セキュリティ
基盤の作り、キーとデータを守る仕組み、まだ実施していないこと、脆弱性の報告方法を記載します。
実際に実装されているものを記載します。やっていないことは、やっていないと書きます ―― 強みだけを並べたセキュリティページは、調達部門には使えません。
基盤へのアクセス
APIキーはハッシュで保存し、平文では保持しません。 キーは作成時に一度だけ表示されます。紛失時に当社が復元することはできず、また行いません。新しいキーを発行し、古いものを失効させてください。
キーは環境を持ちます。wi_test_ で始まるキーは計測されますが請求されません。費用が発生する前に、統合をひととおり試せます。
すべてのリクエストにリクエストIDが付き、管理操作は追記のみの監査ログに記録されます。
基盤から出る通信
リクエストは、送信される前に検査されます。 URLはSSRF（サーバーサイドリクエストフォージェリ）防御に照らして検証され、プライベートアドレス範囲、リンクローカルアドレス、およびそこへ渡るリダイレクトは、追随せずに拒否します。 robots.txt で禁止されたパスは、取得せずエラーを返します。
同一ドメイン宛の通信は、こちらがどれだけ速く送っても間隔が空きます。 これを無効化する設定はなく、サポートに依頼しても無効化できません。
保管時と通信時
APIへの接続はすべてTLSです。保存された成果物（描画済みページ、スクリーンショット）は、公開ストレージではなく短命の署名URL経由で取り出します。
観測結果とアカウント記録は、ワークスペース作成時に選択いただいた地域に保管します。保管地に要件がある場合は、お申し込み前にお知らせください。満たせるかどうかをはっきりお答えします。
保持と削除
保持期間はワークスペースごとに設定し、手作業の整理ではなく定時実行の削除処理で強制します。解約時は30日以内にワークスペースのデータを削除し、ご要望があればより早く行い、完了をご報告します。
基盤の作り方
コードは、出荷前に走る自動検査に覆われています。型検査、単体テスト、そして 変異ガード ―― 主要な機構を1つずつ削除し、それでもテストが通ってしまう場合は不合格とする仕組みです。どのテストにも守られていない機構は、誰も守っていない機構だからです。
システムから出るデータは、さらに実行可能な検査を通ります。1つでも落ちればレポートは生成されません。
実施していないこと
- SOC 2 報告書も ISO 27001 認証もありません。 いずれも取得していません。含みを持たせるより、そう申し上げます
- 第三者によるペネトレーションテストの公開実績はありません。 調達要件で必要な場合はお知らせください。範囲と時期をご相談します
- 稼働率の公開履歴はまだありません。 可用性の目標値は、申込書に記載のあるプランにのみ存在します
脆弱性の報告
再現に足る情報を添えてご連絡ください。3営業日以内に受領をお返しし、対応の経過をお知らせし、ご希望があればクレジットを記載します。
善意の調査に対して法的措置を取ることはありません ―― ご自身のアカウント内に留まり、他のお客様のデータに触れず、他者のサービスを劣化させず、公表前に修正の時間をいただける限りにおいて。
最終更新