セキュリティ方針
個人教員向けβ公開時の基本方針
基本方針
- Teacher間のデータはSupabase Row Level Securityで分離します。
- 公開URLにはクラスID、セッションID、アンケートIDなどの推測可能なIDを使いません。
- 公開ページでの生徒氏名表示はデフォルトOFFにし、Session単位で明示的にONにします。
- アンケートは受付停止と公開URL再発行に対応し、不要になったリンクを無効化できます。
アクセス制御
教師画面はログイン必須です。データベース側でもTeacher IDに基づくRLSを適用し、別Teacherのクラス、生徒、アンケート、グループ履歴を直接参照できない設計にします。
公開URL
公開URLは推測されにくいランダムトークンで発行します。ただし、URLを知っている人は閲覧または回答できるため、共有範囲の管理は必要です。誤共有時は停止または再発行してください。
今後の正式公開前チェック
- 本番環境のHTTPS、Cookie、環境変数、サービスロールキー管理を確認する。
- 監査ログ、バックアップ、削除手順、インシデント対応手順を運用文書として整える。
- 有償提供前に、利用規約、プライバシーポリシー、個人情報の委託先表示を専門家確認する。