isms-builder v1.37.2
セルフホスト型情報セキュリティマネジメントシステム — ISO 27001, NIS2, GDPR/DSGVO, BSI IT-Grundschutz
ISMS Builder
セルフホスト型情報セキュリティマネジメントシステム — オープンソース、クラウド不要
⚠️ セキュリティ警告: マルウェアを配布する偽リポジトリおよびコピーサイト
ISMS Builder にはパッケージ化された「リリース」、インストーラ、ダウンロード可能な ZIP ファイルは一切ありません。正規の唯一の入手先は、このリポジトリを GitHub からプレーンなソースコードとしてクローンまたはダウンロードすることです。私たちは、少なくとも 1 つのこのプロジェクトを偽装した悪意のあるリポジトリ（偽の README、スクリーンショットを装った ZIP にリンクする偽の「ダウンロード」ボタン、Windows マルウェアローダー —
.cmd→.exe→ Lua-DLL ペイロードチェーン — を含む）を確認しています。このリポジトリ以外の場所から「isms_builder」の ZIP/インストーラ/exe をダウンロードしたり実行したりしないでください。 このプロジェクトを偽装した不審なリポジトリやサイトを見つけた場合は、issue または discussion を開いて報告してください。
ステータス: 活発に開発中 — まだ完成品ではありません。 コアモジュールは機能しており使用中ですが、一部の機能は未完成で、プラットフォームは現在も成長を続けています。貢献、フィードバック、実環境でのテストは大歓迎です — それがまさにこのプロジェクトをオープンソース化した理由です。
ISMS Builder とは？
ISMS Builder は、情報セキュリティマネジメントシステム（ISMS）を管理するためのセルフホスト型 Web プラットフォームです。 ISO 27001:2022、NIS2、GDPR/DSGVO、BSI IT-Grundschutz などのフレームワークについて、ポリシー作成から監査証跡まで、コンプライアンスライフサイクル全体をカバーします。
クラウド不要。SaaS 料金なし。データは自社サーバーに留まります。
5 桁のベンダー契約なしに本格的な ISMS ツールを必要とする中小企業、IT チーム、コンサルタント向けに設計されています。
想定される用途と範囲
このプロジェクトは、1 人の ISMS 実務者のための実用的なツールとして始まり、そこから成長してきました。商用製品の偽装ではなく、その成果が他の人にも役立つ可能性があるためオープンソース化されています。この点を明確にしておくことで、ご自身の状況に合うかどうかを判断しやすくなります。
何のために作られたか。 小規模な ISMS チーム — 多くの場合は 1 人、時には数人 — が、マネジメントシステムの文書（ポリシー、リスク、資産、管理策、証跡）を作成し維持することを想定しています。アカウントを必要とする人数は少人数に留まると想定されています。大規模な対象者にはアカウントなしで対応できます。ポリシー承認はトークンベースのリンクとして送信されるため、受信者はログインすることなく文書を閲覧・確認でき、ユーザーリストにも表示されません。
何を求められるか。 ISMS Builder はセルフホスト型であり、そこから派生するすべて — デプロイ、TLS、ハードニング、バックアップ、アップデート、アクセス制御、そして保存するデータに関するデータ保護義務 — はご自身の責任です。このプロジェクトは妥当なデフォルト設定を提供しますが、マネージドサービスではありません。
何ではないか。 ホスト型 SaaS サービス、商用サポート契約、サービスレベル契約はありません。マルチテナント型ホスティング製品でもありません。いかなる規格への認証を与えるものでもなく、法的助言でもありません — 業務を整理し証跡を残すための支援であり、評価は引き続きご自身と監査人の責任です。
誰がメンテナンスしているか。 本業のかたわら 1 人で行っています。Issue とディスカッションは、通常数日以内に読まれ回答されます。セキュリティ報告は優先的に処理されます。機能リクエストは歓迎され、実際にロードマップを形作りますが、限られた夜間の時間を奪い合うことになります。組織が固定のスケジュールや保証された対応に依存している場合、商用ベンダーを選択するのが誠実な推奨です — それはこのプロジェクトを避ける理由ではなく、現実的に計画を立てる理由にすぎません。
スクリーンショット
