このツールは誰のためのもの？
経営者・事業責任者
ECサイト、企業サイト、会員サービス、業務システムを任されている方。重大な脆弱性のニュースを見ても、何から確認すればよいか分からないときに。
発注・契約担当者
開発を外注していて、保守契約がどこまでセキュリティ対応を含むのか分からない方。委託先に聞く質問文をそのまま作れます。
システム管理者
AWSなどのクラウド、社内PC、IoT機器を使っていて、事故時に何を先に守るべきか迷う方。復旧の「希望」と「実力」の差を整理できます。
使い方：カードを投げて仕分けるだけ
- 対象を選ぶ：Web・業務・EC・クラウド・SaaS・PC・IoTなど。
- 基本の質問カードに答える：右へ投げる＝はい、左＝いいえ、手前（下）へ引く＝不明。共通は5枚だけです。
- 情報カード16種を仕分ける：氏名、メール、カード情報、健康情報、APIキーなどを「持っている／該当しない／分からない」に。束でまとめて選ぶ、一覧で選ぶこともできます。
- 被害カード8種を並べる：情報漏洩、完全破壊、停止、データ消失、改ざん、なりすまし、踏み台化、クラウド悪用から、避けたい順に並べます（同率もOK）。
- 結論が変わる質問だけ追加：答えに応じて最大3枚。たとえばカード番号が自社サーバーを通るかどうか。
- 結果を受け取る：守るべきもの、怖い事故、誰に何を聞くか、危険度マトリクス、復旧の差、共有用レポート。
最終的に手に入るもの
| 成果物 | 表示の例 |
|---|---|
| 守るべきもの | 氏名・メール・購入履歴を扱っている。クレジットカード番号を自社が扱うかは要確認 |
| 最も避けたい事故 | 1位：情報漏洩、2位：サービス停止 |
| 危険度の見取り図 | 影響度×成立可能性の5×5マトリクス。根拠が不足するものは「未判定」として別表示 |
| 今やること・確認先 | 開発会社に決済フロー図を依頼、保守会社にクラウド・OSの点検範囲を確認 |
| 経営判断に必要な差 | 停止は4時間以内に復旧したい／実際に4時間で復旧できる証拠は未確認 |
| 共有できるレポート | PDF・Markdown・CSV・JSON。未回答・不明・確認済みの区別と担当者への質問文つき |
途中結果の確認方法
画面上部の「ここまでの結果」から、いつでも途中結果を開けます。1枚答えた時点から、仕分け済み・未仕分け・不明・捨て札の数と、現時点の確認先が表示されます。結果を開いても回答は消えず、「続きを答える」で再開できます。回答はブラウザ内だけに自動保存され、サーバーには送信しません。
診断の限界
これは経営上の影響と確認事項を整理する一次診断です。脆弱性スキャン、侵入テスト、セキュリティ監査、法令適合性の証明の代わりにはなりません。情報の種類だけで「安全」「危険」と断定せず、根拠がない項目は未判定にします。利用者が優先度を下げた事故でも、法令・契約・第三者への重大な危険はレポートから消しません。
よくある質問
本物のパスワードやカード番号を入力する必要はありますか？
ありません。必要なのは情報の有無・種類・おおよその規模・誰が扱うかだけです。実際のパスワード、カード番号、秘密鍵、個人情報の中身は入力しません。
診断結果はどこに保存されますか？
お使いのブラウザ内にだけ自動保存され、サーバーには送信しません。共有端末では「診断内容を全削除」で消せます。なお、サイトの利用状況（どの画面まで進んだか等）を把握するために Google アナリティクスを使っていますが、回答や仕分けの内容は送信しません。
脆弱性診断や監査の代わりになりますか？
なりません。経営上の影響と確認事項を整理する一次診断です。根拠がない項目は「未判定」とし、誰に何を確認すべきかを確認カードとして出力します。
途中でやめても結果は見られますか？
見られます。1枚答えた時点から「ここまでの結果」を表示でき、途中結果のままPDFやMarkdownでレポートを出力できます。