Bookafyのセキュリティとプライバシー

セキュリティFAQ 

過去5年間に重大なセキュリティ侵害やインシデントが発生したことがありますか？

いいえ。

特権アカウントおよび一般アカウントへのアクセスは厳重に管理され、少なくとも定期的に見直されているか。

を毎年？

はい。

ユーザーについてどのようなデータが収集されているのか？ 

このソフトウェアは、アカウントオーナーとエンドカスタマーに関するデータを収集します。 どちらのセットアップデータも、アカウントオーナー、およびエンドカスタマーから提供されたデータに基づいています。 当社は、エンドユーザーまたはアカウント所有者から提供されたボランティアデータ以外のデータを収集することはありません。 

アカウントオーナーは、予約時にさまざまなデータポイントを収集するためのテキストフィールドを作成できますが、エンドユーザーがフィールドにデータを入力するため、顧客は収集されるデータを完全に認識します。 エンドユーザーまたはアカウントオーナーは、data@bookafy.com にメールを送ることで、いつでもデータの削除を要求することができます。 

アプリはどのような目的でデータを使用しているのでしょうか？

アプリデータは、エンドカスタマーが契約した取引にのみ使用されます。 FacebookやGoogleなどのサードパーティアプリを使用してSSOでログインする場合、その接続はアカウントアクセスにのみ使用します。 当社は、連絡先、イベント、電子メールメッセージのようなアカウントからのデータを使用せず、お客様の代わりに投稿したり、お客様のアカウント内の活動に参加したりすることはありません。 ログイン時のみ使用されます。 

データ削除に関するユーザーの権利と、ユーザーがデータ削除を要求する方法について教えてください。 

当社は、アカウント所有者（当社のお客様）から収集したデータを、アカウント所有者により良い体験を提供するために使用します。 これには、AOが立ち往生している場所、何度も訪れている場所、疑問に思っている場所、バグがある場所などが含まれます。 このデータは、お客様（アカウントオーナー）に対して、適切なタイミングで適切なメッセージを伝えるために使用します。 

エンドユーザーであるお客様のお客様…アカウントオーナーとの取引（予約）のためにのみ、このデータを使用します。 これらのお客様に対してマーケティングを行ったり、その他の方法でお客様のデータを使用することはありません。 彼らのデータは売られたり借りられたりすることはなく、私たちのシステムに残ります。 

AOの場合もエンドカスタマーの場合も、そのデータはいつでも削除することができます。 AOは、data@bookafy.com、自分のアカウントとデータの削除を要求することができます。 エンドカスタマーは、AOに自分のデータの削除を要求することができます。 

従業員の共有ユーザーアカウントは禁止されていますか？ クライアントについてはどうでしょうか。

社員は専用のアカウントを持つ。 また、クライアントには専用のアカウントが用意され、自分のデータのみにアクセスすることができます。

パスワードの構築には、複数の強度要件、すなわち強力なパスワードが必要で、アルファベット、数字、特殊文字のランダムなシーケンスを利用しているか？

パスワード管理の基本レベルでは、パスワードに6文字以上を要求しています。 OWASPとNIST SP 800-63-3のパスワードポリシーオプションは、来年に利用できるようになるかもしれません。

ネットワークの境界は、イングレスとイグレスのフィルタリングが可能なファイアウォールで保護されていますか？

はい。 ファイアウォールや負荷分散設備は、すべてAzureとAmazon AWSが提供します。

公衆向けサーバーは、明確に定義された非軍事化ゾーン（DMZ）にありますか？

そう、これはAzureのデフォルトのインフラゾーニングを継承したもので、Bookafyは世界中に地域サーバーが広がっています。 

内部ネットワークのセグメンテーションは、PCIデータなどの機密性の高い生産リソースをさらに分離するために使用されているか？

PCIデータは、StripeやAuthorize.netなどのサードパーティプロバイダーからBookafyによってフレーム化されるだけで、保存されることはありません。 Bookafyはデータを収集したり、データを保存したりすることはありません。 

ネットワークへの侵入検知・防止機能は実装され、監視されているか？

Azureが提供する通知やアラートに加え、幅広い監視ツールが常時稼働しています。 侵入検知やネットワークへのアクセス確認メールなども含まれます。

すべてのデスクトップは、定期的に更新されるウイルス、ワーム、スパイウェア、悪意のあるコードのソフトウェアで保護されているか？

はい。

サーバーは、業界のハードニング手法で保護されているか？ プラクティスは文書化されているか？

セキュリティサービスを定期的に利用し、システムのセキュリティ監査を実施しています。 

すべてのオペレーティングシステム、ネットワーク機器、アプリケーションについて、ベンダーのパッチマネジメントが活発に行われているか。

はい。 これは、Azureのサービスを通じて自動的に提供されるものです。

本番システムのエラーやセキュリティイベントはすべて記録・保存されているか？

ログは最低1ヶ月間保存され、重要度や必要な処置に応じて最大6ヶ月間保存されるものもあります。

セキュリティイベントやログデータは定期的に見直されているか

はい。 ログは、ログイベントの性質に応じて、毎日、毎週、毎月、レビューされます。

顧客の機密情報を確実に保護するためのセーフガードを備えた、文書化された個人情報保護プログラムが存在するか？

はい。

個人情報漏洩が発生した場合、顧客に通知するプロセスを設けているか。

はい。

個人情報（PII）を保存、処理、送信（すなわち「取り扱い」）していますか？

はい。

PIIはどのような国で保管されているのか？

当社のPIIデータのほとんどは、米国で保管されています。 ただし、企業のお客様のアカウントデータは、特定の地域センターに保管することが可能です。 例 オーストラリアの組織は、データをキャンベラのAzureロケーションに保存することを選択することができます。 あるいは、ヨーロッパ諸国がヨーロッパのデータセンターに保管することも可能です。 

