Security Check Sheet

セキュリティチェックシート

最終更新日: 2026年8月12日

動画自動切り抜きサービス「バズ切り」の情報セキュリティ対策状況をまとめたものです。法人のお客様における導入検討・社内審査の資料としてご利用ください。

サービス概要

サービス名
バズ切り (buzzkiri.com)
サービス形態
SaaS(パブリッククラウド型・マルチテナント)
提供事業者
村原 亮介(個人事業)
所在地
〒150-0043 東京都渋谷区道玄坂1丁目10番8号 渋谷道玄坂東急ビル2F−C
サービス概要
アップロードされた動画をAIで解析し、切り抜き(ショート)動画を自動生成・編集するWebサービス
システム基盤
Amazon Web Services(AWS)東京リージョン(ap-northeast-1)上のサーバーレス構成
データ保管場所
日本国内(AWS東京リージョン)。ただしAI解析等の一部処理は国外の委託先へ送信される(下記 SUB-01 参照)

ダウンロード

本ページの内容はPDF・CSVとして保存できます。貴社所定のチェックシート様式への転記にはCSVをご利用ください。PDFはブラウザの印刷ダイアログから「PDFに保存」を選択して出力してください。

本シートの前提

以下のガイドライン・規格の管理策分類を参考に、当社が自己点検した結果です。第三者機関による監査・認証を受けたものではありません(認証の取得状況はCERT-01〜03をご覧ください)。

  • 総務省・経済産業省「クラウドサービス提供における情報セキュリティ対策ガイドライン」（クラウド事業者が講じるべき対策の全体像）
  • ISO/IEC 27001:2022(附属書A 管理策)（組織的・人的・物理的・技術的の4分類）
  • FISC 安全対策基準（設備・運用・技術基準のうちクラウド利用に関係する項目）
  • NIST SP 800-171（アクセス制御・監査/責任追跡性・インシデント対応等の管理策ファミリ）

本シートに記載のない項目、および開示可能な範囲を超える詳細については、お問い合わせ窓口より個別にご照会ください。秘密保持契約を締結のうえでの回答にも対応いたします。

対応状況の凡例と集計

  • 実施済み対策を実施しています32 / 54 項目
  • 一部実施実施していますが範囲・程度に限定があります11 / 54 項目
  • 未実施現時点では実施していません9 / 54 項目
  • 該当なし当社の提供形態では該当しません2 / 54 項目

1. 組織的対策

情報セキュリティの体制・規程・責任の所在に関する項目です。

No.チェック項目対応状況回答参考規格
ORG-01情報セキュリティに関する責任者を定めていますか実施済み代表者(村原 亮介)が情報セキュリティ責任者を兼務しています。少人数の組織であるため、責任者と実務担当は同一です。ISO 27001 A.5.2 / NIST SP800-171 3.1
ORG-02情報セキュリティポリシー・社内規程を整備していますか一部実施プライバシーポリシー・利用規約を策定し公開しています。社内向けの情報セキュリティ規程は、現時点では文書化された一式としては整備しておらず、運用ルールの明文化を進めています。※ 整備状況の詳細は個別にご照会ください。ISO 27001 A.5.1 / クラウドセキュリティガイドライン
ORG-03情報資産の棚卸し・管理を行っていますか実施済み本番環境のインフラ資産(ストレージ・データベース・認証基盤・関数・キュー等)はすべてTerraformでコード管理しており、構成の一覧と変更履歴をGitで追跡できる状態です。ISO 27001 A.5.9 / FISC 運用基準
ORG-04第三者による外部監査・認証審査を受けていますか未実施外部監査は受けていません。基盤として利用しているAWSは第三者認証(ISO/IEC 27001、SOC 1/2/3、PCI DSS等)を取得しています。ISO 27001 A.5.35
ORG-05セキュリティに関する問い合わせ窓口がありますか実施済みお問い合わせフォーム(/contact)を常設しており、セキュリティに関するご照会・脆弱性のご報告もこちらで受け付けています。ISO 27001 A.6.8