| ログイン | ダッシュボード |
|---|---|
 |  |
| 適用宣言書（SoA） | リスク管理 |
|---|---|
 | |
| GDPR & データ保護 | 資産管理 |
|---|---|
 |  |
| ガイダンス & ドキュメンテーション | レポート |
|---|---|
 |  |
npm startを実行し、https://localhost:3000を開くと、完全なデモデータセットをローカルで確認できます。
機能概要
| モジュール | 説明 | 規格 |
|---|---|---|
| ポリシー管理 | テンプレート CRUD、バージョニング、ライフサイクル（下書き → レビュー → 承認 → アーカイブ）、スペース階層、添付ファイル | ISO 27001 §5 |
| 適用宣言書（SoA） | 8 つのフレームワークにわたる 313 の管理策、インライン編集、ギャップ分析、クロスマッピング | ISO 27001 A / BSI / NIS2 / EUCS / EUAI / ISO 9001 / CRA |
| リスク管理 | リスク台帳、処置計画、監査人ロール | ISO 27001 §6.1 |
| セキュリティ目標 | プログレスバー付き KPI 追跡、カレンダー連携 | ISO 27001 §6.2 |
| GDPR & プライバシー | VVT、AV 契約、DSFA、TOMs、DSAR キュー、72 時間タイマー、メール通知付き削除ログ | DSGVO Art. 13–35 |
| 資産管理 | 資産台帳、編集可能な資産タイプ、依存関係の継承を伴う保護目標（CIA + 真正性）、分類レベル、EoL 追跡 | ISO 27001 A.5.9–5.12 |
| BCM / BCP | 事業影響分析、継続計画、訓練 | ISO 27001 A.5.29–5.30 / NIS2 |
| 研修記録 | 研修カタログ、完了追跡、証明書のアップロード | ISO 27001 A.6.3 |
| サプライヤー管理 | ベンダー台帳、監査スケジュール管理、リスク評価 | ISO 27001 A.5.19–5.22 |
| 法務 & 契約 | 契約書、NDA、プライバシーポリシー、有効期限カレンダー | |
| インシデント受信箱 | CISO 受信箱 + 公開報告フォーム（ログイン不要） | NIS2 / BSI |
| ガバナンス | マネジメントレビュー、アクション追跡 | ISO 27001 §9.3 |
| レポート | コンプライアンスマトリックス（管理策 × エンティティ）、ギャップレポート、レビューサイクル、CSV エクスポート | |
| 監査指摘事項 | 指摘事項台帳（IST→SOLL→リスク→推奨事項）、アクションプラン、重要度/ステータス追跡、FIND-YYYY-NNNN 参照番号 | ISO 27001 §9.2 |
| トレーサビリティ | すべてのレコードが SoA 管理策およびポリシー文書に双方向でリンク | |
| セマンティック検索 | Ollama（nomic-embed-text）によるローカル AI 検索、キーワード検索へのフォールバック付き | |
| マルチエンティティ | 企業構造ツリー、管理策とポリシーのエンティティごとの適用性 | |
| 多言語 UI & デモデータ | 🇩🇪 DE / 🇬🇧 EN / 🇫🇷 FR / 🇳🇱 NL の完全な UI とデモコンテンツ、管理者による利用可能言語の設定 |
⚠ 重要: ISO 管理策は管理者による手動インストールが必要です
ISO 27001:2022、ISO 9000:2015、および ISO 9001:2015 は、国際標準化機構（ISO、© ISO）が発行する著作権保護された規格です。管理策の定義（タイトル、説明、要件テキスト）は、このソフトウェアに含まれておらず、有効な ISO ライセンスなしに再配布してはいけません。
実際には次のことを意味します: ISO 27001、ISO 9000、ISO 9001 の SoA モジュールは、管理策コンテンツなしで提供されます。 管理者は、これらのフレームワークを使用可能にする前に、管理策を手動でインポートする必要があります:
- iso.org または認定された国内機関から規格のライセンス版を入手する
- 管理策の定義を含む JSON ファイルを準備する（形式は
scripts/import-iso-controls.shに文書化されています） - インポートスクリプトを実行する:
