セキュリティと信頼性

月額1,100円から。
企業で求められる統制を、FAX基盤へ。

パスキーMFA、暗号化、監査ログ、Multi-AZは標準で。企業SSOや医療・機密情報向けの統制はエンタープライズ向けに。できていないことも同じページで公開します。

JAPHICマーク取得 総務省 電気通信番号使用計画 認定
実装内容を見る 対応状況の一覧を見る

FAX文書を守る4つの柱

認証・権限

パスキーMFAとアクセス制御

暗号化・保管

通信と保存データを暗号化

監査・記録

監査ログを7年間保全

可用性・復旧

Web/API 2AZとRDS Multi-AZ

2AZ

Web/APIを東京リージョン内で二重化

16秒

RDSフェイルオーバー訓練時のHTTP影響

42分

PITR復元訓練の実測時間

7年

改ざん防止ストレージでの監査ログ保全

数値は当社の構成・訓練時点における実測であり、すべての障害に対する保証値またはSLAではありません。

認証・行政認定

取得済みの認証・行政認定

第三者認証、自己宣言、行政認定は性格が異なるため、区別して公開しています。取得していない認証は保証・適用範囲外にまとめています。

JAPHICマーク
第三者認証

JAPHICマーク

個人情報の取扱いについて、認定機関の審査を受けて取得。

認定番号 2011130180
認
行政認定

電気通信番号使用計画

総務省の認定を受けた事業者として電話番号を提供しています。

総基番第147号（2026年7月2日）
★★
自己宣言

SECURITY ACTION

IPAの制度に基づく情報セキュリティ対策の宣言です。第三者による審査は伴いません。

二つ星宣言
ASP・SaaS安全・信頼性情報開示認定マーク0300-2610
情報開示認定 · 取得済み

ASPIC 情報開示認定

ASP・SaaS通常区分。安全・信頼性に関する情報開示基準を満たしたオンラインFAXサービスです。AI OCRは認定対象外です。

認定番号 0300-2610

認定期間 2026年10月2日〜2028年10月1日

情報開示ページ · ASPICの制度説明

標準の統制

標準で実装している統制

通常利用の基本基盤に含まれる内容です。個別設定や契約条件を伴うものはエンタープライズ向け、網羅的な対応状況は一覧表で確認できます。

Identity & Access

認証・アクセス

  • パスキーMFA（Face ID、Touch ID、Windows Hello、端末PIN等）。生体情報はSP-FAXへ送信・保存されず、TOTPと復旧コードも利用できます
  • MFAのテナント必須化、重要操作時の再認証、管理者ログイン通知（アカウント、認証方式、日時、接続元IP）
  • パスワードは12文字以上・4分類中3分類以上・有効期限180日
  • ロール、テナント、FAXボックス単位の閲覧分離。PostgreSQL RLSとテナント別保存領域で多層化
  • 変更時にセッションを失効。パスワード、MFA、権限、IdPが変わった後の古い認証状態を信頼しません

Boundary & Privilege

境界・権限

  • 公開入口を限定。Web/APIはCloudFront・WAFを経由する正規入口のみに絞り、ロードバランサーへの直接到達を制限
  • 管理者アクセス、実行権限・秘密情報の取得範囲、セッション失効の多層制御
  • 権限と秘密情報を制限。公開Web、管理、FAX、バックグラウンド処理ごとに実行権限と秘密情報の取得範囲を分けています
  • IAM、実行ロール、デプロイ権限を継続的に棚卸しし、変更主体と反映した成果物を追跡
  • APIキーごとの権限スコープ、有効期限・失効、接続元IP／CIDR制限、レート制御、冪等性キー

