ACCESS CONTROL
サーバー側で認可
保護対象のYOKOEMON Toolsでは、ユーザーRole、ユーザー単位のApp利用権限、登録Project範囲に基づいてサーバー側で認可します。
YOKOEMON TRUST CENTER
確認できるセキュリティ。
YOKOEMONは、セキュリティを言葉だけで説明するのではなく、確認可能な証跡に基づいて運用しています。
このページでは、下記の確認日時にYOKOEMONのセキュリティ証跡によって裏付けられた内容だけを、公開可能な範囲で提示しています。証跡と対応付けられていない内容は、公開上の保証として扱いません。
Evidence Firstサーバー側認可private storageLive Isolation
8 / 8Runtime基盤runtime checks PASS実行環境の基礎条件を確認
12 / 12認可ポリシーpolicy scenarios PASS権限・境界の想定シナリオを確認
6 / 6Live Isolationcontrolled HTTPS scenarios PASS実HTTPで越境拒否を確認
VERIFIED SECURITY CONTROLS
確認済みのSecurity Control
現在の証跡から、対外公開を承認できる範囲に限定して説明します。
DATA ISOLATION
Project / Object境界
保護対象のObject・File配信ではProjectとObjectの関係を確認します。検証対象範囲では、別Projectへの差し替えを行うControlled Testが拒否されることを確認しました。
PRIVATE DELIVERY
直接URLもSecurity境界に含める
MediaやDownloadの直接配信Routeも認可レビューの対象です。限定公開Capabilityについて、有効・期限切れ・Project/File Bindingの挙動を確認しました。
PRIVATE STORAGE
private領域を公開領域から分離
YOKOEMONのprivate storageがpublic web rootの外側にあることを確認し、tested runtimeではDefense in DepthとしてWeb Server側のdeny controlも確認しました。
SECURITY VERIFICATION
Securityに関わる変更で証跡を失効
Live Security Evidenceは認可に関わるCode Surfaceへ結び付けています。Security Surfaceが変わった場合、以前のLive Evidenceは再検証されるまでstaleとして扱います。
CONTROLLED TESTING
合成fixtureだけで実HTTP確認
Controlled Live Testは合成fixtureを使用します。保存するEvidenceにはpassword、session cookie、raw token、response body、顧客payload、private filesystem pathを含めません。
CHANGE INTEGRITY
正本に結び付いた更新
YOKOEMON本体の更新ではVersion Lineage、Source Base Lock、HashによるPatch Inspection、明示的なApplyを組み合わせています。
EVIDENCE MODEL
どう確認しているのか
「実装されている」「Runtimeで動く」「実HTTPで越境を拒否した」「外部に公開してよい」を別のEvidence Levelとして扱います。
01実装
02Static Audit
03Runtime Foundation
04Runtime Policy
05Live Isolation
06公開承認された表現
YOKOEMON TRUST MARK
確認できた安全設計を、利用者にも分かるかたちに。
Trust Markは、このTrust Centerで確認された内容への「入口」です。
各アプリに同じ安全性を一律に宣言するためのマークではありません。アプリごとに、実装と証跡から実際に確認できた保護内容だけを表示します。
確認できたものだけ表示見た目だけの認定マークにはしません。実装・運用・証跡によって確認でき、公開可能な範囲の内容だけを表示します。
アプリごとに内容が違う扱うデータや役割が違えば、必要な保護も異なります。すべてのアプリが同じ基準を持つという意味ではなく、そのアプリに必要で確認できた項目だけを示します。
第三者認証ではありませんYOKOEMON TRUST MARKは、ISO 27001、SOC 2、ISMSなどの第三者認証ではなく、絶対的な安全性や脆弱性ゼロを保証するものでもありません。
SCOPE & LIMITATIONS
適用範囲と制限
このTrust Centerでは、確認できたことと、まだ主張しないことを分けています。
- ここに示す検証は管理された内部Evidenceであり、ISO 27001、SOC 2、ISMSなどの第三者認証ではありません。
- 第三者による独立Penetration Testの認証を意味しません。
- 絶対的な安全、脆弱性ゼロ、事故ゼロ、侵害が起こらないことを保証するものではありません。
- 24時間365日の有人SOC監視を表明するものではありません。
- 保存データ暗号化の適用範囲、Backup/DR、RPO/RTO、SLAについて、別途確認・文書化されていない保証はこのページでは行いません。
CONTACT
Securityに関するお問い合わせ
YOKOEMONのお問い合わせ窓口は現在準備中です。受付状況はお問い合わせページをご確認ください。