Reauditがお客様のデータをどのように保護するか。

セキュリティへの取り組み

Reauditでは、セキュリティを最優先事項としています。データ、インフラストラクチャ、および運用を保護するため、業界水準のセキュリティ対策を実施しています。このページでは、当社のセキュリティプラクティスとポリシーについて説明します。

1. データ暗号化

1.1 転送時の暗号化

• TLS 1.3: 転送中のすべてのデータは、強力な暗号化スイートを使用したTLS 1.3で暗号化されます
• HTTPS Everywhere: すべての接続にHTTPSを要求します
• Perfect Forward Secrecy: 追加の保護のために適用されます

1.2 保存時の暗号化

• AES-256: すべての機密データは保存時に暗号化されます
• データベース暗号化： フィールドレベルでのデータベース全体の暗号化
• 暗号化されたバックアップ： すべてのバックアップは暗号化されます
• キー管理： 暗号化キーの安全な管理

2. アクセス制御

2.1 認証

• OAuth 2.0: サードパーティ（Google）との安全な連携
• セッション管理： 安全なhttpOnly Cookieと自動失効（7日間）を備えたJWTセッション
• reCAPTCHA v3: 認証時のボット対策
• ブルートフォース対策： リクエストのレート制限

2.2 認可

• ロールベースアクセス制御（RBAC）： 詳細な権限設定
• 最小権限の原則： ユーザーには必要最小限のアクセス権のみを付与
• データ分離： 顧客間の厳格なデータ分離
• 監査ログ： すべてのアクセス操作の包括的な記録

3. インフラストラクチャのセキュリティ

3.1 インフラストラクチャのセキュリティ

• MongoDB Atlas: SOC 2およびISO 27001認証を取得したマネージドデータベース
• Docker: 自動再起動ポリシーを備えたコンテナ化デプロイメント
• DDoS Protection: CloudflareによるDDoS対策とWAF

3.2 アプリケーションセキュリティ

• Web Application Firewall (WAF): 一般的なWeb攻撃からの保護
• 入力検証: すべてのユーザー入力に対する厳格な検証
• CSRF対策: クロスサイトリクエストフォージェリからの保護
• コンテンツセキュリティポリシー: 厳格なCSPポリシーの適用
• セキュアヘッダー: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 APIセキュリティ

• API認証: 安全な保管を伴うAPIキー
• レート制限: APIの悪用からの保護
• APIバージョニング: 管理されたAPIの進化
• APIログ記録: すべてのAPIリクエストの包括的なログ記録

4. 監視と対応

4.1 監視

• エラー監視: Sentryによるリアルタイムのエラー監視
• 構造化ログ: タイムスタンプ付きのアプリケーション集中ログ
• 稼働状況の監視: サービスの稼働状況の監視

4.2 インシデント対応

• 対応計画: 文書化されたインシデント対応手順
• 隔離: 影響を受けたシステムの迅速な隔離
• 侵害の通知: GDPRに基づく72時間以内の通知

5. データ保護

5.1 データバックアップ

• 自動バックアップ: MongoDB Atlasによる毎日の自動バックアップ
• ポイントインタイムリカバリ: 任意の時点へのデータ復元機能
• 暗号化： すべてのバックアップは暗号化されます

5.2 データ削除

• 安全な削除： データの暗号化消去
• 保持ポリシー： 明確なデータ保持ポリシー
• リクエストに応じた削除： ユーザーデータの削除機能

6. セキュアな開発

• コードレビュー： すべてのコード変更はピアレビューの対象です
• TypeScript Strict Mode: エラーを削減する型安全なコード
• 依存関係のスキャン： サードパーティパッケージの脆弱性を自動スキャン
• 環境の分離： 開発、ステージング、本番の各環境を分離

7. チームのセキュリティ

• 秘密保持契約： チーム全員が署名済み
• 最小権限の原則： メンバーは必要最小限のアクセス権のみを保有
• アクセス権の失効： 退職時に即座に失効

8. コンプライアンスと認証

8.1 現在の認証

• GDPR: 一般データ保護規則への完全準拠
• CCPA: California Consumer Privacy Actへの準拠
• PCI DSS: 決済処理に関する準拠

8.2 標準への準拠

• SOC 2: AICPA Trust Serviceの基準に準拠したセキュリティ管理。正式な認証はロードマップに含まれています。
• ISO 27001: ISO 27001のフレームワークに準拠したセキュリティプラクティス。認証はロードマップに含まれています。

9. サードパーティのセキュリティ

• ベンダー評価： 厳格なセキュリティ評価
• データ処理契約： すべての処理者との契約
• 最小権限： サードパーティのアクセスを制限
• 定期的なレビュー： ベンダーの継続的な監視

10. サービスの可用性

• Managed Database: 自動フェイルオーバーを備えたMongoDB Atlas
• 自動再起動： サービス復旧のためのDocker restart policies
• CDN: グローバルなコンテンツ配信のためのCloudflare CDN

11. 脆弱性の報告

当社はセキュリティ脆弱性の責任ある開示を奨励しています。脆弱性を発見された場合は、以下の対応をお願いします。

• メールをお送りください： [email protected]
• 脆弱性の詳細な説明を提供してください
• 当社が問題を修正するまで公開しないでください
• ユーザーデータへのアクセスや変更を行わないでください

48時間以内に返信し、問題解決に向けて協力いたします。

12. お問い合わせ

セキュリティに関するご質問やご懸念については、以下までご連絡ください。