2. 人的対策

従業者・関係者の管理と教育に関する項目です。

No.チェック項目対応状況回答参考規格
HR-01本番環境の情報にアクセスできる要員の範囲を限定していますか実施済み本番環境のAWSアカウントにアクセスできるのは代表者のみです。アルバイト・業務委託を含め、他に本番データへアクセスできる要員はいません。ISO 27001 A.5.15 / NIST SP800-171 3.1.1
HR-02従業者と秘密保持契約(NDA)を締結していますか該当なし現時点で従業者はおらず、締結対象がありません。要員を追加する場合は、業務開始前に秘密保持契約を締結する方針です。ISO 27001 A.6.2 / A.6.6
HR-03情報セキュリティ教育を定期的に実施していますか未実施定期的な教育プログラムは実施していません(対象となる従業者がいないため)。要員の追加に合わせて実施する方針です。ISO 27001 A.6.3 / NIST SP800-171 3.2
HR-04退職・契約終了時のアクセス権剥奪の手順がありますか該当なし現時点で対象者がいません。要員を追加する場合は、契約終了時に認証情報の失効とアクセス権の削除を行う手順を定める方針です。ISO 27001 A.5.11 / A.6.5

3. 物理的対策

本サービスは自社でサーバー設備を保有しないフルマネージド構成のため、物理的対策はAWSのデータセンターに依存します。

No.チェック項目対応状況回答参考規格
PHY-01サーバーを設置しているデータセンターの物理セキュリティ対策は実施済み自社のサーバー室・オンプレミス設備は保有していません。すべてAWS東京リージョンのデータセンターで稼働しており、入退室管理・監視・電源/空調の冗長化等の物理的対策はAWSの責任範囲で実施されています(AWS責任共有モデル)。※ AWSの物理セキュリティに関する第三者評価報告書は AWS Artifact で提供されています。ISO 27001 A.7 / FISC 設備基準
PHY-02データセンターの所在国はどこですか実施済み本サービスのデータを保管するAWSリソースはすべて東京リージョン(ap-northeast-1)に配置しており、保管先は日本国内です。※ AI解析等の一部処理では国外の委託先へデータが送信されます(SUB-01参照)。クラウドセキュリティガイドライン / FISC 設備基準
PHY-03業務端末の管理(盗難・紛失対策)を行っていますか実施済み開発・運用に使用する端末はディスク全体を暗号化し、画面ロックを有効にしています。本番データを端末内に恒常的に保存する運用は行っていません。ISO 27001 A.7.9 / A.8.1

4. アクセス制御・認証

利用者認証、権限管理、テナント分離に関する項目です。

No.チェック項目対応状況回答参考規格
AC-01利用者の認証方式は何ですか実施済みAmazon Cognito User Poolによる認証です。メールアドレス+パスワード、またはGoogleアカウント連携(OAuth 2.0 認可コードフロー)でログインします。パスワードはCognitoが管理し、当社のデータベースには保存しません。ISO 27001 A.5.17 / NIST SP800-171 3.5
AC-02パスワードの強度要件を定めていますか実施済みCognitoの標準ポリシーを適用しており、8文字以上かつ大文字・小文字・数字・記号をそれぞれ含むことを必須としています。ISO 27001 A.5.17 / NIST SP800-171 3.5.7
AC-03利用者に多要素認証(MFA)を提供していますか未実施エンドユーザー向けのMFAは現時点で提供していません。認証基盤(Cognito)としては対応可能なため、法人利用のご要望に応じて有効化を検討します。※ 導入時期についてはお問い合わせください。ISO 27001 A.8.5 / NIST SP800-171 3.5.3
AC-04APIへのアクセスはどのように制御していますか実施済みすべての業務APIはAmazon API Gateway上でJWTオーソライザーによる検証を必須にしており、Cognitoが発行した有効なIDトークンがないリクエストは処理前に拒否されます。利用者の識別子はトークンの検証結果からサーバー側で付与し、リクエストボディの値は信用しません。ISO 27001 A.8.3 / NIST SP800-171 3.1.1
AC-05他の利用者のデータが見えてしまうことはありませんか(テナント分離)実施済みデータは利用者IDをキーに分離して保存し、APIは検証済みトークンから取得した利用者IDでのみ検索・取得を行います。動画ファイルの受け渡しは、対象オブジェクトに限定した有効期限付きの署名付きURLで行います。ISO 27001 A.8.3 / クラウドセキュリティガイドライン
AC-06ストレージが一般公開されていないことを保証していますか実施済み動画を保管するすべてのS3バケットでパブリックアクセスブロックを有効にしており、バケットポリシーやACLによる公開設定自体ができない状態にしています。ファイルの取得は毎回、期限付きの署名付きURLを発行して行います。ISO 27001 A.8.3 / FISC 技術基準
AC-07クラウド管理コンソールへの管理者アクセスを保護していますか実施済みAWSマネジメントコンソールへのアクセスにはMFAを設定しています。システム間の権限はIAMロールで機能ごとに分離し、各処理に必要な操作のみを許可しています。ISO 27001 A.8.2 / NIST SP800-171 3.1.5
AC-08APIキー・シークレット等の機密情報をどう管理していますか実施済み外部サービスのAPIキーやWebhookシークレットはAWS Secrets Manager / SSM Parameter Storeで管理し、ソースコードやリポジトリには含めません。実行時に必要な権限を持つ処理だけが取得できるようIAMで制限しています。ISO 27001 A.8.24 / NIST SP800-171 3.13.10

