ドネックス株式会社様・フリプト株式会社様　│　Webアプリケーション脆弱性診断
～ ふるさと納税を活用するWebシステムで地域経済を活性化～

「ドネックス株式会社」という社名は、“ドネイション（寄付）”に由来しており、ふるさと納税や寄付、チップといった仕組みにITシステムを組み合わせることで、利便性の向上と地域課題の解決に取り組んでいます。

【ふるさと納税】
ふるさと納税制度を活用した新たな地域連携モデルの構築に注力しており、自治体と民間施設をつなぐことで、観光・宿泊・地域体験などを支援する全国初のプラットフォーム開発を進めています。

【寄付・チップ制度】
観光協会やDMOといった組織は、景観の保全や地域活性化に取り組んでいる一方、財政的な制約により十分な活動ができていないのが現状です。こうした課題に対して、弊社ではインバウンド需要とデジタル技術を融合させた新たな寄付・チップの仕組みを提案し、地域が自立的に動ける仕組みづくりに挑戦しています。

総務省によると2024年度のふるさと納税による寄付額は1兆2,727億5,000万円、受け入れ件数は5,878万7,000件とふるさと納税の利用が進んでいます。一方でふるさと納税は“モノ中心”の返礼品が主流であり、運用費や人件費の負担が大きいという課題がありました。

• 送料負担：配送コストがかさみ、自治体の財政を圧迫
• チケット対応：現地での物理チケット準備や、利用後のチケット回収・売上集計など、現場負担が大きい

ふるさと納税を通じて地域のポテンシャルを引き出すと同時に、ふるさと納税が抱える事業運営上の課題を解消すべく、フリプト株式会社と連携し、「ふるさとリンク」というWebシステムを企画・開発しました。「ふるさとリンク」は、宿泊施設やレジャー施設、ゴルフ場、病院などの公式予約サイト上で、ふるさと納税による支払いを可能とする新しい仕組みです。

Webアプリケーションとして、会員登録・ログイン機能、ふるさと納税申込および自治体との連携、寄附ポイントの管理と残高および利用場所管理、決済機能（クレジットカード）、管理者画面（自治体・施設・運営会社用）などを実装しており、特にセキュリティ上は、個人情報（氏名・住所・連絡先・メールアドレス等）や決済情報（クレジットカード情報はトークン化し外部連携）を扱っています。

「ふるさとリンク」の開発はフリプト株式会社で一手に担っています。決済および個人情報を扱うシステムであるため、セキュリティ設計とUX設計を両立させることを重視して開発を進めました。また、寄附者・施設・自治体の三者がそれぞれの立場で使いやすいシステムとなるよう、権限設計や画面UIの工夫を行っています。

セキュリティを担保するために、次の3点に注意して開発を行いました。

• 個人情報や決済情報を扱ううえでの対応
  本システムでは、氏名・住所・連絡先・メールアドレスなどの個人情報に加え、クレジットカードによる決済情報も取り扱います。そのため、セキュリティを最優先し、クレジットカード情報はトークン化して外部の決済代行業者と連携することで、自社サーバーでの非保持化を実現しています。
• その他セキュアな開発のための取り組み
  
  • IPA「安全なウェブサイトの作り方」に準拠し、開発時に各種セキュリティチェックを実施
  • OWASP Top 10を参考に、主要な脆弱性（XSS、CSRF、SQLインジェクション等）に対する検証を実施
  • 特に認証・認可まわりでは、事前にテストケースを設計し、仕様漏れ・実装ミスを防止する取組みを実施
• 脆弱性診断結果と対応について
  診断の結果、いくつかのセキュリティ改善点が挙げられました。中には、ユーザビリティとのトレードオフが生じる項目や、システムと業務に精通した管理者のみが使用する画面に関する指摘もありましたが、リスク評価を踏まえた上で、必要性を見極めて対応の可否を判断しました。

ふるさと納税の仕組みは現在さまざまな形で存在していますが、「ふるさとリンク」はその中でも特に特徴の違いが際立っており、地域の実需に即した形で活用できる画期的な仕組みだと感じました。

一般的なポータルサイトを通じた寄附は、どうしても「モノ」に偏りがちですが、「ふるさとリンク」は宿泊料金やリフト券購入といった“コト消費”に直結する形でポイントを利用できるため、実際に地域へ足を運んでいただける、という点が決め手になりました。

また、私自身が「この機能があればお客様にもっと便利に使ってもらえるのでは？」というアイデアを持っており、それを取り入れた仕組みを一緒に開発できたことも大きな理由の一つです。ただの既製品を導入するのではなく、地域と施設の現場を知る当事者としての視点を活かせるパートナーシップに、大きな魅力を感じました。 また、仕組みのアイデアとして取り入れたかったことが、「旅まえ」、「旅なか」、「旅あと」で利用できるようにしたかった。

導入から約半年が経過しましたが、システム起因のお客様からのクレームは一件も発生していません。ユーザーインターフェースもわかりやすく、予約から寄附までがスムーズに行えるため、お客様にも非常に好評です。

また、これまでのふるさと納税の流れと比較して、売上面でも大きな成果が出ています。具体的には、他のふるさと納税の仕組みを利用している13社のうち、当リゾートの導入実績は8倍近い成果を記録しており、施設としても手応えを感じています。

さらに、セキュリティ面でもGSXのような信頼できる専門企業による脆弱性診断が実施されていることで、我々としても安心してお客様にご案内できる体制が整っていると感じています。この結果を受けて、同じロッテグループである「ロッテ皆吉台カントリークラブ」へも導入することが決定しました。

今後は、「ふるさとリンク」の仕組みをさらに発展させ、妙高市の地域活性化に寄与できる新たなモデルの開発をドネック様にお願いしたいと考えており、要求仕様に着手しています。内容としては、地域のアーティストやガイド、ショップスタッフなどに対して、体験の満足度に応じて寄附やチップを送れる仕組み。訪れた人が“感謝を行動で示せる”形をつくることで、より持続可能な関係人口の形成にもつながると期待しています。このような施策を導入（チャレンジ）することで、いち企業として地域の活性化に少しでもお役に立てればと考えております。

もちろん、こうした新たな仕組みを導入する際にも、GSX様のような専門機関によるセキュリティ診断を通じて、ユーザーの安心・安全を確保することが大前提だと考えています。高品質なサービスと信頼性を両立させるために、今後も外部パートナーとの連携を強化していきたいです。

今後は、全国の宿泊施設や観光施設、スタジアム、ゴルフ場などの観光関連施設にとどまらず、これまでふるさと納税の対象とは思われてこなかった医療機関や専門学校などにも、寄附の仕組みを活用した新たな展開にチャレンジしたいと考えています。少しでも多くの納税者の方々のお役に立ち、地域と個人がつながる新しい形を提供できればと願っております。

また、サービスを安心・安全にご利用いただくために、新機能の追加や大規模な改修の際には都度脆弱性診断を実施し、セキュリティレベルの維持・向上にも継続して取り組んでまいります。