情報セキュリティポリシー

この情報セキュリティポリシーは、Diditが保有する認証、Diditが運用する技術的および組織的制御、ならびに顧客、見込み顧客、規制当局、および監査人に提供される信頼性に関する成果物を説明します。これは少なくとも6か月ごとにレビューされます。

• セキュリティ連絡先：security@didit.me
• データ保護責任者：dpo@didit.me
• ステータスページ（リアルタイム）：status.didit.me
• トラストパック（NDA締結後）：security@didit.meまでメールでご連絡ください。

1. 認証と認定

基礎となるレポートまたは証明書を請求するには、security@didit.meまでメールでご連絡ください。発行者の規約によって制限されているレポート（例：SOC 2 Type 1）は、署名済みの秘密保持契約（NDA）締結後、同営業日中に共有されます。

2. 範囲

このポリシーは、すべてのDiditの担当者（従業員、請負業者、および承認された第三者）、すべてのDiditの本番および企業情報システム、ならびにビジネス利用規約に記載されている顧客向けサービスを対象としています。これは、DiditのISO/IEC 27001:2022マネジメントシステムを支える適用宣言書によって裏付けられています。

3. ガバナンス

• 情報セキュリティおよびプライバシーマネジメントシステムは、ISO/IEC 27001:2022およびISO/IEC 27701管理策に準拠し、文書化された適用宣言書を備えています。
• 最高技術責任者が情報セキュリティのエグゼクティブスポンサーとして指名されており、データ保護責任者（dpo@didit.me）がプライバシープログラムのガバナンスを所有しています。
• 年次外部セキュリティ監査は、独立した監査人によって実施されます（ISO 27001監視およびSOC 2審査）。
• リスクレジスターは四半期ごとにレビューおよび更新されます。重大なリスクは経営委員会にエスカレートされます。
• 継続的改善、すべてのインシデント、監査結果、およびリスク評価は、是正措置のバックログと次回のポリシー更新に反映されます。

4. 暗号化とキー管理

• 保存時： すべての本番データベース、オブジェクトストア、およびバックアップボリューム全体でAES-256。
• 転送時： すべての外部APIコール、ウェブフック、およびビジネスコンソールセッションでTLS 1.3。古いTLSバージョンおよび脆弱な暗号は無効化されています。HTTP Strict Transport Security (HSTS) はサイト全体で強制され、プリロードされています。
• キー管理： AWS Key Management Service (KMS) がキーを保持およびローテーションします。アプリケーションコードは生のキーマテリアルに触れることはありません。サンドボックスキーと本番キーは完全に分離されています。
• ハッシュ化： 顧客の認証情報は、業界標準の適応型関数（bcryptまたは同等）でハッシュ化されます。APIキーは一方向ハッシュとして保存され、生の値は作成時にのみオペレーターに表示されます。

5. ID、アクセス、およびゼロトラストアーキテクチャ

• デフォルトでゼロトラスト、すべての内部システムへのすべてのリクエストは認証および認可されます。ネットワークロケーションに基づく暗黙の信頼はありません。
• 最小特権の原則に基づくロールベースアクセス制御（RBAC）。アクセスレビューは四半期ごとに実行されます。
• 多要素認証（MFA）は、すべての従業員、すべての本番システム、すべてのクラウドコンソール、およびすべてのコードホスティングアカウントで必須です。
• 特権ロールにはハードウェアトークンMFAを備えた内部アプリケーション用のシングルサインオン（SSO）。
• 本番環境へのジャストインタイムアクセス：常時特権アクセスは例外であり、原則ではありません。
• 監査ログ、すべての特権アクションは、改ざん防止機能付きの書き込み専用監査パイプラインにログ記録され、少なくとも12か月間保持されます。

6. データレジデンシーと分離

• デフォルトで欧州連合。 本番データは、Amazon Web Services上の欧州連合内で処理および保存されます。特定の地域または国内でのレジデンシーは、規制当局が要求する管轄区域の場合、エンタープライズ契約で利用可能であり、可用性によります。
• 環境分離。 サンドボックス、ステージング、および本番環境は、ネットワーク、ID、およびキー管理層で分離されています。明示的かつ監査されたアクセスパスなしに、ある環境の人間またはサービスが別の環境のデータを読み取ることはできません。
• テナント分離。 マルチテナントデータは、該当する場合、テナントごとの暗号化キーで論理的に分離されています。テナント間のクエリは、アプリケーション層およびデータベース層でブロックされます。

7. セキュア開発ライフサイクル（SDLC）

• すべての本番変更にはコードレビューが必要です。単一のエンジニアがレビューされていないコードを本番環境にマージすることはできません。
• 静的アプリケーションセキュリティテスト（SAST）、依存関係スキャン、およびソフトウェア構成分析（SCA）は、すべてのプルリクエストで自動的に実行されます。
• コンテナおよびインフラストラクチャスキャンは、すべてのビルド時およびデプロイされたイメージの定期的なスケジュールで実行されます。
• 高影響の変更（認証、キー管理、生体認証パイプライン、支払いフロー）に対するプレプロダクションセキュリティテスト。
• 内部侵入テストは継続的に実施され、外部侵入テストは独立した専門家によって少なくとも年に一度実施されます。重大な発見は、SLAに準拠したスケジュールで解決まで追跡されます。
• バグバウンティ/責任ある開示チャネル、セキュリティ問題はsecurity@didit.meに報告してください。