5. 技術的対策(通信・暗号化・脆弱性)

通信路と保管データの保護、脆弱性への対応に関する項目です。

No.チェック項目対応状況回答参考規格
TEC-01通信は暗号化されていますか実施済み利用者のブラウザと本サービス間の通信、および本サービスとAWS各サービス間の通信は、すべてHTTPS(TLS)で暗号化しています。HTTPでの接続はHTTPSへリダイレクトします。ISO 27001 A.8.24 / NIST SP800-171 3.13.8
TEC-02保管データは暗号化されていますか実施済み動画ファイルを保管するS3バケットはサーバーサイド暗号化(SSE-S3 / AES-256)を既定で有効にしています。DynamoDBに保管するメタデータもAWS管理キーによる保存時暗号化が有効です。ISO 27001 A.8.24 / FISC 技術基準
TEC-03脆弱性情報の収集とソフトウェア更新を行っていますか一部実施アプリケーションの実行基盤(Lambda・マネージドサービス)のOS・ミドルウェアはAWSが更新します。依存ライブラリは開発時に随時更新していますが、自動的な脆弱性検知・通知の仕組みは導入途上です。※ 依存関係の自動監査の導入を計画しています。ISO 27001 A.8.8 / NIST SP800-171 3.11
TEC-04第三者による脆弱性診断・ペネトレーションテストを実施していますか未実施第三者機関による脆弱性診断は実施していません。実施のご要望がある場合は個別にご相談ください。ISO 27001 A.8.8 / NIST SP800-171 3.12
TEC-05WAF・DDoS対策を導入していますか一部実施AWSの基盤レベルのDDoS防御(AWS Shield Standard)が適用されます。加えてAPI Gatewayでリクエストのレート制限を設定しています。アプリケーション層のWAF(AWS WAF)は現時点では導入していません。ISO 27001 A.8.20 / FISC 技術基準
TEC-06セキュアな開発プロセスを採っていますか実施済みソースコードはGitHubのプライベートリポジトリで管理し、本番反映は必ずプルリクエスト経由で行います。CIで静的解析(Lint)・型チェック・自動テストを実行し、通らない変更はマージできません。インフラ変更もTerraformのコードとして同じ流れでレビューします。ISO 27001 A.8.25 / A.8.28 / A.8.31
TEC-07本番環境と開発環境は分離されていますか一部実施アプリケーションの開発は開発者のローカル環境で行い、本番データを開発環境へ複製して利用することはありません。一方、クラウド環境は本番の1系統のみで運用しており、独立したステージング環境は用意していません。※ 開発用に独立した環境を分離することを検討しています。ISO 27001 A.8.31 / NIST SP800-171 3.4
TEC-08マルウェア対策を実施していますか一部実施アップロードされたファイルは動画処理エンジンで再エンコードされ、そのまま他の利用者へ配布される経路はありません。アップロードファイルに対するアンチウイルススキャンは実施していません。ISO 27001 A.8.7 / NIST SP800-171 3.14.2