システムログは改ざんや破壊から保護されているか？

これはAzureが提供し、Dropbox Cloud Storageでバックアップしています。

境界やVLANの入口は、攻撃を受けているときに警告を発する侵入防御・検知装置で保護されているか。

はい。 これらのサービスは、侵入を防ぎ、開発チームに自動アラートを送信するAzureファイアウォールに含まれています。 

ログやイベントは、進行中の攻撃の警告を提供するツールと相関があるか？

はい、当社のセキュリティサービスでは、ロギングや攻撃のアラートをリアルタイムで行っています。 

ネットワーク、フロントエンド、バックエンドストレージ、バックアップなど、ソリューション内の他のクライアントからどのようにデータが分離されているのか？

すべての顧客アカウントは、すべてのデータベースレコードに必須の永続的なテナント識別子を使用することにより、他の顧客と論理的に分離されています。

さらに、すべてのアプリケーションコードでは、読み取りと書き込みの両方の操作で、このテナント識別子が必要となります。 また、自動化されたテスト体制は、コードの変更をリグレッションやクロステナントデータ汚染の可能性から保護するために実施されています。

テナント識別子は、すべてのユーザーアカウントに「ハードリンク」され、データベースクエリーの固定「WHERE」句やファイルアクセスの同等の措置によって論理的に強制されます。 プラットフォーム利用者は、このテナント識別子からセッションやアカウントを変更したり、その他の方法でリンクを解除したりすることはできません。 このため、あるユーザーが異なるテナント識別子でログイン権限を持つということは論理的にありえない。 また、別のテナントIDでアクセスしようとしても、そのテナントIDに登録されていないユーザーアカウントであるため、リクエストは拒否されます。

インシデントレスポンスプランをお持ちですか？

はい、災害や事故への対応をまとめた「生きた文書」が維持されています。

インシデントを理解し対応するためのチェックリスト、連絡先、主要なシステム設備。

ネットワーク保護はどの程度のレベルで実施されているのか？

Azure Cloud上で稼働する仮想マシンのネットワークを保護するために、Azures Web Application gateway（ロードバランサー）とNext Generation Firewallを利用しています。 

QOS（Quality of Service）性能測定（リソース利用率、スループット、可用性など）のレポートを提供しているか？

このような指標は、status.pingdom.comの当社のステータスページに記載されている可用性と応答時間以外には、お客様に提供されません。

災害復旧プログラムのテストは少なくとも年1回行われているか？

はい、毎年リカバリーチェックとテストを実施しています。

システムのRTO（Recovery Time Objective）、RPO（Recovery Point Objective）はどうなっていますか？

RTOは4時間で、RPOは1時間です。

個人のお客様向けにバックアップ・リストアプランを提供していますか？

すべての面はマルチテナントになっているので、クライアント全体でバックアップをとっています。 完全なファイルバックアップは24時間ごとに実行され、5分ごとに実行されるAzureデータベースのポイントインタイムバックアップの恩恵を受けています。 バックアップはDropbox Cloudのほか、冗長化されたAzureの仮想マシンに保存されます。 

バックアップの保持時間は最大何時間ですか？

データベースのポイントインタイムバックアップは30日間、一般ファイルのバックアップは最低90日間保持されます。

データリストアの納期はどのくらいを想定していますか？

災害時以外でのお客様の復旧は、弊社に依頼し、スケジュールを組んでいただく必要があります。 納期は1～2営業日です。 

プラットフォーム全体に影響を与えることなく、1つの企業アカウントを復旧させることは可能ですか？

お客様のご要望により、特定の記録や遺物の修復が必要な場合は、オンライン上で1回ごとのご依頼となり、有償での作業となります。 プラットフォームやお客様のアカウントへの影響はありません。

ハイアベイラビリティは提供されているか – i. e. あるサーバーインスタンスが利用できなくなった場合、別のサーバーインスタンスが利用できるようになるのか？

複数のサーバーインスタンスがAzureの仮想マシンを介して全システム層で稼働しており、Web Application Gatewayが負荷分散を担当しています。 データセンター内のサーバーインスタンスの障害は、Azure WAGによって処理され、問題のあるインスタンスはリサイクルされ、または削除されて新しいインスタンスと交換されます。

ディザスタリカバリ要件を満たすために、データは別の場所（データセンター）に保存され、利用可能か？

はい。すべてのデータは、地理的に異なる第2のデータセンターに複製され、Dropboxクラウドストレージにバックアップデータが保存されています。.

フェイルオーバー処理は、アクティブ/アクティブ、自動切り替え処理ですか？

プライマリデータセンター内のサーバーインスタンスの障害は、Azure WAGロードバランサーによって処理され、問題のインスタンスはリサイクルまたは削除され、新しいインスタンスと交換されます。

データセンター全体に致命的な障害が発生した場合、セカンダリーセンターへの切り替えは手作業になります。まず問題の完全な評価を行い、既存のプライマリーセンターの存在を維持するための簡単な回避策がないことを確認する必要があるからです。 セカンダリーセンターへの移動が必要と判断された場合、目標の復旧目標を達成するために手動で切り替えを開始します。