Zentrum24 Academy
無料で始める
法的情報センター

Zentrum24 Academy のセキュリティ

最終更新日 2026年9月8日

Zentrum24 Academy は、規制対象の医薬品およびライフサイエンス組織におけるコンプライアンス研修および GxP 研修のために構築された、マルチテナント型 SaaS 学習管理システム(LMS)です。本システムは、ロールに基づく研修の割当、SCORM コース、テスト、21 CFR Part 11 に基づく電子署名、PDF/A 形式の修了証明書、および改ざん検知可能な監査証跡を管理します。当社のお客様は規制当局の監督下で業務を行っているため、当社はセキュリティおよびデータインテグリティを、後付けの事項ではなく製品の第一級の要件として取り扱っています。

本書は、Zentrum24 Academy がお客様およびエンドユーザーのデータをどのように保護しているかを説明するものです。すなわち、システムがどこで稼働し、テナントがどのように分離され、データがどのように暗号化され、アクセスがどのように制御され、規制対象の研修記録に求められる監査の完全性をどのように維持しているかを記載します。また、当社のコンプライアンス体制についても率直に述べます。これには、既に取得済みのものではなくロードマップ上にとどまる第三者による保証がどれであるかを明示することを含みます。

本書の管理者: Zentrum24 LLC セキュリティ部門。最終レビュー日: 2026年9月8日。バージョン: 1.0。

インフラストラクチャ & ホスティング

Zentrum24 Academy は Vercel(アプリケーションのホスティング)上でホストされ、Supabase がマネージド PostgreSQL データベースおよびオブジェクトストレージを、Stripe が決済処理を提供します。主たるホスティングリージョンは AWS us-east-1 (Northern Virginia, United States) です。リージョン別のデータレジデンシーの選択肢は現在提供していません。

  • コンピュート。本アプリケーションは、Vercel のグローバルエッジネットワークの背後にあるマネージドサーバーレスプラットフォーム上で稼働します。お客様がアクセスしてパッチ適用や管理を行うホストサーバーは存在せず、基盤となるホストの保守はプラットフォーム提供者が行います。
  • データベース。アプリケーションデータは、Supabase が提供するマネージド PostgreSQL データベースに保存され、保存時に暗号化されます。
  • オブジェクトストレージ。アップロードされたファイルおよび生成された成果物(例えばコースパッケージや証明書)は、サーバーサイド暗号化を有効にし、公開アクセスを遮断した非公開のオブジェクトストレージバケット(Supabase Storage)に保存されます。
  • レート制限。本番環境において、レート制限の状態はアプリケーションの PostgreSQL データベース内で管理されます。
  • トランザクションメール。通知およびシステムメールは Resend(Resend, Inc.)を通じて配信され、フォールバックとして直接の SMTP トランスポートを利用できます。

ネットワーク分離。Zentrum24 Academy のアプリケーション(Vercel)およびそのマネージドデータベース(Supabase)は、マネージドクラウドプラットフォーム上で稼働します。データベースは一般の公開利用に供されておらず、アクセスは、最小権限の原則に従うスコープ限定の資格情報を用いて、アプリケーション層を介して媒介されます。

テナント分離

Zentrum24 Academy はマルチテナント型であり、複数のお客様組織が同一のアプリケーションおよびデータベースを共有しつつ、それぞれのデータは論理的に分離されたまま保たれます。当社は、この分離をアプリケーションコードのみによってではなく、データベース層で強制します。

  • PostgreSQL の行レベルセキュリティ(RLS)。テナント単位のテーブルには、すべてのクエリを有効なテナント識別子で絞り込む RLS ポリシーが設定されています。仮にアプリケーション層のチェックが漏れた場合であっても、データベース自体が他のテナントの行を返しません。
  • 非スーパーユーザーのアプリケーションロール。アプリケーションは、RLS の適用対象となる専用の非スーパーユーザー PostgreSQL ロールを用いて接続します。特権的な操作(マイグレーションおよびシード投入)には、稼働中のアプリケーションが使用しない別個の管理用ロールを使用します。これにより、アプリケーションロジックの不具合が権限昇格につながり、テナント分離を回避することはできません。
  • リクエスト単位のテナントコンテキスト。テナント識別子は認証済みのセッションから導出され、当該リクエストの継続中データベースセッションに適用されます。これにより、RLS ポリシーはすべての読取りおよび書込みにおいて正しいテナントに対して評価されます。

