セキュリティポリシー

1. アプローチ

VERAはあなたに代わって投稿、送信、支出を行えるため、最も重要なセキュリティ上の特性は暗号技術ではありません。それは、VERAがあなた抜きで行動しないことです。外部への操作は提案として記録され、あなたが承認した後、またはあなた自身が設定した自動化ルールに基づいてのみ実行されます。この承認ゲートは、ポリシー上で表明されているだけでなく、操作を実行するコードパスで強制されています。

2つ目の原則は、認証情報こそが最も重要な資産だということです。VERAは、送金、オーディエンスへの公開、事業者のアカウントの閲覧が可能なプラットフォームのトークンを保持しています。これらは他のすべてとは別の鍵で暗号化され、インターフェースに再表示されることも、ログに書き込まれることもありません。

2. 実施済みの対策

以下はいずれも、現時点で製品に実装されています。

• 通信時の暗号化。 すべての通信はHTTPSで提供されます。本番環境では、平文のHTTPリクエストはエッジでHTTPSへ恒久的にリダイレクトされ、HTTP Strict Transport Securityがmax-age 2年、includeSubDomains、preloadの設定で適用されます。
• 保存時の機密情報の暗号化。 コネクタの認証情報とAPIキーは、認証付き暗号であるAES-256-GCMで暗号化されます。そのため、改ざんされた暗号文は改変されたデータを返すのではなく、復号に失敗します。鍵は専用の値で、本番環境の起動時検証により、存在すること、他の値と異なること、十分な長さがあることが必須とされています。
• パスワードのセキュリティ。 パスワードはワークファクター12のbcryptでハッシュ化され、読み取り可能な形で保存・記録されることはありません。最小文字数が設定されています。パスワードアカウントでサインインするには、事前にメール認証が必要です。
• セッション管理。 セッションは署名付きのJSON Web Tokenで、失効カウンターを保持しており、認証済みのリクエストのたびにデータベースと照合されます。このカウンターを増やすと、発行済みのすべてのセッションが一度に無効になります。これにより、パスワードのリセット、「すべてのデバイスからサインアウト」、アカウントの停止が、新規セッションを防ぐだけでなく、有効なセッションを実際に終了させることができます。
• パスワードのリセットと認証。 パスワード再設定リンクは1回限り有効で、1時間で失効し、送信間隔の制限によりレート制限され、使用するとすべてのセッションが無効になります。確認リンクは24時間で失効します。再設定のリクエストによって、アカウントの有無が明らかになることはありません。
• レート制限。 サインイン、新規登録、パスワードのリセット、AIによる操作には、データベースに保持される永続的な固定ウィンドウ方式のカウンターを用いてレート制限がかけられています。そのため、制限はプロセスの再起動後も維持され、単一のインスタンス内だけでなく、すべてのインスタンスにわたって適用されます。
• テナント分離。 すべてのクエリは、認証済みアカウントの範囲に限定されます。所有権チェックに失敗した場合は、それ自体がセキュリティイベントとして記録されます。
• チームの役割とシート数。 ビジネスアカウントには複数のユーザーを登録できます。各メンバーはアカウント所有者から招待され、共有ログインではなく各自の認証情報で招待を承認し、ロールが割り当てられます。ロールの権限はインターフェース上に反映されるだけでなく、サーバー側で検証されます。メンバーは無効化することができ、無効化するとアクセスは停止されますが、そのメンバーが登録した記録には名前が残ります。経費や走行距離などの従業員による申請は、送信したアカウントに紐づけられます。
• 管理者アクセス制御。 社内の運用コンソールへのアクセスは、環境設定で明示的に構成されたオペレーター許可リストに限定されています。オペレーターによるすべての操作は追記専用の管理監査ログに書き込まれ、誰がどのアカウントに対して何を行ったかが記録されます。
• 監査証跡。 すべての提案、承認、編集、却下、実行、失敗は、アカウントごとの追記専用監査ログに記録されます。パスワードの変更、セッションの取り消し、アカウントの停止、見積もりリンクの再発行などのセキュリティイベントも併せて記録されます。シークレット、トークン、パスワードハッシュは、設計上記録対象から除外されています。
• HTTPセキュリティヘッダー。 スクリプト、スタイル、フレーム、フォームの送信先を制限するContent Security Policy、クリックジャッキング対策としてのX-Frame-Options DENYおよびframe-ancestors none、X-Content-Type-Options nosniff、strict-origin-when-cross-originのリファラーポリシー、そしてcamera=(), microphone=(self), geolocation=(self)に設定したPermissions-Policy。マイクと位置情報はVERA自身のページにのみ許可され、埋め込まれた第三者に許可されることはありません。また、それらを必要とする機能に対してブラウザで許可した場合にのみ有効になります。
• Webhookの完全性。 受信Webhookは、処理前に各プロバイダーの署名方式で検証されます。対象には、Stripeの署名、MetaのHMACヘッダー、JobberのHMAC、Squareの署名キー、QuickBooks専用の検証トークンが含まれます。配信はイベントIDで重複排除されるため、再送によって同じ処理が二重に適用されることはありません。
• サーバーサイドリクエストフォージェリ（SSRF）対策。 ストアのドメインや分析対象のウェブサイトなど、お客様が指定したURLを本製品が取得する場合、そのアドレスはスキーム、ポート、および参照先となるすべてのIPアドレスの名前解決によって検証され、ループバック、プライベート、リンクローカル、キャリアグレードNAT、クラウドメタデータの各アドレス範囲は拒否されます。リダイレクトも適切に処理されるため、公開ホストを経由してリクエストが内部ホストへ転送されることはありません。
• 公開リンクのセキュリティ。 顧客向けの見積もりリンクには、暗号論的に安全な256ビットの乱数を使用しています。オーナーはリンクを再生成でき、再生成すると古いリンクは直ちに無効化され、監査用にその復元不可能なフィンガープリントが記録されます。トークン照合の失敗には回数制限がかかるため、エンドポイントへの総当たり攻撃はできません。また、ログや管理画面に表示されるトークンはすべてマスクされます。
• 最小権限の連携スコープ。 連携は各機能に必要なスコープのみを要求し、QuickBooks OnlineやJobberをはじめ、いくつかの連携は設計上読み取り専用です。請求分析には、決済プロバイダーの制限付き読み取り専用キーを別途使用しているため、分析画面から請求状態が変更されることは決してありません。
• 決済データの分離。 カード番号がVERAに届くことはありません。お支払いはStripeがホストするチェックアウトで受け付け、Stripeの請求ポータルで管理されるため、VERAのシステムはカード会員データの経路に含まれません。
• デフォルトで安全な設定。 起動時の検証により、本番環境で開発用のセッションシークレットを使用している場合、セッションシークレットがない場合、または専用のシークレット暗号化キーがない場合は起動を拒否します。また、設定が不完全なまま気づかれずに失敗する恐れのある連携について警告します。
• 毎日の暗号化バックアップ。 本番データベースは1日1回ダンプされ、作成したマシンから出る前にAES256で暗号化され、データベースプロバイダーとは別に保管されます。各実行では、作成したばかりの暗号化コピーを使い捨てのデータベースに復元し、その復元が失敗した場合や中身が空だった場合は実行自体を失敗とします。つまり、バックアップは復元が確認されて初めて有効とみなされます。バックアップは30日間保持され、バックアップ間の時間帯はデータベースプロバイダー自身のポイントインタイムリカバリでカバーされます。
• アカウントの停止。 不正アクセスを受けたアカウントや不正利用されているアカウントは停止できます。停止すると、認証が必要なすべての入口が拒否され、有効なセッションが取り消されます。データは削除されず、停止は元に戻すことができます。