8. 脆弱性管理

• 重大度別のパッチ適用SLA：クリティカル（ベンダー開示後72時間以内）、高（7日以内）、中（30日以内）、低（90日以内）。
• 本番インフラストラクチャ、コンテナ、および依存関係全体にわたる継続的な脆弱性スキャン。
• 新しい製品インターフェース、生体認証パイプライン、および環境間統合に対する脅威モデリング。

9. 監視、検出、およびインシデント対応

• 可用性、エラー、およびセキュリティシグナルに関するアラートを備えた、すべての本番システムの24時間365日監視。
• セキュリティ情報およびイベント管理（SIEM）は、セキュリティイベントを集約および相関させ、異常なパターンはオンコールセキュリティエンジニアにエスカレートされます。
• 役割、通信ツリー、重大度マトリックス、およびインシデント後レビュープロセスを明記した文書化されたインシデント対応計画。この計画は、テーブルトップ演習を通じて少なくとも年に一度テストされます。
• 個人データ侵害通知。 Diditは、影響を受けた顧客に不当な遅延なく、いかなる場合も、顧客が一般データ保護規則（GDPR）第33条に基づく72時間通知義務を履行できるように、時間内に通知します。エンタープライズ顧客には、オンコール担当のエンジニアと専用の通信チャネルが提供されます。
• status.didit.meの公開ステータスページ、すべての本番インシデント、すべての事後分析がログイン不要で確認できます。

10. 事業継続と災害復旧

• すべての本番地域におけるマルチAZアクティブ冗長性。ステートレスサービスに対する自動フェイルオーバー。
• バックアップは暗号化され、選択されたレジデンシー境界内で地理的に分離され、定期的なスケジュールでテストされます。
• コア認証APIおよびビジネスコンソールに対するリカバリポイント目標（RPO）≤ 1時間およびリカバリ時間目標（RTO）≤ 4時間。
• 災害復旧（DR）テストは少なくとも年に一度実施されます。

11. 人員セキュリティ

• 本番データまたは個人データにアクセスするすべての従業員および請負業者に対する身元調査（適用される法律で許可されている場合）。
• すべての従業員および請負業者に対する入社時の機密保持契約。
• すべての従業員に対する入社時および少なくとも年に一度更新される必須のセキュリティおよびプライバシー研修。必要な役割に対する対象を絞った研修（セキュアコーディング、生体データ処理、不正防止、マネーロンダリング対策）。
• 定期的なスケジュールでのフィッシングシミュレーション。
• 入社/異動/退職プロセスは、役割変更または退職後24時間以内にアクセス権を取り消します。

12. ベンダーおよびサブプロセッサー管理

• すべてのサブプロセッサーは、オンボーディング前にリスク評価され、少なくとも年に一度再レビューされます。
• すべてのサブプロセッサーは、Diditが自社の顧客に対して負うものと実質的に同様のデータ保護義務を課すデータ処理契約（DPA）に署名します。
• 現在のサブプロセッサーリストは、秘密保持契約（NDA）締結後、メールで顧客および見込み顧客と共有されます。security@didit.meにメールで請求してください。サブプロセッサー変更通知を購読している顧客には、異議を申し立てるのに十分な事前通知をもってメールで通知されます。

13. データ主体の権利と削除

• アクセス権とポータビリティ権、`GET /v3/sessions/:session_id/decision/`。
• 消去権、`POST /v3/sessions/:session_id/delete/`。セッションとすべてのリンクされたアーティファクトをすべてのレプリカから削除します。
• アプリケーションごとの保持は、ビジネスコンソールで30日から10年の間で設定可能です。デフォルトは無期限ですが、顧客がより短い期間を設定した場合を除きます。生体データの保持は、いかなる場合も、適用される生体プライバシー法および規制（EU一般データ保護規則（GDPR）第9条、イリノイ州生体情報プライバシー法（BIPA）、テキサス州生体識別子取得または使用法（CUBI）、ワシントン州H.B. 1493、およびその他の適用される生体プライバシー法を含む）に従い、それらによって上限が定められます。 かかる法律がより短い保持期間またはより早い破棄義務を規定する場合、そのより短いまたはより厳格な規則が、デフォルトまたは顧客が設定した保持期間よりも優先されます。
• データ主体の権利に関する完全なプロセスについては、プライバシーポリシーおよび認証プライバシー通知を参照してください。

14. セキュリティ問題の報告

Diditの製品またはサービスでセキュリティ脆弱性を発見したと思われる場合は、security@didit.meまで、説明、再現手順、および観察された影響を添えてメールでご連絡ください。Diditは、責任ある開示慣行に従う報告者からのセキュリティ報告を2営業日以内に確認し、誠実に協力します。

15. 連絡先

• セキュリティ：security@didit.me
• データ保護責任者：dpo@didit.me
• プライバシー：privacy@didit.me
• 法務/契約：legal@didit.me
• トラストパック請求（NDA締結後）：security@didit.me