セキュリティポリシー

データセンターは高いコンプライアンス基準を満たしており、組織的なプロトコルによって資産の廃棄や従業員の順守が確保されています。定期的な評価と災害復旧計画によって、さらにデータを保護しています。

私たちはデータセキュリティを最重要視しています。複数のセキュリティ機能を組み合わせることで、お客様、従業員、ビジネスデータを常に保護し、お客様が安心してご利用いただけるよう、データの安全性・通信のセキュリティ・ビジネスの保護を実現しています。

インフラセキュリティ

インフラセキュリティとは、組織の情報技術（IT）運用を支えるハードウェア、ソフトウェア、ネットワークなどの基盤コンポーネントを保護することです。これには、データセンターやサーバーからネットワーク接続、エンドポイントデバイスまでが含まれます。効果的なインフラセキュリティは、不正アクセス・悪用・障害を防ぎ、ITシステムの完全性・機密性・可用性を確保します。

インフラセキュリティの主な要素

• 暗号鍵アクセスの制限
  ポリシー: 暗号鍵へのアクセスは、業務上必要な権限を持つ認可ユーザーのみに限定されています。
  運用: 適切な権限を持つ者だけが機密情報を復号できるようにし、データ侵害のリスクを最小限に抑えます。

• 個別アカウント認証の強制
  ポリシー: システムやアプリケーションには、固有のユーザー名とパスワード、または認可されたSSHキーの使用を必須としています。
  運用: 各ユーザーが明確な認証情報を持つことで、不正アクセスのリスクを低減します。

• 本番アプリケーションアクセスの制限
  ポリシー: 本番アプリケーションへのアクセスは、認可された担当者のみに限定されています。
  運用: ビジネスを動かす重要なアプリケーションへの不正な操作を防止します。

• アクセス制御手続きの確立
  ポリシー: ユーザーアクセスの追加・変更・削除のための要件を文書化しています。
  運用: アクセス権が体系的かつ安全に管理されるよう、明確な手続きを設けています。

• 本番データベースアクセスの制限
  ポリシー: 業務上必要な認可ユーザーのみに、特権的なデータベースアクセスを限定します。
  運用: データベースに保存された機密データを不正アクセスや改ざんから守ります。

• ファイアウォールアクセスの制限
  ポリシー: ファイアウォールへの特権アクセスを、業務上必要な認可ユーザーのみに制限します。
  運用: ファイアウォールはネットワークセキュリティの要であり、設定の不正変更を防ぎます。

• 本番OSアクセスの制限
  ポリシー: 本番環境のOSへの特権アクセスを、業務上必要な認可ユーザーのみに限定します。
  運用: OS層の不正変更を防ぎ、システムの安定性とセキュリティを維持します。

• 本番ネットワークアクセスの制限
  ポリシー: 本番ネットワークへの特権アクセスは、業務上必要な認可ユーザーのみに限定します。
  運用: 認可された担当者のみがネットワークにアクセスでき、内部脅威のリスクを低減します。

• 退職時のアクセス権剥奪
  ポリシー: 退職者のアクセス権は、サービスレベルアグリーメント（SLA）内で剥奪されます。
  運用: 退職後の元従業員によるシステムアクセスを防止します。

• 個別ネットワークシステム認証の強制
  ポリシー: ネットワークアクセスには、固有のユーザー名とパスワード、または認可SSHキーが必要です。
  運用: ネットワークアクセスが個人単位で追跡可能となり、セキュリティが強化されます。

• リモートアクセスの暗号化強制
  ポリシー: 本番システムへのリモートアクセスは、認可された暗号化通信のみ許可されます。
  運用: リモート接続時のデータが傍受されるのを防ぎます。

• 侵入検知システム（IDS）の利用
  ポリシー: セキュリティ侵害の早期発見のため、ネットワークを常時監視します。
  運用: IDSがリアルタイムアラートを発し、脅威への迅速な対応を可能にします。

• インフラパフォーマンスの監視
  ポリシー: 監視ツールでシステムパフォーマンスを追跡し、閾値到達時にアラートを発します。
  運用: インフラの健全性を維持し、問題発生時に即対応します。