ここでいう多層防御とは、テナント分離がアプリケーションの認可とデータベースの RLS という二つの独立した層で強制されることを意味し、単一の誤りがテナント間のデータ露出につながらないようにするものです。

暗号化

転送中

Zentrum24 Academy へのすべての接続は TLS により保護されます。トラフィックはプラットフォームのエッジにおいて HTTPS で提供され、内部のサービスとデータベース間の通信も同様に暗号化されます。セッション Cookie には httpOnly および Secure の属性が付与されており、クライアントサイドのスクリプトに公開されず、暗号化された接続を通じてのみ送信されます。

保存時

保存時のデータは、スタック全体にわたって暗号化されます。マネージド PostgreSQL データベース、オブジェクトストレージ(サーバーサイド暗号化)、ならびに関連するバックアップおよびスナップショットは、いずれも暗号化されます。特に機微なアプリケーションレベルのシークレットには、後述の「アプリケーションセキュリティ」に記載する追加の保護層が適用されます。

認証 & アクセス制御

  • 多要素認証(MFA)。ユーザーは、TOTP に基づく MFA(標準的な認証アプリと互換性があります。)を、アカウント復旧のための単回限りのバックアップコードとともに登録できます。バックアップコードは、パスワードおよび現在の TOTP コードによる再検証を経たうえで、ユーザー自身が再生成できます。
  • シングルサインオン(SSO)。SAML による企業向け SSO は、SCIM プロビジョニングを伴い、Pro ティアで利用可能であり、テナントごとに構成されます。SSO が有効な場合、ユーザーはお客様の ID プロバイダを通じて認証され、条件に合致するユーザーは受講者としてジャストインタイムでプロビジョニングされ得ます。
  • ロールベースアクセス制御(RBAC)。アクセスは、明確に分離されたロール(テナント管理者、作成者、マネージャーおよび受講者)、ならびにチーム単位の可視性のためのマネージャー階層により管理されます。ユーザーは、自らのロールが付与する範囲においてのみ、情報を閲覧し操作を行うことができます。
  • セッションの取扱い。セッションには、httpOnly Cookie に保存されるステートレスな署名付き JWT を使用します。セッションにはアイドルタイムアウトが適用され、構成された時間だけ無操作が続いた場合、ユーザーはサインアウトされ、再認証が必要となります。有効なセッションは、Cookie の過度な入替えを生じさせることなく、活動に応じて再発行されます。
  • パスワードポリシー。パスワードは bcrypt によりハッシュ化されます。管理者は、複雑性の要件、パスワード履歴(再利用の防止のため)、および次回ログイン時に変更を必須とするパスワードの有効期限間隔を設定できます。
  • レート制限 & アカウントロックアウト。機微なエンドポイント(ログイン、SSO の開始、エビデンスのエクスポートなど)には、テナント単位およびユーザー単位でレート制限が適用されます。短時間のうちにログインの失敗が繰り返された場合、一時的なアカウントロックアウトが発動します。管理者はアカウントのロックを解除し、関連する監査イベントを確認できます。

アプリケーションセキュリティ

  • 入力値の検証。リクエストは、業務ロジックが実行される前に、サーバー境界において厳格なスキーマに対して検証されます。これにより、不正な形式または悪意のある入力がデータや下流のシステムに到達するリスクを低減します。
  • 最小権限のアクセス。クラウドプラットフォームへのアクセスは最小権限の原則に従います。アプリケーションの各構成要素は必要な権限のみを保持し、管理機能はランタイムのアプリケーションロールから分離されています。データベースのロールも同様にスコープが限定されています(「テナント分離」をご参照ください)。
  • シークレット管理 & エンベロープ暗号化。特に機微な保管シークレット—ユーザーごとの MFA シークレットおよびテナントごとの SSO クライアントシークレットを含みます—は、主データストアの外部に保持されるマスターキーを用いたエンベロープ暗号化(AES-256-GCM)により保護されます。暗号化された値は、バージョン管理された自己記述的な形式で保存され、鍵および形式を時間の経過とともにローテーションできるようにしています。
  • 二名体制の統制。統制されたコンテンツのワークフローにおいて、コースの作成者または提出者が自ら承認を行うことはできず、公開には別のレビュアーによる電子署名が必要です。この職務分離は、方針のみに委ねるのではなく、アプリケーションによって強制されます。

