FAXサービスを選ぶとき、料金や送受信の操作に加えて確かめたいのが、預けた文書を誰が扱い、障害や不正アクセスにどう備えているかです。注文書には取引先や配送先の情報が含まれ、医療に関係するFAXでは、取り扱う情報と利用条件をさらに慎重に整理する必要があります。

SP-FAXでは、復旧訓練、医療用途を想定した要件整理、情報開示認定の申請、他社の公表事案を踏まえた点検を積み重ねてきました。この記事では、その取り組みを時系列で紹介します。導入を検討する際には、各段階で何を確かめたかと、現在どこまでを提供しているかを併せてご覧ください。

取り組みの時系列

時期主な取り組み
2026年5月RDS Multi-AZ切替と指定時点への復元訓練
2026年7月医療向け要件・証跡の整理、7月21日にWeb/APIを2AZへ配置
2026年7月31日ASPIC情報開示認定へ正式申請
2026年8月以降公表事案を契機に管理権限・認証情報・検知・証跡を点検
2026年10月2日ASPIC情報開示認定を取得（オンラインFAX本体）

1　5月に確かめたのは、データベースが切り替わり、復元できること

2026年5月6日、データベースのMulti-AZ切替と、指定時点のデータへ戻す復元訓練を行いました。Multi-AZは、異なるアベイラビリティーゾーンに構成を分け、片側の障害に備える仕組みです。

このとき、切替に伴ってHTTPが応答できなかった時間は16秒でした。また、指定時点のデータベースを別の環境へ復元するまでに42分かかり、対象テーブルの件数と、移行時の意図した値の変換を確認しました。

16秒と42分は、この一回の訓練条件での実測です。FAXが相手へ届くまでの時間や、あらゆる障害からサービス全体が復旧する時間を示すものではありません。バックアップの設定を確認することと、復元した内容を確かめることの両方を、運用の課題として扱っています。

2　7月にWeb・APIを2つのゾーンへ分けた

データベースの冗長化に続き、2026年7月21日、顧客向けWeb・APIを東京リージョン内の異なる2つのゾーンへ配置し、ロードバランサーを経由する構成へ切り替えました。

Webサーバーが複数になった際には、画面を表示できるかだけでなく、FAX送信や定期処理を重複して実行しないことも考える必要があります。Webの受付と、その後の処理の役割を分けて整備しました。

導入時に確認していただきたいのは、「何が冗長化されているか」です。Web・API、データベース、FAX通信基盤、通信事業者、リージョン全体の障害は、それぞれ影響と復旧方法が異なります。SP-FAXでは、FAXエンジンを含むサービス全体の完全なActive-Activeや、リージョン全体の停止に対応するクロスリージョンDRは、現在の提供範囲に含めていません。

現在の構成と提供範囲： https://fax.spread-inc.co.jp/security

3　医療用途への備えでは、認証だけでなく責任と運用を整理した

7月には、医療に関係する情報の取り扱いを想定し、認証、通知、保存、削除、委託先、事故対応などを整理しました。厚生労働省のガイドラインを参照し、対策と証跡を項目ごとに確認するための台帳も整備しています。

例えば、文書本体をメールに添付せず通知だけにすること、利用者の認証を必須にすること、OCRの処理場所と原本の保存場所を別々に確認することには、それぞれ異なる目的があります。利用者側の担当者、端末、共有先、委託契約まで含めて、実際の運用を決めることが必要です。

医療・機密情報向けの設定は、非実データ専用環境で技術受入を行いました。実医療情報での利用は、対象文書、契約、責任分界、保存・削除条件、委託先と運用体制を確認し、対象の契約組織ごとに判断します。個別の機能や技術試験だけで、ガイドラインへの包括的な適合を表すものではありません。

厚生労働省のガイドライン： https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html

4　7月末の申請内容をもとに、10月にASPIC情報開示認定を取得

2026年7月31日、ASPIC情報開示認定の正式申請一式を提出しました。バックアップ、ログ保持、文書のマルウェア検査などについて、実際に確認した内容と、その裏付け資料を整理したうえで、照会への回答や資料の修正を行いました。

SP-FAXは2026年10月2日、認定番号0300-2610として認定されています。認定機関の公開情報には、開示情報の時点が2026年7月31日であることも示されています。

今回の対象は通常のASP・SaaS区分のオンラインFAX本体です。AI OCRは認定対象に含まれていません。検討中の用途については、認定対象と、現在のサービス仕様をそれぞれ確認してください。

認定機関の掲載情報： https://aspicjapan.org/nintei/0300-2610/

5　公表された不正アクセス事案を、当社の点検へつなげる

他社の事故公表は、サービスの管理方法を見直す機会にもなります。SP-FAXでは、さくらインターネットの公表事案を契機に、管理者の権限、認証情報、公開面と管理面の境界、検知と証跡保全などを横断的に点検する設計を進めました。

デジタル庁のGSS事案を受けた点検では、保守アカウントの悪用や文書の大量取得を念頭に、文書操作の記録や取得頻度の監視について、対策の効果と限界を整理しました。

こうした点検では、相手の事案の原因と、自社で想定するリスクを分けています。公表内容から導く点検項目は、当社で同じ侵害が起きたことを示すものではありません。各事案の経緯と対策は、別の記事で公表資料を基に詳しく説明します。

6　対策を継続して見直せる管理へ

改修を重ねる中で、どの情報を守るか、誰が判断するか、残る課題は何かを整理するため、ISO/IEC 27001の要求事項を参照した管理体制の整備も進めています。SP-FAXは、現時点でISMS認証を取得していません。

当社の改善計画には、技術対策だけでなく、検証、継続運用、復旧訓練、独立した確認を評価する社内基準もあります。目標とする評価と、実際に到達を確認できた状態を分けて管理します。

安全性は、認定の取得日や一回の訓練結果だけでは判断しきれません。機能や運用が変わるたびに、影響する範囲と証跡を確かめ、公開情報も更新していくことを重視しています。

導入前に確認したいこと

FAXを扱う業務、文書に含まれる情報、閲覧する部署、必要な保存期間、外部システムとの接続方法を整理すると、必要な対策を具体化できます。

SP-FAXの対応状況はセキュリティページで、保存・削除や責任分界などは情報開示ページで確認できます。社内審査や質問票がある場合は、必要な項目と対象の業務を添えてご相談ください。

セキュリティと信頼性： https://fax.spread-inc.co.jp/security

安全・信頼性情報開示： https://fax.spread-inc.co.jp/lp/disclosure.html