Data Protection

データ保護

  • TLS 1.2／1.3とHSTS。FAX文書はAWS東京リージョンのS3へSSE-KMSで保存し、RDS、EBS、EFSも保存時暗号化
  • S3 Block Public Accessを有効化し、文書は認証・テナント確認を経た短期の署名付きURL等で配信
  • S3上も契約組織別に分離
  • OCR直接アップロード、外部FAX API、メールFAX・メールOCR、受信FAXの文書を一時領域でマルウェア判定し、安全性を確認できない場合は後続処理へ進めません

Audit & Records

監査・記録

  • 認証、設定・権限変更、API、FAX、OCR操作を監査ログに記録
  • 日次でS3 Object Lockへ出力し、7年間保全
  • 組織の管理者が期間・操作者・操作・結果で絞り込み、管理画面からCSV取得

Detection & Monitoring

検知・監視

  • AWS WAFによる不正リクエストの検知・遮断
  • GuardDutyによる脅威兆候検知と、本番WebホストのInspector脆弱性検査
  • 文書取得を含む高頻度アクセスを監視し、基準超過時に運用担当へ通知
  • FAX失敗率・経路異常の監視と日次の実送信E2E試験
  • 設計・実装変更を複数のフロンティアAIモデルで敵対的レビューし、担当者確認を経て自動回帰テストへ反映

Availability & Recovery

可用性・復旧

  • CloudFront＋WAF、ALB＋2ノード（異なる2AZ）、RDS Multi-AZの構成で片系停止試験を実施
  • 同一成果物を1台ずつ反映し、ALBから切り離して検証。ロールバック試験にも合格
  • 自動バックアップ7日間とPITR。フェイルオーバーと復元を訓練
  • SQS・DLQ、再試行、重複排除で、メール取込などの一時的な失敗を回収

エンタープライズ Security

要お問い合わせ

認証・データ取扱い・運用条件を組織単位で適用

契約組織ごとの接続設定、責任分界、保存・削除条件の確認を伴うため、要件と利用規模に応じて提供範囲と料金をご案内します。

エンタープライズ機能を問い合わせる

SAML 2.0企業SSO

契約組織のIdPと接続し、テナント単位で必須化。管理者本人がSAMLログインを確認するまで強制化しない安全策付き。

AWS PrivateLink・mTLS

プライベート接続とクライアント証明書認証を、対象環境と証明書運用を確認して構成。

医療・機密情報向けプロファイル

全利用者MFA必須、受信メールは通知のみ（原本PDF非添付）、OCR処理場所の制限、保存期限と削除制御を契約組織へ一括適用。

管理画面・APIの接続元制限

テナント単位およびAPIキー単位で許可するIPv4アドレス／CIDRを設定。通常利用でも管理画面から有効化できます。

医療・機密情報向けプロファイルは、非実データ専用環境での技術受入に合格しています。実医療情報での利用は、契約条件、責任分界、保存・削除条件、委託先および運用体制を確認し、当社責任者が承認した契約組織に限定します。本機能のみで厚生労働省ガイドラインへの包括的な適合を保証するものではありません。

対応状況 & Roadmap

対応状況の一覧

法人向けクラウドサービスの選定で確認される項目を、対応状況と提供形態に分けて整理しています。認証・行政認定の取得状況は認証・行政認定と保証・適用範囲外をご覧ください。

