バックボーンアクセス、顧客プロビジョニング、およびインシデント管理などの面で、当社が要求するレベルを確実に実現しています。当社が複数のデータセンターとアベイラビリティゾーンを活用して高可用性を実現している方法の詳細については、顧客データ管理のページ、およびクラウドホスティングインフラストラクチャのページをご覧ください。バックアップ包括的なバックアッププログラムアプリケーションデータは、データセンター間でレプリケートされる回復力の高いストレージに保存されます。機能の一部として包括的なバックアッププログラムを実行しています。プラットフォームでのみ提供されます。向けアプリケーションデータベースのバックアップは以下の頻度で実行されます。スナップショットおよびバックアップデータはすべて暗号化されます。リージョン内の複数のデータセンターにレプリケートされます。バックアップのテストは四半期ごとに実行されます。詳細はインフラストラクチャのページを参照してください。堅牢なバックアッププログラムの実装方法の詳細は、顧客データ管理のページを参照してください。計画を保持しています。当社のディザスタリカバリプログラムには、ガバナンス、監視、およびテストを適切なレベルで実現するための少数の主要プラクティスが含まれます。プログラムを実行するうえで鍵となるのは、リーダーシップの関与です。リーダーシップが関与することで、経営・技術の両チームの責任者が協力してレジリエンス戦略に取り組むことができます。プログラムの監視および管理時には、ガバナンス、リスク、およびコンプライアンスについて規律的なアプローチを執ります。修復する際に、さらに効果的および効率的な運用を行うことができます。サイト信頼性エンジニアは進行中のディザスタリカバリの打ち合わせに参加し、重要なサービスを実行します。ギャップについてリスクおよびコンプライアンスチームと議論を行い、必要に応じて適切な修復レベルに専念します。ライフサイクルの一環として、および、お客様がデータを利用して高い可用性とパフォーマンスを実現できるように、定期的なテストを実行し、継続的な改善に努めています。複数のアベイラビリティゾーンにわたって複数のレベルで回復性のテストを行っています。リージョン間のデータセンターにわたってデータのバックアップを作成しています。つのリージョンに障害が発生した場合、事態の悪化に備えてお客様のデータをセカンダリリージョンで保持します。リージョンの障害に備えたテストを行っています。リージョン全体に影響する障害はめったに発生するものではありませんが、サービスのフェイルオーバーやリージョンでの回復性の持続的な改善のために、テストを継続して行っています。バックアップおよび復元の手順を常に用意し、手順を定期的に確認しています。これにより、データの復元が必要な場合に、経験を積んだサポートスタッフが検証済みの手順を実行して素早く操作を完了することができます。プログラム全体の継続的な改善を重視しています。当社のディザスタリカバリテストおよび事業継続プログラムの詳細は、顧客データ管理のページを参照してください。当社では、お客様が必要なデータに必要なときにアクセスできるよう、サービス可用性の状態をリアルタイムで公開しています。つに、市場への提供速度を維持しながらセキュアな製品を提供することが挙げられます。当社のゴールは、スピードとセキュリティの最適なバランスを実現することです。当社は業務のほとんどに自社製品を利用しています。製品とお客様のデータを安全に保管するために、幅広いセキュリティ制御を実装しています。実装では、ブラウザのサポート範囲内で、強力な暗号と鍵長の利用を強制しています。使用して保存時に暗号化します。リポジトリへの保存時の暗号化は現時点では提供されていません。顧客データをディスクに保存する場合に実行します。保存時にデータを暗号化すると、不正なアクセスから保護でき、暗号化キーに対して監査付きアクセスが可能な一定の権限を持つロールおよびサービスからのみデータにアクセスできるようになります。既存の内部検証プロセスの一部として、定期的に検査および検証されます。各キーには所有者が割り当てられ、必要なレベルのセキュリティ制御をキーに確実に適用する責任を持ちます。インフラストラクチャを共有している場合でも、あるテナントのアクションが別のテナントのデータまたはサービスを損なうことのないようにテナントを論理的に独立させることができます。アトラシアンでは、テナントの分離についてのアプローチがアプリケーションによって異なるため、それぞれの違いについては別途ご案内します。場合、アトラシアンではテナントコンテキストというコンセプトを使用しています。処理されたリクエストは、他のテナントに影響しないよう「テナント固有」として表示されます。独立していますが、これらの運用には不可欠です。各顧客のテナントの「コンテキスト」を保管することによって機能します。暗号化された一意の認証情報が含まれます。