anybot セキュリティホワイトペーパー

第1.0版　2026年9月8日
エボラニ株式会社

はじめに

White Paperの目的

anybotは、LINEミニアプリを活用し、顧客コミュニケーションおよびマーケティング活動を支援する当社のクラウドサービスです。

本ドキュメントは、anybotの提供において基盤として利用するクラウドサービスに関するセキュリティ方針および管理プロセスの概要についてご理解いただくとともに、ISMSクラウドセキュリティ認証であるISO/IEC 27017の要求事項に基づく情報の公表を行うことを目的とします。

White Paperの対象

anybotの導入を検討中の方
anybotを利用中の方

クラウドコンピューティングのための情報セキュリティ方針

当社では、クラウドコンピューティングに関する情報セキュリティの方針を定め、利用者に満足いただける機能的でセキュアなサービスの提供を目指しています。

（クラウドコンピューティングに関する情報セキュリティ方針）

当社は、クラウドコンピューティングサービスの利用にあたり、情報資産の機密性・完全性・可用性を確保するため、以下を実施します。

クラウドサービス提供事業者の選定において、セキュリティ水準を評価する。
クラウド上の情報資産に対して、適切なアクセス制御および認証管理を実施する。
通信の暗号化、ログ管理等の技術的対策を講じる。
クラウドサービスにおける責任共有モデルを理解し、当社の責任範囲を適切に管理する。
クラウド環境における設定不備や脆弱性に対する定期的な点検を実施する。
クラウドサービスの利用に関して、法令、契約および規制要求事項を遵守する。

当社の「情報セキュリティ方針」は以下のURLからご確認頂けます。
https://evolany.com/security/

情報セキュリティ組織

当社では、情報セキュリティに関する統括責任者を任命し、情報セキュリティに関する統括責任と権限を与えています。

また、情報セキュリティ委員会を設置し、情報セキュリティのマネジメントシステムの運用と継続的改善に取り組んでいます。

地理的所在地

当社の所在地は日本国内にあり、本サービスにおいて取り扱うデータは、日本国内のクラウドリージョンにて保存および処理されています。

なお、本サービスの運用の一部には海外拠点を含む外部委託先が関与しますが、データは日本国内に保持されており、国外へのデータ移転は行われません。

将来的に日本国外のリージョンにデータを保存する必要が生じた場合には、事前に利用者へ通知のうえ適切に対応します。

責任範囲（責任共有モデル）

本サービスはクラウド基盤上に構築されており、仮想レイヤーおよび物理インフラ（ハードウェア、データセンター設備等）は、当社が利用するクラウドサービス事業者により管理されています。

当社は、クラウドサービス事業者に対して、調達時の評価および継続的なモニタリングを実施し、適切なセキュリティ水準が維持されるよう管理しています。

また、本サービスのインフラ運用およびデプロイ作業の一部については外部委託先と連携して実施していますが、当社の管理のもと、アクセス制御および運用統制を行っています。

当社は、クラウド基盤上に構築したアプリケーションおよびサービス運用に対して責任を負います。

なお、アプリケーション上で取り扱われるデータについては、当社が適切な保護措置を講じるとともに、利用者においても適切な管理を行っていただく必要があります。

当社の責任

anybotのセキュリティ対策の実施
anybotに保管されたデータの保護
アクセス制御および認証機能の提供
サービスの運用および監視
クラウド基盤に関する外部委託先および運用パートナーの管理

利用者の責任

利用者アカウントの管理（登録、削除、権限設定等）
パスワード等の認証情報の適切な管理
サービス利用における設定管理
必要に応じたデータのバックアップおよび管理

情報セキュリティの意識向上、教育及び訓練

当社は、全従業員に対して情報セキュリティに関する教育および周知を実施し、情報セキュリティ意識の向上に努めています。

また、本サービスの運用に関与する外部委託先に対しても、契約に基づき機密保持およびセキュリティに関する遵守事項を求め、適切な管理を行っています。

これらの取り組みにより、組織全体として情報セキュリティ水準の維持・向上を図っています。

情報セキュリティのパフォーマンス評価

当社では、情報セキュリティマネジメントシステムに基づき、定期的に内部監査を実施しています。

また、組織体制、システム構成、運用プロセス等に重大な変更があった場合には、必要に応じて追加の評価および見直しを行います。

これらの評価結果を踏まえ、継続的な改善活動を実施しています。

インシデント対応プロセス

当社では、ISO/IEC 27001に基づき、情報セキュリティインシデントに対応するための管理体制を整備しています。

インシデントが発生した場合には、速やかに報告およびエスカレーションを行い、影響範囲の特定、初動対応、復旧対応を実施します。インシデントの内容に応じて関係部門が連携し、影響度および緊急性に基づいた対応を行います。

