2026-07-22 実査。体制: Sonnet事実収集（読取専用・コマンド実測）→ Fable裏どり＋緊急修理 → sol（gpt-5.6-sol）総合評価。要求水準は法務レポート§9のS-1〜S-7（個情法23/25/26条の安全管理措置に基づく）。
※本ページは公開面の攻撃材料になり得る具体名（サーバ名・パス・アカウントID等）を意図的に伏せた要約版。完全版はローカル正本 educaredev/docs/legal/S_AUDIT_ASSESSMENT_20260722.md。
会員データを「安全かつ堅牢に保管できている」とはまだ判定できない。ただし骨格は存在する: 会員DB本体は毎日自動エクスポートされ、Cloudflareアカウントの外（別系統サーバ）へ日次退避されている。問題は「バックアップが平文」「アップロード書類（履歴書/ES等のPII）が独立バックアップから漏れている」「復旧演習ゼロ」「削除の設計矛盾」「漏洩時手順・委託先台帳・会員エクスポートの不在」の7点に集約される。
是正はP0×9本＋P1×2本・計14〜22人日。課金開始前に完了が必要（有料公開の停止条件）。非AI部分のβ公開自体は止めない。
| 要求 | 判定 | 根拠（実測） |
|---|---|---|
| S-1 世代バックアップの物理分離 | PARTIAL | 会員DB本体のD1日次ダンプは直近4日連続成功・外部サーバへ退避済み（fact）。不足: 提出書類（履歴書/ES等のPDF・画像）を置くR2ストレージに独立バックアップが無い。ダンプは暗号化なしの平文圧縮。 |
| S-2 復旧手順＋復旧演習 | FAIL | 復旧手順書は存在するが、復旧演習は一度も未実施。RPO/RTO（どこまで戻せて何分で復旧できるか）の実測値なし。 |
| S-3 論理削除＋猶予期間 | FAIL | 会員削除は即時物理DELETE（誤操作に無防備）。一方でアップロード書類の実データはユーザーIDを外すだけで残存し続ける。「可用性にも消去請求にも弱い」逆向きの混在状態。 |
| S-4 会員ID認可境界テスト | PARTIAL | 主要ルートに他ユーザー拒否テストと所有者限定SQLは実在（fact）。不足: mock単体テスト中心で、実DB2ユーザーでの全ルート横断の権限昇格E2Eが無い。 |
| S-5 漏洩時対応手順 | FAIL | 一般方針の宣言のみ。要配慮情報の判定基準・個人情報保護委員会報告・本人通知・証拠保全を定めた手順書が無い。 |
| S-6 委託先データ処理条件の台帳 | FAIL | 委託先名と用途の表のみ。no-training・保持期間・所在国・DPA・再委託先・削除条件の証跡台帳が無い。 |
| S-7 会員データエクスポート | FAIL | 会員向け一括エクスポート機能・手動対応手順とも未実装。規約案の「終了時データ出力」条項を実装が裏切る状態（規約側は完了まで効力を条件付け済み）。 |
①会員サービスのソースコードのローカルバックアップが6日間連続失敗していた。原因はファイル重複事故で生まれた不正なgit参照2個。除去してバックアップ生成成功を実測済み — 定期ジョブは自然復旧。
②当日の監査済みコミット群がGitHub未pushでローカル単一障害点だった。全branchをpushして保全済み。
| WP | 優先 | 内容 | 工数 |
|---|---|---|---|
| S1A | P0 | バックアップの暗号化（公開鍵暗号＋検証つき）・権限最小化。外部退避は暗号化済みファイルのみに | 1〜1.5人日 |
| S1B | P0 | 提出書類R2の独立世代バックアップ（manifest・暗号化・保持期間・復元試験・欠損アラート） | 2〜3人日 |
| S3 | P0 | 二段削除: 論理削除＋即時セッション失効→猶予期間後にD1・R2一括物理purge。書類残存の解消 | 3〜5人日 |
| S3B | P0 | データ保持期間マトリクス＋削除台帳＋「復元時に削除済み会員を復活させない」墓標処理 | 1〜2人日 |
| S2 | P0 | 隔離環境での復旧ドリル実施（RPO/RTO実測・記録・四半期化） | 1〜2人日 |
| S5 | P0 | 漏洩対応runbook（初動隔離・要配慮判定・委員会報告/本人通知の判断フロー・通知文雛形） | 1〜1.5人日＋法務 |
| S6 | P0 | 委託先台帳SSOT化（no-training/保持/所在国/DPA/削除方法/確認日）・不明ベンダはfail-closed | 1〜2人日＋契約確認 |
| S4 | P0 | 実DB2ユーザーの水平権限昇格E2Eを全会員ルートへ・CI必須化＋coverage gate | 1.5〜2人日 |
| S7 | P0 | 会員データ一括エクスポート（非同期生成・再認証・期限付き取得・混入ゼロテスト） | 2〜3人日 |
| OPS | P1 | バックアップ群のheartbeat監視＋警報（部分失敗を成功扱いしない） | 0.5〜1人日 |
| IAM | P1 | クラウド側MFA強化・最小権限トークン・バックアップ専用鍵・break-glass手順 | 0.5〜1人日 |
P0是正9本の着工GOと着工順。Fable推奨順: ①S1A暗号化＋S1B書類退避（今あるデータを守る）→ ②S3/S3B二段削除（法的矛盾を消す）→ ③S2復旧ドリル（戻せることを証明する）→ 残り。並走セッション方式で回せば実質数日で消化可能。
補足: 復旧ドリル実測と独立再監査でS-1〜S-7全PASSになるまで、規約第11条（バックアップ）・第12条（データ出力）の本適用と有料公開は保留（法務レポート§10の停止条件④と連動）。
実査体制: Sonnet（事実収集・読取専用実測）→ Fable（裏どり・緊急修理・統合）→ sol gpt-5.6-sol（総合評価）。2026-07-22。本ページは是正完了後に削除する。