bash scripts/import-iso-controls.sh path/to/iso-controls.json - ISMS Builder サーバーを再起動する
標準で含まれるフレームワーク（ISO ライセンス不要）: BSI IT-Grundschutz、EU NIS2、EUCS、EU AI Act、および CRA は、公開されている EU 法およびドイツ連邦政府の出版物に基づいており、完全にプリインストールされています。
ISO フレームワークモジュールを、該当する規格の有効なライセンスなしで運用することは、運用者の単独の責任です。ISMS Builder プロジェクトおよびその貢献者は、ISO 保護コンテンツの無許可使用について一切の責任を負いません。
クイックスタート
git clone https://github.com/coolstartnow/isms-builder.git
cd isms-builder
npm install
cp .env.example .env # set JWT_SECRET to a long random string
npm start # http://localhost:3000
[email protected] / adminpass でログインしてください。初回ログイン時には、デモデータの言語（🇩🇪 DE / 🇬🇧 EN / 🇫🇷 FR / 🇳🇱 NL）を選択するか、空のシステムで開始するかを求められます。ログイン後すぐに管理者パスワードを変更してください。
HTTPS での本番運用の場合:
# .env
JWT_SECRET=your-very-long-random-secret
STORAGE_BACKEND=json
SSL_CERT_FILE=/etc/ssl/certs/your.crt
SSL_KEY_FILE=/etc/ssl/private/your.key
デモデータで評価した後に本番移行しますか？ 新規インストールから始める代わりに、対話型の本番環境準備ツールを実行してください。デモ/テストコンテンツをモジュール単位（または一括）で削除するため、既に入力した実データ（例: リスク、資産）を再入力する必要がありません:
bash stop.sh
node scripts/prepare-production.js
bash start.sh
このツールは、何かを変更する前に常にバックアップ（data/ ディレクトリの隣に data.bak.<timestamp>/）を作成し、STORAGE_BACKEND には一切触れません — これは、デモインスタンス用に設計され、歴史的な理由から引き続き sqlite に切り替わるアプリ内の「デモリセット」管理アクションとは異なります（Issue #42 を参照）。
Docker
docker compose up -d --build
# App runs at http://localhost:3000
要件
- Node.js 18+（テスト済み: 18、20、22）
- npm 9+
- （任意）Docker + Docker Compose
- （任意）ローカル AI セマンティック検索用の Ollama
設定（.env）
| 変数 | デフォルト | 説明 |
|---|---|---|
JWT_SECRET | （必須） | JWT 署名用のシークレット — 32 文字以上のランダムな文字列を使用 |
PORT | 3000 | HTTP/HTTPS リッスンポート |
STORAGE_BACKEND | json | json（開発/デモ）または sqlite（本番） |
SSL_CERT_FILE | — | TLS 証明書へのパス → HTTPS を有効化 |
SSL_KEY_FILE | — | TLS 秘密鍵へのパス |
DATA_DIR | ./data | データディレクトリの上書き（Docker ボリューム） |
SMTP_HOST | — | メール通知用の SMTP サーバー |
SMTP_PORT | 587 | SMTP ポート |
SMTP_USER | — | SMTP ユーザー名 |
SMTP_PASS | — | SMTP パスワード |
SMTP_FROM | — | 通知の送信元アドレス |
アーキテクチャ
server/
index.js — Express app setup, router mounts
auth.js — JWT auth, RBAC ranks, session
routes/ — 17 Express route modules (one per domain)
