セキュリティアーキテクチャ

1. セキュリティの基本原則

セキュリティは、最後に付け加える工程ではなく、あらゆるシステムの設計・構築・運用に組み込まれています。当社は次の5つの原則に従っています。

• セキュリティ・バイ・デザイン — コードを書く前の設計段階でリスクを洗い出します。
• 最小権限 — 人やサービスには、必要な期間だけ、必要な権限のみを付与します。
• 多層防御 — 互いに独立した複数の管理策を重ね、一つが破られてもシステム全体が危険にさらされないようにします。
• プライバシー・バイ・デフォルト — データプライバシー法に沿い、必要最小限のデータのみを収集・保存します。
• 検証してから信頼する — 変更、ID、依存関係は、安全だと仮定せずに確認します。

2. 本ウェブサイトのセキュリティ

本ウェブサイトはあえてシンプルな構成とし、攻撃対象となる範囲を小さく保っています。

• サーバー側のアプリケーション、データベース、ユーザーアカウントを持たない静的サイトです。
• すべての通信は、ホスティング・コンテンツ配信事業者を通じて HTTPS で提供され、一般的なネットワーク攻撃からの保護も受けています。
• 広告用・解析用の Cookie や第三者のトラッキングスクリプトは使用していません。外部リソースは Google Fonts のウェブフォントとアイコンのみです。
• お問い合わせフォームの送信内容は、暗号化された通信で当社が設定したフォーム処理先にのみ送られ、当社のプライバシーポリシーに従って取り扱われます。

3. セキュアなソフトウェア開発

当社が納品するすべてのプロジェクトは、セキュアな開発ライフサイクルに従います。

• 新規システムや主要機能に対する脅威モデリングを行い、セキュリティ要件を機能要件と併せて記録します。
• OWASP Top 10 および OWASP アプリケーションセキュリティ検証標準（ASVS）に基づくセキュアコーディング規約（入力値の検証、出力のエンコード、パラメータ化クエリなど）。
• 保護されたブランチへのマージ前に、必ずピアコードレビューを実施します。
• CI/CD パイプラインでの自動チェック：静的解析、依存関係・コンテナの脆弱性スキャン、シークレットの検出。
• 開発・ステージング・本番環境を分離し、本番データは匿名化せずに下位環境へ複製しません。
• 主要リリース前にセキュリティテストを行い、顧客のご要望に応じて第三者によるペネトレーションテストも実施します。

4. ID・アクセス管理

• メンバーごとに固有の記名アカウントを使用し、管理者認証情報は共有しません。
• ソースコードリポジトリ、クラウドコンソール、メールその他の管理系システムには多要素認証を必須とします。
• プロジェクト上の役割に応じたロールベースのアクセス制御。
• アクセス権の定期的な棚卸しを行い、プロジェクトや会社を離れるメンバーの権限は速やかに削除します。
• API キーやデータベースのパスワードなどのシークレットは専用のシークレット管理サービスで保管し、ソースコードには記載しません。

5. データ保護と暗号化

• すべての外部通信、および対応可能な場合は内部サービス間の通信を、TLS 1.2 以上で暗号化します。
• データベース、ストレージ、バックアップは保存時に暗号化し、プラットフォーム管理の鍵、または顧客のご要望に応じて顧客管理の鍵を使用します。
• 顧客ごとに環境、データ、認証情報を論理的に分離します。
• データの最小化と保存期間の設定を行い、不要となったデータは安全に削除します。
• テストや分析に使用する個人データはマスキングまたは匿名化します。

6. インフラとネットワークのセキュリティ

• インフラをコードとして定義（IaC）し、レビューとバージョン管理を行うことで、環境の再現性と変更の監査可能性を確保します。
• ネットワークのセグメント化、データベースや内部サービスのプライベートサブネットへの配置、厳格なファイアウォール・セキュリティグループ設定。
• インターネットに公開するアプリケーションには、信頼できるクラウド・エッジ事業者の WAF と DDoS 対策を適用します。
• 堅牢化したベースイメージの使用、OS と依存関係の定期的なパッチ適用、重大な脆弱性の迅速な修正。
• 管理者アクセスは、多要素認証付きの VPN や踏み台サーバーなど、保護された経路に限定します。

7. EC と決済のセキュリティ

オンライン小売システムは顧客アカウントと決済を扱うため、追加の管理策を講じています。

• カード決済は、トークン化またはホスト型決済ページを用いて、PCI DSS 準拠の決済ゲートウェイで処理します。当社のシステムは、カード番号全体やセキュリティコードを保存しない設計としています。
• 強力なパスワードハッシュ、レート制限、任意の多要素認証による顧客アカウントの保護。
• 注文頻度のチェック、ボット対策、異常検知アラートなどの不正・悪用対策。
• 価格、割引、在庫はサーバー側で整合性を検証し、ブラウザから送られた値を信用しません。

8. 監視、ログ、インシデント対応

• セキュリティ関連イベントを一元的に記録し、ログへのアクセスを制限して改ざんから保護します。
• 可用性、パフォーマンス、不審な挙動の監視とアラート。顧客との合意に基づき、本番システムのオンコール対応を行います。
• 検知、封じ込め、根絶、復旧、事後レビューを含む、文書化されたインシデント対応手順。
• 個人データ侵害は、NPC 規則が定める期限内（現行では認識後72時間以内）に国家プライバシー委員会および影響を受ける個人に通知し、顧客には契約の定めに従って通知します。

9. バックアップと事業継続

• 本番システムとは別の場所に保管される、自動化された暗号化バックアップ。
• バックアップが利用可能であることを確認するための定期的な復元テスト。
• システムの重要度に応じて、顧客ごとに目標復旧時点（RPO）と目標復旧時間（RTO）を合意します。
• 高可用性が求められるシステムでは、複数のアベイラビリティゾーンへの冗長配置と自動フェイルオーバーを採用します。

10. 人と取引先

• すべてのメンバーが守秘義務を負い、セキュリティとデータプライバシーに関する意識向上研修を受けています。
• 顧客システムへのアクセスは、その顧客の業務を担当するメンバーにのみ付与します。
• 当社に代わってデータを取り扱う取引先やクラウド事業者は、セキュリティ体制を評価したうえで書面契約を締結し、個人データを扱う場合はデータ共有契約または委託契約を締結します。

11. 準拠する基準とコンプライアンス

当社の管理策は、データプライバシー法および国家プライバシー委員会の通達、OWASP Top 10 および ASVS、ISO/IEC 27001 の管理領域など、広く認められた枠組みと法令に沿っています。これらの枠組みに沿っていることは認証の取得を意味するものではありません。特定の認証や監査が必要な場合は、サービス契約でその範囲を合意します。

12. 責任ある開示

本ウェブサイトまたは当社が運用するシステムにセキュリティ上の脆弱性を発見された場合は、修正のため当社にお知らせください。件名に「セキュリティ報告」と記載のうえ tribeitsolutionsincorporation@gmail.com までメールでお送りいただくか、お電話（+63 998 966 0301）でご連絡ください。報告にあたっては、次の点をお守りください。

• 公開する前に、当社が調査・修正するための合理的な期間をお与えください。
• 問題の実証に必要な最小限のデータにのみアクセスし、データの変更や削除は行わないでください。
• サービス妨害テストやスパム送信など、可用性を損なうおそれのある行為は避けてください。
• 当社の従業員や事務所に対するソーシャルエンジニアリングや物理的な攻撃は行わないでください。

当社は報告の受領を確認し、対応状況をお知らせします。これらのガイドラインに従った善意の調査に対して、法的措置をとることはありません。