トラストセンター
（セキュリティ・コンプライアンス・ガバナンス透明性報告）
Show, Don't Tell ── 言葉ではなく、稼働するシステムと検証可能な技術証跡で安全を示す。
本ページでは、株式会社オープンナレッジのコーポレートガバナンス体制、国内外のセキュリティ基準への適合状況、データベース隔離設計、プライバシー保護、および脆弱性報告窓口（RFC 9116）を公開しています。
1. トラストセンターの基本理念（Show, Don't Tell ── 言葉ではなく稼働システムで示す安全）
情報セキュリティやAI活用の分野では、「安全です」「最新技術を使っています」という抽象的な言葉だけではお客様の大切な資産を守り抜くことはできません。株式会社オープンナレッジは、お客様に提案するセキュリティ設計・アクセシビリティ基準・高速Web設計をまず自社の本番システム（2026.ok.st および基幹基盤）に完全実装し、第三者がいつでも検証できる状態で公開する「実践証明（Show, Don't Tell）」を基本理念としています。
二代表制による経営管理と法令遵守
- 商号
- 株式会社オープンナレッジ（Open Knowledge Inc.）
- 代表者
- 代表取締役CEO 島津 由香里
創業者・代表取締役CTO 加藤 明生 - 所在地
- 〒569-0077 大阪府高槻市野見町２番２号
創業者・代表取締役CTO 加藤 明生による直接統括
- 登録情報処理安全確保支援士（国家資格）：登録番号 公的基準準拠
- 一般社団法人 一般社団法人情報処理安全確保支援士会（JP-RISSA）：理事
- 医療・公衆衛生情報管理：上級医療情報技師 ／ HACCPリードオーディター
- IPA未踏ソフトウェア創造事業：採択クリエイター ／ 認定ITコーディネータ
- 2026年DX検定™シリーズ：DX検定™（プロフェッショナルレベル認定）・DXビジネス検定™（プロフェッショナルレベル認定）・DX Next検定™（プロフェッショナルレベル認定）Open Badges v3.0 証明済
第16回 DX検定™「プロフェッショナルレベル」2026
プロフェッショナルレベル認定（IT先端技術トレンド・ビジネストレンド）
第10回 DXビジネス検定™「プロフェッショナルレベル」2026
プロフェッショナルレベル認定（DX基礎・ビジネスモデル・DX事例）
第17回 DX Next検定™「プロフェッショナルレベル」2026
プロフェッショナルレベル認定（経済産業省・IPAデジタルスキル標準DSS準拠）
2. 国内外セキュリティ・フレームワーク準拠マトリクス
(1) NIST CSF 2.0（米国国立標準技術研究所 サイバーセキュリティフレームワーク 2.0）全6機能マッピング
| NIST CSF 2.0 機能 | 求める管理基準 | 当社の実装および統制内容 |
|---|---|---|
| GV : Govern（統治） | 経営陣によるリスク統括・規程整備・サプライチェーン管理 | 二代表制によるコーポレートガバナンスと登録情報処理安全確保支援士（第007617号）による技術統括。情報セキュリティ基本方針、生成AI非学習規程、委託先管理基準の明文化と定期監査。 |
| ID : Identify（特定） | 情報資産・ソフトウェア構成（SBOM）・攻撃対象領域の把握 | 全ドメイン・サーバー資産のコード管理、Rust Cargo.lock / npm 依存関係およびSBOM（ソフトウェア部品表）の継続監査、外部公開ポート・DNS設定の常時点検。 |
| PR : Protect（防御） | ゼロトラスト認証・データ分離・メモリ安全・通信暗号化 | Web層の静的分離（Astro SSG / 動的CMS排除）、Google Workspace Business Plus（コンテキストアウェアアクセス・FIDO2パスキー強制）、db01.ok.st のプライベートvLAN隔離とPostgreSQL 19 FORCE RLS。 |
| DE : Detect（検知） | 不正通信・ファイル改ざん・異常クエリのリアルタイム検知 | FreeBSD pfファイアウォール・IDSテレメトリ監視、OpenZFSブロックチェックサム整合性検証、Google Cloud Security Command Centerによる24時間異常検知。 |
| RS : Respond（対応） | 初動封じ込め・証跡保全・72時間以内の法定報告 | 異常検知時の該当vLANセグメント自動隔離、メモリ・ZFSスナップショット証跡保全、個人情報保護法第26条およびSCS★3基準に基づく72時間以内の速報体制（CSIRT）。 |
| RC : Recover（復旧） | ランサムウェア耐性・不変バックアップからの迅速復旧 | FreeBSD OpenZFSのCopy-on-Write不変（Immutable）スナップショットと遠隔レプリケーションにより、万一の論理破壊・暗号化発生時もクリーンな状態へ即時ロールバック。 |
ISMS ＆ 経済産業省「セキュリティ対策評価制度」準拠
ISO/IEC 27001:2022の管理策および、2026年秋より本格運用される経済産業省・IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度 ★3標準26項目・★4高度基準）」に適合した管理体制を自社運用し、取引先企業の適合証明支援を行っています。
医療情報システムの安全管理に関するガイドライン 第6.0版・第7.0版