3. 未実施の対策

これらは、セキュリティ審査担当者が当然確認するであろう管理策です。VERAには現時点でこれらはありません。上記のセクションから読み手がその存在を推測してしまわないよう、あえて記載しています。

• 認証なし。 VERAは、SOC 2 Type IまたはType IIの監査を完了しておらず、ISO 27001認証も取得しておらず、HIPAAのビジネスアソシエイトプログラムも有しておらず、自社としてPCI DSSの評価も受けていません。決済カードの取り扱いは、すべてStripeに委託しています。
• 多要素認証なし。 VERAは現在、二要素認証、認証アプリ、ハードウェアキー、パスキーに対応していません。Googleでサインインすると、お使いのGoogleアカウントで設定している多要素認証の保護がそのまま適用されます。現時点では、これが利用可能な最も強力な方法です。
• シングルサインオンなし。 SAMLやOIDCによるエンタープライズSSO、およびSCIMプロビジョニングには対応していません。
• ディレクトリベースのユーザー管理なし。 チームメンバーの招待と管理はVERA内で行います。IDプロバイダーからの自動プロビジョニングやデプロビジョニングには対応していないため、自社のディレクトリからユーザーを削除しても、VERAへのアクセス権は削除されません。VERAでも無効化する必要があります。
• 独立したペネトレーションテストおよびバグバウンティなし。 VERAは第三者によるペネトレーションテストを委託しておらず、有償のバグバウンティプログラムも運営していません。
• 顧客管理の暗号鍵には非対応。 暗号鍵はVERAが管理します。お客様独自の鍵の持ち込み（BYOK）には対応していません。
• データ保存場所の選択不可。 データは米国内で処理されます。EUまたは地域別のホスティングオプションはありません。
• 長期バックアップアーカイブなし。 日次バックアップは30日間保持されます。月次や年次のアーカイブ、オフサイトの3つ目のコピー、バックアップからの個別アカウントの復元はありません。復元するとデータベース全体が戻るため、これはインシデント対応であり、顧客向けの復旧サービスではありません。
• 24時間365日のセキュリティ運用なし。 24時間体制の有人セキュリティオペレーションセンター、顧客に公開された正式なオンコール体制、および上記のアプリケーションレベルの制御以外の侵入検知製品はありません。
• 稼働率の保証なし。 VERAはサービスレベル契約を提供していません。利用規約をご覧ください。