監査 & データインテグリティ

規制対象の研修記録の信頼性は、その裏付けとなる証拠の信頼性を超えることはありません。Zentrum24 Academy は、その証拠を改ざん検知可能で、説明可能なものとするよう構築されています。

  • ハッシュチェーン化された監査証跡。セキュリティおよび記録に関連する事象は、各エントリが暗号学的に直前のエントリと連結された追記専用の監査ログに記録されます。過去のエントリを改変、削除または並べ替えようとする試みはいずれもチェーンを破壊し、検証により検知可能となります。ハッシュに用いられるタイムスタンプは記録された値に固定されるため、検証は決定論的に行われます。
  • 21 CFR Part 11 に基づく電子署名。電子署名は、署名者の識別情報、署名の意味、ならびに署名の対象となる特定の記録およびタイムスタンプを結び付けます。署名には再認証(パスワードの再入力)が必要であり、署名は対象の記録に紐付けられているため、他の記録への転用や否認はできません。
  • エビデンスパッケージ。管理者は、査察および内部監査に対応するため、署名付きのエビデンスパッケージ(研修記録および監査ログに署名付きマニフェストを添えたもの)をエクスポートできます。マニフェストは暗号学的ハッシュにより結び付けられます。

可用性 & 回復性

  • マネージドデータベースの回復性。本番の PostgreSQL データベースはマネージドサービス(Supabase)として提供され、可用性およびフェイルオーバーは提供者により管理されます。
  • オートスケーリングするコンピュート。サーバーレスのアプリケーション層(Vercel)は需要の変動を吸収するよう自動的にスケールし、正常でないインスタンスは自動的に置き換えられます。
  • バックアップ & ポイントインタイムリカバリ。マネージド PostgreSQL データベース(Supabase)は、自動化された暗号化バックアップおよびポイントインタイムリカバリ(PITR)に対応しており、設定された保持期間内の任意の時点への復元を可能にします。復元手順は定期的にテストされるべきであり、復旧目標(RTO/RPO)は運用上定められます —。
  • ヘルスチェック。liveness および readiness のエンドポイントにより、プラットフォームは正常でないインスタンスを検知し、これを迂回してルーティングできます。

データライフサイクル:エクスポート & 削除

  • データのエクスポート。お客様は自らのデータの所有権を保持します。管理者は、研修記録、監査ログおよび修了証明書をエクスポートでき、また、テナントごとにスコープが限定された API トークンを用いて、バージョン管理された REST API を通じたプログラムによるアクセスが可能です。
  • 削除 & オフボーディング。契約終了時または文書化された請求があった場合、お客様のデータは、適用される契約およびデータ処理契約の条件に従って削除または返還されます。なお、一定の規制対象記録(例えば署名済みの研修修了記録や監査エントリ)は保存要件の対象となり得るため、削除の運用は、お客様のプライバシー上の請求と当該規制上の保存義務との整合を図る必要があります。
  • プライバシーに関する請求。当社は、該当する場合、GDPR / UK-GDPR に基づくデータ主体の請求への対応をお客様に対して支援します。プライバシーに関するお問い合わせは contact@zentrum24.com までお寄せください。

脆弱性管理 & 責任ある開示

  • 依存関係およびプラットフォームの健全性維持。当社は、依存関係およびプラットフォーム構成要素について既知の脆弱性を監視し、リスクの優先度に応じて更新を適用します。マネージドプラットフォームサービス(Vercel、Supabase)については、基盤となるホストおよびインフラのパッチ適用が各提供者により行われます。
  • 変更管理。変更は、リリース前にバージョン管理および継続的インテグレーションのチェック(ビルドおよび型安全性のゲートを含みます。)を経て適用されます。
  • 責任ある開示。当社はセキュリティ研究者からの報告を歓迎します。脆弱性の疑いがある場合は contact@zentrum24.com までご報告ください。公開前に、当社が調査および是正を行うための合理的な期間をご提供いただき、また、テストにあたって他のお客様に属するデータへのアクセス、改変または持ち出しを行わないでください。当社は、正当な報告について受領を確認し、是正の状況を報告者にお知らせします。