使用してそのメタデータを照合します。その後、メタデータはテナントがセッション中にアプリケーション内で実行するあらゆる操作にリンクされます。よって提供されたコンテキストが、効果的な「レンズ」の役目を果たし、顧客データを使用したあらゆるやり取りはこのレンズを通じて発生することになります。つの特定のテナントに固有のものとして限定されることです。これにより、ある顧客のテナントが別のテナントのデータにアクセスすることができなくなり、またあるテナントがそのアクションによって別のテナントのサービスに影響を与えることがなくなります。アトラシアンのクラウドアーキテクチャの詳細についてご確認ください。当社の製品に対する脆弱性管理のアプローチは、内部および外部のセキュリティテストを含みます。既知の問題は、公開のバグトラッカーで参照できます。内部テストこのアプローチは、計画、開発、およびテストフェーズに適用されます。各テストは直前のフェーズでの作業に基づいて進められ、段階的に厳しくなります。当社では、開発とテスト段階の両方で、静的および動的なコード分析アプローチを確立しています。開発フェーズでは、コードスキャンを組み込むことで、機能面でのセキュリティ課題、そして機能面以外の特定可能なセキュリティ課題を取り除いています。テストフェーズでは、開発とセキュリティエンジニアリングチームの両方が敵対的アプローチをとり、自動および手動のテスト技術を使用して機能を壊せるかどうかを試みます。当社のセキュリティエンジニアリングチームは、さまざまなセキュリティテストツールを開発して、共通タスクを自動化し、製品チームには専用のツールを提供しています。このようなツールはセキュリティチームにとっては有益であり、開発チームでもこのツールを使用してセキュリティスキャンを自身で行い、出力結果について対策を取ることができます。当社のセキュリティエンジニアリングチームはその分野のエキスパートですが、究極的には、社内の開発者の一人ひとりが自身のコードに責任を持つべきであると考えています。外部テストリリースが本番環境に適用されると、外部テストが行われます。コンセプトを基盤としています。単発のペネトレーションテストのみに依存するのではなく、公開のクラウドソースに対するバグ報奨金モデルを使用して、常時使用かつ常時テスト形式のモデルを実践しています。ユーザーが製品を日常業務で使用していて脆弱性を発見した場合は、弊社にお知らせください。(詳細については脆弱性情報レポートを参照)。調査中は問題の起票者と進捗を共有し、いただいたお問い合わせにご対応いたします。リスクの高い製品やインフラストラクチャに対しては、専門のセキュリティコンサルタントがペネトレーションテストを行います。当社のペネトレーションテストに対するアプローチは、非常に焦点を絞ったものとなります。一般に、テストは次のように行われます。テストをサポートするため、テスターには製品エンジニアから設計ドキュメントや概要書が提供されます。テスト中の予期せぬシステム動作を診断し、潜在的なターゲットを特定するため、テスターには関連するコードベースへのフルアクセス権限が与えられます。(セキュリティ侵害が発生したインスタンスが存在すると想定し、それを開始点としてラテラルムーブメントのテストを実施するなど)。このような評価を行うにあたって、テスターには幅広い情報が提供されているため、これらのレポートや抜粋は外部には公開されません。このようなシステムや製品の大部分は、当社のバグ報奨金プログラムに含まれ、お客様が求める外部による継続的な追加保証を提供します。当社の製品のセキュリティテストの検証方法についての詳細は、社外セキュリティテストに対するアプローチのページをご覧ください。方式を採用しています。作業を実際に行うメンバーからファシリテーターに変更し、チーム全体で品質について取り組む意識を共有するようにしています。開発者が自身の開発した機能を当社の品質標準に従ってテストする取り組みを進めています。当社では、製品の脆弱性を減らすことに一貫して取り組んでいますが、開発を行うにあたり、すべての不具合を未然に検出することは不可能であることも承知しています。当社ではバグ報奨金パートナーシップを通じて、時間をかけて脆弱性を発見あるいは悪用する経済的負担を高めることで、悪意の第三者にとってより多くの時間とリソースが必要となり、旨味がなくなることを目的としています。当社の製品の脆弱性管理方法についての詳細は、社外セキュリティテストに対するアプローチのページを参照してください。ついての一連のブログ投稿をご確認ください。運用プラクティス当社では製品のセキュリティと同様に、日次業務を内部で慎重に行うことの重要性を理解しています。コンセプトは当社の内部プロセスに適用している理念と同じであり、当社のビジネスの遂行方法にも影響します。プラットフォームではすべての顧客データを平等に機密情報として扱い、これを統括する厳重な制限を適用しています。