アプリ層の約束ではなく、行レベルセキュリティ
正しく実装されたマルチテナント。分離は、コードが適用を忘れうる絞り込みではなく、データベースによる保証です。テナント単位のすべてのテーブルが、現在のテナントに紐付いた FORCE + WITH CHECK のポリシーを持つため、アプリケーションコードが守らなくても境界は保たれます。
- テナント単位のすべてのテーブルに FORCE ROW LEVEL SECURITY + WITH CHECK を適用。開発者が忘れうる任意設定ではありません。
- 58のテーブルが、アプリケーションのミドルウェアではなくデータベースエンジンで分離の境界を担っています。
- WHERE句の書き漏れ、クエリの漏洩、アプリコードの不具合があっても、他テナントの行が返ることはありません。
- サービスアカウントとバックグラウンドのジョブも同じポリシーの下で動作し、特権的に回避する経路は存在しません。
保管時に封印されるシークレットと、ローテーションできる鍵
読み取り可能な形でディスク上に残る認証情報はありません。APIキーは一方向のSHA-256ハッシュとしてのみ保存されるため、盗み出せるものがありません。OAuthトークンとコネクターの認証情報は、書き込み前にFernetで暗号化され、必要とするサービスがメモリ上でのみ復号します。スコープも限定されているため、1つの認証情報が漏洩してもワークスペース全体が危険にさらされることはありません。
- APIキーは一方向のSHA-256ハッシュとして保存されます。作成時に一度だけ表示され、データベースから復元することはできません。
- シークレットは、必要とするサービスがメモリ上で必要なときにのみ復号します。平文でログに出力されることはありません。
- キーはスコープ付きでローテーション可能なため、漏洩した認証情報を、ワークスペースの他の部分に触れずに失効させられます。
- OAuthトークンとコネクターのシークレット(Mailjet、Webhook)は、ローテーション可能な鍵で保管時にFernet暗号化されます。
セキュリティ担当者が求めるもの
試験導入を本格展開に変える管理機能です。個別に交渉するセキュリティパッケージではなく、すべてのワークスペースが動作するエンジンの性質です。
ユーザー向けのTOTP2要素認証、運営者向けのメールOTPに加え、登録時のメールアドレス確認を必須としています。
意味のあるすべての変更を、誰が、何を、いつ、どのレコードに対して行ったかとともに記録し、レビュー用に書き出せます。
オーナー、管理者、マネージャー、メンバー、閲覧者のロールがすべての操作を制御し、ユーザーと権限の専用管理コンソールを備えています。
アカウントと退職時の処理は、SCIMを通じて御社のIDプロバイダーの管理下に置かれます。SAML / OIDCによるシングルサインオンはご要望に応じて提供していますので、ご希望の時期をご相談ください。
エクスポートと削除のワークフローにより、データ主体からの請求がプロジェクトではなくボタン1つの操作になります。
同意は連絡先ごと、チャネルごとに記録されるため、働きかけを行う前に、チームがレコード上で同意の状態を確認できます。
TLSがすべての経路(ブラウザーからAPI、バックグラウンドワーカーまで)をカバーし、暗号化されない区間はありません。
設定可能なセッション有効期間によりアクセストークンが短命に保たれるため、セッションが漏洩した場合の影響範囲が時間で区切られます。
製品のインターフェース(ナビゲーション、画面、フォーム、取引メール)は、英語、フランス語、スペイン語、日本語にローカライズされています。各メンバーが選んだ言語はプロフィールに保存されるため、端末をまたいでも引き継がれます。新しいユーザーは、ワークスペースの既定の言語から始まります。
1つのエンジン、多数のテナント、混在ゼロ。お客様のデータはお客様のものであり、行レベルで分離され、保管時に封印され、御社のIDプロバイダーから払い出され、端から端まで記録されます。
御社のチームから寄せられるご質問。
テナント単位のすべてのテーブルで、FORCE + WITH CHECK を伴うPostgresの行レベルセキュリティを適用しています。分離はアプリケーション層ではなくデータベースで強制されます。アプリコードの不具合、WHERE句の書き漏れ、クエリの漏洩があっても、テナントを越えることはできません。
意図的に、2つの異なる方法を使っています。APIキーはそもそも復元可能な形で保存されず、一方向のSHA-256ハッシュのみを保持するため、データベースが漏洩しても使えるキーは得られません。OAuthトークンとコネクターの認証情報は再送信する必要があるため、保管時にFernetで暗号化され、必要とするサービスが必要なときにメモリ上でのみ復号します。
はい。ユーザー向けのTOTP2要素認証、運営者向けのメールOTPに加え、登録時のメールアドレス確認を必須とし、すべての認証イベントについて完全な監査証跡を残しています。
レコードの作成、編集、削除、権限の変更、ログインなど、意味のあるすべての変更を、誰が、いつ、何を変えたかとともに記録します。自社のレビューやコンプライアンス上の請求のために書き出せます。
ロールベースのアクセス制御(オーナー、管理者、マネージャー、メンバー、閲覧者)がすべての操作を制御し、ユーザー、セキュリティ設定、多要素認証の強制、監査ログのための管理画面を備えています。
プロビジョニングは対応しています。SCIMにより、入社・異動・退職が表計算ではなくIDプロバイダーと同期するため、退職時の処理はすでに信頼しているシステム上の1操作で完了します。SAML / OIDCによるシングルサインオンはご要望に応じて提供していますので、ご希望の時期をお知らせいただければ、ご一緒に検討します。
GDPRのエクスポートと削除のワークフローにより、データ主体からの請求がプロジェクトではなくボタン1つの操作になります。また、同意は連絡先ごと、チャネルごとに記録されるため、働きかけを行う前にチームがレコード上で同意の状態を確認できます。
はい。TLSがブラウザーからAPI、バックグラウンドワーカーまでのすべての経路をカバーし、保存データとシークレットの保管時暗号化も併せて実施しています。