ManageEngine
セキュリティ

物理的セキュリティ

ワークスペース

アクセスカードを使用して当社のリソース（建物、インフラストラクチャー、施設）へのアクセスを管理しています。アクセスには、消費や立ち入り、利用などが含まれます。従業員、請負業者、ベンダーおよび訪問者に対しては、それぞれ異なるアクセスカードを支給します。これにより、各自の目的に応じた敷地への立ち入りのみが許可されます。人事（HR）チームが、役割に応じた目的を定義、管理しています。また、異常の検知、対処を目的に、アクセスログを保持します。

データセンター

当社データセンターでは、コロケーションプロバイダーが建物、冷却、電源および物理的セキュリティに関する責任を負い、当社がサーバーとストレージを提供しています。データセンターへの立ち入りは、許可を受けた少数の人員のみに制限されています。その他のアクセスにはチケット申請による承認プロセスが必要とされ、各マネージャーから承認された場合に限り許可されます。敷地への立ち入りにはさらに、2段階認証と生体認証が求められます。インシデントが発生した場合は、アクセスログ、活動記録、カメラ映像が使用されます。

監視

当社は、現地の規制に従い配置した監視カメラを通じて、当社のすべてのビジネスセンターおよびデータセンターへの入退出を監視しています。現地の要件に従って一定の期間、カメラ映像のバックアップを使用することができます。

インフラストラクチャーのセキュリティ

ネットワークセキュリティ

当社のネットワークセキュリティと監視技術は、複数レイヤーにわたる保護と防御を提供するように設計されています。当社のネットワークへの不正アクセスや望ましくないトラフィックに対しては、ファイアウォールを使用して防御しています。当社のシステムは、秘密データを保護するために複数のネットワークに分離されています。テストと開発業務をサポートするシステムは、ManageEngineの実稼働インフラストラクチャーをサポートするシステムとは別のネットワーク上に置かれています。

ファイアウォールへのアクセスは、厳格に、定期的に監視されています。ファイアウォールに行われたすべての変更は、ネットワークエンジニアが日々確認しています。さらに、これらの変更は6か月ごとに確認され、ルールの更新および修正が行われます。当社のネットワーク運用センター専任チームは、インフラストラクチャーとアプリケーションをモニタリングし、矛盾や疑わしい活動を検出します。重要なパラメーターはすべて、当社独自のツールを用いて継続的にモニタリングし、当社の実稼働環境において異常な、または疑わしい活動があった場合には、通知されます。

ネットワークの冗長性

当社プラットフォームのすべてのコンポーネントには冗長性を持たせています。サーバーの不具合に備えて、その影響からシステムとサービスを保護するため、分散グリッドアーキテクチャーを採用しています。サーバーに不具合が生じたとしても、ユーザーのデータとManageEngineのクラウドサービスはそのまま利用できるため、ユーザーは普段どおり作業を進めることができます。

さらに、端末レベルでの冗長性を確保するため、複数のスイッチ、ルーター、セキュリティゲートウェイを採用しています。これにより内部ネットワークに単一障害点が生じないようにしています。

DDoS攻撃への対策

当社は、信頼のおける一流のサービスプロバイダーの技術を利用し、当社サーバーへのDDoS攻撃を防止しています。これらの技術は複数のDDoS緩和機能を提供し、正常なトラフィックの通過を許可する一方で、悪意のあるトラフィックによる混乱の発生を防止しています。当社のWebサイト、アプリケーション、APIの高い可用性とパフォーマンスはこのようにして維持されています。

サーバーのハードニング（堅牢化）

開発とテスト活動用に設定されたすべてのサーバーは、ハードニング（使用されていないポートやアカウントを無効にしたり、既定のパスワードを削除したりすることによるシステム強化）されています。ベースとなるオペレーティングシステム（OS）のイメージには、サーバーハードニングが実施されており、このOSイメージがサーバーに設定され、複数サーバー間の一貫性が保証されます。

