1データ保管・暗号化
- ✓保管: データベースとファイルは東京リージョン（AWS ap-northeast-1）に保管し、アプリケーションも東京リージョンで実行します。保存データはクラウド基盤の暗号化で保護します。
- ✓通信: 公開アプリケーションへの接続にHTTPSを使用します。
- ✓バックアップ: 毎日1回、データベースとファイルの全量を暗号化して取得し、90日間保管します（保管先は米国のGitHub）。復元手順は演習で確認しています。
2認証・認可
- ✓認証: Supabase Authとサーバー側の権限確認を使用します。
- ✓アクセス制御: テナント・業務ロールに応じたAPI権限確認とPostgreSQLのRLSを設けています。
- ✓ログイン保護: パスワードは12文字以上で英大文字・小文字・数字・記号を必須とし、連続した失敗には一時的なロックをかけます。認証アプリによる二要素認証に対応し、組織単位で必須にできます。
3監視・検知
- ✓エラー確認: Sentry連携とアプリケーションログを調査に使用します。通知・監視の稼働状況は環境ごとに確認します。
- ✓監査証跡: ワークスペースの監査ログは追記を基本とし、保護対象を通常の期限処理から除外します。MCP呼出ログは保留がない場合に180日で期限処理します。
4脆弱性管理
- ✓変更時の検査: 型・静的解析・依存ライブラリの監査をCIで実行する構成です。各実行結果とブランチ保護の適用状況はリリース時に確認します。
- ✓脆弱性対応: 検出した問題は影響を確認して修正します。すべての脆弱性を自動で阻止するという保証はしていません。
5インシデント対応
- ✓調査: 事故の範囲・原因・影響を確認し、必要な封じ込めと記録を行います。
- ✓報告・通知: 個人情報保護法と契約上の要件に従い、報告・本人通知の要否と時期を判断します。
脆弱性・セキュリティ問題の報告
セキュリティ上の問題を発見した場合は、以下の窓口にご連絡ください。
t-ito@promotize.jp
報告内容は機密として扱い、速やかに対応いたします。