/01
エージェンシーごとの分離を、リリースのたびに検証
すべてのレコードがエージェンシーの識別子を持ち、分離は互いに独立した2つの層で強制されます。アプリケーションの内部、そしてストレージエンジンそのものの中枢です。ストレージエンジンは、たとえアプリケーションが要求しても、他のエージェンシーのデータを返しません。さらに毎回のデプロイ前にテストスイートがこれを証明します。テストが1つでも失敗すれば、リリースは中止されます。
● セキュリティとコンプライアンス
信頼は、宣言するものではなく築くもの。
ROSTERには、競合し合うエージェンシーが隣り合って同居しています。だからこそ分離は設定オプションではなく、プロダクトのアーキテクチャそのものです。そして、証拠のないセキュリティの約束には価値がありません。私たちが何を保証し、何を保証しないのか、ここに正確に記します。
EUホスティング1エージェンシーに1キーパスキー証明可能な消去GDPR
/02
欧州連合（EU）でのホスティング
サーバー、書類、バックアップはすべてEU域内に置かれ、欧州法の下で運用されます。お客様の業務データがEU域外に移転されることはありません。再委託先の一覧は公開されており、追加がある場合は30日前に告知します。
/03
あなただけのものである暗号化キー
最も機微なデータ（銀行口座情報、請求先情報、メモ、契約書の下書き）は、貴社エージェンシー専用のキーでAES-256-GCMにより暗号化されます。キーは専用のキー管理サービスに保管され、定期的にローテーションされ、インシデント時には即座に差し替えられます。2つのエージェンシーがキーを共有することは決してありません。ただし、「すべて」が暗号化されているとは主張しません。検索、並べ替え、集計が必要なもの（名前、都市、金額）はプロダクトから使える状態を保ち、上記の分離によって保護されます。それ以外の主張は嘘になります。
/04
削除は、宣言ではなく証明
解約の際、私たちは単に行を消すのではなく、キーそのものを破壊します。キーを失った暗号化データは、取得済みのバックアップの中も含めて、永久に読み取り不能になります。誰かが「消し忘れる」余地はありません。しかもアプリケーションにはキーを破壊する権限がなく、その権限はアプリケーションの手が届かない別のアイデンティティに属します。したがって、サービスへの侵入によって顧客データを消し去ることはできません。
/05
自社サーバーの手さえ届かないバックアップ
私たちのサーバーはバックアップを書き込むことはできますが、読み戻すことも消すこともできません。侵害されたサーバーはバックアップを持ち出すことも破壊することもできない。まさにランサムウェアが狙うシナリオへの備えです。復元できるのはオフラインで保管された鍵だけで、復元手順は「サーバーは失われた」という前提でテストされています。
/06
サーバー上に秘密情報を置かない
サービスが使う認証情報は、ディスクにもデータベースにも存在せず、専用の金庫に保管されています。ディスクの盗難、サーバーの複製、データベースのエクスポート。そこから使える物は何も出てきません。
/07
改ざんできない監査ログ
機微な操作は追記専用の台帳に記録され、暗号学的に連鎖しています。そこにある記録は、私たち自身であっても変更も削除もできません。ストレージエンジンがそれを拒否するからです。サポートチームがお客様のアカウントに行った介入もすべてここに記録され、その抜粋を請求できます。
/08
パスキー、パスワードなし
パスキーでログインできます。デバイスの指紋認証、顔認証、またはPINだけで十分です。秘密鍵はデバイスから出ることがなく、フィッシングサイトで再利用することもできません。ワンタイムコードは偽ページに打ち込めてしまいますが、パスキーはフィッシングに対する唯一の構造的な防御です。あわせて、バックアップコード付きのTOTPによる2段階認証、PINロック、デバイス単位で失効できるセッションも備えています。ログイン試行は元から絞られており、繰り返しの試行は段階的に減速され、挙動が疑わしくなった時点で追加の人間確認が表示されます。
/09
きめ細かなロール権限
各メンバーが見て編集できるのは自分の担当範囲だけです。担当アーティスト、細分化された権限、署名後のロック。アーティストポータルにエージェンシーのマージンが表示されることはありません。
/10
GDPRを標準装備
データはセルフサービスでエクスポートでき、削除が予定されている間も可能です。ポータビリティは、支払い状況と引き換えにするものではないからです。請求に応じた削除にも対応します。データ処理契約（GDPR第28条）は利用規約に含まれており、別紙を頼み込む必要はありません。保持期間：6か月間利用がないと削除が予定され、15日前に通知されます。キーは消去の7日後に破壊されます。
● 方法論
約束ではなく、実践を。
01
リリースごとの分離テスト
どのエージェンシーも他社のデータを読み取れず、変更もできないことを、自動テストスイートが検証します。テストが1つでも失敗すればデプロイは拒否されます。黙認して通せる警告ではありません。
02
権限の分立
稼働中のサービスは暗号化と復号はできますが、キーの破壊もバックアップの読み取りもできません。それらの権限は、手の届かない別々のアイデンティティに属します。アプリケーションを侵害しただけではデータを破壊できない。それこそが狙いです。
03
脆弱性の追跡
依存関係チェーンの既知の脆弱性はリリースごとに確認され、セキュリティパッチが適用されます。
04
責任ある開示
セキュリティ研究者のための専用窓口があります。脆弱性は[email protected]までご報告ください。受領をお知らせし、修正まで経過を共有します。善意の研究者に対して法的措置を取ることはありません。
無料トライアル
あなたのエージェンシーは、スプレッドシートには収まらない。
2分でワークスペースを開設し、今日から最初の公演を管理できます。最長30日間の無料トライアル、クレジットカード登録は不要です。
- クレジットカード不要
- いつでも解約可能
- データは暗号化のうえヨーロッパでホスティング