NextWorks は、勤怠・給与・人事・顧客情報といった機密性の高い業務データを扱う前提で設計されています。国際的なセキュリティ基準に沿って対策を実装しており、企業様のセキュリティ調査票（チェックシート）にもそのままご回答いただけます。
準拠・参照している基準
| 基準 | 内容 |
|---|
| OWASP ASVS 5.0（レベル2） | Webアプリケーションのセキュリティ検証基準。機微データを扱うアプリに求められるL2の主要要件を実装 |
| OWASP Top 10 | Webアプリの重大リスク10項目（認証不備・脆弱な依存関係など）への対策 |
| NIST CSF 2.0 | 米国標準技術研究所のサイバーセキュリティフレームワーク（特定・防御・検知・対応・復旧） |
1. ログイン・認証の保護
| 対策 | 内容 |
|---|
| 初回パスワード変更の強制 | 初期パスワードや管理者が発行したパスワードのままでは利用できません。初回ログイン時に本人だけが知るパスワードへの変更を強制します |
| パスワードポリシー | 最低文字数・大文字/小文字/数字/記号の必須化・有効期限を管理画面で設定可能 |
| 2段階認証（2FA） | 認証アプリ（Google Authenticator等）によるワンタイムコード。「管理者は必須」「全員必須」のポリシー強制が可能で、対象者はセットアップ完了まで操作できません |
| アカウントロックアウト | パスワードを規定回数（既定5回）連続で間違えると一定時間（既定15分）ロックし、総当たり攻撃を遮断。出荷時から有効です。正しくログインすれば失敗回数はリセットされ、管理者による即時解除も可能 |
| ボット対策（Cloudflare Turnstile） | ログイン画面で「人間であることの確認」を実施し、ボット（自動プログラム）による攻撃をパスワード照合の前に遮断 |
| セッション管理 | ログイン中の端末を一覧表示し、不審なセッションを個別・一括で即時失効。トークンは短期有効期限＋自動更新方式 |
| ログイン監視・通知 | 全ログイン試行（成功/失敗・IP・端末・国）を記録。新しいIPからのログインや深夜帯のログインを管理者へ自動通知 |
2. アクセス制御
| 対策 | 内容 |
|---|
| 権限管理（RBAC） | ロール・組織・グループ単位のきめ細かい権限設定。権限のない機能はメニュー非表示に加え、URL直接入力やAPI直接呼び出しもサーバー側で遮断 |
| IPアドレス制限 | 許可リスト／拒否リスト方式。「管理者のみ」「サイト全体」のスコープ選択、ジオロケーション（国）表示に対応 |
| 給与・人事データの保護 | 給与情報は本人と権限者のみ閲覧可能。外部アプリへは項目単位でマスク（給与プロフィール等は常に非公開） |
| ライセンスのドメイン紐付け | ライセンスは利用ドメインに紐付き、不正コピー・流用を防止 |
3. 通信・インフラの保護
| 対策 | 内容 |
|---|
| 通信の暗号化 | 全通信をHTTPS（TLS）で暗号化 |
| WAF・DDoS対策 | Cloudflareを前段に配置する構成に対応（導入手順書を標準提供）。不正リクエストの遮断・DDoS攻撃の自動緩和・サーバー実IPの秘匿 |
| レート制限 | ログインや公開APIへの過剰なアクセスを自動制限（アプリ内＋WAFの二重防御） |
| セキュリティヘッダー | helmet によるセキュリティヘッダー（XSS・クリックジャッキング等の対策）を標準適用 |
4. データの保護
| 対策 | 内容 |
|---|
| パスワードの安全な保管 | パスワードは bcrypt による不可逆ハッシュ化で保存（平文保存は一切なし） |
| 秘密情報のマスク | APIキー・シークレットキー類は管理画面にも生値を再表示しない設計 |
| 自動バックアップ | データベース・ファイルの自動バックアップと復元機能。復元テスト手順書も整備 |
