セキュリティへの取り組み
Sytanceは、ホスト型サービス、ソフトウェア開発ライフサイクルおよび関連業務全体に、技術的・組織的な保護措置を適用します。取り扱う情報、サービスのアーキテクチャ、想定される脅威および顧客への潜在的な影響に応じて、管理策を選定し見直します。
このページは公開向けの概要であり、監査報告書、認証、侵入テストの結果、または契約上のセキュリティ付属書ではありません。顧客固有のセキュリティ、保証、データ保管場所または通知要件は、該当する商談・契約手続きで合意する必要があります。
認証とアクセス管理
- アクセスは、利用者ごとのアカウントとロールベースの権限に基づいて管理します。
- 顧客管理者は、自組織およびワークスペース内のメンバーとロールの割り当てを管理します。
- 顧客コンテンツへのリクエストは、テナント、ワークスペースおよび個々のオブジェクトに対するアクセス規則に照らして確認されます。
- 認証セッションにはサーバーが設定するHTTP-only Cookieを使用し、本番環境ではクロスサイトリクエスト対策を適用しています。
- 許可された管理者サポートのアクセスは、該当する顧客の環境に限定し、記録します。
テナントとデータの保護
- アプリケーションおよびデータベースの管理策により、各テナントの記録を分離できるようにしています。
- 本番環境のブラウザー通信およびAPI通信は、公開サービスの境界でHTTPSにより転送中に保護されます。
- 顧客のファイルやメディアは、制限のない公開リンクではなく、認証が必要な経路を通じて提供されます。
- 一部のプレビューやダウンロードには、有効期間を限定したアクセスリンクを使用します。
- 把握している認証情報、トークン、Cookieおよび秘密情報の項目は、通常のアプリケーションログから除外するか、記録時にマスキングします。
- データへのアクセスは、サービス機能、顧客の指示、サポート対応または運用上の責任を果たすために必要な範囲に限定します。
セキュアな開発と変更管理
- 関連機能の設計・レビューでは、セキュリティ要件とアーキテクチャを考慮します。
- コードレビューと自動チェックにより、デプロイ前の不具合の発見に努めます。
- 開発作業と本番運用を分離し、管理されたビルド・デプロイ手順を通じて変更を反映します。
- 依存関係や報告された脆弱性は、サービスとの関連性、悪用可能性、露出状況および潜在的な影響に基づいて評価します。
監視とインシデント対応
検知、調査および説明責任に役立てるため、認証、権限、管理操作、アプリケーションおよびインフラに関するセキュリティ上重要なイベントを、必要に応じて記録または監視します。
認証機能および一部の公開エンドポイントには、レート制限と不正利用防止策を適用します。インシデントの疑いがある場合は、初期評価、封じ込め、調査、是正、復旧および教訓の反映を含む手順で評価します。
インシデントについて顧客または規制当局への通知が必要な場合、適用法令および該当する顧客契約に従って通知します。
アカウント侵害の疑いは support@sytance.com へ、脆弱性またはデータ露出の疑いは security@sytance.com へご連絡ください。対象のアカウントまたは資産、発生時刻、確認した挙動をお知らせください。パスワード、セッショントークン、不要な顧客ファイルは送らないでください。追加の証拠を共有するため、安全な方法をご案内する場合があります。
顧客のために処理する個人データが影響を受ける場合、インシデント通知と協力は利用規約の付属書Aに従います。すべての事実が判明するまで初回通知を遅らせず、調査の進行に応じて追加情報を提供します。
AIを利用した処理
AIを利用する操作は、認証済みの製品ワークフロー内で実行されます。サービスは依頼された機能に関係する指示とワークスペースのコンテキストを送信し、生成結果は顧客によるレビューの対象となります。
脆弱性管理
脆弱性の可能性は、開発時のチェック、運用監視、依存関係の情報、顧客や研究者からの報告、および対象を絞ったセキュリティ評価を通じて把握される場合があります。発見事項は、深刻度、悪用可能性、露出状況、影響を受けるデータと利用者、実際に悪用されている証拠、および利用可能な緩和策などのリスク要因に基づいて検証・優先順位付けします。
外部の研究者は、当社の協調的開示手続きを通じて脆弱性の疑いを報告できます。ポリシーでは、許可される調査、報告要件、対応目標、セーフハーバーおよび開示の調整方法を定めています。
セキュリティに関するお問い合わせと保証
顧客および導入をご検討中のお客様は、hello@sytance.com または通常の営業窓口を通じて、セキュリティに関する質問や補足情報を依頼できます。依頼内容は必要性に見合う範囲としてください。既存のお客様は、アカウント侵害の疑いやサービスに影響するセキュリティ問題について support@sytance.com をご利用ください。
脆弱性の疑いは、脆弱性開示ポリシーに従い security@sytance.com へ非公開で報告してください。
他の顧客や悪用可能な技術情報が露出しないよう、相応の秘密保持とアクセス管理の下でセキュリティ情報を共有する場合があります。保証情報の依頼は侵入テストを許可するものではありません。契約上の監査権および規制当局の法定権限には、該当する契約と法令が引き続き適用されます。