対応済 設定で対応 エンタープライズ 対応予定 未対応・個別検討

利用者向け

契約組織の管理者や利用者が、機能として使う・設定する・確認できる統制。

当社運用

当社が運用し、利用者側の操作・設定はない統制。ログや証跡を契約組織へ提供するかは各行の説明に記載しています。

分類 項目 対応状況 提供形態 現在の範囲・今後の方針
認証パスキー・TOTP MFA・管理者ログイン通知対応済利用者向けパスキー、TOTP、復旧コード、MFAのテナント必須化、再認証、ログイン通知に対応しています。
認証SAML 2.0企業SSOエンタープライズ利用者向け契約組織のIdPとの接続設定後に提供し、テナント単位でSSOを必須化できます。
アクセス制御管理画面・APIの接続元IP／CIDR制限設定で対応利用者向けテナント単位およびAPIキー単位で許可するIPv4アドレスまたはCIDRを設定できます。管理画面の有効化時には、現在の接続元を許可対象に含める必要があります。
アクセス制御AWS PrivateLink・mTLSエンタープライズ利用者向けAWS環境間のプライベート接続を構成するPrivateLinkと、クライアント証明書で接続主体を確認するmTLSを、要件に応じて個別または組み合わせて提供します。対象環境、DNS、証明書の発行・更新・失効、責任分界および料金を確認して構成します。
アクセス制御SCIM、VPN・閉域、専用環境未対応・個別検討利用者向け契約規模、接続先、運用責任および費用を確認したうえで個別に判断します。
データ保護通信・保存時暗号化、テナント分離対応済当社運用TLS、SSE-KMS、RLS、契約組織別保存領域を組み合わせています。
データ保護OCR直接アップロードのマルウェア検査対応済当社運用一時保存領域で判定し、安全性を確認できないファイルを後続処理へ進めません。
データ保護FAX・メール経路の文書マルウェア検査対応済当社運用外部FAX API、メールFAX、メールOCR、受信FAXの文書を共通の一時領域で判定します。
データ保護顧客別保存期間・削除実施証跡対応予定利用者向け既存の保存期限・削除制御を拡張し、対象と実行結果を確認できる証跡の提供を予定しています。
データ保護FAX原本の削除不能バックアップ未提供当社運用FAX原本について、保存期間中の削除不能性を保証するバックアップは現在提供していません。監査ログの7年間の保全とは対象・条件が異なります。
監査・記録監査ログ取得・改ざん防止保全・CSV取得対応済利用者向け主要操作を記録し、日次でS3 Object Lockへ出力して7年間保全します。組織の管理者が管理画面から絞り込んでCSV取得できます。
監査・記録監査ログWebhook・SIEM自動連携対応予定利用者向け現在の手動CSV取得に加え、署名、再送、失敗記録を備えた外部への自動連携を予定しています。
監査・記録FAX文書ストレージの操作記録対応済当社運用FAX文書ストレージへの取得・保存・削除・コピー操作はCloudTrailで記録し、当社の事故調査に利用します。これは契約組織の管理者がCSV取得できるアプリ監査ログとは別の記録です。文書ストレージ操作記録の契約組織への提供は未提供です。
監査・記録WAFセキュリティイベントの記録対応済当社運用WAFが遮断・追加検証したリクエストのログを、クエリ文字列・認証関連項目を秘匿して180日保持します。
検知・監視文書取得の高頻度アクセス監視対応済当社運用公開入口で文書取得を含む高頻度アクセスを監視し、基準超過時に当社の運用担当へ通知します。利用者単位の全PDF取得監査・通知は現行の提供範囲に含まれません。
検知・監視WAF・GuardDuty・Inspector・基盤監視対応済当社運用Web攻撃の遮断、AWS上の脅威兆候検知、本番Webホストの脆弱性検査に加え、RDS負荷・接続・遅延、SQS滞留、DLQを当社で監視します。
検知・監視複数のフロンティアAIモデルによる敵対的レビュー対応済当社運用設計・実装変更を異なる観点からレビューし、担当者が指摘の妥当性を確認したうえで、必要な内容を自動回帰テストへ反映します。
可用性・復旧Web/API 2AZ・RDS Multi-AZ対応済当社運用Web/APIとデータベースを東京リージョン内で冗長化し、切替・復元訓練を実施しています。
可用性・復旧公開ステータス・障害履歴対応予定利用者向け内部・外形監視をもとに、稼働状況と障害履歴を確認できる公開ページを追加予定です。
可用性・復旧FAX Active-Active、クロスリージョンDR未対応・個別検討当社運用現時点で提供済みまたは実施決定済みとは表明しません。需要、リスク、運用負荷を評価して判断します。
個別統制医療・機密情報向けプロファイルエンタープライズ利用者向け全利用者MFA、受信メールの通知のみ運用、OCR処理場所、保存期限を一括適用します。対象文書、責任分界、保存・削除条件の確認後に提供します。
第三者検証サイバー保険対応済当社運用情報漏えい等の事故に伴う第三者への損害賠償と事故対応費用を補償対象とするサイバー保険に加入しています。補償の適用は保険約款によります。詳細は情報開示ページをご覧ください。
第三者検証第三者脆弱性診断・侵入テスト未対応・個別検討当社運用現時点では実施済みと表明していません。AIレビューとは独立した検証として、顧客の調達・契約要件に応じて対象と証跡を合意して実施します。

