安全は「運用で気をつける」ではなく、
しくみで守ります。
情報セキュリティのご担当・個人情報保護の所管課の皆さまに向けて、 まちまもりがどのようにデータを守っているかをご説明します。 庁内でのご検討にあたって、より詳しい技術資料もご用意しています。
1. 何より先に決めたこと
このサービスは、住民の自宅が特定できてしまう精度の位置情報を扱います。 そのため設計にあたって、最初に次の原則を置きました。
画面を作り間違えても、データベース側の権限設定（行レベルセキュリティ）が二重の鍵として働きます。
画面側の作り込みだけで守ろうとすると、機能追加のたびに漏れが生まれます。 まちまもりは、誰がどの行を読めるかをデータベースそのものに設定しており、 新しい画面や機能を追加してもこの境界は動きません。
2. 位置情報の扱い
| 見る人 | 見える位置の精度 |
|---|---|
| 住民（公開の地図） | ぼかした（おおよその）位置のみ。特定の家屋を指すことはありません。 |
| その自治体の職員 | 正確な位置。所属する自治体の報告に限られます。 |
| 他の自治体の職員 | 閲覧できません。 |
| 県（広域の集計） | 個人情報を含まない集計項目のみ。正確な座標は含みません。 |
この丸めは表示上の演出ではなく、公開用の窓口が返すデータそのものを丸めています。 また、わなの正確な設置場所は、一般には一切表示しません。
3. 写真に埋め込まれた位置情報
スマートフォンで撮影した写真には、撮影場所の緯度経度（EXIFのGPS情報）が 埋め込まれていることがあります。これを見落とすと、丸めた位置を表示していても 写真から正確な場所が判明してしまいます。
まちまもりでは、投稿された画像をサーバー側で再生成し、 埋め込み情報を取り除いてから保存します。JPEGだけでなく、WebPやHEIC（iPhoneの標準形式）も同様に処理します。
4. 自治体ごとのデータ分離
データは地域コードで区切られています。職員アカウントは自分の自治体の報告だけを閲覧でき、 他の自治体のデータは、たとえ画面のURLを直接指定しても取得できません。
県による広域の把握（県ビュー）は、この分離を壊さずに実現するため、 個人情報を含まない項目に限定した別の経路で提供しています。
5. 個人情報の扱い
- 住民の報告に、氏名・住所・連絡先の入力欄はありません（折り返しが必要な場合の電話番号のみ任意）。
- 任意で入力された電話番号は暗号化して保存します。
- 復号できるのは、同じ自治体の権限を持つ担当者だけです。復号の操作は記録に残ります。
- CSV出力は、既定で個人情報と正確な位置を含みません。県・国への報告資料にそのまま使える形です。
6. アカウントと操作の記録
- 職員アカウントの発行・付け替えは運営側が行います。
- 担当者が代わるときは、アカウントの登録メールアドレスを引き継ぎ先へ変更します。
- 職員による操作は追記専用の記録として保存され、管理画面から確認できます。
7. 提供基盤
クラウド上で提供しており、庁内へのサーバー設置は不要です。 データベースにはPostgreSQL（Supabase）を、写真の保管には Amazon S3（東京リージョン）を利用しています。通信はすべて暗号化されます。
データの保管場所・バックアップ体制・障害時の対応・委託先の一覧など、 庁内の情報セキュリティポリシーへの適合確認に必要な資料は、個別にご提出いたします。 調査票・チェックシートへのご記入にも対応します。