4. インフラストラクチャ

VERAは、Node.js上で動作するコンテナ化されたNext.jsアプリケーションとして、マネージドPostgreSQLデータベースに接続して稼働します。デプロイには、自己完結型のランタイムイメージを生成するマルチステージビルドを使用しています。プラットフォーム監視用にヘルスエンドポイントを公開しています。

アップロードされた写真、生成された画像、インポートされたドキュメントは、独立したオブジェクトストレージサービスではなく、エンコードされたデータとしてアプリケーションのデータベースに保存されます。そのため、誤って公開読み取り可能な状態にしてしまうような個別に設定されたバケットは存在しません。また、ファイルストレージにはデータベースプロバイダーが適用する保存時の暗号化がそのまま適用されます。

ホスティング、ネットワークレベルの保護、および物理的セキュリティは、サブプロセッサーリストに記載されたプラットフォームプロバイダーによって、各社独自のセキュリティプログラムのもとで提供されます。VERAは独自のデータセンターを運営していません。

5. 監視とインシデント対応

本番環境ではアプリケーションログとエラーログが記録されており、社内の運用コンソールでは、システムの稼働状況、バックグラウンドジョブの状態、連携の障害、およびセキュリティパネルを確認できます。セキュリティパネルには、旧形式のトークンのまま残っている見積もりリンクの件数などが表示されます。

お客様データに影響するセキュリティインシデントを認識した場合、当社は調査と封じ込めを行い、関係するデータを評価します。法人のお客様に代わって処理する個人データについては、データ処理補遺の定めに従い、VERAは認識後、不当な遅滞なく、かつ72時間以内に影響を受けるお客様に通知します。規制当局および個人への通知は管理者の責任であり、当社はその支援を行います。

VERAは現在、ステータスページや公開のインシデント履歴を公開していません。

6. 脆弱性の報告

セキュリティ上の問題は、件名を「Security report」として support@meetmyvera.com までご報告ください。問題を再現できるよう、影響を受けるURLまたは機能、再現手順、想定される影響などの詳細を記載してください。暗号化された通信も歓迎します。ご希望の場合はお申し付けいただければ手配いたします。

報告は3営業日以内に受領を確認し、10営業日以内に評価結果をお伝えすることを目指しています。修正に取り組む間は進捗をお知らせし、修正がリリースされた際にもご連絡します。ご希望の場合は、お名前を公表して謝意を表します。

7. 責任ある開示とセーフハーバー

善意に基づき、以下の範囲内でVERAのセキュリティを調査される場合、当社はお客様に対して法的措置をとらず、その調査を適用されるコンピューター不正使用に関する法律のもとで承認されたものとして扱います。以下の点をお願いします：

• テストは自分のアカウントでのみ行うこと。 ご自身で作成したアカウントを使用してください。他のお客様のデータにアクセスしたり、変更または保持したりしないでください。意図せず他者のデータに遭遇した場合は、作業を中止し、そのデータを保存せず、何が起きたかを当社にお知らせください。
• 危害を避ける。 サービス妨害攻撃、負荷テストやストレステスト、スパム、当社スタッフや顧客に対するソーシャルエンジニアリング、物理的攻撃は一切禁止です。
• 自動スキャナーを大量に使用しないこと。 過度な自動スキャンは攻撃と区別がつかないため、レート制限やブロックの対象となります。
• 少しお時間をください。 非公開でご報告いただき、公開する前に問題を修正するための合理的な期間をお与えください。標準では90日を想定していますが、通常はそれよりはるかに早く対応しており、より長い期間が必要な場合はお知らせします。
• 恐喝をしないこと。 支払いを条件に詳細の開示を保留することは、セキュリティ報告とはみなされません。VERAは有償のバグバウンティプログラムを運営しておらず、報酬を提供することはできません。

8. あなたの役割

強力で使い回しのないパスワードを使用してください。また、VERAには独自の多要素認証がまだないため、Googleアカウントで多要素認証を有効にしている場合はGoogleでのサインインをおすすめします。

認証情報を共有しないでください。VERAを必要とする各人には、ログイン情報を渡すのではなく、招待してロールを割り当て、それぞれ専用の認可されたアカウントを付与してください。共有されたアカウント所有者のログインには、請求や接続済みのすべてのプラットフォームを含むフルアクセス権限があり、アクティビティ履歴から実際に誰が操作したのかを特定できなくなります。アクセスが不要になったメンバーは、直ちに無効化してください。

連携は必要な機能に限って許可し、使わなくなったものは解除してください。見積もりのリンクが意図しない場所に転送された場合は、リンクを再発行してください。不審な点があれば監査記録を確認し、不正アクセスが疑われる場合は support@meetmyvera.com までご連絡ください。