| 容量管理 | プラン別のストレージ容量制限をサーバー側で強制 |
5. 監査・証跡
| 対策 | 内容 |
|---|
| 監査ログ | 「誰が・いつ・何をしたか」を記録。設定変更・権限変更・ロック解除などのセキュリティイベントも記録 |
| データ持ち出しの監査 | ファイルダウンロード・CSV/Excel出力・バックアップ取得を監査ログに記録 |
| セキュリティダッシュボード | 失敗ログイン・IP遮断・有効セッション・2FA利用率と健全性スコアを管理画面で常時確認 |
6. 脆弱性管理・アップデート
| 対策 | 内容 |
|---|
| 依存パッケージの自動監査 | 使用ライブラリの脆弱性を毎週自動スキャン（Dependabot）＋変更のたびに npm audit を自動実行し、重大な脆弱性を検知 |
| 迅速なセキュリティ更新 | 修正はシステム更新として配布され、管理画面からワンクリックで適用。全テナントへの一括配布にも対応 |
| 外部アプリの安全性 | サードパーティアプリは運営による審査＋電子署名を経てのみ配布。同意した権限の範囲しか触れず、問題発生時は全環境で即時停止（キルスイッチ） |
7. 運用体制
| 対策 | 内容 |
|---|
| セキュリティ運用手順書 | 定期点検チェックリスト・インシデント対応手順（不正ログイン・攻撃検知・鍵の再発行等）を文書化して運用 |
| インシデント対応 | 不審なセッションの即時失効、アカウントの即時ロック/解除、攻撃元IPの遮断を管理画面から即座に実行可能 |
| 毎日の自動点検 | サービスが動いている全サーバーについて、OS・実行環境・データベース・Webサーバー・接続用ソフト・利用している部品（ライブラリ）の版を毎日自動で集め、最新版・サポート期限・公表されている脆弱性と照らし合わせています。悪くなった項目があれば運営にすぐ通知されます。 |
| 月1回の定期点検 | 月に1回は必ず運営が更新を適用し、実施日と内容を記録しています。31日を過ぎても記録がない場合は、運営に警告が出る仕組みです。 |
| 脆弱性への対応期限 | 重大なものは72時間以内、そのほか対応が必要なものは14日以内を目安に対応します。点検の状況（最終点検日・対応期限内かどうか・最近の対応）は、ご契約中のお客様の管理画面（ライセンス画面）でご確認いただけます。 |
| 提供形態の選択 | データを自社サーバーに置く「セルフホスト」と、当方管理の「ホスティング（SaaS）」を選択可能 |
NextWorksは、機密性の高い業務データを安心してお預けいただけるよう、認証・アクセス制御・通信/データ保護・監査・脆弱性管理・運用体制の各面から多重に対策を講じています。
セキュリティチェックシートへの回答例
| よくある設問 | 回答 |
|---|
| パスワードの複雑性要件を設定できるか | ○（文字数・文字種・有効期限をポリシー設定可能） |
| 初期パスワードの変更を強制しているか | ○（初回ログイン時に強制） |
| 多要素認証に対応しているか | ○（TOTP方式。管理者・全員への必須化ポリシーあり） |
| アカウントロック機能はあるか | ○（既定で有効。回数・時間・対象を設定可能） |
| 通信は暗号化されているか | ○（全通信TLS） |
| パスワードは暗号化して保存されるか | ○（bcryptハッシュ） |
| 操作ログ・監査ログは取得されるか | ○（操作・ログイン・データ出力・設定変更を記録） |
| アクセス元IPの制限は可能か | ○（許可/拒否リスト・適用範囲選択） |
| 脆弱性への対応体制はあるか | ○（週次自動スキャン＋ワンクリック更新配布） |
| バックアップは取得されるか | ○（自動バックアップ＋復元手順・復元テスト手順を整備） |
| DDoS・不正アクセス対策はあるか | ○（Cloudflare WAF/DDoS対策構成＋アプリ内レート制限・ボット対策） |