db/ — Data stores (jsonStore / sqliteStore / orgSettingsStore / …)
ai/ — Semantic search (embedder, embeddingStore, lexicalSearch)
reports.js — Report generation logic
ui/
index.html — SPA shell (Atlassian Dark Theme)
app.js — All render functions, ~6000 lines vanilla JS
style.css — CSS variables, dark theme
data/ — JSON files / SQLite DB (gitignored)
docs/
ISMS-build-documentation.md — Full architecture reference
architecture/ — C4 diagrams, data model, OpenAPI 3.0.3 spec
tests/ — Jest + Supertest (176 tests, --runInBand)
- 認証: JWT クッキー（
sm_session）、bcrypt パスワード、TOTP 2FA（組織全体で強制可能） - RBAC:
reader→editor/dept_head→contentowner/auditor→admin - 永続化: JSON ファイル（デフォルト/デモ）または
better-sqlite3による SQLite - AI: オプションのローカル Ollama（nomic-embed-text）; フォールバックとしてキーワード検索が常に利用可能
- 監査ログ: すべての作成/更新/削除/ログインアクションを記録、フィルタリング可能、エクスポート可能
C4 図、完全なデータモデル、OpenAPI 3.0.3 仕様（80 以上のエンドポイント）については docs/architecture/ を参照してください。
テストの実行
注記:
tests/配下のテストスイートは作者の個人開発用テストであり、透明性を確保するためにプロジェクトとともに公開されています。これはアプリケーション自体の一部ではなく、アプリの実行に必要でもありません。テストは内部 API の動作をカバーし、隔離されたテスト環境にのみ存在するハードコードされたテスト認証情報を使用します — 本番データやデモデータとは一切関係がありません。
npm test # runs all 423 tests
npm run preflight # exactly what CI gates on (tests + pinning + audit)
npm test -- --verbose # with test names
テストは隔離された一時ディレクトリを使用します — 本番データには触れません。
コントリビューション
コントリビューションは大歓迎です！CONTRIBUTING.md を参照してください:
- 開発環境のセットアップ（最初のテスト実行まで 5 分）
- コードスタイルと規約
- 良い Issue や PR の開き方
セキュリティ問題を発見しましたか？ 公開 Issue を開かず、プライベート脆弱性報告 を使用してください。SECURITY.md には、対象範囲、セーフハーバー、および現実的に期待できることが記載されています。
初心者向けの Issue は、Issue トラッカーで good first issue ラベルが付けられています。
ロードマップ
| ステータス | 機能 |
|---|---|
| ✅ 完了 | セマンティック検索（Ollama / nomic-embed-text） |
| ✅ 完了 | SQLite バックエンド、Docker、CI/CD |
| ✅ 完了 | GDPR 削除ログのメール通知 |
| ✅ 完了 | 多言語デモバンドル（DE / EN / FR / NL） |
| ✅ 完了 | アクションプラン付き監査指摘事項モジュール（V 1.37.2.0） |
| ✅ 完了 | FR/NL ガイダンス翻訳 + 管理者向け言語設定（V 1.37.2.0） |
| ✅ 完了 | MariaDB/MySQL バックエンド（STORAGE_BACKEND=mariadb、V 1.37.2.1） |
| ✅ 完了 | スキャナ → リスクドラフト（Greenbone/OpenVAS XML + PDF インポート、V 1.37.2.0） |
