セキュリティ

はじめに

The Latent のセキュリティポリシーと実践は、適用されるすべての法令、規制、契約上の義務の遵守を目的とし、あわせてデータの機密性と完全性、提供するサービスの可用性の確保を目指しています。

ポリシー

The Latent のセキュリティポリシーは、すべての従業員（常勤・非常勤）、インターン、契約者に適用されます。すべてのポリシーは経営陣が承認し、毎年見直します。変更管理、第三者ベンダー、利用規範、リスク管理などのテーマを扱う各種ポリシーを整備しています。

認証と認可

すべてのユーザーアカウントに、複雑なパスワード（10文字以上）と多要素認証を求めています。

リソースへのアクセスは最小権限の原則に基づき、変更管理プロセスを通じて付与されます。長期的に不要なアクセス権は取り消します。

研修

新入社員は全員、初期のセキュリティ研修を受けます。全従業員が毎月、テーマを変えながらセキュリティのマイクロ研修を受けます。教育目的のフィッシング演習を毎月実施しています。その他の研修も随時行っています。

環境

テスト環境と本番環境は論理的に分離されています。社内ユーザーはテスト環境にも本番環境にもアクセスできません。各境界はファイアウォールで保護され、ポートとサービスは必要なものに限定されています。各環境へのアクセスは業務上の必要性に基づきます。

変更管理

本番環境へのすべての変更と機微なアクセス権の付与は、職務分離を徹底した変更管理プロセスを経ます。承認状況にかかわらず、すべての要求を審査します。時間外の緊急変更のための緊急プロセスも用意しています。

メールのセキュリティ

メールファイアウォールが添付ファイルのマルウェアを検査し、不審なメールをブロックします。送信側サーバーが暗号化に対応している場合、メールサーバーは暗号化のネゴシエーションを試みます。メールには「フィッシングを報告」ボタンがあり、ファイアウォールをすり抜けたフィッシングメールを従業員がセキュリティチームに通報できます。

脆弱性スキャン

本番インフラは毎月スキャンしています。検出された脆弱性は重要度に応じて対処します。

暗号化

機密以上に分類されるすべてのデータは、保存時（AES-256）と転送時（TLS 1.2以上）に暗号化されます。

ベンダー管理

機密以上のデータを保存、処理、送信するベンダーは、セキュリティチームによるリスク評価を受けます。

ベンダーのセキュリティ体制、利用規約、プライバシー慣行を評価します。