• ネットワーク分割の実施
  ポリシー: ネットワークを分割し、顧客データへの不正アクセスを防止します。
  運用: ネットワークの各部分を隔離することで、侵害の拡大を防ぎます。

• ネットワークファイアウォールの定期レビュー
  ポリシー: ファイアウォールルールセットを年次レビューし、変更履歴を管理します。
  運用: ファイアウォール設定を最新かつセキュリティ基準に合致させます。

• ネットワークファイアウォールの活用
  ポリシー: ファイアウォールは不正アクセスを防ぐように設定されています。
  運用: 外部脅威への第一防衛線となります。

• ネットワーク・システムのハードニング基準の維持
  ポリシー: 業界ベストプラクティスに基づき、文書化された基準を年次で見直します。
  運用: システムが安全に構成され、攻撃に強くなります。

データセンターセキュリティ

当社は業界最高水準の慣行により、お客様のデータの機密性と完全性を守ります。FlowHuntのサーバーはTier IVまたはIII+、PCI DSS、SSAE-16、ISO 27001準拠の施設にホスティングされています。セキュリティチームが常にセキュリティアップデートを適用し、アラートやイベントにも迅速に対応しています。

物理的セキュリティ

ネットワークセキュリティ

当社のネットワークは冗長ファイアウォール、最先端のルータ技術、パブリックネットワーク上の安全なHTTPS通信、ネットワーク侵入検知／防御技術（IDS/IPS）によって保護され、不正通信や攻撃を監視・遮断しています。

追加対策

• DDoS軽減: 業界最高水準のインフラにより、サービス妨害攻撃から保護し、その影響を最小限に抑えます。
• 通信の暗号化: FlowHuntサーバーとの通信は、業界標準のHTTPSとTLSによってパブリックネットワーク上でも暗号化されています。

組織的セキュリティ

資産廃棄手続き

• 機器の棚卸: 廃棄予定の全デバイスを特定・記録します。
• データバックアップ: 廃棄前に必要なデータを安全にバックアップします。
• データ消去: 認定ツールを用いて、業界基準に従って全デバイスからデータを完全消去します。
• 物理的破壊: 消去できない機器は、シュレッダーや消磁などの物理破壊手段を用います。
• 環境対策順守: すべての廃棄方法は環境規制に準拠しています。

証明書・コンプライアンス

• 文書管理: 廃棄した資産のシリアル番号・廃棄方法・日付を含む詳細な記録を保持します。
• 第三者認証: 認定された第三者業者を用いて、廃棄プロセスを検証・記録します。

従業員・契約者の順守体制

• 身元調査: 新規従業員は入社前に徹底した身元調査を受けます。
• 行動規範: 従業員・契約者ともに、入社／契約時に行動規範を承諾し、違反時の懲戒規定を設けています。
• 秘密保持契約: 全従業員は入社時、契約者は契約時に秘密保持契約の締結を義務付けています。

訪問者・セキュリティプロトコル

• 訪問者手続き: 訪問者は受付でサインインし、ビジターバッジを着用し、認可従業員の付き添いのもとでのみセキュアエリアに立ち入ることができます。
• セキュリティ意識向上研修: 従業員は入社30日以内および毎年、セキュリティ研修を受講し、最新のベストプラクティスや新たな脅威について学びます。

製品セキュリティ

データ暗号化

FlowHuntのすべてのデータベースおよびバックアップ（機密顧客データを含む）は暗号化されています。請求・支払データの暗号化は決済プロセッサー（Stripe）が担当します。

• カラムレベル暗号化: データベース内の特定カラムを暗号化し、APIキーなどの機密項目を重点的に保護します。
• 暗号化プロトコル: SSLおよびTLSプロトコルにより、ネットワーク上のデータ通信を暗号化します。

ペネトレーションテスト

FlowHuntは定期的にペネトレーションテストを実施し、バグ報奨金プログラムにより外部セキュリティ研究者にも脆弱性の発見を奨励しています。

更新日: 2025年5月30日