只接收必要数据
先确认能否去除姓名、地址、联系方式、自由文本和全量数据。优先从少量匿名化样本开始。
Security & Data Handling
托付的数据，
不含糊处理。
哪些数据、为了什么目的、由谁、在哪里、保留多久，都先定义清楚。从数学原型到生产运维，先确定边界和责任，并留下可确认的资料。
不使用保证绝对安全的表述。
本页不表示已取得认证。
以项目各自约定为优先。
DATA CONTROL PLANEPROJECT / 001
01客户原始数据与业务规则
必要最小范围
02FINITE FIELD设计、开发、验证
约定范围
03使用服务云与外部集成
目的事前定义
访问限定必要人员
保存约定位置和期限
删除确定方法和证据
DESIGN BEFORE TRANSFER先确定边界再接收
Our position
不只说“安全”，而是公开判断材料。
安全不能只由产品名或单一功能决定。我们会结合数据性质、使用目的、组织、运维和委托对象进行设计，并重视让实施范围可被确认。
发送前先确定边界
在接收数据或转入生产前，先约定保存位置、查看者、外部服务、AI 使用、保留期限和删除方式。
把实施内容留下资料
将数据流、访问权限、委托对象、备份、删除和事件联系人等整理成可确认的成果物。
公开内容方针、设计项目和可确认资料
按项目确定具体服务、权限、保存期限和测试范围
不公开内容可能被攻击利用的详细设置和秘密信息
Data journey
从接收到删除，按阶段确定。
同样的数据，在诊断、原型和生产运维中需要不同管理。我们区分接收内容、事前决定事项和留下的证据。
INTAKE
先从说明资料和匿名化样本开始。
优先低处理量接收示例
- 现有 Excel 列结构
- 虚构或匿名化的少量行
- 业务规则和困扰
- 希望改善的指标
事前确定
- 是否需要实名
- 附件发送方式
- 咨询处理人员范围
- 咨询后的保存期限
留下资料
- 接收数据清单
- 使用目的备忘
- 删除预定日
- 追加确认事项
PROTOTYPE
用最小数据确认是否可解。
设计隔离验证接收示例
- 人员、案件、设备识别符
- 时间、资格、容量、顺序
- 现行方案和评价指标
- 例外样本
事前确定
- 假名化方法
- 验证环境和查看者
- 是否使用外部 AI
- 交付后的删除或继续使用
留下资料
- 数据字典
- 约束条件清单
- 环境和访问表
- 验证结束处理记录
DEVELOPMENT
以生产数据为前提固定角色和边界。
需要设计评审接收示例
- 生产级数据结构
- 用户、权限和组织信息
- 外部集成规格
- 审计和备份要求
事前确定
- 环境隔离和密钥管理
- 最小权限和认证方式
- 日志对象和保存
- 测试和评审范围
留下资料
- 数据流图
- 访问权限表
- 外部服务列表
- 发布前确认记录
OPERATION
不仅保护，还要能发现异常并恢复。
需要持续运维接收示例
- 账号和权限
- 日志和告警
- 备份
- 依赖服务和更新
事前确定
- 监控和响应时间
- 变更和权限审查
- 恢复目标
- 事件联系路径
留下资料
- 运维流程
- 备份测试记录
- 权限盘点记录
- 故障和变更历史
DELETION
项目结束后也确定处理方式。
确认删除范围接收示例
- 工作副本
- 共享存储
- 备份
- 日志、工单和附件
事前确定
- 返还或删除
- 法律和合同保存
- 备份中的删除时间
- 证据形式
留下资料
- 对象清单
- 删除实施日
- 例外和保留原因
- 完成确认书
Security profile builder
约两分钟整理项目设计案。
这不是审计或保证，而是用于首次会议整理确认事项的设计辅助工具。不需要输入联系方式。
Step 01 / Data class
选择可能处理的数据
设计案以需要最谨慎处理的数据类别为基准。可多选。
Step 02 / Delivery phase
预计处于哪个阶段？
即使是同样的数据，短期验证和生产运维也需要不同管理。
Step 03 / External processing
外部 AI 和外部服务处理
除外部 AI 外，云、邮件、地图、分析、通知服务也按同样的数据流思路确认。
Step 04 / Operational needs
