セキュリティポリシー

1. セキュリティへの取り組み

当社は、当社プラットフォーム、利用者のデータ、および当社サービスを支えるシステムのセキュリティと完全性を保護することに尽力しています。本セキュリティポリシーは、情報セキュリティに対する当社のアプローチ、およびお客様のデータを保護するために当社が実施する対策の概要を示すものです。

2. インフラストラクチャのセキュリティ

2.1 ホスティングおよびデータセンター

• 当社サービスは、エンタープライズグレードのクラウドインフラストラクチャ上でホスティングされています
• データセンターは、SOC 2 Type II および ISO 27001 認証を維持しています
• 物理的なアクセス制御には、生体認証および 24 時間 365 日の監視が含まれます
• 冗長化された電源、冷却、およびネットワーク接続により、高い可用性が確保されています

2.2 ネットワークセキュリティ

• 転送中のすべてのデータは TLS 1.3 を使用して暗号化されています
• ウェブアプリケーションファイアウォール（WAF）が一般的な攻撃ベクトルから保護します
• DDoS 緩和サービスがネットワークエッジに導入されています
• ネットワークトラフィックは異常がないか継続的に監視されています

3. アプリケーションのセキュリティ

• セキュアな開発ライフサイクル（SDLC）の手法に従っています
• 定期的なコードレビューおよび静的解析を実施しています
• 依存関係スキャンにより、サードパーティライブラリの脆弱性を特定します
• 独立した企業による侵入テストを少なくとも年 1 回実施しています

4. データの保護

4.1 暗号化

• 保存中のデータは AES-256 暗号化を使用して暗号化されています
• 転送中のデータは TLS 1.3 を使用して暗号化されています
• 暗号鍵は専用の鍵管理サービスを通じて管理されています
• 鍵の定期的なローテーションを当社の鍵管理ポリシーに従って実施しています

4.2 アクセス制御

• ロールベースのアクセス制御（RBAC）により、データへのアクセスを権限のある担当者に限定しています
• すべての社内システムにおいて多要素認証（MFA）が必須です
• アクセスのレビューを四半期ごとに実施しています
• 最小権限の原則をすべてのシステムにわたって徹底しています

5. インシデント対応

当社のインシデント対応プロセスには以下が含まれます。

1. 検知： 自動化された監視およびアラートシステムが潜在的なインシデントを特定します
2. トリアージ： セキュリティチームが深刻度および影響を評価します
3. 封じ込め： インシデントの範囲を限定するための即時の措置
4. 根絶： 根本原因の特定および排除
5. 復旧： 影響を受けたシステムおよびサービスの復元
6. インシデント後のレビュー： 包括的な分析およびプロセスの改善

6. 脆弱性管理

• 自動化された脆弱性スキャンを継続的に実施しています
• 重大な脆弱性は、発見から 24 時間以内にパッチを適用します
• 外部の研究者向けに責任ある開示プログラムを維持しています
• 顧客に影響を及ぼす問題についてはセキュリティアドバイザリを公開します

7. 事業継続

• 地理的な冗長性を備えた定期的なバックアップを実施しています
• 災害復旧計画を少なくとも年 2 回テストしています
• 目標復旧時間（RTO）：重要なサービスについて 4 時間
• 目標復旧時点（RPO）：重要なデータについて 1 時間

8. コンプライアンス

当社は、以下のコンプライアンスを維持しています。

• SOC 2 Type II
• GDPR（一般データ保護規則）
• CCPA（カリフォルニア州消費者プライバシー法）
• 決済処理に関する PCI DSS

9. 責任ある開示

セキュリティ上の脆弱性を発見した場合は、責任を持ってご報告ください。

• メール：security@unifapi.com
• 当社が対処する前に脆弱性を公に開示しないでください
• 問題を再現できるよう十分な詳細を提供してください
• 当社は、報告を 24 時間以内に確認することをお約束します

10. お問い合わせ

セキュリティに関するお問い合わせは、当社セキュリティチーム（security@unifapi.com）までご連絡ください。