内部の従業員や契約社員に対し、採用研修時に啓蒙トレーニングを実施して、顧客データの重要性とそれらを扱ううえでのベストプラクティスを教育しています。アトラシアンでは、許可されたアトラシアン社員のみが、アプリケーションに保管されている顧客データへのアクセス権を持ちます。接続のみが許可されます。顧客データへの許可されていないアクセスや不適切なアクセスをセキュリティインシデントとして扱い、当社のインシデント管理プロセスによって管理します。このプロセスには、ポリシー侵害が確認された場合の、影響を受けるお客様への通知も含まれます。⏎お客様のデータが保管されている当社のデータセンターへの物理的なアクセスは許可された人員にのみ許可され、アクセスは生体認証を使用して検証されます。データセンターの物理的なセキュリティ対策には、常駐の警備員、有線でのビデオ監視、侵入者用の捕獲装置、その他の侵入保護措置が含まれます。顧客データやメタデータへのアクセス権の統括に関するより広範なポリシーが、当社のプライバシーポリシーに含まれます。サポートによるアクセス当社のサポートチームは、オープンなチケットを解決するために必要な場合にのみお客様のデータにアクセス当社のグローバルサポートチームは、当社のクラウドベースのシステムや、保守およびサポートプロセスに利用するアプリケーションへのアクセス権を持ちます。ホストされているアプリケーションやデータへのアクセスは、アプリケーションの健全性の監視、システムまたはアプリケーションの保守、または当社のサポートシステム経由でのお客様からの依頼のみを目的として行います。当社のセキュリティトレーニングや啓蒙プログラムは、コンプライアンスの確認事項をチェックするだけのものではなく、企業全体での知識の底上げを図るもの当社は、すべてのメンバーがセキュリティに対して責任を持つことを前提に啓蒙プログラムを作成しています。このような責任範囲は当社の内部セキュリティポリシープログラムに記載があり、このトレーニングおよび啓蒙プログラムを使用して従業員に責任範囲の周知を行います。採用候補者や契約社員は当社での業務を開始する前に機密保持契約を結び、その後の採用研修でセキュリティの啓蒙コースを受講します。実現のため、セキュリティの関連メッセージを全社員向けのメールやブログ投稿で配信しています。これらのメッセージには通常、リアルタイムで関連する事象が記載されます。新しく発見または公開された脅威や、セキュリティプラクティスに従うことの重要性の周知などが例として挙げられます。プログラムを内部で立ち上げています。このプログラムのねらいは、アトラシアンのすべてのチームがセキュリティを常に意識することです。多くの従業員がセキュリティ知識を習得できるよう、所属チームが運用であるか開発であるかにかかわらず、組織を横断したセキュリティの基本知識のトレーニングを行っています。これにより、セキュリティに対する情熱や能力を持った専門家が業務の合間にフィードバックを行い、社内で支援を行うことができます。従来の変更管理プロセスは、ピラミッド形式の変更管理階層で実装されていました。変更を行う場合、それを承認または却下するための会議で提案を行う必要がありました。方式を導入しています。よるレビューが必要です。変更または製品の重要性に基づいてレビューの必要数を増やします。当社では開発チームおよびエンジニアに信頼を置き、それらのメンバーがセキュリティやパフォーマンスの問題を検出して実装前に修正することを想定しています。セキュリティテストで問題を発生させないかどうかを確認しています。緑色のアイコンが表示され、ビルドプロセスが正常に完了します。赤色のアイコンが表示され、問題の原因となっている変更を特定するためにマージの再検証が行われます。方式により、週に千件単位で実装される変更の中から問題の原因となるものを特定できます。最良の人材の雇用に努めるあらゆる企業と同様に、当社では最良の人材を採用できるように努めています。毎週の全社ミーティングですべての新入社員を紹介し、当社の理念に則って最高の仕事をして、一人ひとりがアトラシアンを良い方向に変えられるよう、意欲をかきたてます。アトラシアンが素晴らしい会社になるには、あらゆる従業員が豊かな能力を日々活かしてくれることが重要であると考えています。採用の過程では、雇用、ビザ、背景、および財務資格の調査を行います。日間の基礎研修と職種に基づいた研修を行います。セキュリティプロセス当社では、エラーを完全に防ぐことは不可能であることを理解しています。影響を最小化するため、セキュリティの問題を事前に検出して可能な限り早急に問題を特定できるようにします。セキュリティインシデント管理インシデントを完全に防ぐことは難しいですが、素早く効果的な対応を行い影響を最小限に抑えます。プラットフォームを使用して不審なアクティビティを監視および検出します。このようなアラートのトリアージ、詳細な調査、および適切なエスカレーションについて、当社の内部プロセスで規定しています。