セキュリティ仕様書（ホワイトペーパー）
最終更新日: 2026年10月20日 | バージョン: 1.1
B-Beacon は、お客様のシステム稼働状況や認証情報を安全にお預かりするため、設計・実装・運用のすべてのレイヤーで厳格なセキュリティ対策を講じています。本仕様書は、法人顧客の調達審査・セキュリティチェックシートへの回答根拠として公開しています。
1. インフラストラクチャとデータ所在地
| 項目 | 仕様・運用状況 |
|---|---|
| データセンター所在地 | 日本国内（さくらインターネット 東京データセンター） 監視データ、認証情報、ログのすべてが国内DCに保管され、国外へのデータ転送は行われません。 |
| インフラ分離 | 独立した仮想専用サーバー（さくらVPS）上でDockerコンテナにより論理分離。お客様の監視対象インフラとはネットワーク・基盤が完全に独立しています。 |
| 通信暗号化 | 全通信で TLS 1.3 / TLS 1.2 を強制適用。リバースプロキシ（Caddy）による自動SSL/TLS証明書管理を実施。 |
2. 保存データの暗号化と機密保護
| 対象データ | 暗号化方式・保護策 |
|---|---|
| 認証情報・接続パスワード (Basic認証、DBパスワード、トークン等) |
AES-256-CBC ＋ HMAC-SHA256 署名付き暗号化 データベース保存時にLaravel暗号化キャスト（ encrypted:array）により自動暗号化。平文保存は一切行いません。メッセージ認証コード（MAC）が付与されるため、暗号文の改ざん検知機能が標準で有効です（改ざん時は復号を拒絶）。
|
| 生ログ（ヘッダー） | Authorization, Cookie, Set-Cookie, x-api-key, Proxy-Authorization 等の認証ヘッダーを自動的に ******** にマスキングして保存。 |
| 生ログ（URLクエリパラメータ） | URLに含まれる token, key, secret, password, api_key, access_token 等のパラメータ値を自動的に REDACTED に置換して保存。 |
| 生ログ（レスポンス本文） | 障害調査用抜粋（エラー時のみ保存）において、JSON内のパスワード・トークンキー、および平文メールアドレス・クレジットカード番号・Bearerトークンを自動で REDACTED に置換。 |
3. マルチテナント分離とアクセス制御
- チーム（テナント）論理分離: 全データは
team_idによる論理分離が徹底され、他チームのデータへのアクセスはフレームワークレベル（Eloquent グローバルスコープおよび認可ポリシー）で完全に遮断されます。 - ロールベースアクセス制御（RBAC）: チームオーナー、管理者、メンバーの権限分離を実装。課金情報やCSVエクスポートは管理者権限のみに制限。
- セッション保護: セッションIDの定期的再生成（ログイン時）、
HttpOnly、Secure、SameSite=Lax属性を付与したCookie管理。
4. サーバー監視 Agent の安全性
お客様のサーバー内部で動作するエージェントは、以下の原則に基づき安全に設計されています：
- root 権限不要: 一般ユーザー権限で動作し、システム領域（
/etcや/usr等）への書き込みは一切行いません。 - 追加パッケージのインストールゼロ: OS 標準の
bash,curl,df,freeのみを使用します。 - ポート開放ゼロ（インバウンド通信なし）: 外部からの侵入リスクを排除するため、サーバーから B-Beacon への外向き HTTPS 通信（ポート443）のみを使用。
- 事前監査と改ざん防止検証:
curl -fsSL https://getbbeacon.com/agent/install.sh | lessで全行を確認可能。また、SHA-256 チェックサム（checksum.sha256）による完全性検証に対応。 - 即時失効（Revoke）: トークン漏洩の懸念時は、管理画面からワンクリックでトークンを再発行（旧トークンは即時無効化）できます。
5. 外部メタ監視と可用性（SLA/BCP）
- 外部メタ監視用エンドポイント（Healthz）:
B-Beacon 自体の死活監視・稼働検証のため、
GET https://getbbeacon.com/api/healthzを提供。データベース接続状況等を含むヘルスチェック結果を外部の監視ツール（UptimeRobot, AWS Route53等）から常時監視可能です。 - データ保持・自動パージ: 各プランの保持期間（Hobby: 1日、Starter: 30日、Business: 90日、Scale: 365日）を超過した監視データは、日次自動パージバッチにより完全に物理削除されます。
6. 調達審査・セキュリティチェックシート対応
B-Beacon では、第三者認証（SOC 2 / ISO 27001）未取得の段階においても、法人顧客の調達審査にスムーズに通過いただけるよう、経済産業省「クラウドサービス調達向けセキュリティチェックシート」のフォーマットに対応した回答資料の提供を行っております。
セキュリティ審査資料のご要望、または固有のチェックシート回答依頼につきましては、サポート窓口（[email protected]）までお気軽にお問い合わせください。