# セキュリティとコンプライアンス - GateLLM

> GateLLM のセキュリティとコンプライアンス：セルフホスト、BYOK キーはネットワーク外に出ず、GDPR/CCPA/DPA、エンタープライズ SSO、クラッシュセーフな課金と監査。

正規 URL: https://www.gatellm.io/ja/security/

## セキュリティとコンプライアンス
エンタープライズ調達のためのセキュリティ、プライバシー、コンプライアンス。完全セルフホストで、データがネットワークの外に出ることはありません。
### データがネットワークの外に出ない
BYOK では、API キーはゲートウェイのメモリ内だけに存在し、永続化も送信もされません。

リクエストはゲートウェイからベンダー API へ直接ルーティングされ、データはエンドツーエンドでプライベートネットワーク内に留まります。

GateLLM 自体がリクエスト内容を保存、学習、キャッシュすることはありません。
### 転送とキーのセキュリティ
TLS 1.3 をエンドツーエンドで使用。

キーはメモリ内だけに存在し、再起動時はお客様のシークレットから注入されます。ディスクには残りません。

クライアントの受け入れ制御：User-Agent によってポリシーを分けてゲートします。
### エンタープライズコンプライアンス
GDPR / CCPA / DPA に対応。

SOC 2 Type II / ISO 27001 統制は整合（認証取得準備中）。

SSO（OIDC：Azure AD / Okta / 汎用、加えて SAML 2.0 + SCIM 2.0）。
### 監査と課金の正確性
リクエスト単位の監査ログを、社内の運用・請求システムへエクスポート可能。

クラッシュセーフな課金：事前差し引き → 精算 → 返金。進行中台帳とリクエスト単位の監査により、プロセスクラッシュをまたいでも課金は正しく保たれます。

クォータ、予算、利用量、コストをプログラムで管理する Management API。
### セキュリティアーキテクチャの層（ホワイトペーパー要約）
ネットワーク層：ゲートウェイプロセスはお客様の VPC / オンプレミスデータセンター内にデプロイされ、受信 / 送信トラフィックはお客様が設定するセキュリティグループ / ネットワークポリシーで制御されます。リクエストは下流のモデルプロバイダーの公式 API へ直接向かい、処理者のリレーサーバーを経由しません。

ゲートウェイプロセス層：ステートレス設計。キーは暗号化された設定からメモリに読み込まれ、永続化されません。どのレプリカも任意のリクエストを処理でき、水平スケーリングと即時フェイルオーバーを支えます。再起動時はキーがお客様のシークレットから再注入されます。

キー層：BYOK のモデルプロバイダーキーはゲートウェイプロセスのメモリ内だけに存在し、永続ストレージに書き込まれず、運用担当者が平文で読むこともできません。クライアントの受け入れ制御は User-Agent によってポリシーを分けてゲートします。

データ層：実行時のプロンプト / 補完は処理者のシステムに永続化されません（メモリ内で転送され、保存されません）。保存されるアカウントとライセンスのデータは AES-256 で暗号化されます。監査ログの保持ポリシーはお客様の運用チームが決定します。

課金層：クラッシュセーフな課金（事前差し引き → 精算 → 返金）で、進行中台帳とリクエスト単位の監査によりプロセスクラッシュをまたいでも正しく保たれます。
### CISO の懸念への対応
AI への過剰なアクセスの懸念：GateLLM は完全セルフホストのデプロイ + BYOK で対応します。キーとプロンプトがネットワーク境界の外に出ることはなく、どのモデルを使い、どのプロバイダーへルーティングするかを完全に制御できます。シャドー AI も隠れた再処理者もありません（再処理者リストを参照）。

学習に使われるデータ：処理者はプロンプトデータに接触しません。下流のモデルプロバイダーが学習に使うかは各社のポリシーで決まり、導入前に再処理者リストのデータ利用マトリクスで確認できます。完全にオプトインです。

越境コンプライアンス：処理者のアカウントデータは SCC / IDTA により越境移転されます。下流プロバイダーへの越境移転は、お客様が適切な保護措置を伴って直接行います（DPA 第 11 条）。

キーの漏洩：キーはメモリ内だけに存在し、永続化も送信もされません。SSO は MFA とセッション管理をお客様の既存 IdP に委ねるため、認証情報が分散しません。
### ペネトレーションテストと脆弱性ガバナンス
GateLLM の独立した第三者ペネトレーションテストは準備中です（対象範囲と実施要領は確定済み）。ゲートウェイプロセス、認証と認可、Edge Functions、API ゲートウェイ、キー管理の経路を対象とし、完了後に脆弱性開示ポリシーの第 7 節で要約を公開します。

責任ある脆弱性開示ポリシー：security@gatellm.io へ報告（PGP 対応）、24 時間以内に受領確認、CVSS の重要度に応じて修正（Critical 7 日 / High 30 日 / Medium 60 日 / Low 90 日）。

