GGWPにおけるセキュリティの概要
最終更新日:2023年9月1日
GGWPはセキュリティに真摯に取り組んでいます。 関連するプロセスの一覧を以下に示します。
セキュリティアップデート & パッチ
- 迅速性:重大な脆弱性は、社内SLAに基づき24時間以内に対処します。
- 方法:CVE情報の継続的な購読とコンテナイメージスキャンを活用しています。
監査 & ログ記録
- リアルタイム監視:AWS Security Hub、GuardDuty、リアルタイムアラートにより、不審なアクティビティに即座に対応します。
- ファイアウォール:ネットワークトラフィックを監視・管理するための追加の保護を導入しています。
- レビューサイクル:Security Hubレポートの高リスク項目を四半期ごとにレビューします。
- アクセス制御:OAuth/APIキーを利用し、監査とログ記録を安全に実施しています。
セキュリティテスト
- 内部:セキュリティのワークフロー、プロセス、設定を年次でレビューしています。
- 外部:すべての公開エンドポイントに対して年次の第三者監査を実施しています。
- 基準:SOC 2認証取得
チームコラボレーション & データプライバシー
- アクセス制御:時間およびロールに応じたアクセス制御、MFA、VPNを厳格に適用しています。
- 方向性:機密情報の流れを制限するため、アクセスの方向性を定義しています。
- 従業員研修:チームメンバーに対して年次のセキュリティ・プライバシー研修を義務付けています。
- 暗号化:データは転送時(TLS 1.2)および保存時(AES 256)の両方で暗号化されます。
- セグメンテーション:マルチテナント環境ではテナントごとに異なる暗号鍵を使用し、セキュリティを強化しています。
- 論理的分離:データを分離するための厳格な境界を設けています。
- ユーザーアクセスレビュー:最小権限の原則を徹底するため、ユーザーアクセスを定期的にレビューしています。
法令遵守
データバックアップ
- ストレージ:データはAWS S3に安全に保存され、業務上必要な場合にのみアクセスできます。
- 可用性:毎晩のスナップショット、データ整合性チェック、複数のバリアントとバージョニングにより、高可用性を確保しています。
インシデント対応のフェーズと対応策
- 検知:不正なアクティビティやデータ侵害をリアルタイムで監視します。
- インシデントの種類
- 情報が権限のない担当者または第三者によって使用された場合
- GGWP Inc.のAWS環境から情報が不適切にダウンロードまたはコピーされた場合
- 情報を含む機器やデバイスが紛失または盗難に遭った場合
- 情報を含む機器やデバイスが不正な行為(ハッキング、マルウェアなど)の対象となった場合
- 個人データが不適切に開示、アクセス、または転送された場合
- 分析:インシデントの検知後、DevOpsチームが直ちに評価を行い、想定される根本原因を特定します。分析内容は記録・文書化されます。
- 封じ込め:根本原因を軽減し、さらなる被害を防ぐために迅速に対応します。必要に応じて追加の統制を実施することがあります。
- 根絶:攻撃者による環境へのアクセスを含め、システムから脆弱性および侵害要素を排除します。
- 復旧:影響を受けたシステムを完全な稼働状態に戻すため、連携して対応します。
- インシデント後:
- 経営幹部によるレビュー。
- 社内外への適切なコミュニケーションの徹底。
- 必要に応じて法的助言の取得や法執行機関との連携を実施
- 予防措置:インシデント後の振り返りとレビューに基づいて実施
災害復旧計画
- バージョン管理
- バージョン2.0
- 年次でレビューし、プロセス上のギャップが確認された場合に更新
- 目標
- RTO & RPO:SLA契約に基づき、重大度1のインシデントについては24時間以内。
- ランブック
- 低重大度:単純な障害が対象で、通常はコードのロールバックにより解決されます。
- 高重大度:データ損失、侵害、長期にわたる障害が対象です。詳細なランブックを整備しています。
- 担当者
- 低重大度:オンコールエンジニアが対応します。
- 高重大度:オンコールエンジニアとDevOpsエンジニアの両方が対応します。
- 手順
- 低重大度:通常はコードのロールバックにより解決します。
- 高重大度:コードのロールバック、ロールフォワード、データベースの復元、およびセキュリティ手順を含みます。
- 追跡
- イベントログ:イベントおよび想定される解決策を詳細に記録します。
- テスト
- 年次レビュー:DRランブックを毎年実行・テストし、振り返り分析を行います。
お客様への連絡
- データの完全性またはプライバシーに影響を及ぼす重大なインシデントについては、GGWPは利用可能なあらゆる連絡手段を通じて、合理的に可能な限り速やかに通知いたします
