YOKOEMON TRUST CENTER
確認できるセキュリティ。
YOKOEMONは、セキュリティを言葉ではなく証跡で扱います。
このページでは、下記の確認日時にYOKOEMONのSecurity Evidenceによって裏付けられた内容だけを公開しています。証跡と対応付けられていない内容は、公開上の保証として扱いません。
SECURITY CONTROLS
確認済みのSecurity Control
以下は、現在の証跡から対外公開を承認できる範囲に限定した説明です。
ACCESS CONTROL
サーバー側で認可
保護対象のYOKOEMON Toolsでは、ユーザーRole、ユーザー単位のApp利用権限、登録Project範囲に基づいてサーバー側で認可します。
DATA ISOLATION
Project / Object境界
保護対象のObject・File配信ではProjectとObjectの関係を確認します。検証対象範囲では、別Projectへの差し替えを行うControlled Testが拒否されることを確認しました。
PRIVATE DELIVERY
直接URLもSecurity境界に含める
MediaやDownloadの直接配信Routeも認可レビューの対象です。限定公開Capabilityについて、有効・期限切れ・Project/File Bindingの挙動を確認しました。
PRIVATE STORAGE
private領域を公開領域から分離
YOKOEMONのprivate storageがpublic web rootの外側にあることを確認し、tested runtimeではDefense in DepthとしてWeb Server側のdeny controlも確認しました。
SECURITY VERIFICATION
Securityに関わる変更で証跡を失効
Live Security Evidenceは認可に関わるCode Surfaceへ結び付けています。Security Surfaceが変わった場合、以前のLive Evidenceは再検証されるまでstaleとして扱います。
CONTROLLED TESTING
合成fixtureだけで実HTTP確認
Controlled Live Testは合成fixtureを使用します。保存するEvidenceにはpassword、session cookie、raw token、response body、顧客payload、private filesystem pathを含めません。
CHANGE INTEGRITY
正本に結び付いた更新
YOKOEMON本体の更新ではVersion Lineage、Source Base Lock、HashによるPatch Inspection、明示的なApplyを組み合わせています。
EVIDENCE MODEL
検証レベルを混同しない
「実装されている」「Runtimeで動く」「実HTTPで越境を拒否した」「外部に公開してよい」は別のEvidence Levelとして扱います。
- 01実装
- 02Static Audit
- 03Runtime Foundation
- 04Runtime Policy
- 05Live Isolation
- 06公開承認された表現
SCOPE & LIMITATIONS
適用範囲と制限
このTrust Centerでは、確認できたことと、まだ主張しないことを分けています。
- ここに示す検証は管理された内部Evidenceであり、ISO 27001、SOC 2、ISMSなどの第三者認証ではありません。
- 第三者による独立Penetration Testの認証を意味しません。
- 絶対的な安全、脆弱性ゼロ、事故ゼロ、侵害が起こらないことを保証するものではありません。
- 24時間365日の有人SOC監視を表明するものではありません。
- 保存データ暗号化の適用範囲、Backup/DR、RPO/RTO、SLAについて、別途確認・文書化されていない保証はこのページでは行いません。
CONTACT
Securityに関するお問い合わせ
YOKOEMONのお問い合わせ窓口は現在準備中です。受付状況はお問い合わせページをご確認ください。