侵入検知および防止

当社の侵入検知システムは、個々の端末のホストベースのシグナルと、当社サーバー内のモニタリングポイントからのネットワークベースのシグナルを記録しています。当社の実稼働ネットワークに存在するすべてのサーバーへの管理的アクセス、特権コマンドの使用およびシステムコールが記録されます。このデータの上に構築された規則とマシンインテリジェンスによって、インシデントが発生した場合にはセキュリティエンジニアに警告が発せられます。アプリケーションレイヤーには、ホワイトリストおよびブラックリスト規則の両方で稼働する当社独自のWebアプリケーションファイアウォール（WAF）があります。

インターネットサービスプロバイダー（ISP）レベルでは、ネットワークレイヤーからアプリケーションレイヤーへの攻撃に対処するためのスクラビング、ネットワークルーティング、レート制限、およびフィルタリングなど、マルチレイヤーのセキュリティ対策が実装されています。このシステムにより、クリーンなトラフィック、信頼性の高いプロキシサービス、攻撃があった場合の迅速な報告が可能です。

データセキュリティ

セキュア・バイ・デザイン

すべての変更や新機能を変更管理ポリシーで管理し、アプリケーションへのすべての変更が、実稼働環境に実装される前に承認を受けるようにします。当社のソフトウェア開発ライフサイクル（SDLC）では、安全なコーディングに関するガイドラインの遵守を義務付けており、また、当社のコード分析ツール、脆弱性スキャナー、人による審査プロセスを用いて、セキュリティ問題を引き起こす可能性のあるコード変更を審査しています。

アプリケーションレイヤーに実装される当社の強固なセキュリティフレームワークはOWASP（Open Worldwide Application Security Project）標準に基づいており、SQLインジェクション、クロスサイトスクリプティング、アプリケーションレイヤーへのDOS攻撃などの脅威を緩和する機能を提供しています。

データ分離

当社のフレームワークでは、お客さまにクラウドスペースを提供し、維持しています。個々のお客さまのサービスデータは、そのフレームワークにおける一連の安全なプロトコルを用いて、論理的に他のお客さまのデータから分離されています。そのため、お客さまのサービスデータに対して他のお客さまがアクセスすることは決してありません。

お客さまが当社のサービスを利用する際に、当社のサーバーにサービスデータが保存されます。お客さまのデータは、Zohoではなくお客さまが所有しています。当社は、このデータをお客さまから同意を得ることなくいかなる第三者にも開示しません。

暗号化

送受信時： パブリックネットワークを介して当社サーバーに送信されるお客さまのデータはすべて、強力な暗号化プロトコルを用いて保護されています。Webアクセス、APIアクセス、モバイルアプリ、IMAP/POP/SMTPメールクライアントアクセスなど、当社サーバーへのすべての接続に対して、暗号文が強力なトランスポートレイヤーセキュリティ（TLS 1.2/1.3）暗号化の使用を義務付けています。これによってその接続に関わる両当事者の認証を認め、転送されるデータを暗号化することで、安全な接続が保証されます。さらに、メールについては、当社のサービスはデフォルトでOpportunistic TLS（日和見TLS）を利用しています。TLSは、メールを暗号化して安全に配信し、相手側のサービスがこのプロトコルに対応している場合に、メールサーバー間の盗聴リスクを緩和します。

当社は、当社の暗号化接続でPerfect Forward Secrecy（PFS）をフルサポートしているため、今後、当社がなんらかの危険に晒されるようなことがあったとしても、以前の通信内容が復号化される可能性はありません。当社は、すべてのWeb接続に対してHTTP Strict Transport Security（HSTS）を有効にしています。これにより、当社サイトにおいて安全ではないページへのURLを入力したとしても、最新のブラウザーでは当社への接続はすべて、暗号化された接続に限定されます。さらにWeb上には、当社の認証クッキーはすべて安全であるというフラグがつけられます。

保存時： お客さまの秘密データは保存時に、256ビット高度暗号化標準（AES）で暗号化されます。保存時に暗号化されるデータは、お客さまが選択するサービスに応じて異なります。暗号化のカギは、社内の鍵管理サービス（KMS）を使用して所有および管理します。マスター鍵を用いてデータ暗号化鍵を暗号化することで、追加的なセキュリティレイヤーが提供されています。マスター鍵とデータ暗号化鍵は、物理的に分離されており、アクセスが制限された別々のサーバーに保管されます。