6. ログ管理・監視

証跡の取得・保管と、異常検知の仕組みに関する項目です。

No.チェック項目対応状況回答参考規格
LOG-01アクセスログ・操作ログを取得していますか実施済みAPIへのリクエストはアクセスログとしてAmazon CloudWatch Logsに記録しています。各処理の実行ログも同様にCloudWatch Logsへ出力しています。ISO 27001 A.8.15 / NIST SP800-171 3.3
LOG-02ログの保管期間はどれくらいですか一部実施CloudWatch Logsでの標準の保管期間は7日間です。あわせて外部の監視サービス(New Relic)へ転送しており、そちらでも一定期間参照できます。長期保管の要件がある場合は個別にご相談ください。※ 法人利用で保管期間の延長が必要な場合はご相談ください。ISO 27001 A.8.15 / FISC 運用基準
LOG-03システムの稼働監視・障害検知を行っていますか実施済みCloudWatch Alarmで処理失敗キュー(DLQ)の滞留や実行数の異常を監視し、検知時はSNS経由でSlackへ即時通知しています。あわせてNew Relicでアプリケーションの稼働状況とエラーを監視しています。ISO 27001 A.8.16 / FISC 運用基準
LOG-04クラウド基盤の操作証跡を取得していますか実施済みAWSアカウントに対する管理操作はAWS CloudTrailのイベント履歴として記録されます。ISO 27001 A.8.15 / NIST SP800-171 3.3.1
LOG-05ログを利用者へ開示できますか一部実施利用者ご自身の操作に関する記録は、正当な理由に基づくご請求に応じて、開示可能な範囲でご提供します。定常的なログ連携(SIEM連携等)には対応していません。ISO 27001 A.8.15

7. データの取り扱い・保持・削除

お預かりする動画・個人情報の保管期間、削除、可用性に関する項目です。

No.チェック項目対応状況回答参考規格
DAT-01どのような情報を預かりますか実施済み利用者のメールアドレス、アップロードされた動画ファイルと生成された切り抜き動画、文字起こしテキスト、および利用ログです。クレジットカード番号は当社では保持しません(BIL-01参照)。ISO 27001 A.5.12 / 個人情報保護法
DAT-02預けた動画の保管期間はどれくらいですか実施済みアップロードされた動画および生成された切り抜き動画は、アップロードから7日間の経過後に自動的に削除されます。ストレージ側のライフサイクル設定でも自動削除を二重に構成しています。ISO 27001 A.5.33 / A.8.10
DAT-03利用者からの削除請求に対応できますか実施済みアカウント削除により、関連するデータを順次削除します。個別のデータの削除・開示・利用停止のご請求はお問い合わせ窓口で受け付けています。ISO 27001 A.5.34 / 個人情報保護法
DAT-04契約終了時のデータ返還・消去はどうなりますか実施済み生成された動画はサービス上でダウンロードいただけます。契約終了後は上記の保持期間に従ってデータが削除されます。消去証明書の発行には対応していません。ISO 27001 A.5.10 / クラウドセキュリティガイドライン
DAT-05預けたデータをAIモデルの学習に利用しますか実施済み利用しません。当社が利用者のデータを用いてAIモデルを学習させることはなく、解析を委託している外部AI事業者(SUB-01参照)についても、いずれも入力データがモデルの学習・改善に利用されない条件で利用しています。具体的には、Google(Gemini API)は有料ティアの契約により、OpenAIはAPI経由のデータを学習に用いない既定の条件により、Deepgramはモデル改善プログラムからの除外設定(mip_opt_out)により担保しています。※ 各社とも、禁止利用の検知を目的とした短期間のログ保管は行われます(OpenAIは最大30日、Googleは限定期間)。Deepgramは除外設定によりリクエストの処理に必要な期間のみの保持となります。クラウドセキュリティガイドライン / 個人情報保護法
DAT-06データのバックアップを取得していますか一部実施動画データは短期間で自動削除される設計のため、バックアップは取得していません。利用者情報等のメタデータについては、DynamoDBのポイントインタイムリカバリを現時点では有効にしておらず、有効化を検討中です。※ 重要データの復旧要件がある場合はご相談ください。ISO 27001 A.8.13 / FISC 運用基準

8. インシデント対応・事業継続

障害・事故発生時の対応体制と可用性に関する項目です。

No.チェック項目対応状況回答参考規格
BCP-01セキュリティインシデント発生時の対応体制はありますか一部実施監視通知を代表者が受領し、影響調査・原因究明・復旧対応を行う体制です。24時間365日の有人監視体制は敷いていません。手順の文書化は進めています。ISO 27001 A.5.24 / NIST SP800-171 3.6
BCP-02個人情報の漏えい等が発生した場合、利用者へ通知しますか実施済み個人データの漏えい・滅失・毀損が発生し、または発生したおそれがある場合は、個人情報保護法に基づき個人情報保護委員会への報告および本人への通知を行います。あわせて対象となるお客様へ速やかにご連絡します。ISO 27001 A.5.26 / 個人情報保護法 26条
BCP-03サービスレベル(稼働率)を保証していますか未実施現時点でSLA(稼働率保証)は提供していません。AWSのマネージドサービスによる冗長構成で運用しています。SLAが必要な場合は個別にご相談ください。クラウドセキュリティガイドライン / FISC 運用基準
BCP-04災害時の事業継続計画(BCP)を策定していますか未実施文書化されたBCPは策定していません。システムはAWS東京リージョンの複数アベイラビリティゾーンにまたがるマネージドサービス上で稼働しており、単一データセンターの障害では停止しない構成です。他リージョンへのフェイルオーバーは構成していません。ISO 27001 A.5.29 / A.5.30 / FISC 運用基準
BCP-05サービス終了時の事前告知を行いますか実施済みサービスの提供を終了する場合は、利用規約に基づき事前に告知します。データの移行期間を確保できるよう対応します。クラウドセキュリティガイドライン

