boardのセキュリティ対策 - ヘルプセンター

boardヘルプセンター

boardでは、お客さまの機密性の高いデータを扱うため、セキュリティ対策を非常に重視し、様々な対策を実施しています。

当ページでは、boardが現在実施しているセキュリティ対策について説明致します。

システム面のセキュリティ

サーバやアプリケーションの脆弱性を狙った攻撃に対して、以下の対策を行っています。

■機密データの暗号化

boardでは、重要なデータを暗号化して保存しています。

暗号化するために使用する暗号化キーは、boardが動作しているサーバとは別の場所に、さらに暗号化を行った上で保管されています。また、暗号化キーは会社ごとに異なるキーにしているため、万が一データが流出したり、サーバに侵入されたりした場合でも、簡単に復号化できないようになっています。

■WAF（Web Application Firewall）

近年、Webサイトを狙った攻撃の中には、クロスサイトスクリプティングやSQLインジェクションなど、Webアプリケーションの脆弱性を狙ったものが急増しています。 boardでは、開発・テストの中で十分なテストを実施していますが、それでも脆弱性を100％排除することは難しく、脆弱性が生じる可能性は残ってしまいます。

そこで、boardはリリース当初から、クラウド型WAFで実績No.1の「Scutum」を導入しています。

WAFは、アプリケーションの脆弱性を狙う攻撃をブロックする仕組みで、クロスサイトスクリプティング・SQLインジェクション等、主要な攻撃をブロックすることができます。また、パスワード総当り攻撃など、アプリケーションの脆弱性以外を狙った攻撃も防御することができます。

この対策の重要な点は、Scutumを運用しているのが弊社ではなく、第三者のセキュリティ専門家であるということです。自社で運用している場合と異なり、常に最新のセキュリティ事情をキャッチアップし、最新の攻撃を想定した対応ができるようになっています。

■IDS・IPS

前述のWAFはアプリケーションの脆弱性をブロックする仕組みですが、IDS・IPSはサーバへの侵入を検知・ブロックするための仕組みです。アプリケーションレイヤ以外の部分でサーバに攻撃があった場合にこれを防御し、仮に侵入された場合でも攻撃をブロックします。

IDS・IPSは、従来、金融機関などの極めて高いセキュリティが求められるシステムで導入されてきた仕組みで、サーバへの攻撃に対して有効です。

boardではDeep Securityを導入しており、IDS・IPSはDeep Securityの中で提供されています。

■不正プログラム対策（ウイルス対策）

boardのサーバには不正プログラム（ウイルス・スパイウェア等）対策の仕組みが導入されており、不正プログラムがあった場合は、自動的に検知し無効化するようになっています。

不正プログラム対策ソフトウェアは、前述のDeep Securityの中で提供されています。

■サーバの変更監視

サーバOSのユーザやプロセスの変更をリアルタイムに監視し、不正な動きを検知できるようになっています。

■継続的セキュリティテスト

boardでは、第三者によるセキュリティテストを実施していますが、機能追加が頻繁にあり、その都度外部にセキュリティテストを依頼することは現実的ではないため、継続的セキュリティテストを実現するクラウドサービス「VAddy」を利用しています。

VAddyで検出可能なアプリケーションの脆弱性は、WAFでもブロックすることは可能ですが、より確実に脆弱性をブロックするために、二重でアプリケーション脆弱性対策を実施しています。

社内の運用体制

大手企業でデータの内部持ち出しの事件があったように、社内のアクセス管理は非常に重要と考えています。元々、弊社代表が一部上場のIT企業出身のため、その時の経験などをふまえ、アクセス管理は非常に厳しく行っています。

■セキュリティアップデートの自動検知・対応

OSやサーバにインストールされているソフトウェアにも脆弱性があります。

boardでは、脆弱性検知ツール「Vuls」を活用して毎日サーバの脆弱性スキャンを実施しています。「Vuls」は、Linuxサーバ上に存在する脆弱性をチェックし、その内容・重要度を通知してくれます。