また、対応後には原因分析および再発防止策の検討を行い、必要に応じて運用の見直しを実施します。

開発/調達

開発プロセス

本サービスの開発は、機能性およびユーザビリティの確保に加え、情報セキュリティおよび品質（安定性）を考慮した体制のもとで実施しています。開発はSprint計画に基づき実施し、セキュリティおよび品質要件を含めた管理を行っています。

本サービスの開発およびインフラ運用の一部は外部委託先と連携して実施していますが、当社の管理のもと、責任範囲を明確にした統制された運用体制により実施しています。

リリースにあたっては、開発・品質保証・運用等の関係者によるリリース判定プロセスを経て承認を行い、その後、権限を有する担当者により本番環境へ反映されます。必要に応じて当社および外部委託先が共同で確認を行い、安全性を確保した上でリリースを実施します。

リリース後は品質保証担当による動作確認を実施し、サービスの正常性を確認しています。

また、本サービスでは定期的に脆弱性診断（OWASP ZAP）を実施するとともに、月次アップデートを通じて継続的なセキュリティ維持・向上を図っています。

ブルーグリーンデプロイメント

本サービスでは、データベースのメンテナンス等の特定の作業において、ブルーグリーンデプロイメントを採用しています。現行環境と新環境を並行して用意し、切り替えを行うことで、サービス影響を最小限に抑えた安全な更新を実現しています。

なお、すべてのリリースにおいて当該方式を採用しているものではなく、変更内容に応じて適切な手法を選択しています。

サプライチェーン

当社のクラウドサービスの提供に関連する外部委託先およびサプライヤーについては、情報セキュリティの観点から適切に管理しています。委託先の選定にあたっては、業務内容および信頼性を考慮し、必要に応じて評価を実施しています。

また、委託先については委託先管理表により管理し、定期的（年1回）に見直しを実施しています。契約においては、基本契約および機密保持契約（NDA）を締結するとともに、必要に応じて個別契約を締結し、情報セキュリティに関する義務を明確化しています。

さらに、サービス提供に関与する委託先については、アクセス権限の制御および運用状況の把握を通じて、継続的な管理を行っています。

アプリケーションのセキュリティ機能

情報セキュリティ機能

主に利用者が検討される情報セキュリティ機能として、本ホワイトペーパーは以下を記述しています。

機能（ISO/IEC 27017の管理策）	本ホワイトペーパーの記述
A.9.2.1 利用者登録及び登録削除	利用者アクセスの管理
A.9.2.2 利用者アクセスの提供	利用者アクセスの管理
A.9.2.3 特権的アクセス権の管理	認証情報の管理
A.9.2.4 利用者の秘密認証情報の管理	認証情報の管理
A.9.4.1 情報へのアクセス制限	利用者アクセスの管理
A.10.1.1 暗号による管理策の利用方針	暗号化
A.12.3.1 情報のバックアップ	バックアップ
A.12.4.1 イベントログ取得	ログ
CLD.12.4.5 クラウドサービスの監視	クラウドサービスの監視

情報のラベル付け

本サービスにおいて取り扱う情報については、その内容および重要性に応じて適切に管理されています。顧客データについては、アクセス制御および権限管理により保護され、必要な範囲でのみ利用可能となるよう制御されています。

また、情報の取扱いについては、当社の情報セキュリティ方針および関連規程に基づき管理されています。

利用者アクセスの管理

本サービスでは、利用者のアクセスを適切に管理するため、管理画面を通じた利用者アカウントの登録、変更、削除および権限設定の機能を提供しています。利用者の権限については、管理者およびスタッフ等の区分により制御され、役割に応じた適切なアクセス管理を実現しています。

管理画面へのアクセスはログイン認証により制御されており、また、利用形態に応じて、IPアドレス制限によるアクセス制御を設定することが可能です。

また、ログイン履歴および一部の操作ログを取得しており、サービス運用および保守に活用しています。これらの機能により、利用者アクセスの適切な管理および制御を実現しています。

認証情報の管理

本サービスでは、利用者の認証情報を適切に管理するため、パスワードポリシーを設定可能としています。パスワードについては、最低文字数の設定、過去パスワードの再利用制限、有効期限の設定等により、適切な強度および管理を確保しています。

また、利用形態や利用者の要望に応じて、パスワードに加え、メールによるワンタイムパスワード（OTP）を用いた二段階認証機能を利用することが可能です。

ユーティリティプログラム

本サービスの運用において使用される管理機能および各種操作については、管理者権限を有する者に限定して実施されています。管理者権限は、当社および外部委託先を含む限られた担当者に対して、業務上必要な範囲で付与され、適切に管理されています。