Zohoでの暗号化に関する詳しい情報は、こちらをご確認ください。当社サービスにおいて暗号化されるデータについては、以下の表をご参照ください。

データの保持と廃棄

お客さまがManageEngineクラウドサービスの利用を選択する限り、当社は、お客さまのアカウント内のデータを保持します。Zohoのユーザーアカウントが解約されると、お客さまのデータは、6か月ごとに行われるクリーンアップの際にアクティブなデータベースから削除されます。アクティブなデータベースから削除されたデータは、3か月後にバックアップから削除されます。お客さまのアカウントが支払いのないまま連続120日間無効になっている場合は、お客さまに事前の通知を行い、データをバックアップする選択肢を提供した後に、そのアカウントを終了させます。

検証された認定ベンダーが、使用不能な端末の処分を行います。それまでは、当社は端末を分類し安全な場所に保管します。端末内部に保存されている情報は、廃棄前にフォーマットされます。故障したハードディスクは消磁し、シュレッダーを用いて物理的に破壊します。故障したソリッドステートドライブ（SSD）については、暗号消去（crypto-erase）を行い、細断します。

IDとアクセス管理

シングルサインオン（SSO）

Zohoは、ユーザーが同じサインインページおよび同じ認証情報を用いて複数のサービスにアクセスできるシングルサインオン（SSO）を提供しています。Zohoサービスにサインインするには、必ず当社の統合されたIDおよびアクセス管理（IAM）サービスを経由する必要があります。また、シングルサインオンのためにSAMLにも対応しており、お客さまがZohoサービスにサインインする際に、LDAP、ADFSなど自社のIDプロバイダーを統合し、利用できるようになっています。

SSOはサインインプロセスを簡略化し、コンプライアンスを確保して、効果的なアクセス管理とレポートを提供するほか、複数のパスワードを管理する負担を軽減し、それによって脆弱なパスワードが設定されるのを防止します。

多要素認証

多要素認証とは、ユーザーに対してパスワードの他に更なる認証を要求することで、セキュリティレイヤーを追加するものです。これにより、パスワードが侵害された場合の不正アクセスのリスクを大幅に低減することができます。Zohoサービスでは、Zoho One-Authを使用して、多要素認証を設定することができます。現在、生体認証であるTouch IDやFace ID、プッシュ通知、QRコード、時間ベースのワンタイムパスワード（OTP）など、さまざまな方式に対応しています。

また、多要素認証として、Yubikeyハードウェアセキュリティキーにも対応しています。

管理的アクセス

当社では、技術的なアクセスコントロールと内部ポリシーにより、従業員が恣意的にユーザーデータにアクセスすることを禁じています。データ漏洩リスクを低減するため、当社は「最小権限の原則（PoLP）」と「ロールベースアクセス制御の原則（RBAC）」に従っています。

実稼働環境へのアクセスは、中央ディレクトリーで管理され、強力なパスワード、2段階認証、パスフレーズで保護されたSSH鍵を組み合わせた認証を行っています。さらに、こうしたアクセスは、厳しい規則を定めた別個のネットワークとセキュリティ強化された端末を経由して行われます。また、すべての操作を記録し、定期的に監査しています。

運用セキュリティ

ログとモニタリング

当社は、サービスや当社ネットワークの内部トラフィック、および端末やターミナルの使用により収集された情報をモニタリングし、分析しています。この情報をイベントログ、監査ログ、障害ログ、管理者ログ、オペレーターログの形式で記録しています。これらのログは自動的にモニタリングされ、合理的な範囲で分析されており、当社が異常（従業員アカウントでの通常とは異なるアクティビティやお客さまのデータへのアクセスの試みなど）を認識するのに役立てられています。当社は、アクセス管理を一元的に管理して可用性を確保するため、これらのログを、システム全体へのアクセスから隔離した安全なサーバーに保管しています。

