが書いたコードと同じです。
- 承認： CTOがリリースの承認を統括し、判断の責任をツールに委ねません。
- 記録： プルリクエスト、レビュー担当者、実行したテスト、判断の理由を、貴社のリポジトリに残します。
- AIを組み込むシステム： 判断の根拠を記録し、人の関与の度合いを業務のリスクに合わせて貴社と決め、プロンプトインジェクションへの備えを開発に組み込みます。
当社は、Anthropic のモデルや AWS（Amazon Bedrock など）を用いて開発しています。
お預かりする情報と、 その使い道。
お問い合わせと資料請求でいただいた情報は、ご回答、資料の送付、その後のご契約に関するご連絡にのみ利用します。法令に基づく場合を除き、ご本人の同意なく第三者に提供しません。
個人情報保護方針（要旨）
- 事業者
- SoftSora (Pvt) Ltd（代表者：CEO Nilan Meegoda）No 42, Balapokuna Road, Colombo 05, Sri Lanka
- 取得する情報
- 会社名、氏名、メールアドレス、電話番号（任意）、お問い合わせの種別と内容、ご請求の資料
- 取り扱う場所
- 主にスリランカの本社（越境移転をご覧ください）
- 安全管理措置
- ISO/IEC 27001:2022 に基づくISMSのもとで講じます
- 保存期間
- ご回答とご契約の管理に必要な期間
- 開示等のご請求
- 適用される法令に従って対応します
- 窓口
- 件名に「個人情報について」とご記載のうえ japan@softsora.com へ
- 関係する法令
- 個人情報保護法（日本）、GDPR（EU）、PDPA（スリランカ）。認証を示すものではありません
Cookieの利用を含む詳細は、プライバシーポリシーとCookieポリシーをご覧ください。
当社に個人データを 提供される前に。
当社はスリランカの法人です。日本の個人情報保護法第28条により、貴社が当社に個人データを提供される際は、一般に本人の同意か、基準に適合する体制の確認が必要になります。当社は、そのための情報と契約上の措置をご用意します。
詳しい考え方と、当社がご用意できること
スリランカは、個人情報保護委員会が日本と同等の水準にあると認める国には含まれていません。このため、法令に基づく場合などを除き、次のいずれかの対応が必要になります。
- 本人の同意を得る： 移転先の国の名称、その国の個人情報保護制度、移転先が講じる措置を本人に情報提供したうえで、同意を得ます。
- 基準に適合する体制を確認する： 移転先が相当措置を継続的に講じる体制を、契約などで整えていることを確認します。
データを貴社のクラウドに置いたままでも、当社のエンジニアが個人データを取り扱う場合は対象となることがあります。
当社はスリランカの個人データ保護法（Personal Data Protection Act、PDPA）のもとで業務を行います。
ご用意できること：本人へ提供する情報のご説明、データの取り扱いに関する取り決め（安全管理措置、委託先の利用条件、契約終了時のデータの削除または返却）、セキュリティチェックシートへの回答。
本項は一般的な情報のご案内であり、法的な助言ではありません。具体的な対応は、貴社の法務ご担当者や専門家にご確認ください。
セキュリティ審査に、 エンジニアが直接お答えします。
貴社のセキュリティチェックシートにも、日本語・英語で回答します。
ご希望に応じて、詳細をお伺いする前に秘密保持契約（NDA）を締結します。