信頼とセキュリティ
書面にできること。
当社自身の体制、アクセスとデータの扱い、誰が何を処理するか、何か壊れたときに何をするか。どの項目も確認でき、開示を求めることもできます。
当社自身の体制
御社に求める統制を、当社も運用しています。
このサイトは静的サイトなので、リストは意図的に短くなっています。短いことは検証済みと同じではありません。当社の言葉を信じる前に、ご自身で確認してください。
- すべてのHTTPSレスポンスでTLS 1.3とHSTS
- 強力なセキュリティヘッダー: CSP、HSTS、フレームオプション、リファラーポリシー、パーミッションポリシー
- このサイトを変更できる、またはクライアントデータに到達できるすべてのアカウントでMFA
- 当社自身を含む、すべてのアカウントで最小権限
- 週次のバックアップと、同じ頻度での復元テスト
- 依存関係の更新は固定スケジュールで行い、マージ前に変更履歴を確認
ご自身で検証してください
このページの内容を信じる前に、Security HeadersとSSL Labsで当社を確認してください。
どちらも無料で、当社から独立しています。失敗があればお知らせください。調達レビューで見つかるより、先に直したいと考えています。
チェックとエビデンス
- Security Headers — アペックスドメインのCSP、HSTS、フレームオプション、リファラーポリシー
- SSL Labs — プロトコルのバージョン、暗号スイート、証明書チェーン
アクセス
アクセス権は範囲を限定し、期限を設け、削除します。
本当の問いは、ベンダーを信頼できるかどうかではありません。そのベンダーが何に、どれだけの期間たどり着けるのか、去った後にどんな証拠が残るのかです。
個別のアクセス申請について問い合わせる- 案件ごとの専用保管庫。認証情報は1つの保管庫に置き、その案件の担当者にだけ共有し、終了時に削除します。
- MFAを必須にします。当社が使うすべてのアカウントに第2要素を求めます。クライアントが所有する管理画面も同様です。利便性は例外になりません。
- 期限を設け、30日以内に失効します。アクセス権は案件の期間だけ付与し、終了から30日以内に削除します。ご希望があれば書面で確認をお送りします。
- メールで認証情報をやり取りしません。契約前も、納品中も、その後もです。保管庫か、範囲を限定した招待を使います。
- 本番環境はスコープ上必要な場合のみ。原則としてステージング、コピー、読み取り専用のアクセスを使います。本番の管理者権限には書面の理由を求めます。
データの取り扱い
保存期間。
これらの期間は、署名済みの契約で別段の定めがない限り、このサイトとクライアント案件に適用されます。削除は毎回、書面で確認します。
| データ | 保存場所 | 保存期間 | 削除 |
|---|---|---|---|
| お問い合わせフォームの送信内容 | フォームのデータベースと共有受信箱 | 最後の返信から24か月 | 書面の依頼で削除し、書面で確認を送付 |
| 案件のメモ | 非公開のプロジェクトワークスペース。案件担当者のみ | プロジェクト終了後12か月 | 依頼があれば終了時に破棄し、書面で確認 |
| 指摘とレポート | 暗号化ストレージと御社の控え | 12か月。御社の控えは御社に帰属します | 当社の控えは依頼で削除し、書面で確認 |
| ログとスキャンの生データ | ホスティング、アクセス、スキャンワークスペースのログ | 30日。その後はローテーションまたは削除 | クローズアウト時に書面で削除を確認 |
削除のご依頼はxcsfx@icloud.comまで。何を、どこから、いつの日付で削除したかを書面で確認します。
委託先
誰がデータに触れ、何を見るのか。
5つの区分です。どれも、業務に必要な以上のデータは受け取りません。
| サービス | 目的 | データの区分 |
|---|---|---|
| エッジネットワークとWAF | TLS終端、キャッシュ、リクエストのフィルタリング | IPアドレス、リクエストヘッダー、セキュリティイベント |
| 静的ホスティング | このサイトのページ、スタイル、スクリプトを配信 | IPアドレスと標準的なリクエストログ |
| メール | フォームの送信内容を受信し、返信を届ける | 氏名、メールアドレス、メッセージの内容 |
| 決済 | ケアプランとプロジェクト請求の決済 | 請求担当者と請求額。カード情報は決済代行会社に留まります |
| 稼働監視 | サイトとそのエンドポイントが応答するかを確認 | リクエストパス、ステータスコード、応答時間 |
この表は要約です。DPAには、署名済みの案件について正式な一覧（法人名、処理条件、漏えい通知を含む）を記載しています。
インシデント対応
最初の5日間を、書面で約束します。
これらの時間は、GMT+8で月曜〜金曜09:00〜18:00のサポート時間を前提としています。守れる約束であり、願望ではありません。
4営業時間以内に受領を通知
担当者名を明らかにした上で、報告内容、影響範囲、次回更新の時刻をお伝えします。
24時間ごとに更新
インシデントが終結するまで、毎日書面で更新します。新しい情報がない日も同じです。
5営業日以内に根本原因
何がどの順序で起きたか、どの統制が機能しなかったか、または欠けていたか。
クライアント向けのポストモーテム
同じ根本原因に、変更点を加えたもの。御社のチームが行動できる形で書きます。
当社は24時間365日のSOCではありません。夜間の当番も、午前3時の約束もありません。24時間のオンコールが要件であれば、当社は適任ではありません。提案書ではなく、初回の通話でその旨をお伝えします。
認証
当社はISO 27001もSOC 2も取得していません。
持っていない認証を主張することはなく、表示する資格のないロゴで信頼を得ることもありません。
ご提供できないもの
- ISO 27001認証
- SOC 2 Type I / Type II レポート
- Cyber Essentials認証
- PCI DSSの適合証明 — カード情報は決済代行会社に留まります
調達要件にこれらが含まれる場合、当社はその案件のベンダーにはなれません。書類を偽るより、案件を失う方を選びます。
読んで確認できるエビデンス
- 書面のセキュリティポリシー。版管理し、ご依頼に応じて共有
- すべてのアカウントに担当者名を置いた最小権限のアクセス
- クライアントデータを受け取る前のDPA締結
- セキュリティ質問票は営業通話ではなく書面で回答
- 案件ごとのエビデンスパック: スコープ、指摘、再テスト、クローズアウト
回答は毎回同じポリシーから作るため、案件をまたいでも食い違いません。
セーフハーバー
- ご自身のアカウント、またはご依頼に応じて当社が作成するテストテナントでの善意の調査を歓迎します。
- 他者のデータへのアクセス、変更、持ち出しは行わないでください。中止して報告してください。
- 公開前に修正する時間をいただき、公開する予定があるかどうかをお知らせください。
- 2営業日以内に受領を通知し、再現できるかどうかをお伝えします。
このルールに従った調査に対して、法的措置を取ることはありません。方針はこれだけです。別の申請フォームはありません。
次のステップ
文書を読んでから、厳しい質問をしてください。
委託先と条件の正式な一覧はDPAに記載しています。このページの内容が御社の質問票と合わない場合は、フォームにお書きください。書面で回答します。