システムのセキュリティ
私たちは、これに取り組み続けることを固く誓います。絶えず。 😅
セキュリティ基準は絶えず進化しています。当社は、お客様の情報を最大限に保護するため、データ保護に関する最新の基準やベストプラクティスを反映するよう、運用体制やポリシーを定期的に更新することに努めています。
データセキュリティ
- 不正アクセスからデータを保護するため、転送中（tls 1.2 以上）および保存時（aes 256）の双方において、業界標準の暗号化技術を用いてすべてのデータを暗号化しています。
- 当社は、機密データへのアクセスを権限のある担当者のみに限定するため、厳格なアクセス制御を実施しており、最高水準のセキュリティを維持するために、これらの制御を定期的に見直し、更新しています。
- 当社は、潜在的なセキュリティリスクを特定し、対処するために、定期的なセキュリティ監査および脆弱性評価を実施しています。
- Jungaのプロフィールを削除してから24時間以内に、データは消去されます。
- 不正アクセスや不審な活動を検知し、適切に対処するため、アクセス監視およびログ記録の仕組みが導入されています。重要度の高いシステムへのアクセスは、管理者またはアプリケーションの責任者に限定されています。
- データの完全性と可用性を確保するため、セキュリティインシデントやデータ損失が発生した場合に備え、24時間ごとにデータのバックアップを実施し、7日間保存しています。バックアップデータは保存時に暗号化され、その安全性と機密性が確保されています。
アプリケーションセキュリティ
- 当社はセキュアコーディングの慣行に従い、定期的なコードレビューを実施することで、エンジニアのワークステーション上での開発段階および本番環境において、潜在的な脆弱性を特定し、対処しています。
- Jungaでは、堅牢かつ安全なアプリケーションを実現するため、開発の各段階でパフォーマンス、セキュリティ、信頼性のテストを組み込んだソフトウェア開発ライフサイクルを採用しています。
- 当社のアプリケーションは、独自のバージョン管理システムを採用しており、ソフトウェアのバグやセキュリティ上の脆弱性に対応して、迅速に改良を重ね、バージョン間の移行を行うことが可能です。
- 当社は、SQLインジェクション、クロスサイトスクリプティング（XSS）、分散型サービス拒否（DDoS）攻撃などの一般的なWebアプリケーション攻撃からシステムを保護するため、Webアプリケーションファイアウォール（WAF）を導入しています。このWAFは、受信トラフィックを監視・フィルタリングするように設定されており、アプリケーションのセキュリティを脅かす可能性のある悪意のあるリクエストをすべてブロックします。
- 当社は定期的にアプリケーションの脆弱性スキャンを実施し、潜在的な脅威に対する防御体制を強化する機会を特定しています。自動化ツールと手動テストを組み合わせて活用し、アプリケーションが安全であり、攻撃に対して強靭であることを確保しています。
アクセス制御
- Jungaへのデータアクセスは厳しく制限されています。アクセスは、エンジニア、プロダクトマネージャー、サポートスタッフなど、業務遂行のためにアクセスが必要な者に限定しています。
- Jungaシステムにアクセスできるすべてのアカウントに対して、パスワードのセキュリティ対策が実施されており、これには不正アクセスを防ぐための強固なパスワードの使用が含まれます。
インフラセキュリティ
- インフラの健全性とセキュリティを確保するため、24時間体制のステータス監視を実施しており、潜在的な問題や脅威を迅速に特定し、対応することが可能です。監視はAWS CloudWatchを通じて行われ、異常なアクティビティやパフォーマンスの問題が発生した際にアラートが通知される仕組みとなっています。これにより、潜在的なセキュリティインシデントに先手を打って対処し、インフラの完全性を維持しています。
- Amazon Web Services（AWS）は当社のクラウドサービスプロバイダーであり、当社は同社の安全なインフラストラクチャを利用してアプリケーションとデータをホストしています。AWSは、ネットワークセキュリティ、アクセス制御、暗号化、監視など、インフラストラクチャとデータを保護するのに役立つ幅広いセキュリティ機能とサービスを提供しています。
- 当社は、AWS Identity and Access Management（IAM）を活用してAWSリソースへのアクセスを管理し、機密データやシステムへのアクセスが許可された担当者のみに限定されるようにしています。IAMにより、ユーザーアカウントの作成・管理、権限の割り当て、セキュリティポリシーの適用が可能となり、インフラストラクチャとデータを保護しています。
- 当社のインフラストラクチャは、米国バージニア州にあるAWS US-East-1リージョンを拠点としています。
- 当社はインフラセキュリティにおいてゼロトラストアプローチを採用しています。これは、たとえ当社のネットワーク内にあるユーザーやシステムであっても、自動的に信頼しないことを意味します。その代わりに、リクエストの発信元や場所にかかわらず、インフラやデータへのあらゆるアクセスに対して厳格な認証と認可を義務付けています。
ネットワークセキュリティ
- 当社のawsインフラストラクチャは、ネットワークの分離とセキュリティ制御機能を提供する仮想プライベートクラウド（vpc）によって保護されており、不正アクセスや潜在的な脅威から守られています。vpcにはサブネット、セキュリティグループ、およびネットワークアクセス制御リスト（acl）が設定されており、許可されたトラフィックのみがインフラストラクチャにアクセスできるようにしています。
- 当社のメール通信はAWS Simple Email Service（SES）によって保護されており、メールのなりすましやフィッシング攻撃を防ぐために、SPF、DKIM、DMARCレコードを採用しています。これらのメール認証プロトコルにより、当社のメールが安全に配信され、ユーザーが当社からの通信を信頼できるようになっています。
- 当社のWebアプリケーションファイアウォール（WAF）は、受信トラフィックをフィルタリングし、SQLインジェクション、クロスサイトスクリプティング（XSS）、分散型サービス拒否（DDoS）攻撃などの一般的なWebアプリケーション攻撃からシステムを保護します。WAFは、受信トラフィックを監視・フィルタリングするように設定されており、アプリケーションのセキュリティを脅かす可能性のある悪意のあるリクエストをすべてブロックします。
