セキュリティ／Trust Center

GSCORA API Platform は、日本企業のセキュリティ審査を前提に設計しています。管理基盤は日本リージョンで運用し、通信・保存の暗号化、権限管理、監査ログを備えます。

お客様のリクエストは GSCORA の管理基盤（日本リージョン）で認証・ポリシー適用・ルーティングされた後、選択されたモデルプロバイダーに送信されます。推論の処理地域はモデルごとに異なります。管理基盤でのメタデータ（利用量・コスト・監査）は日本リージョンで処理します。

通信は TLS 1.2 以上で暗号化し、保存データは暗号化します。認証情報の扱いは方式により異なります。GSCORA 発行トークンは不可逆の検証値（ハッシュ）のみを保存し、平文を保持しません。BYOK（お客様のプロバイダー認証情報）は KMS によるエンベロープ暗号化で保存時に暗号化し、承認されたリクエスト時のみ復号します。

ロールベースのアクセス制御（RBAC）で、部門・プロジェクト・顧客単位の権限を管理します。SSO（シングルサインオン）は開発予定です。

APIキー作成、ポリシー変更、予算変更などの操作を監査ログに記録します。監査ログの既定の保存期間は 30 日とし、契約に応じて 90 日〜365 日の範囲で延長設定できます。監査ログにはプロンプト・生成内容は含みません（メタデータのみ）。

セキュリティインシデントへの対応プロセスを整備しています。報告窓口・初動・通知の運用を文書化し、Private Beta の運用を通じて検証しています。

主要モデルの停止時に代替モデルへルーティングする設計を進めています。バックアップ・復旧手順を整備中です。

AI 推論のために利用するモデルプロバイダー（再委託先）の一覧は、AIデータポリシーに明示しています。

Design Partner 向けにデータ処理契約（DPA）を提供しています。ご契約前に内容をご確認いただけます。

脆弱性の報告は security@gscora.com まで。対象範囲・対応目標は 脆弱性報告（Responsible Disclosure） ページをご覧ください。

現時点でSOC 2、ISO 27001等の認証は取得していません。各認証の管理項目を参照しながら、必要な管理体制の整備を進めています。