选择需要的运维要求
可多选。即使未确定，也会作为会议确认事项纳入设计案。
Design draft / not an audit
限定原型设计
以最小数据和短期保存为前提，从分离的验证环境开始。
ProfileSTANDARDP0-B
最低设计内容
项目确认事项
准备资料
本结果的定位：
这是根据输入生成的事前设计案。实际法律义务、合同条件、威胁、云架构和运维体制确认后才会定案。
Control model
不仅预防，也覆盖发现、响应和恢复。
将 NIST Cybersecurity Framework 2.0 的六项功能作为项目确认视角参考。这不是认证或完全合规声明。
确定
GOVERN明确负责人、方针、合同、委托对象和可接受风险。
例：责任分担表、服务列表把握
IDENTIFY把握资产、数据、依赖关系、威胁和影响。
例：数据流、资产台账保护
PROTECT设计认证、最小权限、加密、秘密管理和安全实现。
例：权限表、实现检查发现
DETECT确定必要日志、监控、告警和异常判断标准。
例：监控项目、日志保存响应
RESPOND准备初动、遏制、调查、联系和防止再发流程。
例：联系网、初动流程恢复
RECOVER设计备份完整性、恢复顺序、业务恢复和事后确认。
例：恢复流程、测试记录Application security
Web 和应用从设计到运维都要确认。
参考 OWASP ASVS 5.0 整理应用安全要求和确认项目。根据重要度和预算组合评审、自动检查、手动确认和外部测试。
- 01要求与威胁整理数据、权限、攻击面
- 02实现认证、输入、秘密、依赖关系
- 03验证评审、测试、设置确认
- 04运维监控、更新、权限、恢复
Prototype vs production
原型和生产不会按同一方式处理。
以下是推荐设计比较，不是固定保证值，而是按项目确定的基准。
| 确认项目 | P0 数学原型 | P1 生产系统 |
|---|---|---|
| 目的 | 验证可行性和指标 | 持续业务处理 |
| 数据量 | 优先少量、匿名化、必要列 | 正式定义业务所需范围 |
| 环境 | 分离短期验证环境 | 考虑开发、验证、生产分离 |
| 访问 | 限定负责人 | 角色权限、认证、盘点 |
| 外部AI | 先考虑不发送不必要数据的设计 | 约定目的、对象、合同、设置、日志 |
| 保存期限 | 先确定结束日 | 考虑目的、法律、运维、备份 |
| 删除 | 确认交付后的删除或继续使用 | 设计退会、合同结束、法定保存、备份 |
| 恢复 | 评估能否重新生成 | 确定恢复目标和备份测试 |
Shared responsibility
合同前先区分由谁保护。
使用云并不会自动安全，开发公司也不能单独管理全部风险。需要区分客户、Finite Field 和使用服务的角色。
OUR SCOPE
设计、实现和开发运维承担事项
根据合同范围，负责系统侧措施和开发期间的数据处理。
- 数据流和权限设计
- 应用安全实现
- 秘密信息和开发环境管理
- 约定的测试和评审
- 维护范围内的监控、更新和响应
CUSTOMER SCOPE
业务、用户和数据承担事项
数据能合法使用、用户和终端运维、内部规则是客户侧的重要责任。
- 使用目的和输入数据妥当性
- 用户注册、离职和权限申请
- 终端、内部网络和共享方式
- 可疑事件联系和业务判断
- 合同结束时的返还与删除指示
PLATFORM SCOPE
基础服务承担事项
物理设施、基础平台和托管服务范围遵循各服务合同和共同责任模型。
- 数据中心和基础设施
- 服务可用性和更新
- 平台侧访问和加密功能
- 合同上的保存位置和处理条件
- 故障与安全信息提供
合同中明确的项目运维者监控时间备份恢复工作咨询结束处理
AI & third parties
不要让外部 AI 成为看不见的委托对象。
当数据传递给生成 AI、地图、邮件、分析、通知、支付等外部服务时，会把目的和范围纳入数据流。
不发送
不向外部 AI 发送业务数据。使用普通算法、本地处理或匿名化固定数据。
最先考虑的选项限定发送
去除识别符后，只向约定服务发送必要项目。也确认能否记录发送内容。