お客様やその他のコミュニティでセキュリティインシデントと疑われる事象を確認した場合は、アトラシアンサポートにご報告ください。重大なセキュリティインシデントが発生した場合、内外の専門チームを招集して調査を行い、事態の解決まで対応します。フレームワークを使用しています。環境に存在する可能性がある脆弱性を確実かつ主体的に検出するため、さまざまな脆弱性管理プログラムを導入しています。前述の製品固有の脆弱性管理とは別に、セキュリティチームは業界をリードする脆弱性検出ツールを使用して、当社の内部および外部のインフラストラクチャに対するネットワーク脆弱性スキャンを継続的に行っています。当社ではリスクの高い製品やインフラストラクチャについて、セキュリティコンサルティングの専門団体にペネトレーションテストを依頼しています。報告されたあらゆる脆弱性について、内部プロセスを通じてレビューおよび対応を行います。事前に定義されています。詳細についてはセキュリティバグ修正ポリシーをご参照ください。当社のセキュリティテストについては、社外セキュリティテストに対する当社のアプローチをご覧ください。当社の脆弱性管理プログラムについては、アトラシアンの脆弱性管理をご覧ください。バグ報奨金バグ報奨金プログラムを通してシステムを常にテスト当社のセキュリティバグ管理へのアプローチの中心的な取り組みとして、バグ報奨金プログラムを通じて製品のセキュリティ面での脆弱性を常にテストしています。リリースが頻繁に行われる真にアジャイルな開発環境では、テストの継続的な実施は必須事項です。当社のバグ報奨金プログラムには、独立したセキュリティ調査者が多数参加しており、もっとも効果的な方法で外部セキュリティテストプロセスを実行し、この目的の達成に貢献します。製品など多岐にわたります。人以上のテスターがこのプログラムに登録しています。詳細については、バグ報奨金プログラムをご覧ください。当社のセキュリティテストについては、社外セキュリティテストに対する当社のアプローチをご覧ください。タイムラインに従ってクローズされます。月)コンプライアンス当社では、著名なさまざまな業界標準に準拠してセキュリティプログラムを実行しています。各認定を通じて、お客様の求める要件を満たしていることを保証しています。当社のセキュリティ管理プログラムの詳細についてご確認ください。標準の認定を受けています。セキュリティチームによるセキュリティエンジニアリング、セキュリティインテリジェンス、およびセキュリティプロジェクトの機能が認定の対象です。現在、この認定の範囲を組織全体に拡大しています。詳細に規定されている包括的なセキュリティ管理策も活用しています。含む、厳格なセキュリティ管理プログラムの開発と実装です。この国際的なセキュリティ標準は幅広く認知および尊重されており、認定を獲得した企業が次を実行していることを認めています。要件を実現するように取り組んでいます。クラウドでの個人データの保護に焦点を当てた実践規範です。コントロール向けの補足的な実施要項です。対する保護要件に対応するための、補足的なコントロールおよび関連のガイダンスも含まれています。ここで指すアトラシアン製品は、お客様のクレジットカードデータの処理や保管を行いません。アトラシアンの製品やサービスの代金をクレジットカードでお支払いになる場合は、決済処理のセキュリティを適切に保護しているので、安心してご利用いただけます。準拠を評価しています。ウェブサイトからダウンロードしていただけます。無料で一般公開されているレジストリであり、さまざまなクラウドコンピューティングサービスのセキュリティ管理について説明されています。お客様は、このレジストリを参照することで、現在契約している、または新規契約を検討しているクラウドプロバイダーのセキュリティを評価できます。すべて回答しています。以上の質問に対する回答を記載しています。レポートには、コンプライアンスに関する主要な統制と目標をアトラシアンがどのように達成しているのかが明示されています。したレポートの目的は、アトラシアンでの業務運営とコンプライアンスを支援するために確立された統制について、お客様およびお客様の監査役の理解を促すことです。認定を取得しています。このような監査および認定プログラムの結果と、脆弱性管理などの内部プロセスで得られたすべての情報を、継続的な改善サイクルに取り入れ、セキュリティプログラム全体の改善に活かしています。コンプライアンスアトラシアンは、お客様の成功とデータの保護を何よりも重視しています。理解し、必要な場合は順守する支援をしています。年間で最大の変化をもたらしました。要件が当社のお客様に課されることを十分に理解しています。各拠点地域の法律の要件を満たすことができるように支援いたします。イニシアチブをいくつか以下に示します。(セキュリティと認定のセクションを参照)。