すべてのManageEngineクラウドサービスにおいて、お客さまは、ユーザーが行ったすべての更新と削除操作を記録した詳細な監査ログを使用することができます。

脆弱性の管理

当社には、認証を受けた第三者スキャンツールや社内ツールを組み合わせてセキュリティの脅威を積極的にスキャンし、自動および手動で侵入テストを行う専用の脆弱性管理プロセスを導入しています。さらに、当社セキュリティチームは当社のインフラストラクチャーに影響を与える可能性のあるセキュリティンシデントを発見するため、受信セキュリティレポートの審査や公開メーリングリスト、ブログ投稿、Wikiのモニタリングを積極的に行っています。

修正を必要とする脆弱性を確認した場合、それを記録し、重要度に応じて優先順位を付けて、案件のオーナーに割り当てます。さらに、関連リスクを確認し、脆弱なシステムにパッチを適用するか、適切な管理策を適用することによりその案件がクローズされるまで、その脆弱性を追跡します。

マルウェアと迷惑メール対策

当社では、Zohoのエコシステムを介したマルウェアの拡散を防止するよう設計された自動スキャンシステムを用いて、すべてのユーザーのファイルをスキャンしています。当社がカスタマイズしたアンチマルウェアエンジンが、外部の複数の脅威情報ソースから定期的にアップデートを受け、ブラックリストに挙げられた署名や悪意のあるパターンを検知するため、ファイルをスキャンします。さらに、機械学習技術が組み込まれた当社独自の検出エンジンにより、お客さまのデータをマルウェアから確実に保護します。

Zoho Corporationは、スパムメール防止の手段として送信ドメイン認証技術（DMARC）に対応しています。DMARCは、SPF（Sender Policy Framework）とDKIM（Domain Keys Identified Mail）を使用し、メッセージが真正であることを検証します。また、当社独自の検出エンジンを用いて、フィッシングやスパムメールなどによるManageEngineクラウドサービスの不正使用を特定します。当社はさらに、ソフトウェアからのシグナルをモニタリングし、不正使用に関する苦情に対応するスパムメール対策専任チームを設置しています。詳しくは、こちらを確認してください。

バックアップ

当社では、ManageEngineのデータセンターのためにZoho Admin Console（ZAC）を用いて、データベースの増分バックアップを毎日、フルバックアップを毎週、実施しています。データセンターに保存されるバックアップデータは元データと同じ場所に保存され、保存時にAES-256ビットアルゴリズムを使用して暗号化され、tar.gz形式で保存されます。バックアップデータはすべて、3か月間保持されます。保持期間内にお客さまからデータリカバリーのリクエストがあった場合には、バックアップからデータを復元し、お客さまがそのデータへ安全にアクセスできる環境を提供します。このデータ復元にかかる期間は、データのサイズとその複雑さによって異なります。

バックアップデータの安全性を確保するため、バックアップサーバーではRAID（Redundant Array of Independent Disks）を使用しています。すべてのバックアップは定期的にスケジュールされ、追跡されます。障害が発生した場合には、バックアップが再実行され、直ちに修正されます。フルバックアップの整合性と検証チェックは、ZACツールを用いて自動的に行われます。

お客さまには、各種Zohoサービスからデータをエクスポートすることでデータの定期的なバックアップのスケジュールを決定し、それらのデータをお客さまのローカル環境で保存することを強く推奨します。

災害復旧と事業継続

アプリケーションデータは、回復性の高い（resilient）ストレージに保存され、データセンター間で複製されます。プライマリーデータセンターのデータは、ほぼリアルタイムで、セカンダリーデータセンターに複製されます。プライマリーデータセンターに障害が発生した場合、セカンダリーデータセンターが役割を引き継ぎ、最小のロスタイムで、またはロスタイムなしにスムーズにオペレーションを継続させます。いずれのデータセンターも、複数のISPが装備されています。

当社は、事業継続を保証するための物理的対策として、電源のバックアップ、温度調節システム、火災防止システムを備えています。これらの対策が当社の高回復性の実現に役立っています。データの冗長性に加えて、サポートやインフラの管理など当社の主要なオペレーションのための事業継続計画を定めています。

インシデント管理

レポート

当社は、インシデント管理専任チームを設置しています。当社の環境においてインシデントが発生した場合には、該当するお客さまに通知します。その際に、必要に応じて適切な措置をお知らせします。当社は、適切な是正措置を取り、そのインシデントを追跡し、対処します。当社は、該当する場合、いつでも、お客さまに関係するインシデントを特定し、これに関して必要なエビデンスを、アプリケーションログと監査ログの形式で収集、取得し、お客さまに提供します。さらに、同様のインシデントの再発を防止するため、管理策を導入します。