「対応予定」は方向性を示すもので、提供時期・料金・仕様を保証するものではありません。対応状況は実装・運用検証の完了後に更新します。各項目の運用詳細、責任分界、保存・削除条件は安全・信頼性情報開示に記載しています。

脆弱性情報

公表された脆弱性への対応状況

社会的に影響の大きい脆弱性が公表された場合、SP-FAXへの影響と対応状況をこちらに掲載します。

掲載

PHPの脆弱性（2026年10月21日公表）

  • お客様が操作する管理画面およびAPIは、PHPを使用していません。
  • FAX送受信を処理する内部の構成要素の一部はPHPを使用していますが、インターネットから直接アクセスできない構成です。
  • この構成要素についても、公表当日の10月21日に修正版への更新と、攻撃経路を遮断する設定を完了しました。
  • 現時点で、本件を悪用した不正アクセスの痕跡は確認されておらず、サービスの停止もありません。
  • お客様側での対応は不要です。

新しい情報が公表された場合は、必要に応じてこちらを更新します。

適用範囲

保証・適用範囲に含めていないこと

できていないことを一か所にまとめています。調達要件に該当する場合は個別にご相談ください。

未提供・保証外

  • FAXエンジンを含むサービス全体の完全なActive-Active
  • AWSリージョン全体の停止に対応するクロスリージョンDR
  • FAX原本について、保存期間中の削除不能性を保証するバックアップ
  • 第三者機関による脆弱性診断・侵入テストの実施済み表明
  • 医療情報ガイドラインや個別業界基準への無条件の適合保証
  • 訓練時の復旧時間をすべての障害へ適用するSLA保証

取得していない認証

  • ISO/IEC 27001
  • SOC 2
  • プライバシーマーク（JIS Q 15001）
  • HITRUST

責任分界、保存・削除、委託先、障害対応などの詳細は情報開示ページで確認できます。

安全・信頼性情報開示を読む

選定ガイド

設定と監査の選定ガイド

全体の選定チェックリストに加え、SharePoint保存、MFA・SSO、監査ログ、誤送信、メール転送、保存・削除、API連携をFAX業務に沿って深掘りしました。

セキュリティ選定7項目

認証、権限、暗号化、監査、可用性、責任分界の全体像。

SharePoint自動保存

共有リンク、連携用ID、DLP、端末制御の12項目。

MFA・二段階認証・SSO

方式の違いと、必須化・復旧・失効の実務。

FAX監査ログ

送受信、閲覧、設定、APIを追うための証跡。

FAX誤送信防止

宛先、文書、承認、再試行、事故初動の10項目。

受信FAXのメール転送

PDF添付と通知のみ、外部転送、共有メールの統制。

FAX原本の保存・削除

原本、OCR、メール、端末、バックアップの期限。

FAX API・Webhook

キー管理、権限、署名、再送、二重送信対策。

エンタープライズ向け機能をご検討ですか？

SAML SSO、AWS PrivateLink、mTLS、医療・機密情報向けプロファイルなど、ご要件に応じた提供範囲と料金をご案内します。

エンタープライズ機能を問い合わせるオンラインFAXを見る