9. 委託先・再委託先の管理

本サービスの提供にあたって利用している外部サービス(サブプロセッサ)に関する項目です。

No.チェック項目対応状況回答参考規格
SUB-01利用している外部サービス(委託先)を開示できますか実施済み開示しています。インフラ基盤・認証: Amazon Web Services(米国 / データは東京リージョンに保管)。AI解析・文字起こし: Google(Gemini)、OpenAI、Deepgram(いずれも米国)。決済: Stripe(米国)。稼働監視: New Relic(米国)。お問い合わせ受付・アクセス解析: Google(米国)。※ 最新の一覧はプライバシーポリシー(/privacy)に掲載しています。ISO 27001 A.5.19 / A.5.21 / クラウドセキュリティガイドライン
SUB-02国外へのデータ移転が発生しますか実施済み発生します。動画から抽出した音声・字幕テキストは、AI解析のため米国に所在する事業者へ送信されます。動画ファイル本体の保管先は日本国内(AWS東京リージョン)です。※ 移転先国の個人情報保護制度に関する情報はご請求に応じて提供します。個人情報保護法 28条 / ISO 27001 A.5.14
SUB-03委託先の選定・監督を行っていますか一部実施委託先は、第三者認証の取得状況とデータ取り扱い条件を確認したうえで選定しています。各社の利用規約・データ処理条項に基づき取り扱いを委託していますが、定期的な実地監査は行っていません。ISO 27001 A.5.22 / 個人情報保護法 25条
SUB-04委託先を変更する場合の通知はありますか一部実施外部サービスの追加・変更があった場合は、プライバシーポリシーを更新し最終更新日を明示します。重要な変更については登録メールアドレスへの通知またはサービス上での告知を行います。ISO 27001 A.5.22

10. 決済・課金

有料プランの決済に関する項目です。

No.チェック項目対応状況回答参考規格
BIL-01クレジットカード情報を保持していますか実施済み保持していません。決済はPCI DSS準拠の決済代行事業者であるStripeが処理し、カード番号は当社のシステムを経由せずStripeへ直接送信されます。当社が保持するのはStripe上の顧客識別子と課金状態のみです。PCI DSS / ISO 27001 A.5.19

11. 認証・準拠状況

認証の取得状況です。取得していないものは取得していないと明記しています。

No.チェック項目対応状況回答参考規格
CERT-01ISO/IEC 27001(ISMS)を取得していますか未実施取得していません。本チェックシートは同規格の管理策分類を参考に自己点検した結果です。ISO/IEC 27001
CERT-02プライバシーマーク(JIS Q 15001)を取得していますか未実施取得していません。JIS Q 15001
CERT-03SOC 2 レポートを提供できますか未実施当社としてのSOC 2レポートはありません。基盤として利用するAWSのSOCレポートは、AWSからお客様ご自身で取得いただけます。SOC 2
CERT-04個人情報保護法に基づく対応を行っていますか実施済みプライバシーポリシーを公開し、利用目的の特定・公表、第三者提供および外国にある第三者への提供に関する説明、開示等請求への対応窓口の設置を行っています。個人情報保護法
CERT-05個別のセキュリティチェックシートへの回答に応じられますか実施済み応じます。貴社所定のフォーマットへの記入をご希望の場合は、お問い合わせ窓口よりご連絡ください。NDAの締結が必要な場合も対応可能です。-

お問い合わせ

本シートに関するご質問、貴社所定のセキュリティチェックシートへの回答依頼、秘密保持契約の締結については、お問い合わせページよりご連絡ください。

本シートの内容は2026年8月12日時点のものであり、サービスの改善に伴い予告なく変更される場合があります。最新の内容は本ページ(https://buzzkiri.com/security)をご確認ください。

セキュリティチェックシート | バズ切り