24.9°N · 121.3°Eセキュリティと信頼性
読むだけでなく、確かめられるセキュリティ。
いま行っていること、誰が何に責任を持つか、主張しないこと。取引先の審査を担当される方のために書きました。
- 全ページ HTTPS
- 広告・解析のトラッキングなし
- 公開フォームは書き込み専用
- 公開の管理画面なし
つくり方
最小権限
アカウント・鍵・ツールには、その作業に必要な権限だけを与え、常時開いたままの経路は作りません。
データはお客様のもの
データはお客様のものです。いつでもエクスポート、または削除を依頼できます。AIモデルの学習には使いません。
鍵はコードに入れない
鍵やパスワードは管理された環境設定に置き、ソースのリポジトリやスクリーンショットには残しません。
攻撃対象を小さく
公開ページは静的で、公開の管理画面はなく、第三者の広告・解析スクリプトも使いません。
リスクのある操作は人が承認
AI・自動化の業務では、リスクの高い操作は人の確認を待ち、システムの動作は記録されます。
正直な限界
100%安全とは約束しません。既知のリスクを管理可能な水準まで下げること、問題が起きたら正直にお伝えすることをお約束します。
責任分担
セキュリティは共同の責任です。最初に書面で明確にしておくことで、行き違いを防ぎます。
お客様
- システムにアクセスできる人を決め、退職時に権限を取り消す
- ご自身のアカウント情報を管理する
- お客様の顧客の個人情報を、業界の規則に従って扱う
- 30日間の検収期間中に納品物を確認する
Vanture
- 最小権限で構築し、鍵をコードに入れない
- 合意した時間帯のみリモート接続し、終了後に権限を取り消す
- 依存ソフトウェアをサポート対象の最新版に保つ
- バックアップを取得・検証し、お客様のデータに影響する事故があれば速やかに通知する
クラウド事業者
- 物理的・インフラ面の安全
- マネージドサービスが提供する通信時・保管時の暗号化
- プラットフォームの可用性
このサイトを例に
ここに書いたことは、すべてブラウザから確認できます。
常時 HTTPS
通信は暗号化され、ブラウザには HTTPS のみを使うよう指示しています（HSTS）。
ブラウザ側の保護
厳格なコンテンツセキュリティポリシー、フレーム埋め込みの禁止、コンテンツ種別の推測の禁止、厳格なリファラーポリシー、カメラ・マイク・位置情報の無効化。
トラッキングなし
解析・広告のスクリプトはありません。使用する Cookie は言語設定のみです。
書き込み専用のフォーム
お問い合わせフォームは問い合わせを追加できますが、1件も読み出せません。隠しフィールドの罠、送信速度の確認、頻度制限、サーバー側の検証を備えています。
公開の管理画面なし
攻撃対象となるログインページがありません。内容はリポジトリにあり、Web 管理画面ではなくビルドで公開されます。
ソフトウェアを最新に
本番環境の依存パッケージを公開の脆弱性データベースと照合し、修正版があれば更新します。
報告の窓口
security.txt ファイルで、研究者に連絡方法を示しています。
ご自身で確認する
shellcurl -sI https://getvanture.com/en | grep -iE "strict-transport|content-security|x-frame|x-content-type|referrer-policy|permissions-policy"
curl -s https://getvanture.com/.well-known/security.txt次のコマンドで、ブラウザが受け取るヘッダーと、セキュリティ連絡先ファイルを確認できます。
安全策を備えたリモート納品
多くの案件は訪問なしで納品します。アクセスの流れは次のとおりです。
- 1
範囲の明示
何にアクセスする必要があるか、その理由を書面にします。
- 2
お客様が許可
お客様ご自身のリモートデスクトップツールで、お客様の条件で。
- 3
時間を限定
合意した時間帯のみ接続し、画面は常にご確認いただけます。
- 4
終了後に取り消し
作業完了後に権限を取り消します。常設のリモート経路は残しません。
- 5
書面で引き渡し
何を、どこに導入したか、どの認証情報を誰が管理するか。
ネットバンキング、決済、財務に関する認証情報はお預かりしません。
AIを使う場合
AI機能とエージェントに適用するルールです。
お客様のデータ、お客様の境界
AI機能はお客様自身のデータの範囲内でのみ動作します。どのデータをどのモデルに送るかは、着手前に書面にします。
最小権限のエージェント
エージェントには、その作業に必要な権限だけを与えます。
審査済みのみ使用
審査済みのスキルのみを使用し、コミュニティ製の拡張を安易に導入せず、変更はすべて記録します。
最終判断は人が行う
顧客向けのAIはAIであることを明示し、重要な判断は人が確認します。
お客様のデータとお問い合わせフォーム
取得する情報
フォームに入力された内容（お名前、メール、任意の電話番号と LINE、メッセージ）と、安全のための基本的なサーバーログのみです。
保管期間
お問い合わせ情報は、最後のやり取りから12か月後に削除します。お取引が始まった場合、記録は契約と法令に従って保管します。
お客様の権利
台湾の個人情報保護法に基づき、データの閲覧・訂正・削除を請求できます。
問題が起きた場合
お客様のデータに影響する事故があれば、把握次第お知らせし、判明していることを説明し、封じ込めに協力します。
当社にないもの
後から分かることのないよう、最初にお伝えします。
- 現時点で、第三者認証（ISO/IEC 27001、SOC 2 など）は取得していません。
- お示しできる独立したペネトレーションテストの報告書はありません。
- 当社は2名のチームです。大規模な専任セキュリティチームが必要な要件の場合は、早めにお知らせください。当社が適しているかどうか、率直にお答えします。
取引先向けのセキュリティ調査票にはお答えし、「ない」項目はそのようにお伝えします。
- 1
下記のアドレスへ、発見した内容と再現方法をお送りください。
- 2
善意の調査を歓迎します。他者のデータへのアクセス・変更・保存はお控えください。
- 3
報告を受領した旨をお伝えし、対応状況をお知らせします。