当社は、お客さまから incidents@zohocorp.com（英語対応）を通じて報告されたセキュリティまたはプライバシーに関するインシデントに最優先で対応します。一般的なインシデントについては、当社のブログ、フォーラム、ソーシャルメディアを通じてユーザーに通知します。ある個人ユーザーまたは組織に固有のインシデントの場合には、（当社に登録済みの組織管理者の主メールアドレス宛の）電子メールにより、担当者に通知します。

侵害通知

当社はデータ管理者として、一般データ保護規則（GDPR）に従い、侵害に気づいた後72時間以内に、関連するデータ保護機関に通知します。特定の要件に応じて、必要な場合はお客さまにも通知します。当社はデータ処理者として、不当に遅延することなく関連するデータ管理者に通知します。

責任ある情報開示

「バグ・バウンティ（Bug Bounty）」という脆弱性報告プログラムは、セキュリティ研究者のコミュニティと連携することを目的とした制度であり、セキュリティ研究者からの報告に対し、報奨金が支払われます。当社はこのコミュニティと協力し、報告された脆弱性に対する適切なソリューションの検証、再現、対応、実装に取り組んでいます。

なんらかの問題を知り得た場合は、https://bugbounty.zohocorp.comにて報告してください。当社に脆弱性を直接報告される場合は、 security@manageengine.comに電子メールをご送付ください（英語対応）。

ベンダーおよび第三者サプライヤーの管理

当社は、当社のベンダー管理ポリシーに基づき、当社のベンダーを評価し、認定しています。当社は、新規ベンダーが当社にサービスを提供するプロセスを理解し、リスク評価を実施した後に、そのベンダーを採用します。当社は、当社がお客さまに対して約束している機密性、可用性、完全性を徹底することを義務付ける契約をベンダーと締結することにより、セキュリティに関する当社のスタンスを確実に維持するための適切な措置を講じています。当社は、ベンダーの管理策を定期的に審査することにより、その組織のプロセスとセキュリティ対策の効果的な運用をモニタリングしています。

お客さまによるセキュリティ管理

これまで、さまざまな分野において当社が実施しているセキュリティ対策について解説してきました。ここでは、お客さま自身がセキュリティを確保するために実施できる対策について解説します。

• 一意の強力なパスワードを設定し、保護する。
• 多要素認証を利用する。
• ブラウザーやモバイルOSの最新のバージョン、およびアップデートされたモバイルアプリケーションを使用して、脆弱性に対するパッチが適用されるようにし、最新のセキュリティ機能を使用する。
• 当社のクラウド環境からデータを共有する場合に、合理的な予防策を講じる。
• 自身の情報を個人情報または秘密情報に分類し、それに応じたラベルを付ける。
• 自身のアカウントにリンクされた端末、アクティブなWebセッション、第三者のアクセスをモニタリングし、自身のアカウント上でのアクティビティにおける異常を検出し、自身のアカウントに付与される役割と特権を管理する。
• Zohoまたはお客さまご自身が信頼するその他のサービスになりすましてお客さまの秘密情報を不正利用する可能性のある見慣れない電子メール、ウェブサイト、リンクに注意し、フィッシングやマルウェアの脅威を把握しておく。

Zohoと協力して安全なクラウド環境を実現する方法の詳細については、こちらの情報をご覧ください。当社は、責任共有モデルについて、またクラウドのセキュリティおよびプライバシーの確立に向けてお客さまとZohoの双方がどのように協力し、個別に責任を負うかについて、徹底した分析を行い、提示します。

おわりに

お客さまのデータのセキュリティを確保することは、お客さまの権利であり、Zohoの終わることのないミッションです。当社は、お客さまのデータの安全確保に向けて、これまでと同様、今後も努力し続けます。ここに記載された事項に関するご質問は、よくあるご質問をご確認いただくか、 security@manageengine.comまでお気軽にお問い合わせください（英語対応）。