GGWPのセキュリティ概要

セキュリティ更新とパッチ

• 対応時間：重大な脆弱性には、社内SLAに基づき24時間以内に対応します。
• 方法：CVE情報の継続的な購読とコンテナイメージのスキャンを活用しています。

監査とログ記録

• リアルタイム監視：AWS Security Hub、GuardDuty、リアルタイムアラートにより、不審な活動に即座に対応できる体制を整えています。
• ファイアウォール：ネットワークトラフィックを監視・管理するため、追加の保護対策を導入しています。
• レビュー周期：Security Hubのレポートを四半期ごとにレビューし、リスクの高い項目を確認します。
• アクセス制御：OAuth/APIキーを活用し、安全な監査とログ記録を行っています。

セキュリティテスト

• 内部：セキュリティのワークフロー、プロセス、設定を年に1回レビューします。
• 外部：すべての公開エンドポイントを対象に、年に1回、第三者による監査を実施します。
• 基準：SOC 2認証を取得しています。

チーム連携とデータプライバシー

• アクセス制御：時間と役割に応じたアクセス制御、MFA、VPNの利用を厳格に適用しています。
• アクセスの方向：アクセスの方向を定義し、機密情報の流れを制限しています。
• 従業員研修：チームメンバーには、年に1回のセキュリティおよびプライバシー研修を義務付けています。
• 暗号化：転送中のデータはTLS 1.2で、保存中のデータはAES 256で暗号化しています。
• セグメンテーション：マルチテナント環境では異なる暗号化キーを使用し、セキュリティを強化しています。
• 論理的分離：データを分離するため、厳格な境界を設けています。
• ユーザーアクセスのレビュー：ユーザーのアクセス権を定期的にレビューし、最小権限の原則を徹底しています。

法令遵守

当社は、データの保持期間やGDPR、CCPAなどのデータ保護法への準拠について定めたGGWPのプライバシーポリシーを遵守しています。

データのバックアップ

• 保存：データはAWS S3に安全に保存され、業務上必要な場合にのみアクセスが許可されます。
• 可用性：毎晩のスナップショット取得、データ整合性チェック、複数のバリアント、バージョン管理により、高可用性を確保しています。

インシデント対応の段階と措置

• 検知：不正な活動やデータ侵害をリアルタイムで監視します。対象となるインシデントには、以下が含まれます。
  • 権限のない担当者や第三者による情報の使用。
  • GGWP Inc.のAWS環境からの不適切な情報のダウンロードやコピー。
  • 情報を含む機器やデバイスの紛失または盗難。
  • 情報を含む機器やデバイスに対する不正な活動（ハッキング、マルウェアなど）。
  • 個人データの不適切な開示、アクセス、転送。
• 分析：インシデントの検知後、DevOpsチームが直ちに評価を行い、想定される根本原因を特定します。分析内容はログに記録し、文書化します。
• 封じ込め：根本原因の影響を軽減し、被害の拡大を防ぐために迅速に対応します。追加の管理策を適用する場合もあります。
• 根絶：攻撃者による環境へのアクセスを含め、システム内の脆弱性や侵害を排除します。
• 復旧：関係者が連携し、影響を受けたシステムを完全な稼働状態に復旧します。
• インシデント対応後：
  • 経営幹部によるレビューを実施します。
  • 社内外への適切な情報共有を徹底します。
  • 必要に応じて、法的助言を求めたり、法執行機関と連携したりします。
  • 予防措置：インシデント対応後の振り返りとレビューに基づいて実施します。

災害復旧計画

• バージョン管理
  • バージョン2.0
  • 毎年レビューを行い、プロセス上の不備が見つかった場合には更新します
• 目標
  • RTOとRPO：SLA契約に基づき、重大度1のインシデントでは24時間以内としています。
• ランブック
  • 低重大度：単純なサービス停止などを対象とし、通常はコードのロールバックで解決します。
  • 高重大度：データ損失、データ侵害、長期的なサービス停止を対象とします。詳細なランブックを用意しています。
• 担当者
  • 低重大度：オンコールのエンジニアが対応します。
  • 高重大度：オンコールのエンジニアとDevOpsエンジニアの両方が対応します。
• 手順
  • 低重大度：通常はコードのロールバックで解決します。
  • 高重大度：コードのロールバック、コードのロールフォワード、データベースの復元、セキュリティ対応手順を実施します。
• 追跡
  • イベントログ：発生したイベントと考えられる解決策を詳細に記録・追跡します。
• テスト
  • 年次レビュー：DRランブックを毎年実行・テストし、振り返り分析を行います。

お客様への連絡

データの整合性やプライバシーに影響する重大なインシデントが発生した場合、GGWPは利用可能なすべての連絡手段を通じて、合理的に可能な限り速やかにお知らせします。