セキュリティ

基本の考え方

• 集める情報を少なくする。生徒は、メールアドレスなしで使えます。生年月日は「年と月」だけを預かります。
• 見られる人をしぼる。生徒の情報を見られるのは、本人・その保護者・教室の先生だけです。
• いつまでも持たない。写真・動画・声などのファイルは、365 日で自動的に消します。
• 広告と追跡に使わない。解析や広告のための部品は、アプリにも Web にも入れていません。

ログイン

先生・保護者

メールアドレスに届く 6 桁のコードでログインします。パスワードを持たないので、使い回しや流出による乗っ取りが起きません。
コードは短い時間で無効になり、新しいコードを出すと古いコードは使えなくなります。

生徒

教室コード・ID・暗証番号の 3 つでログインします。暗証番号は、元に戻せない形に変えて保存します。運営も先生も、暗証番号を読むことはできません。

総当たりへの備え

間違いが続くと、一定の時間ログインを止めます。コードの発行回数にも上限があります。
教室・ID・暗証番号のどれが違っていても、返す答えは同じにして、手がかりを与えません。

登録の有無を知らせない

メールアドレスが登録されているかどうかで、画面の表示を変えません。

コードの保存

確認コード、招待コードは、元に戻せない形に変えた値だけを保存します。データベースを見ても、元のコードは分かりません。

ログインしたあとの状態

ログインの期限

ログインの状態は、短い間隔で確かめ直します。長いあいだ使わないと、自動で切れます。

不正な利用への備え

ログインの情報が不正に使われた疑いがあるときは、その端末のログインをすべて無効にします。

画面のロック

先生・保護者の画面は、Face ID・Touch ID・端末のパスコードで保護できます（はじめからオン）。

なりすましの送信を防ぐ

書き込みの操作では、送信元が Aiyori 自身の画面であることを確かめます（CSRF 対策）。

教室ごとの分離

ひとつの仕組みを多くの教室が使うので、教室どうしのデータが混ざらないことを、いちばん重く見ています。

仕組み

教室ごとにデータを分ける仕組みを、プログラムの土台に入れています。ひとつひとつの画面や機能の作りに頼らずに、ほかの教室のデータに届かないようにしています。

ほかの教室からの見え方

ほかの教室の生徒や課題を指定しても、「存在しない」と同じ答えを返します。あるかどうかも分かりません。

確かめ方

教室をまたいで見えないことを確かめる自動テストを、プログラムを変えるたびに実行しています。

だれが、何を見られるか

暗号化

通信

端末と Aiyori の間は、すべて HTTPS（TLS）で暗号化します。データベースとの通信、ファイルの保管場所との通信も暗号化し、暗号化されていない接続は受け付けません。

保管

データベースとファイルの保管場所は、全体を暗号化して保存します。広く使われている、強い暗号の方式です。

氏名・メールアドレス

保管場所全体の暗号化に加えて、氏名やメールアドレスなどは、アプリの中で 1 件ずつ暗号化してから保存します。データベースだけを見ても読めません。

ファイルと動画

送り方・受け取り方

写真・PDF・声・動画のやり取りには、その人だけが使える、期限付きの経路を使います。経路は短い時間で無効になります。

開くたびに確かめる

ファイルを開くときは毎回、その人がいま見てよいかを確かめます。

保管場所

外から直接は見られない設定にしています。公開の URL はありません。

受け付けるもの

決めた形式と大きさのファイルだけを受け付けます。受け取ったあとにも、サーバーで確かめます。

授業の動画

再生のたびに、その人がその動画を見てよいかを確かめます。許可のないまま、動画の本体を取り出すことはできません。

授業の動画は Aiyori の中だけ

先生が上げた動画は、外部の動画サイトを使わずに配信します。広告も、おすすめの動画も出ません。先生が YouTube の動画を配ったときだけ、YouTube の再生の枠を、Cookie を使わない設定で埋め込みます。