| ✅ 完了 | ポリシー承認 — スタッフが監査証跡付きでポリシーをデジタル確認（V 1.37.2.0） |
| ✅ 完了 | ガイダンス CRUD — 独自ドキュメントの作成、編集、アップロード（V 1.37.2.0） |
| ✅ 完了 | ガイダンス検索 — 抜粋付きカテゴリ横断全文検索（V 1.37.2.0） |
| ✅ 完了 | 資産保護目標 — CIA + 真正性（1–4）、依存関係、BSI 最大原理による継承（V 1.37.2.0） |
| ✅ 完了 | NIS2 第 21 条ガバナンスチェックリスト（30 項目）および自動通知付き第 23 条報告期限（V 1.37.2.0） |
| 🔜 次 | AI ポリシーアシスタント — Ollama がタイトル + フレームワークからポリシーコンテンツのドラフトを作成 |
| 🔜 次 | スケジュールレポート — 毎週/毎月のコンプライアンスレポートをメールで配信 |
| 🔜 次 | PostgreSQL バックエンド |
| 🔜 次 | 監査ログ異常検知（LLM バッチ） |
| 🚀 今後 | 定量的リスクスコアリング（€ 価値、FAIR 着想） |
| 🚀 今後 | 監査人コラボレーションポータル — 監査人向け外部リードオンリーアクセス |
| 🚀 今後 | ownCloud / Nextcloud 連携 |
| 🚀 今後 | ポリシーギャップ分析（LLM) |
| 🏁 V 2.x | 設定可能なガイダンスカテゴリ — 管理者がカスタムカテゴリを定義（例: ワークフロー、組織文書） |
著者について
Claude Hecker 氏は 35 年以上 IT に携わっています。約 15 年間 CIO を務めた後、CISO およびデータ保護責任者（DSO/DSB）の役割に転身しました。キャリアを通じて、欧州の大手企業向けにエンタープライズ規模の IT インフラストラクチャと広域ネットワーク接続（VPN、MPLS）を設計・実装し、複数のサイトと法域にわたる信頼性の高い安全な運用を担ってきました。
ISMS Builder は、まさにその経験から直接生まれました。実際の監査、実際の規制圧力の中で、実世界で準拠した ISMS を構築・維持することです。このツールは、プロダクトマネージャーが「必要だと思う」ものではなく、実務者が実際に必要とするものを反映しています。
なぜオープンソースなのか？ 中小企業は、5 桁のライセンス料なしで本格的な ISMS プラットフォームにアクセスできるべきです。どのツールを選んでも導入の労力は現実に存在します — しかし、そのコストにベンダーロックインやデータが自社インフラの外へ出ていくことが上乗せされるべきではありません。このプロジェクトは、ソフトウェアの自由と、コンプライアンスデータはあなた自身のものであるという原則を支持します。
規格参照に関する通知
このソフトウェアは、相互運用性とコンプライアンス管理のみを目的として、公開されている規格の管理策識別子と短いタイトルを参照しています。
- ISO/IEC 27001、ISO 9000、ISO 9001 は、国際標準化機構（ISO）が発行する規格です。これらの規格の管理策定義は、このソフトウェア配布物には含まれておらず — ISO の著作権は管理策テキストの再配布を許可していません。ユーザーは独自の JSON ファイルを用意する必要があります（上記のセクションおよび
scripts/import-iso-controls.shを参照）。規格は ISO または認定された国内販売代理店から入手する必要があります。 - BSI IT-Grundschutz の資料は、ドイツ連邦情報セキュリティ庁（BSI）が発行しており、bsi.bund.de で無料で入手できます。
- NIS2、CRA、EUCS、EU AI Act は EU の立法行為であり、eur-lex.europa.eu で公開されています。
ライセンス
Copyright (C) 2026 Claude Hecker
このプログラムは、GNU Affero General Public License v3.0 の下でライセンスされたフリーソフトウェアです。
修正版をネットワークサービスとして実行する場合、そのサービスのユーザーが完全なソースコードを利用できるようにする必要があります（AGPL 第 13 条）。
このプロジェクトには、MIT、BSD-2-Clause、および Apache-2.0 ライセンスのサードパーティコンポーネントが含まれています。完全な帰属表示とライセンス本文については THIRD-PARTY-LICENSES.md を参照してください。