`[email protected]` / `adminpass` でログインします。初回ログイン時には、**デモデータの言語**（🇩🇪 DE / 🇬🇧 EN / 🇫🇷 FR / 🇳🇱 NL）を選択するか、空のシステムで開始するよう求められます。ログイン後はすぐに管理者パスワードを変更してください。

HTTPS を使用した本番環境での利用について:```bash
# .env
JWT_SECRET=your-very-long-random-secret
STORAGE_BACKEND=json
SSL_CERT_FILE=/etc/ssl/certs/your.crt
SSL_KEY_FILE=/etc/ssl/private/your.key

変更する前に常にバックアップ（`data/`ディレクトリの隣に `data.bak.<timestamp>/`）を作成し、`STORAGE_BACKEND` には一切触れません。これは、デモインスタンス用で歴史的な理由から依然として `sqlite` に切り替わるアプリ内の「デモリセット」管理者アクションとは異なります（[Issue #42](https://github.com/coolstartnow/isms-builder/issues/42) を参照）。

---

## Docker

すべてのリリースは、GitHub Container Registry の GitHub Package として公開されており、`linux/amd64` と `linux/arm64` 向けに、`:latest` および `:<version>`（例：`:1.37.5.2`）というタグが付けられています。```bash
docker compose up -d
# App runs at http://localhost:3000

これはデフォルトの設定で、データを`./data`内のプレーンなJSONファイルとして保存します。データベースコンテナは一切不要です。小規模チームには推奨されるセットアップであり、上記の2つのコマンドが使用する構成でもあります。

**JSONの代わりにPostgreSQL（またはMariaDB）を使用する場合。** このイメージはそのままこの構成に対応していますが、上記のJSONセットアップとは異なり、2つ目のコンテナ（実際のデータベース）と、アプリがデータベースに到達する方法を伝えるためのいくつかの環境変数が必要です。イメージ自体だけを取得した場合（`docker pull ghcr.io/coolstartnow/isms-builder`）、このリポジトリをクローンしていなければ、それらの変数名はデフォルトではどこにも表示されません。`docker-compose.yml`と`.env.example`（これらの変数が文書化されている場所）は、このGitリポジトリ内のファイルであり、イメージの一部ではありません。このセクションは、その情報がリポジトリ限定の秘密にならないようにするために存在します。

`isms-builder`イメージ自体にはデータベースサーバーは一切バンドルされていません。`postgres:17`（または`mariadb:11`）は、Docker Hubから取得する完全に汎用的で空のデータベースエンジンであり、このプロジェクトのテーブルについては何も知りません。それらのテーブル（リスク、資産、SoAコントロールなど）は、アプリケーション自体が起動して空のデータベースを検出した瞬間に自動的に作成されます。手動のSQLインポートや、実行する必要のある別のマイグレーション手順はありません。完全な仕組みを知りたい場合は、以下の「データベーススキーマはどのように作成されるのか？」を参照してください。

2つのコンテナ、1つの共有Dockerネットワーク、そしてアプリにデータベースの場所を伝えます。```bash
# 1) An isolated network so the two containers can reach each other by name
docker network create isms-net

# 2) The database — empty until the app first connects and creates its tables
docker run -d --name isms-postgres --network isms-net \
  -e POSTGRES_DB=isms_builder \
  -e POSTGRES_USER=isms \
  -e POSTGRES_PASSWORD="$(openssl rand -hex 16)" \
  -v isms-postgres-data:/var/lib/postgresql/data \
  postgres:17-alpine

# 3) The app, pointed at that database by container name (isms-postgres) via
#    Docker's built-in DNS on the shared network — no host/port juggling needed
docker run -d --name isms-builder --network isms-net -p 3000:3000 \
  -e JWT_SECRET="$(openssl rand -hex 32)" \
  -e STORAGE_BACKEND=postgres \
  -e DB_HOST=isms-postgres \
  -e DB_PORT=5432 \
  -e DB_USER=isms \
  -e DB_PASS="<same password as POSTGRES_PASSWORD above>" \
  -e DB_NAME=isms_builder \
  ghcr.io/coolstartnow/isms-builder:latest

## 要件

- **Node.js 18+**（テスト済み: 18、20、22）
- npm 9+
- （任意）Docker + Docker Compose
- （任意）ローカルAIセマンティック検索用の[Ollama](https://ollama.ai)