以匿名化和最小化为前提批准范围内发送
确认服务条件、保存设置、区域、再利用条件和权限，并明确对象数据。
需要个别风险判断EXTERNAL SERVICE CHECK
每个外部服务需确认的事项
- 01发送数据项目、频率、数量
- 02目的处理、通知、分析等
- 03保存与再利用保存、学习、日志
- 04位置与再委托国家、区域、供应链
- 05停止与删除结束时处理
Incident response
不是假设不会发生，而是先决定发生时怎么做。
生产运维前定义对象事件、联系人、初报方式、遏制、恢复和防止再发责任。
发现与接收
从监控、用户联系、服务通知掌握事件。
遏制
抑制影响扩大，并保全必要证据。
分析与判断
确认对象数据、原因、影响和报告必要性。
联系与响应
根据法律、合同和情况联系相关方。
恢复与改善
确认安全后恢复，并反映防止再发措施。
生产前确定紧急联系人
生产前确定对象事件
生产前确定初报路径
按项目设计监控和响应时间
遵循法律与合同通知与报告
Evidence pack
把“已实施”变成可确认资料。
根据项目重要度和合同范围，可以创建或更新以下资料。并非全部都是标准交付物，需要在报价时选择。
CSV / 01
数据台账
项目、目的、敏感度、保存位置、责任人。
下载 CSV / 02数据流台账
发送源、发送方、目的、方式、外部委托。
下载 CSV / 03访问权限表
角色、环境、操作、批准、盘点。
下载 CSV / 04外部服务列表
服务、用途、数据、保存位置、合同。
下载 CSV / 05保存与删除台账
保存理由、期限、删除方式、证据、例外。
下载 CSV / 06事件联系表
事件类别、一次联系、备用联系、判断者。
下载 CSV / 07备份恢复测试
对象、恢复点、所需时间、结果、课题。
下载 CSV / 08要求检查清单
设计、实现、测试、运维、结束处理。
下载 CSV / 09AI 与外部服务判断表
目的、发送项目、保存条件、批准、停止流程。
下载Request
咨询问卷 也可支持客户问卷
在确认实际情况和项目范围后，回答客户指定的安全检查表。未实施项目会注明未实施，并区分替代措施和应对方案。
References
参考的思路和不声明的内容。
参考法律、公务指南和开放标准，为项目选择必要控制措施。参考不等于认证或完全合规声明。
日本个人信息保护法与 PPC 指南
作为确认安全管理措施、处理规则、组织、人员、物理、技术措施和外部环境的基础。
打开官方资料NIST Cybersecurity Framework 2.0
将六项功能作为确认风险和运维遗漏的共同语言。
打开官方资料OWASP ASVS 5.0
作为整理 Web 和应用安全要求及验证项目时的参考。
打开官方资料仅凭本页面并不意味着以下内容。
ISO/IEC 27001 认证取得隐私标志认证取得完全符合 NIST CSFOWASP ASVS 认证保证不会发生事故所有项目采用同一措施FAQ
关于数据处理的常见问题。
诊断或原型需要生产数据吗？
原则上先确认能否用最小化的匿名化或假名化样本验证。若需要真实数据，会事前约定对象、保存位置、查看者和删除时间。
会向外部生成式 AI 发送数据吗？
是否使用外部 AI、发送对象、目的和保存条件按项目决定。也可以选择不向外部 AI 发送业务数据的构成。
可以选择数据保存国家或区域吗？
在所用云或外部服务支持范围内，于设计时确认保存位置要求。涉及跨境转移时，会明确使用服务和数据流。
交付后的数据和源码如何处理？
根据合同、运维方式和维护范围，明确所有权、保存、访问、备份和删除的责任分担。
是否取得安全认证？
本页不表示取得特定认证。采用的控制措施和确认资料按项目定义，必要时可回答客户检查表。
发生事件时什么时候联系？
生产运维前确定联系人、对象事件、初报方式和更新频率。实际通知依据法律、合同和事件内容进行。
可以处理医疗、护理等敏感信息吗？
需要确认数据必要性、法律要求、访问范围、保存位置、日志、删除和委托对象，并采用比普通业务数据更严格的设计。按项目判断可否。
可以委托安全诊断或漏洞测试吗？
根据对象和所需级别，可组合设计评审、自动检查、手动确认和外部专业公司。范围和成果物在报价时明确。