コンプライアンス体制

Zentrum24 Academy は、規制対象の研修記録を規律する基準に基づく義務の履行をお客様が果たせるよう設計されています。当社は自らの体制を正確に記載し、当社が構築した製品機能と、当社がまだ取得していない第三者による保証とを区別します。

当社プラットフォームが対応するよう設計されている基準

  • 21 CFR Part 11 — 電子記録および電子署名:識別情報に紐付いた電子署名、署名時の再認証、および改ざん検知可能な監査証跡。
  • EU Annex 11 — コンピュータ化システム:当該附属書の期待事項に沿ったアクセス制御、監査証跡、データインテグリティおよび可用性の実務。
  • ICH Q9 — 研修および統制されたコンテンツのワークフローの設計・運用に適用される品質リスクマネジメントの考え方。
  • GAMP 5 — コンピュータ化システムバリデーションに対するリスクベースかつライフサイクルに基づくアプローチ。Zentrum24 Academy は、お客様が自らの品質システムの中でバリデートできるよう構築されています。
  • SCORM 1.2 / 2004 — 標準に基づくコースの相互運用性。
  • GDPR / UK-GDPR — データ処理契約に裏付けられた、個人データの取扱いに関するプライバシー・バイ・デザインの実務。

これらの基準に「対応するよう設計されている」とは、Zentrum24 Academy がお客様に必要な技術的統制を提供することを意味し、それ自体によってお客様固有の実装がバリデートされるわけではありません。意図する用途に対する正式なコンピュータ化システムバリデーションは、引き続き Zentrum24 Academy とお客様との共同責任です。

第三者による保証 — ロードマップ(未取得)

  • SOC 2。SOC 2 の検証は当社のロードマップ上にあり、進行中 / 計画中です。Zentrum24 Academy は現時点で SOC 2 報告書を保有しておらず、本書のいかなる記載も、これが存在するとの主張として解されるべきではありません。検証が完了次第、当社は NDA に基づき報告書を提供します。
  • 第三者によるペネトレーションテスト。第三者によるペネトレーションテストは、当社の継続的なセキュリティプログラムの一環として計画中です。実施済みのテストが存在する場合には、その概要または保証書を NDA に基づき共有することができます。それまでの間、当社は、第三者によるペネトレーションテストが実施されたと表明することはありません。

当社は、各種保証の取得に応じて本セクションを更新します。当社は、保有していない認証、監査またはテスト結果を主張することはありません。

副処理者

Zentrum24 Academy は、本サービスを提供するために少数の副処理者を利用しています。最新の一覧はお客様向けに維持されており、重要な変更はデータ処理契約に従って通知されます。

  • Vercel Inc. — アプリケーションのホスティングおよびコンテンツ配信、米国。
  • Supabase — マネージド PostgreSQL データベースおよびオブジェクトストレージ、米国。
  • Stripe, Inc. — 決済処理およびサブスクリプション課金、米国。
  • メール / SMTP プロバイダ — トランザクションメール。プロバイダは未選定です(提供開始前に追加されます)。

責任共有の概要

セキュリティはパートナーシップです。Zentrum24 Academy は、上記に述べたインフラストラクチャ、テナント分離、暗号化、アプリケーションセキュリティおよび監査の完全性など、プラットフォーム自体のセキュリティについて責任を負います。お客様は、プラットフォームにおけるセキュリティ、すなわち、自らのユーザーおよびロールの管理、MFA および SSO ポリシーの適用、管理者の資格情報および API トークンの保護、保存およびアクセスレビューの実務の定義、ならびに自らの固有の規制対象用途に向けた本システムのバリデーションについて責任を負います。

お問い合わせ

  • セキュリティ & 脆弱性の報告: contact@zentrum24.com
  • プライバシー / データ主体からの請求: contact@zentrum24.com
  • 一般 / 営業 / トラストに関するお問い合わせ: contact@zentrum24.com

Zentrum24 LLC, 1621 Central Ave, Cheyenne, Wyoming 82001, USA。準拠法:米国 Wyoming 州法。本ホワイトペーパーは情報提供を目的として提供されるものであり、変更されることがあります。また、Zentrum24 LLC とお客様との間で締結された署名済みの契約において明示的に定める場合を除き、契約上の義務を生じさせるものではありません。