---

## 設定（`.env`）

| 変数 | デフォルト | 説明 |
|---|---|---|
| `JWT_SECRET` | *（必須）* | JWT署名用のシークレット — 32文字以上のランダム文字を使用 |
| `PORT` | `3000` | HTTP/HTTPSのリッスンポート |
| `STORAGE_BACKEND` | `json` | `json`（開発/デモ用）または `sqlite`（本番用） |
| `SSL_CERT_FILE` | — | TLS証明書へのパス → HTTPSを有効化 |
| `SSL_KEY_FILE` | — | TLS秘密鍵へのパス |
| `DATA_DIR` | `./data` | データディレクトリの上書き（Dockerボリューム） |
| `SMTP_HOST` | — | メールアラート用のSMTPサーバー |
| `SMTP_PORT` | `587` | SMTPポート |
| `SMTP_USER` | — | SMTPユーザー名 |
| `SMTP_PASS` | — | SMTPパスワード |
| `SMTP_FROM` | — | 通知用の送信元アドレス |

---

## アーキテクチャ```
server/
  index.js          — Express app setup, router mounts
  auth.js           — JWT auth, RBAC ranks, session
  routes/           — 17 Express route modules (one per domain)
  db/               — Data stores (jsonStore / sqliteStore / orgSettingsStore / …)
  ai/               — Semantic search (embedder, embeddingStore, lexicalSearch)
  reports.js        — Report generation logic
ui/
  index.html        — SPA shell (Atlassian Dark Theme)
  app.js            — All render functions, ~6000 lines vanilla JS
  style.css         — CSS variables, dark theme
data/               — JSON files / SQLite DB (gitignored)
docs/
  ISMS-build-documentation.md  — Full architecture reference
  architecture/                — C4 diagrams, data model, OpenAPI 3.0.3 spec
tests/              — Jest + Supertest (176 tests, --runInBand)

テストは隔離された一時ディレクトリを使用します。本番データには一切触れません。

---

## コントリビューション

コントリビューションは大歓迎です！[CONTRIBUTING.md](https://github.com/coolstartnow/isms-builder/blob/main/CONTRIBUTING.md) には以下が記載されています：

- 開発環境のセットアップ（最初のテスト実行まで5分）
- コードスタイルと規約
- 良い issue や PR の開き方

**セキュリティ上の問題を発見しましたか？** 公開の issue を開かず、[プライベート脆弱性報告](https://github.com/coolstartnow/isms-builder/security/advisories/new) をご利用ください。
[SECURITY.md](https://github.com/coolstartnow/isms-builder/blob/main/SECURITY.md) には、対象範囲、セーフハーバー、現実的な期待値が記載されています。

**初心者向けの issue** は、issue トラッカーで [`good first issue`](https://github.com/coolstartnow/isms-builder/issues?q=label%3A%22good+first+issue%22) ラベルが付いています。

---

## ロードマップ

| ステータス | 機能 |
|---|---|
| ✅ 完了 | セマンティック検索（Ollama / nomic-embed-text） |
| ✅ 完了 | SQLite バックエンド、Docker、CI/CD |
| ✅ 完了 | GDPR 削除ログのメールアラート |
| ✅ 完了 | 多言語デモバンドル（DE / EN / FR / NL） |
| ✅ 完了 | 監査所見モジュール（アクションプラン付き、V 1.37.2.0） |
| ✅ 完了 | FR/NL ガイダンス翻訳 + 管理者向け言語設定（V 1.37.2.0） |
| ✅ 完了 | MariaDB/MySQL バックエンド（`STORAGE_BACKEND=mariadb`、V 1.37.2.1） |
| ✅ 完了 | スキャナー → リスクドラフト（Greenbone/OpenVAS XML + PDF インポート、V 1.37.2.0） |
| ✅ 完了 | ポリシー承認 — スタッフが監査証跡付きでポリシーをデジタル確認（V 1.37.2.0） |
| ✅ 完了 | ガイダンス CRUD — 自社ドキュメントの作成・編集・アップロード（V 1.37.2.0） |
| ✅ 完了 | ガイダンス検索 — カテゴリ横断の全文検索（抜粋付き、V 1.37.2.0） |
| ✅ 完了 | 資産保護目標 — CIA + 真正性（1〜4）、依存関係、BSI 最大原則の継承（V 1.37.2.0） |
| ✅ 完了 | NIS2 第21条ガバナンスチェックリスト（30項目）および第23条報告期限の自動アラート（V 1.37.2.0） |
| ✅ 完了 | PostgreSQL バックエンド（`STORAGE_BACKEND=pg`）— MariaDB と同じ Knex ストア層、実 PostgreSQL 17 インスタンスで検証済み（完全な `docker compose` パスを含む、V 1.37.5） |
| ✅ 完了 | ownCloud / Nextcloud 統合 — 承認済みポリシーを WebDAV 経由で PDF として自動公開、任意のお気に入り/公開リンク表示、実 NextcloudPi インスタンスでライブ検証済み（#66、V 1.37.5.1） |
| ✅ 完了 | リリースごとに Docker イメージを GitHub Container Registry に公開（`ghcr.io/coolstartnow/isms-builder`、`linux/amd64` + `linux/arm64`、署名付きビルド証明）— @bucherfa によるコントリビューション（#71、V 1.40.0）。メンテナンス負荷の試行：想定以上の手間になる場合は再び廃止。 |
| 🔜 次回 | AI ポリシーアシスタント — Ollama がタイトルとフレームワークからポリシー内容を起草 |
| 🔜 次回 | 定期レポート — 週次/月次のコンプライアンスレポートをメールで配信 |
| 🔜 次回 | 監査ログの異常検知（LLM バッチ） |
| 🚀 将来 | 定量的リスクスコアリング（€ 値、FAIR に着想） |
| 🚀 将来 | 監査人コラボレーションポータル — 監査人向け外部読み取り専用アクセス |
| 🚀 将来 | ポリシーギャップ分析（LLM） |
| 🏁 V 2.x | 設定可能なガイダンスカテゴリ — 管理者がカスタムカテゴリを定義（例：ワークフロー、組織ドキュメント） |