また、システムに重大な影響を与える操作については、当社および外部委託先が連携し、必要に応じて相互に確認を行いながら実施されています。これにより、重要な操作の適切な統制および不正利用の防止を図っています。

暗号化

本サービスでは、情報の機密性を確保するため、適切な暗号化対策を実施しています。利用者と本サービス間の通信は、HTTPS（TLS1.2以上）により暗号化されており、通信経路における盗聴や改ざんのリスクに対処しています。

また、利用者の認証情報については、適切な方式により保護されています。

データの保管にあたっては、クラウドサービス（Amazon Web Services）が提供する暗号化機能を活用し、AWS Key Management Service（KMS）等を用いて情報の保護を行っています。

運用

変更

本サービスにおける変更は、計画に基づき実施され、関係者による確認プロセスを経て本番環境へ反映されます。変更作業は、当社および外部委託先が連携して実施され、必要に応じて相互に確認を行いながら進められます。

サービスの更新内容については、リリースノートとしてWeb上で公開するとともに、既存の利用者に対してメールにより通知を行っています。また、管理画面からリリースノートへの導線を設けており、利用者が最新の変更内容を確認できるようにしています。

なお、製品の更新は原則として毎月実施しており、その内容を通知対象としています。

管理者用手順

本サービスでは、利用環境ごとに管理者アカウントを登録し、当該管理者に対して利用環境の操作権限を付与することで、利用者管理を実施しています。

管理者は、管理画面を通じて利用者アカウントの登録、変更、削除および権限設定を行うことが可能です。また、利用者の権限については、役割に応じて適切に管理されています。

サポート

本サービスの利用にあたっては、顧客からの問い合わせに対し、カスタマーサポートを通じて必要な案内および支援を提供しています。問い合わせは、カスタマーサポート専用メールアドレスおよび管理画面からアクセス可能な問い合わせシステムを通じて受け付けています。

問い合わせ内容は担当者により適切に振り分けられ、対応可能なものはカスタマーサポートにて対応し、調査や対応が必要な場合には、社内コミュニケーションツールやチケット管理システムを通じて開発部門と連携し対応しています。

対応時間については、サービスレベルアグリーメント（SLA）に基づき、平日10:00～18:00の範囲で対応しています。

バックアップ

本サービスでは、システムおよびユーザデータの保護を目的として、定期的なバックアップを実施しています。データベースについては、日次バックアップに加え、一定間隔での差分バックアップを最大15世代にて取得しております。

これにより、障害発生時等におけるデータ復旧に対応可能な体制を整えています。

ログ

本サービスでは、システムの安定運用およびセキュリティ確保のため、各種ログを取得しています。取得されるログには、Webアクセスに関するアクセスログ、ログイン履歴、管理画面等における一部の操作ログ、および障害発生時のエラーログ等が含まれます。

これらのログは、クラウドサービスの機能を活用して適切に管理されており、アクセスログは180日間保存され、操作ログについては長期的に保管されています。

また、本サービスではクラウドサービスの提供する時刻管理機能を利用し、システム全体で一貫した時刻管理を行うことで、ログの整合性および追跡性を確保しています。さらに、必要に応じてログ情報の確認や調査を実施できる体制を整えています。

クラウドサービスの監視

本サービスでは、クラウドサービスの監視機能および監視ツールを活用し、システムの稼働状況やリソース利用状況の監視を行っています。

監視は、異常の早期検知および安定したサービス提供を目的として実施されており、必要に応じて適切な対応を行う体制を整えています。また、監視により取得した情報は、サービスの品質維持および改善に活用されています。

技術的脆弱性の管理

本サービスでは、技術的脆弱性に関する情報を継続的に収集し、適切な管理を行っています。脆弱性情報については、外部機関から公開される情報、クラウドサービス事業者からの通知、ならびに内部での検知等を通じて収集しています。

また、アプリケーションに対しては、OWASP ZAPを用いた脆弱性診断を毎月実施しており、検出された脆弱性については影響調査を行った上で、必要な対策を講じています。これらの対応により、サービスの安全性の維持・向上に努めています。

ネットワーク

本サービスでは、クラウドサービスの仮想ネットワーク機能を活用し、システムのネットワーク分離を行っています。サービス提供環境は、他の利用者と論理的に分離されているだけではなく、一部の利用者は専用環境として完全に分離しており、適切なアクセス制御を実施しています。

また、外部からのアクセスについては、クラウドサービスのセキュリティ機能（WAF等）やネットワークセキュリティ機器を利用し、不正アクセスの防止に努めています。WAFの設定ルールを含め、ネットワークセキュリティの改善については適宜見直しております。

