Whitepaper知ってますか?こんにちは、ネットワークエンジニアのまさです。やることになりました。アドベントカレンダーとは、ちょっと小洒落た雑貨屋だの、イオンモールとかでコーヒー豆と一緒に意識の高い食材を売るようなお店に売ってる壁掛け型のチョコレートカレンダーであります。ちびっこ達がクリスマスまで1日1日とカレンダーをめくってチョコレートをほじくり返して食すと。このアドベントカレンダーを模して、弊社スタッフの他、いつもTwilioを盛り上げてくれる同志のみなさんがTwilioについて日替わりで記事を書きます。何を書こうか迷ったんですが、アプリケーションな人が多いので私は違うことを書きます。あるお問い合わせから1つ。「外部サービス利用で、どうしてもこのセキュリティーシートを埋めなくちゃいけないんです。「弊社のセキュリティ審査に通すための資料として、何かTwilioが安全だと公的に示せる情報頂けませんか?」Twilioをご利用頂く際、企業の担当者様が避けて通れないこの「シート埋め」。Twilioのサイトを探そうにも英語ということもあり、なかなか目的の情報にたどり着けない。このご要望にお答えします。自力で見つけた方は凄い。詳細を紹介するページにリンクがあります。要点を日本語でお送りします。今までありそうで無かったもの。やっかいなセキュリティーシートを埋めるIT管理なみなさんのお役に立てれば幸いです。準拠しており、以下のようなプログラムを組み運営しています。・インシデントレポートセキュリティは企業にとって最も重要な指標で、Twilio社内の情報セキュリティチーフや経営層と定期的に議論を行い、全社に渡るセキュリティに関する啓蒙活動へと繋げています。こちらの情報セキュリティポリシーや標準は経営層に承認され、全てのTwilio社員に適用されます。人に関するセキュリティTwilioでは雇用の際、人材の背景調査を実施します。米国で雇用する場合、全ての候補者の経歴や背景が第三者機関により調査されます。国外雇用の際、候補者が属する国の法律が許す範囲で、国際犯罪歴や学歴詐称の有無がチェックされます。プログラムを受講します。受講し、情報セキュリティや事例、プライバシーについて学習します。従業員ホットラインTwilioでは社員向けの匿名ホットラインを設けており、人道に反する活動等を報告できる体制を整えています。よって、多岐に渡るチームによる様々な製品の開発プロセスを標準化しています。ステップに適用されます。全てのTwilioエンジニアは以下を遵守し、製品の安全性を担保します。セキュリティテスト・脅威モデルの管理Twilioでは全ての製品に対し、更新に関するトラッキングと承認が義務付けられ、管理されています。製品がステージング環境に展開される前にレビューが行われ、ステージングに移ったあともサービス公開までの最終テストが行われます。サービス公開後も、第三者による定期的なペネトレーションテストを受け、発見された脆弱性についてはセキュリティコミュニティーへ情報公開されます。暗号化に対応しています。アカウントに対するセキュリティみなさんのログイン情報は最も実用的な手法で繰り返しハッシュ化して保存しています。加えることが可能です。設け、これに準拠しています。セキュリティポリシーフレームワークはオープンソースとして公開しています。以下4つの原則に基づいています。全てのクラウド資産は必ず所有者・セキュリティ区分付け・目的が定義されなければならない。インフラマネージメントインフラ・ネットワーク・データへ直アクセスする手法を極小化する。商用環境の製品への操作は、可能であればコントロールパネル等を用意し、データやネットワークに直接触れる手法を減らす。顧客データと、顧客がアプリケーションを通じて接する箇所は、論理的に分離したバーチャルプライベートクラウド(VPC)構成とし、商用環境とステージング環境も分離する。商用環境のホストが属するネットワークへのアクセスはファイヤーウォールで制御され、サービスで許可されている通信に限ること。標準ネットワークモニタリング商用環境におけるハイリスクなアクションや変更はログを記録し、これを自動的に監視することで、技術的基準からの逸脱や構成変更を数分以内に検知すること。思想のもと、継続的な脆弱性管理とワークアラウンドを実施しています。モニタリングの実施と検知、脆弱性や危険に対する予測やプロアクティブな活動等を、脆弱性管理プログラムとして定めています。具体的には以下の要素で構成されています。脆弱性や危険に対して検知が可能でプロアクティブな手法が取れる開発アプローチを実施しているため、継続的なモニタリングの実践につながっています。顕在化した脆弱性やインシデントに対して、適切な軽減処置が取れる体制を整えています。準拠するインシデント管理体制を取っています。ここではインシデントが各条件下でどのようにクラス分けされ、どのように対処するべきかが定められています。Twilioのセキュリティインシデントチームは、関連する全ての脆弱性やインシデントの脅威を評価し、これらに対する修復・軽減アクションを確立します。