---

## 著者について

**Claude Hecker** は35年以上 IT 業界で働いてきました。約15年間 CIO を務めた後、CISO およびデータ保護責任者（DSO/DSB）の役割に転身しました。キャリアの中で、欧州の大手企業向けにエンタープライズ全体の IT インフラストラクチャと広域ネットワーク接続（VPN、MPLS）を設計・実装してきました。複数の拠点と法域にわたる信頼性の高い安全な運用に責任を負ってきました。

ISMS Builder はまさにその経験から生まれました。実世界の監査、実際の規制圧力の中で、準拠した ISMS を構築・維持すること。このツールは、プロダクトマネージャーが考えるニーズではなく、実務者が実際に必要とするものを反映しています。

**なぜオープンソースなのか？**
中小企業は、5桁のライセンス料なしで適切な ISMS プラットフォームにアクセスできるべきです。どのツールを選んでもオンボーディングの労力は現実に存在します。しかし、そのコストにベンダーロックインやデータが自社インフラから離れることが上乗せされるべきではありません。このプロジェクトは、ソフトウェアの自由と、コンプライアンスデータはあなたのものであるという原則を支持しています。

---

## 標準規格に関する注意事項

本ソフトウェアは、相互運用性およびコンプライアンス管理のみを目的として、公開された標準規格の管理識別子と短縮タイトルを参照しています。

- **ISO/IEC 27001、ISO 9000、ISO 9001** は、国際標準化機構（ISO）が発行する標準規格です。これらの標準規格の管理定義は、本ソフトウェア配布物には**含まれていません**。ISO の著作権により、管理テキストの再配布は許可されていません。ユーザーは独自の JSON ファイルを提供する必要があります（上記のセクションおよび `scripts/import-iso-controls.sh` を参照）。標準規格は [ISO](https://www.iso.org/) または認定された国内販売代理店から入手する必要があります。
- **BSI IT-Grundschutz** の資料は、ドイツ連邦情報セキュリティ庁（BSI）が発行しており、[bsi.bund.de](https://www.bsi.bund.de) で無料で入手できます。
- **NIS2、CRA、EUCS、EU AI Act** は EU の立法行為であり、[eur-lex.europa.eu](https://eur-lex.europa.eu) で公開されています。

---

## ライセンス

Copyright (C) 2026 Claude Hecker

このプログラムはフリーソフトウェアであり、[GNU Affero General Public License v3.0](https://github.com/coolstartnow/isms-builder/blob/main/LICENSE) の下でライセンスされています。

変更版をネットワークサービスとして実行する場合、そのサービスの利用者に完全なソースコードを提供する必要があります（AGPL §13）。

このプロジェクトには、MIT、BSD-2-Clause、Apache-2.0 ライセンスのサードパーティコンポーネントが含まれています。完全な帰属表示とライセンステキストについては、[THIRD-PARTY-LICENSES.md](https://github.com/coolstartnow/isms-builder/blob/main/THIRD-PARTY-LICENSES.md) を参照してください。