Software Bill of Materials（SBOM）を提供し、依存関係は既知の脆弱性について定期的にスキャンされ、セキュリティパッチは変更履歴で CVE ID とともに注記されます。
- GDPR
- CCPA
- DPA
- SOC 2 統制は整合
- ISO 27001 管理策は整合
## 信頼とコンプライアンスの資料
### データ処理契約（DPA）
GDPR 第 28 条(3) の対応表、SCC/IDTA による越境、再処理者の変更通知、LLM ゲートウェイのデータフロー詳細
### 再処理者リスト
100+ の下流モデルプロバイダーのデータ利用マトリクス、シャドー AI なし、変更の購読
### セキュリティ質問票ライブラリ
CAIQ / SIG / VSA に回答済みで、質問票への回答を数日から数時間に短縮
### SLA とインシデント対応
P1〜P4 のインシデント対応プロセス、サポートサービスの階層、ライセンスサービスの保守、ゲートウェイ HA デプロイガイド
### 脆弱性開示ポリシー
責任ある開示、対応 SLA、PGP による通信、ペネトレーションテストの要約
### オープンソースライセンス通知
配布物に含まれるオープンソースコンポーネントとライセンス、SBOM、BYOK SDK のライセンス境界、帰属表示
### バージョンサポートとライフサイクル
N-1 / LTS のサポート期間、セキュリティパッチのバックポート、アップグレードパス、EOL 通知

## 関連ページ
- [ホーム](https://www.gatellm.io/ja/index.md)
- [料金](https://www.gatellm.io/ja/pricing.md)
- [コスト計算ツール](https://www.gatellm.io/ja/calculator.md)
- [会社概要](https://www.gatellm.io/ja/about.md)
- [デモを予約](https://www.gatellm.io/ja/demo.md)
- [FAQ](https://www.gatellm.io/ja/faq.md)
- [AI ゲートウェイ比較](https://www.gatellm.io/ja/compare.md)
- [LiteLLM 比較](https://www.gatellm.io/ja/compare/litellm.md)
- [OpenRouter 比較](https://www.gatellm.io/ja/compare/openrouter.md)
- [Alibaba Cloud AI Gateway 比較](https://www.gatellm.io/ja/compare/alibaba-cloud.md)
- [Azure API Management 比較](https://www.gatellm.io/ja/compare/azure-apim.md)
- [Apigee 比較](https://www.gatellm.io/ja/compare/apigee.md)
- [Cloudflare AI Gateway 比較](https://www.gatellm.io/ja/compare/cloudflare.md)
- [Kong AI Gateway 比較](https://www.gatellm.io/ja/compare/kong.md)
- [Portkey 比較](https://www.gatellm.io/ja/compare/portkey.md)
- [LiteLLM vs Kong AI Gateway](https://www.gatellm.io/ja/compare/litellm-vs-kong.md)
- [LiteLLM vs OpenRouter](https://www.gatellm.io/ja/compare/litellm-vs-openrouter.md)
- [LiteLLM vs Portkey](https://www.gatellm.io/ja/compare/litellm-vs-portkey.md)
- [ユースケース](https://www.gatellm.io/ja/use-cases.md)
- [LLM コスト削減](https://www.gatellm.io/ja/use-cases/reduce-cost.md)
- [高可用性](https://www.gatellm.io/ja/use-cases/high-availability.md)
- [マルチテナント分離](https://www.gatellm.io/ja/use-cases/multi-tenant.md)
- [コンプライアンスと監査](https://www.gatellm.io/ja/use-cases/compliance-audit.md)
- [症状別トラブルシューティング](https://www.gatellm.io/ja/use-cases/troubleshooting.md)
- [マルチベンダー混合モデル構成](https://www.gatellm.io/ja/use-cases/mixed-model-stack.md)
- [Office 内での AI セルフホスト](https://www.gatellm.io/ja/use-cases/self-hosted-office-ai.md)
- [Token 使用量の可視化と帰属](https://www.gatellm.io/ja/use-cases/token-ops.md)
- [Token FinOps：AI コストの配賦と統制](https://www.gatellm.io/ja/use-cases/token-finops.md)
- [MCP ツールガバナンス](https://www.gatellm.io/ja/use-cases/mcp-tool-governance.md)
- [すべてのモデルに Web 検索を追加](https://www.gatellm.io/ja/use-cases/web-search-grounding.md)
- [マルチキーのローテーションと待機系](https://www.gatellm.io/ja/use-cases/multi-key-pooling.md)
- [接続クライアントの受付制御](https://www.gatellm.io/ja/use-cases/client-admission-control.md)
- [モデル利用ポリシーの強制](https://www.gatellm.io/ja/use-cases/enforce-model-policy.md)
- [クライアントにモデル選択を公開しない](https://www.gatellm.io/ja/use-cases/automatic-model-tiering.md)
- [1 つのプロトコルで、あらゆるモデル](https://www.gatellm.io/ja/use-cases/one-protocol-any-model.md)
- [Office / Microsoft 365 アドイン](https://www.gatellm.io/ja/office-addin.md)
- [用語集](https://www.gatellm.io/ja/glossary.md)
- [モデルカタログ](https://www.gatellm.io/ja/models.md)
- [SDK・フレームワーク連携](https://www.gatellm.io/ja/integrations.md)
- [AI コーディングエージェントとハーネス](https://www.gatellm.io/ja/coding-agents.md)