保存の期間と消去

365 日で消す

写真・動画・声・PDF などのファイルは、上げてから 365 日で自動的に消します。期限を過ぎたものは、消す処理の前でも開けません。

残るもの

点数、コメント、問題の答え、文字のメッセージ。先生が「教材として残す」にした授業の動画。

退会したとき

30 日後に、提出物・やりとり・学習の記録・名前を消去します。

教室を閉じたとき

生徒は全員退会になり、30 日後に教室ごと消去します。

自分で消す

先生と保護者は、メールに届くコードで確かめたうえで、自分のアカウントを削除できます。

子どもを守るしくみ

保護者の同意

16 歳未満の生徒は、保護者が同意するまで、写真・動画・声の提出と、先生との 1 対 1 のやりとりができません。同意は記録し、あとから Web で取り消せます。

やりとりは保護者に見える

保護者は、子どもと先生のやりとりをすべて読めます。やりとりを止めることもできます。

生徒どうしはつながらない

生徒がほかの生徒に連絡する機能はありません。

外へ出るとき

ほかのサイトへのリンクは、開く前に行き先を見せて確かめます。13 歳未満には、おうちの人といっしょに開くよう伝えます。

ライブ授業のリンク

受け付けるのは、Zoom、Google Meet、Microsoft Teams、Whereby のリンクだけです。

知らせる

困ったこと・いやだったことは、画面から運営に知らせられます。知らせたことは、先生には伝わりません。

お金の話を見せない

生徒の画面に、請求や支払いは出ません。

通知の文面

通知には、どの子の何のお知らせかが分かるよう、子どもの表示名と課題の題を入れます。メッセージの本文・点数・先生のコメント・月謝の金額は入れません。保護者と先生は、設定で名前と題を出さないようにできます。月謝の催促の通知には、名前を入れません。

広告と追跡

• 広告を表示しません。データを売りません。（先生が配った YouTube の動画には、YouTube が広告を入れることがあります）
• 利用の解析や広告のための外部の部品（SDK・タグ）は、Web にも iPhone・iPad アプリにも入っていません。iPhone・iPad アプリは、Apple の標準の機能だけで作っています。
• 外部の会社へ送る情報は、メールを送るためのメールアドレス（Amazon Web Services）と、単語カードの読み上げ音声を作るための単語の文字（Google）だけです。単語の文字に、生徒の情報は含まれません。先生が Google フォームを取り込むときは、先生のブラウザが Google から直接フォームを読みます。Aiyori には、Google のアカウントの情報も、フォームの回答も届きません。

記録と見張り

操作の記録

採点、返却、生徒の登録・停止・退会、暗証番号の再発行、保護者の同意、入金の記録などは、「だれが・いつ・何をしたか」を記録します。記録は追加するだけで、書き換えません。

運営の操作

運営が教室やデータに対して行う操作も、理由を付けて同じ記録に残します。

ログ

動作のログには、本文・メールアドレス・コードを書きません。

見張り

システムの状態を常に監視し、異常があれば運営に知らせます。

バックアップ

データベースは毎日自動でバックアップし、一定の期間保管します。誤って消せない設定にしています。

動かしている場所

データの場所

日本（Amazon Web Services 東京リージョン）。

データベース

インターネットから直接つながらない場所に置き、Aiyori のプログラムからだけ接続できます。

プログラム

必要な権限だけを与えて動かします。管理者の権限では動かしません。

更新

新しい版に問題があれば、自動で前の版に戻ります。

変更のたびの検査

プログラムを変えるたびに、型の検査と自動テスト（教室の分離、同意、消去を含む）を実行します。

お支払いの情報

• Aiyori は、カード番号を保存しません。保存する場所もありません。
• カードでの支払いでは、カード情報は決済会社（Stripe）が直接預かり、月謝は先生の口座へ直接入ります。運営が月謝を預かることはありません。

もしものとき

• 情報が漏れた、またはそのおそれがあるときの手順を、あらかじめ決めています。
• 原因を止め、影響のある教室の先生に 24 時間以内に知らせます。
• 法律に従い、個人情報保護委員会への報告と、ご本人・保護者への通知を行います。