上級医療情報技師の監督のもと、厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版・第7.0版」（経営管理編・企画管理編・システム運用編）および総務省・経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン（3省2ガイドライン）」に準拠したネットワーク分離・不変バックアップ設計を実施しています。
Google Workspace Business Plus 30TB ゼロトラスト統制
全社情報基盤に Google Workspace Business Plus（30TB統合ガバナンス）を採用。BeyondCorp / コンテキストアウェアアクセス、FIDO2パスキー必須化、Google Vault監査証跡保全、DLP（データ損失防止）、およびGoogle Cloud Security Command Centerによるゼロトラスト環境を運用しています。
3. インフラストラクチャ＆データベース防衛仕様（ap01 / db01 二層分離）
公開エッジ配信とHTTPセキュリティヘッダー
- Astro Zero-JS SSG：公開Webサーバー上でPHPや動的CMSを実行せず、事前ビルドされた静的HTMLを配信することでサーバー側コード実行（RCE）やSQLインジェクションの攻撃対象領域を構造的に排除。
- 暗号化通信：TLS 1.3 / HTTP/3、HSTS Preload（
Strict-Transport-Security）強制。 - 防御ヘッダー：
Content-Security-Policy、Permissions-Policy、X-Content-Type-Options: nosniff、Referrer-Policy: strict-origin-when-cross-originを完全適用。
閉域データベース基盤（FreeBSD 15.1 ZFS + PostgreSQL 19）
- 物理・論理vLAN隔離：データベース専用機
db01.ok.stはプライベートvLAN（10.0.x.x）のみから接続を受け付け、パブリックインターネットからの直接通信をファイアウォール（pf）で確実に遮断。 - PostgreSQL 19 FORCE RLS：行レベルセキュリティ（Row-Level Security）により、テナントIDが一致しない行へのクエリをDBカーネル層で拒否。
- OpenZFS イミュータブル保全：LZ4圧縮・ARCメモリキャッシュおよびCopy-on-Write不変スナップショットによりデータの整合性と即時復旧を保証。
ドメイン・電子メール送信元認証の完全実装
- SPF（
-allHard Fail）：許可された送信サーバー以外からのメール送信を厳格に拒否。 - DKIM（2048-bit以上電子署名）：送信メールの改ざん検知と送信元ドメインの暗号学的証明。
- DMARC（
p=reject/ 検疫・拒否）：なりすましメールを受信側ゲートウェイで遮断し、集計レポートを常時監視。 - CAA & DNSSEC：許可された認証局（CA）以外のSSL/TLS証明書発行を防止。
4. クッキーレス・プライバシー設計（GDPR / CCPA / 改正個人情報保護法 完全準拠）
多くのウェブサイトでは、訪問者の画面を覆い隠す「Cookie同意ポップアップ」が表示され、裏側で数十種類の広告追跡スクリプトが稼働しています。これは閲覧体験を損なうだけでなく、サードパーティスクリプト経由の情報漏洩リスクやページ表示遅延の原因となります。
当サイト（2026.ok.st）は、サードパーティ製トラッキングCookie、リターゲティング広告タグ、行動プロファイリングスクリプトを一切使用しない「Cookieless Privacy by Design」を採用しています。また、サイト内の各種シミュレーター（Web安全診断や学習体験など）の入力値はすべてお客様のブラウザ内のみで処理され、外部サーバーへ無断送信されることはありません。
5. 脆弱性報告ポリシー（RFC 9116 /.well-known/security.txt）＆ 連絡窓口
当社は国際標準 RFC 9116（A File Format to Aid in Security Vulnerability Disclosure） に準拠し、セキュリティ研究者・ホワイトハットハッカー・利用者の皆様からの脆弱性報告窓口（/.well-known/security.txt および /.well-known/pgp-key.txt）を常設しています。
セーフハーバー（善意の調査に対する保護）と対応基準
- 他者のデータ閲覧・改ざん、サービス妨害（DoS/DDoS）、ソーシャルエンジニアリングを伴わない善意のセキュリティ検証・報告に対し、当社は法的措置を講じません。
- ご報告いただいた内容は、登録情報処理安全確保支援士（第007617号）が直接受領し、原則として1営業日以内（24時間以内）に受領確認をご連絡いたします。
- 再現確認および修正パッチ適用後、ご希望に応じて下記の謝辞一覧（Acknowledgments）にご芳名を掲載いたします。
セキュリティ謝辞（Security Acknowledgments）
当社のシステムおよび公開資産の安全性向上にご協力いただいた研究者・報告者の皆様に深く感謝申し上げます。（2026年10月現在、未解決の重大脆弱性報告は0件です）