セキュリティへの取り組み
アルテレクトは、AIをつくる会社であると同時に、セキュリティを事業の柱とする会社です。代表取締役の統括のもと、Arterect AI Security Team（AAST）がAIシステムとソフトウェアの安全性を高める取り組みを進めています。その体制と責任の所在をここに公開します。
Arterect AI Security Team（AAST）
Arterect AI Security Team（AAST）は、株式会社アルテレクトのAIセキュリティおよびサイバー防御に関する専門チームです。
代表取締役 江﨑 颯の統括のもと、AIシステムの安全性評価、脆弱性分析、アプリケーション・クラウドセキュリティ、防御技術の研究開発に取り組みます。
AIを活用したセキュリティ分析と検証の手法を取り入れ、安全なソフトウェア開発と継続的なセキュリティ改善を推進します。
- 正式名称
- Arterect AI Security Team
- 略称
- AAST
- 統括責任者
- 江﨑 颯
- 役職
- 代表取締役
- 組織
- Arterect Inc.（株式会社アルテレクト）
- セキュリティ窓口
- security@arterect.co.jp
活動領域
- AIセキュリティ
- サイバー防御
- アプリケーションセキュリティ
- クラウドセキュリティ
- セキュリティ研究
組織図
代表取締役を統括責任者とし、AAST が4つの機能を担います。
Arterect Inc. — 株式会社アルテレクト
Arterect AI Security Team（AAST）
- 統括責任者 / 代表取締役江﨑 颯情報セキュリティ統括・最終責任者
- セキュリティ統制統制・アクセス管理・監査。経営としてのセキュリティ統括。
- AIセキュリティ研究AIシステム・AIエージェントの安全性と、防御技術の研究。
- セキュリティ技術・検証脆弱性分析・セキュア開発・検証。ソフトウェアとクラウドの保護。
- セキュリティ運用・監視脅威分析・監視・インシデント対応。
セキュリティ基盤の考え方
AAST の作業は、役割の違う5つの層を重ねた基盤の上で行います。上の層ほど人とAIの作業に近く、下の層ほど記録と監査に近い構成です。
第1層
ID・アクセス管理
- 組織的なID・アカウント管理メンバーごとのID・パスキーによる認証・端末の確認
- ゼロトラストのアクセス制御ゼロトラストの考え方に基づき、認証済みの人と端末だけに限定
第2層
AIセキュリティ分析
- AIを活用したセキュリティ分析コードの解析と修正案の検討
- 防御技術の研究高度なAIを活用した防御技術の研究
- 防御用AIエージェント許可した範囲の中だけで動く防御ワークフロー
- 権限を限定した連携許可したツールとだけ、必要最小限の権限でつなぐ
第3層
隔離された検証環境
- 隔離されたセキュリティ検証環境
- 外部への通信の制御
- 秘密情報の分離
- ツール実行のルール
社内のネットワークや本番環境から切り離し、許可した対象にだけアクセスします。
第4層 — 脆弱性分析
- ソースコードの脆弱性分析実装の段階で問題を見つける
- ソフトウェアの脆弱性分析コンテナ・依存関係の既知の脆弱性
- 秘密情報の検出鍵や認証情報の混入を防ぐ
- クラウド設定の検査設定の誤りによる露出を防ぐ
- AIの安全性評価AIシステム固有の脅威を検証する
第5層 — 監視・監査
- セキュリティ監視・ログ管理操作の履歴と通信の記録
- 異常の検知異常を見つけて知らせる
- 人による承認影響の大きい操作は実行の前に人が承認
- インシデント対応調査・封じ込め・報告
取り組みの方針
AAST が担う活動と、その方針です。
- 01情報資産の保護
お客様からお預かりした情報と社内の情報資産を、事故・不正・漏えいから守ります。
- 02安全な開発
設計・実装・レビューの各段階でセキュリティを確かめ、脆弱性をつくり込まない開発を進めます。
- 03脆弱性の管理
社内外から寄せられた脆弱性を受け付け、影響を評価したうえで修正まで追跡します。
- 04AIの安全性評価
AIアプリケーション固有の脅威（プロンプトインジェクション、情報の漏えい等）を検証し、対策します。
- 05人による承認
影響の大きい操作は、実行の前に人が確認・承認します。AIに最終判断を委ねません。
- 06インシデント対応
インシデントの発生時は、調査・封じ込め・記録・復旧・関係者への報告を統括責任者のもとで行います。
社内の権限設定やシステム構成、利用している製品など、安全を損なうおそれのある情報は公開していません。
脆弱性のご報告
当社のウェブサイトやサービスの脆弱性を見つけた場合は、下記の窓口までご報告ください。日本語・英語のどちらでも受け付けます。報告の対象・対応の目安は「脆弱性の報告について」のページに定めています。
脆弱性の報告について株式会社アルテレクト（Arterect）のウェブサイト・サービスの脆弱性の報告窓口（security@arterect.co.jp）と、報告の対象・対象外、調査のお願い、対応の目安（3営業日以内に一次返信）を掲載しています。arterect.co.jp/vulnerability-disclosure情報セキュリティ基本方針株式会社アルテレクト（Arterect）の情報セキュリティ基本方針。経営者の責任、社内体制の整備、従業員の取組み、法令遵守、事故への対応を定めています（SECURITY ACTION 二つ星宣言）。arterect.co.jp/security-policysecurity.txt（RFC 9116）脆弱性の報告先・有効期限・方針の URL を、機械が読める形で公開しているファイルです。arterect.co.jp/.well-known/security.txt認証について
当社は IPA「SECURITY ACTION」の二つ星を宣言しています（自己宣言の制度です）。ISO/IEC 27001 や SOC 2 などの第三者認証は、現時点では取得していません。
SECURITY ACTION セキュリティ対策自己宣言中小企業自らが情報セキュリティ対策に取組むことを自己宣言する制度「SECURITY ACTION」の公式サイトです。ipa.go.jp/security/security-action