スタンスが、ちがいます
ふつうのサービス
- 個人情報を、できるだけ集める（広告・分析・販売のため）
- 全員分が、1つの大きなデータベースに集まる
- 漏れたとき、何千万人分が、一度に出る
AGORA（DICE）
- 利益は最低限でよいので、情報も最低限
- 重要な書類・写真は、本人・団体のGoogleドライブへ
- AGORAは「操作盤」。出るものが、もともと少ない
「漏れない」とは言いません。漏れても被害が小さくなるように、持つ量を減らす——設計で守ります。
情報の置き場所
- 本人・団体のGoogleドライブ書類・写真・会計のPDF。重要な情報は、ここへ
- AGORA（操作盤）画面を動かす最小限と、ファイルの「場所」。預かる連絡先は暗号化
- 本人の端末手元に置くもの。AGORAは持ちません
守りは、何重にも
入口から順に。ひとつ破られても、次で止まる形を目指しています。
- 入口Googleログインのみ・通信は暗号化
AGORAは、パスワードを持ちません（盗まれるものを、置かない）。通信はHTTPSで暗号化し、ブラウザ側の守り（他のサイトの枠に埋め込ませない等）も付けています。
- 判定見えるかどうかは、1か所で決める
画面ごとに別々の判定を書かず、権限の判定を1つの仕組みに集めています。認証なしで開ける入口は、一覧で固定し、増えるとテストが止めます。
- 見張り怪しい動きを、記録して知らせる
ログインの不一致や認証エラーの連続、大量アクセス、自動投稿ツールらしい動きを記録し、運営の管理者へ通知します。接続元は、元に戻せない形でしか記録しません。
- 記録変更は、消せない記録に残る
作成・変更・承認・書き出しは、追記専用の記録に残ります（氏名や金額などの中身は、書きません）。
- 備え団体のデータは、団体の手元にも
団体の会長が選べば、毎週、団体のGoogleドライブへ控えを置きます。AGORAが止まっても、控えは残ります。
いまの状態を、正直に
できていることと、これからのことを、分けて書きます。
- 使えますパスワードを持たない
ログインは、Googleアカウントのみ。AGORAに、盗まれるパスワードがありません。
- 使えます権限の判定を1か所に集約
役職・公開範囲・同意に基づく判定を、1つの仕組みに。対人トラブルの相談は、団体の管理者にもDICEにも見えません。
- 使えます預かる連絡先などは暗号化
預かる連絡先、外部サービスとの連携の鍵などは、暗号化して保存します。
- 使えます外部のAIへ、個人情報を送らない
AGORAのサーバーから、外部のAIへデータを送る処理は、ありません。メール・LINEの自動送信も、していません。
- 使えますマイナンバーは、扱わない
アンケートでも、マイナンバー・住所・電話番号を尋ねる項目は作れないようにしています。
- 使えます怪しい動きの記録と通知
認証エラーの連続・大量アクセスなどを記録し、運営の管理者へ知らせます。
- 一部重要な情報をドライブへ置く方式
方針です。連絡先は暗号化またはドライブ方式。名簿・住所などは、いまはAGORAのサーバーにあり、ドライブ方式への切り替えは準備中です。
- 一部バックアップ
重要な変更の前に控えを取っています。別の場所への定期バックアップと復元の訓練は、これからです。
- これから怪しい動きの自動遮断
いまは記録と通知までです。誤って正しい人を締め出さない設計を決めてから、順に入れます。
- これから入口の流量制限（サーバー側）
短い間の大量アクセスを、入口で止める仕組み。設定の準備を進めています。
- これから管理者の二段階認証・第三者の診断
運営の管理者の二段階認証と、外部の専門家による脆弱性診断は、まだ受けていません。
- これから情報が漏れたときの手順書
連絡の順番・役割・届け出の手順を、先に決めておく書類。これから作ります。
これから、さらに
攻撃は、人手から、AIを使った自動化へ変わっていきます。大量・高速・文面を変えた試行に備えて、順に厚くします。
- 流量制限入口で、短い間の大量アクセスを止める
- 自動の一時遮断怪しい動きを、一時的に止める（解除の道つき）
- 二段階認証運営の管理者から
- 外部の診断専門家に、穴を探してもらう
- 定期の点検使っている部品の弱点を、継続して確認
公開の説明は、実装と食い違わせません。できたら「これから」から「使えます」へ移し、できていないことは、書き換えません。
気になる点は、遠慮なく
個人情報の扱い、データの取り出し、サーバーが止まったとき——導入前に聞きたいことを、そのまま聞いてください。