容量・能力の管理

本サービスでは、安定したサービス提供を維持するため、サーバリソースおよびネットワークリソースの監視を行っています。リソースの使用状況については継続的に把握し、必要に応じて適切なリソースの調整を実施しています。

これにより、サービスの性能および可用性の維持・向上に努めています。

負荷分散/冗長化

本サービスでは、クラウドサービスの各種機能を活用し、可用性および耐障害性の確保に努めています。システムは仮想ネットワーク上に構築され、複数のコンポーネントにより構成されており、処理の分散および負荷の分散を考慮した設計となっています。

また、データベースについてはマルチAZ構成を採用し、障害発生時においてもサービス継続が可能となるよう冗長化を行っています。さらに、クラウドサービスの特性を活かし、必要に応じて迅速なリソースの再構築や復旧が可能な体制を整えています。

インシデント対応

本サービスでは、情報セキュリティインシデントに対する対応体制を整備しています。インシデントを検知した場合には、影響範囲および原因の特定を行い、被害の拡大防止および早期復旧に向けた対応を実施します。

また、ユーザに影響を及ぼす可能性のある重大なインシデントについては、登録されたメールアドレスへの通知および管理画面を通じて、速やかに情報提供を行います。通知の目標時間は、インシデント検知から72時間以内としています。

問い合わせについては、カスタマーサポート窓口にて受け付けており、必要に応じて関係部門と連携し対応します。なお、ユーザにおいてインシデントまたはその疑いを検知した場合には、問い合わせ窓口を通じて連絡いただくようお願いしています。

サービス利用停止後のデータの扱い

本サービスにおいて利用者が登録したデータは、契約終了後、当社所定の手続きに従い削除対象となります。なお、削除までの期間については、システム運用上必要な範囲で一定期間保持される場合があります。

また、法令対応、障害対応その他正当な理由により保持が必要となる場合を除き、契約終了後に利用者データを継続利用することはありません。

装置のセキュリティを保った処分又は再利用

本サービスに関連する情報機器の処分および再利用については、クラウドサービス事業者の管理基準に基づき実施されています。

当社では、サービス運用において不要となったデータやリソースについて、適切な管理およびアクセス制御を行うことで、情報漏えい防止に努めています。また、これらの対応は管理者の統制のもとで実施され、個別の判断による対応を防止する体制を整えています。

その他

証拠の収集

本サービスでは、情報セキュリティインシデントや法令対応に備え、必要に応じて関連するログおよびデータの保全・収集を行う体制を整えています。これにより、インシデント発生時の原因調査や影響範囲の特定に対応可能としています。

また、法令または正当な権限を有する官公庁からの要請があった場合には、適用される法令に基づき、必要な範囲で情報の開示または提出を行うことがあります。

適用法令及び契約上の要求事項

本サービスの提供にあたっては、日本国内の関連法令および契約上の要求事項を遵守しています。特に、個人情報の取扱いについては、関連法令および社内規程に基づき、適切な管理を行っています。

また、利用契約に関する準拠法は日本法とし、本サービスに関する一切の紛争については、東京地方裁判所または東京簡易裁判所を第一審の専属的合意管轄裁判所としています。

知的財産権

本サービスを構成するプログラム、画面デザイン、ロゴ、関連ドキュメント等に関する著作権およびその他の知的財産権は、当社または正当な権利を有する第三者に帰属します。

なお、利用者が本サービス上で登録、保存または送信したデータ及びコンテンツについては、当該利用者または正当な権利者に帰属します。当社は、本サービスの提供、運営および改善等の目的に限り、必要な範囲にて利用者データ及びコンテンツを利用することがあります。

記録の保護

本サービスでは、システムの運用およびセキュリティ確保のため、必要なログおよび記録の取得・保存を行っています。これらのログは、不正アクセスやインシデントの調査に利用できるよう、適切なアクセス制御のもとで管理されています。

また、当社は仮想ネットワークへのアクセスログおよびサービス運用に関する内部作業ログを一定期間保存しています。なお、利用者が取得・管理するログについては、利用者の責任において適切に管理していただく必要があります。

暗号化機能に対する規制

本サービスにおいて使用する暗号化技術については、関連する法令および規制を考慮して適切に運用しています。

第三者認証

ISO/IEC 27001

当社は、全社を認証範囲として2023年11月28日にISMS（Information Security Management System）の国際規格であるISO/IEC 27001を取得しています。

anybotに関するお問い合わせ

エボラニ株式会社/Evolany Co., Ltd.
TEL：050-5468-7783
メール：sales＠evolany.com

更新履歴

版数	日付	更新内容
第1.0版	2026年9月8日	初版