セキュリティ対策

当社のプラットフォームはAmazon Web Services（AWS）クラウドインフラストラクチャ上で稼働しており、主要データセンターは東京に所在しています。Virtual Private Cloudにペリメーターファイアウォールとネットワークセグメンテーションを導入し、ワークロードを分離しています。複数のアベイラビリティゾーンにまたがるアーキテクチャにより、高可用性と耐障害性を確保しています。CDNエッジロケーションによるパフォーマンス最適化と追加のフェイルオーバー機能を備えています。データレジデンシーはテナントごとに指定されたリージョンに固定され、合意された地理的範囲内にお客様のデータが保持されることを保証します。

保存データはすべてAES-256暗号化により保護されています。転送中のデータはすべてTLS 1.2以上で保護されています。すべての従業員デバイスにおいてフルディスク暗号化が必須です。暗号化されたシークレット管理を使用し、コードリポジトリに平文の認証情報を保存しない厳格なポリシーを維持しています。

エンタープライズクライアント向けにシングルサインオン（SSO）とSAMLをサポートしています。すべてのサービスで多要素認証（MFA）がサポートされています。各クライアントのデータは、テナントごとの分離によりアイデンティティレイヤーで論理的に隔離されています。内部システムはneed-to-share（知る必要がある場合のみ共有）のアクセス原則に従い、最小権限の原則に基づくロールベースのアクセス制御が組織全体で適用されています。従業員の退職時にはアクセス権が速やかに失効されます。

当社はEUの一般データ保護規則（GDPR）および日本の個人情報保護法（APPI）に準拠しています。エンタープライズのお客様向けにデータ処理契約（DPA）をご提供可能です。セキュリティのベストプラクティスへのコミットメントをさらに実証するため、SOC 2 Type IIおよびISO 27001認証の取得に向けて積極的に取り組んでいます。

開発、ステージング、本番の各環境を厳密に分離して管理しています。ステージングと本番環境は独立したデータベースと設定を使用し、環境レベルでの分離を確保しています。セキュリティに関する考慮事項は、開発ガイドラインとコードレビュープロセスに統合されています。すべてのリリースはセマンティックバージョニングに従っています。

インフラストラクチャとアプリケーションの自動脆弱性スキャンを実施しています。独立した専門家による年次外部セキュリティ評価を実施しています。特定された脆弱性は、その重大度の分類に基づいて適時に修正されます。

当社のエンジニアリングチームは、セキュリティインシデントへの対応に関するトレーニングを受けており、迅速に対応できる体制を整えています。インシデント管理とエスカレーション手順は明確に定義され、定期的に見直されています。GDPRの要件に従い、該当するインシデントを認識してから72時間以内の侵害通知を約束しています。再発防止のため、インシデント後のレビューと修正プロセスを実施しています。

すべての従業員は入社時にセキュリティ意識向上トレーニングを受けます。デバイスセキュリティ管理として、ディスク暗号化、自動画面ロック、ファイアウォールの有効化が必須となっています。コンプライアンスプログラムの一環として、バックグラウンド確認プロセスの整備を進めています。アクセス権限が適切に維持されていることを確認するため、定期的なレビューを行っています。

すべてのベンダーおよびサブプロセッサーとの契約前に、デューデリジェンスとセキュリティ評価を実施しています。書面による契約にはセキュリティおよびデータ保護要件が含まれています。すべてのサードパーティデータ接続にエンドツーエンド暗号化が求められます。年次ベンダーセキュリティレビューを実施し、ベンダー契約においてデータの地理的保存制限を定めています。

当社プラットフォームのAI機能はオプションであり、テナントごとに無効化することができます。お客様のデータがAIモデルのトレーニングに使用されることはありません。プライバシーを確実に保護するため、AIサービスによる処理の前にセンシティブなフィールドは事前に編集（リダクト）されます。