認定を維持し、最新のデータ処理補遺を通じて標準契約条項を履行することにより、適切な国際データ転送メカニズムを支援。データポータビリティとデータ管理ツールを提供。アカウントからの削除依頼に、お客様が対応できるようにします。エンドユーザーが自身の個人情報を削除できるようにします。お客様はアトラシアンのツールを使用して、顧客データにアクセスし、インポート、エクスポートすることができます。お客様の個人データにアクセスし処理を行うアトラシアンのスタッフは、データの取り扱いに関するトレーニングを受けており、データの機密性とセキュリティを必ず確保することを保証。個人データを扱うすべてのベンダーに対し、当社自身が従っているデータ管理、セキュリティ、およびプライバシーのプラクティスと標準に従うよう求める。規制当局との合議に真摯に取り組む。コンプライアンスのページをご覧ください。当社ではプライバシーについてのお客様の懸念を理解しています。ベースのアプリケーションを使用する際の懸念と同等またはそれ以上のものであると考えています。したがって、個人を特定可能な情報やその他の機密データは、当社がサービスプロバイダーに期待するのと同等のレベルで扱うように努めています。プライバシーに対する当社のアプローチの詳細については、当社のプライバシーポリシーをご覧ください。度透明性レポートを公開しています。共同責任クラウドにおいて、システム内に保存されるユーザーデータのセキュリティは共同責任で管理されるものとなります。it)』にて、広範囲にわたって解説しています。アトラシアンは、アプリケーション自体、アプリケーションが実行されるシステム、およびそれらがホストされる環境のセキュリティに責任を持ちます。含む必要な標準にこれらのシステムおよび環境が準拠していることを保証します。お客様は、アカウント内の情報の管理、アカウントおよび関連する認証情報にアクセス可能なユーザーの管理、および自身でインストールおよび信頼するアプリの制御に関する責任を持ちます。当社のシステムを使用する際に必要なコンプライアンスの要件を満たしているかどうかは、お客様側で確認していただく事になります。お客様には次のような点を考慮していただくことをおすすめしております。製品のセキュリティは、その製品のセットアップ時の決定に大きく影響されます。次のような決定事項が重要となります。ドメイン検証および一元管理。以上のドメインを検証することで、自身の組織がそのドメインを保有していることを証明できます。含む認証ポリシーを適用することができます。アカウントを持つ既存のすべてのユーザーは、自身のアカウントが管理対象アカウントに移行する事を通知するメールを受信します。アカウントを新しく登録するユーザーには、それが管理対象アカウントになる事を示すメッセージが表示されます。リポジトリの公開/非公開。チームおよびボードの公開/非公開。アカウントが管理対象である場合は制限があります)。検索エンジンでの検索結果に表示されることがあります。ボードの表示設定については、こちらをご覧ください。チームを公開して、インターネット上のあらゆるユーザーがチームのプロファイルを閲覧できるようにすることもできます。チームの表示設定については、こちらをご覧ください。当社ではコラボレーションを実現できるように製品を設計しています。コラボレーションでは、アクセスの許可が必要です。ほかのユーザーやアプリに自身のデータへのアクセス権限を付与する際には、注意が必要です。権限を付与した場合、対象はその権限に含まれるすべての操作を実行できます。権限に含まれる一部の操作の実行のみを制限することはできません。ソリューションでは、お客様のデータへの適切なユーザーアクセスの責任はお客様自身が持ちます。このため、システムに保存するデータの区分を理解し、データについて許可されたユーザーのみがシステムへのアクセス権を持つようにすることが重要になります。ロールベースの認証が利用できる場合はそれを利用することで、データ分類への準拠や要件の実現に必要なアクセス制限を簡単に実装できます。パスワードの運用についてのプラクティスをユーザーと共有することで、パスワード推測や漏えいした認証情報を使用した第三者による不正アクセスなどの脅威を軽減できます。お客様は、自身が選択してインストールするアプリを完全に管理できます。アプリに付与する権限を確認できます。管理者はこの権限に十分な注意を払う必要があります。権限を付与した後に、アプリによる顧客データの使用方法を確認することは困難です。アプリのインストール前に、アプリの開発者、およびアプリが要求する権限の適合性と正当性を、お客様が確認します。エコシステムの健全性確保のため、アドオンのインストール後はアプリのアクティビティを監視し、不審なアクティビティを見つけた場合は報告することをご検討ください。詳細情報このページではさまざまなドキュメントやリソースを案内してきました。セキュリティと信頼に対する当社のアプローチについての詳細は、下記を参照してください。