本文書は、株式会社Layer8（以下「当社」）が提供するSOC 2向けアプリケーション診断（以下「本サービス」）の実施条件を定めます。お客様はAuthorization to Testへの同意と併せて、本文書に同意するものとします。
バージョン: v0.1（2026年8月21日）
1. 対象範囲
診断の対象は、注文時に指定されたFQDN、環境、対象の種類に限ります。範囲外の資産、範囲外のサブドメイン、第三者のサービスは対象としません。範囲の変更が必要な場合は、診断の開始前に当社が確認します。
2. 禁止する操作
当社は、診断において次の操作を行いません。
- DoS、負荷試験、可用性を目的とした大量リクエストの送信
- データの削除、および復旧できない変更
- 実際の顧客に対する通知、メール送信、その他の連絡
- 実際の決済、送金、契約の成立
- お客様が禁止事項として指定した機能の操作
3. 使用するデータとアカウント
診断は、お客様が提供したテストアカウントとテストデータのみを使用します。書込みを伴う検証は、お客様が明示的に許可した機能に限定します。実データが混在する環境では、当社は影響範囲を確認したうえで検証方法を決定します。
4. 認証情報の取り扱い
テストアカウントの認証情報は、メールでは受け取りません。暗号化された入力経路で受け取り、必要最小限の担当者だけがアクセスします。認証情報と生の通信ログは、診断の完了から30日後に削除します。お客様は、これらの即時削除をいつでも要求できます。
5. 実データと個人情報
対象システム内で実際の利用者のデータや個人情報に到達した場合、当社は権限の有無を確認するために必要な最小限の範囲でのみ内容を確認します。証跡として記録する際は、識別できる情報を伏せます。当社は、当該データを診断の目的以外に利用せず、業務用の環境外へ持ち出しません。
6. 範囲外の事象
診断中に範囲外の資産や第三者のサービスに脆弱性の兆候を認めた場合、当社はそれ以上の検証を行わず、確認できた事実だけをお客様へ報告します。
7. 負荷と実施時間帯
お客様が指定したレート制限、並列数、実施時間帯を診断の設定に反映し、実施中も適用します。指定がない場合は、対象環境に応じて当社が設定します。
8. 本番環境
本番環境を対象とする場合、当社は開始前に次の項目を確認します。
- バックアップおよび復旧手段
- 緊急連絡先と対応可能な時間帯
- 禁止する機能と、書込みを許可する機能
- レート制限および実施時間帯
- WAF・レート制限装置による遮断が発生した場合の連絡方法
9. 停止手順
お客様は、メールでいつでも診断の停止を依頼できます。当社は依頼を受けた時点で診断を停止し、停止までの実施内容を記録します。当社が対象システムへの重大な影響を認識した場合も、お客様への連絡と併せて診断を停止します。
10. 記録
診断中の通信と操作は記録します。記録は、指摘の再現、影響範囲の確認、および実施範囲の証明に使用します。
11. 安全に検証できない項目
安全に検証できないと判断した項目は、実施せずにNot TestedまたはStaging Onlyとしてレポートに記録します。当社は、未検証の項目を検証済みとして報告しません。
12. 発見した情報の取り扱い
診断で取得した情報は、本サービスの提供および報告の目的にのみ使用します。お客様のデータをモデルの学習に利用しません。
13. 文書の改定
当社は本文書を改定することがあります。適用されるのは、お客様が同意した時点のバージョンです。
14. お問い合わせ
本文書に関するお問い合わせは info@layer8.jp までご連絡ください。