また、開発で使用しているフレームワークやライブラリなどのセキュリティアップデートも自動的に通知するようにしています。

重要度に応じて、クリティカルな脆弱性の場合は即時、それ以外のものは数日から数週間以内にはアップデートするように運用しています。

■サーバ・データベースへのアクセス権

以前、大手企業で内部からの持ち出しによるセキュリティ事故がありましたが、こうした問題への対策として、本番環境のサーバ・データベースへのアクセス権は、責任者（弊社代表及びシステム責任者）のみが保有し、他のメンバーは本番環境のサーバ・データベースに直接アクセスできないようになっています。

また、前述の通り、データベースは暗号化されていますので、システムメンテナンス作業等で責任者がデータベースにアクセスする場合でも、中身は閲覧できないようになっています。

■暗号化キー保管場所へのアクセス権

暗号化キーの保管場所へのアクセス権も同様に、責任者（弊社代表及びシステム責任者）以外はアクセスできないようになっています。暗号化キーとデータベースへのアクセス権を厳格に管理することで、内部要因でのセキュリティリスクに対策しています。

■監査ログ

データベースに対するすべての操作は、監査ログとして記録されており、不正なデータ持ち出し等があった場合には、調査ができるようになっています。

■お問い合わせ対応におけるデータの参照

お問い合わせの回答・調査にあたって、ユーザの設定状況等を確認した上で回答が必要になることがありますが、この場合は以下の運用を行っています。

・機密情報（顧客名・個人情報・金額等）以外の基本的な設定情報は、サポート用の管理画面で確認できるようになっています。

・回答・調査にあたって、どうしても暗号化されているデータを確認する必要がある場合は、ユーザにその旨を伝え、許可を頂いた場合のみ、対象のデータを復号化し、内容を確認します。なお、前述の通り、復号化できる権限は責任者（弊社代表及びシステム責任者）のみが保持しているため、責任者が作業します。

機能としてのセキュリティ対策

ここまでに挙げたセキュリティ対策は、システム全体に対して弊社で実施しているものですが、boardの機能としても、以下のセキュリティ対策を提供しています。

■ログイン失敗時のロック

一定回数以上ログインに失敗したら、自動的にアカウントがロックされ、登録されているメールアドレスにメールで通知されます。この仕組みは、第三者が不正ログインを試行した場合に有効です。

■IP制限

指定したIP以外からはアクセスできないようにすることができます。オフィスに固定IPがある場合、これを設定することで、オフィス外からのアクセスを制限できます。

■2段階認証

ログインのセキュリティを強化するため、2段階認証を設定できます。また、アカウント内のすべてのユーザに対して2段階認証を必須化することもできます。

■操作履歴の自動記録

内部監査用に、登録・更新・削除・出力などの重要な操作は、自動的に、誰がいつ操作したか記録するようになっています。また、操作ごとのアクセス元のIPアドレスも合わせて記録しています。

■パスワード変更時の通知

パスワードが変更された場合には、登録されているメールアドレスに通知するようになっています。これによって、成りすましログイン等で不正ログインされた場合に、パスワードが変更されたら気づくことができるようになっています。

■シングルサインオン（SSO）

SAML2.0によるシングルサインオンに対応しています。また、通常のID・パスワードによるログインを無効にし、シングルサインオンのみ有効にすることも可能です。

連携企業・サービス

一部の機能は外部の企業・サービスと連携して提供しています。これら連携先の企業・サービスにおけるセキュリティ対策について紹介します。

■決済代行

クレジットカードの決済は、PAY.JPを利用しています。

PAY.JPは、クレジットカード情報漏洩防止の国際セキュリティ標準であるPCI DSSに準拠しており、安全にクレジットカード情報が管理されています。また、クレジットカード情報は、boardのサーバを経由せずに直接PAY.JPに送信され、弊社でも見ることができないようになっていますので、ご安心ください。