LLC(以降、当社と呼ぶ)の運営する、[esa.io](https://esa.io)が取り扱う情報セキュリティに関してのポリシーである。趣旨・目的[esa.io](https://esa.io)の利用者が、安心してサービスを利用できるようにするため、当社の情報セキュリティに対するポリシーを示し、社員全員がこれを尊守する。[team.esa.io](https://team.esa.io/)に記載される社員全員とする。適用される情報資産は、後述の**当社の取り扱う情報資産について**へ記載する。位置付け本セキュリティポリシーは当社の他の規定よりも優先される。本セキュリティポリシーを定め、運用と監視を行う。本セキュリティポリシーに則り情報資産を取り扱う。責任者と経営メンバーにおいて以下の項目のレビューを行い、必要があれば改定を行う。reminderを用いて、見直し実施をお知らせし、見直しを行う。セキュリティポリシーの改訂の承認esaの該当記事に変更箇所のdiffを貼り、それに対して社員全員が「LGTM」とコメントすることで承認したものとする。情報資産取扱の責任者セキュリティーポリシーの制定と改定、組織内の尊守に責任を持つ。運営サポート業務を行うもの情報資産を取扱い、運営サポートを行うものを以下に定める。各チームの`/team`からアクセス出来る**チーム情報**と、**ユーザー情報**、**投稿情報**の3つに情報資産を分類する。投稿情報チーム情報、ユーザー情報については、運営サポート業務に限り、**運営サポート業務を行うもの**へ**管理者用ページの**アクセス許可を与える。投稿情報に関しては、後述するDB管理者以外に一切のアクセス権限は与えない。DB管理者においても特別の事情がない限り一切の投稿情報へのアクセスは行わないものとする。管理者用ページ運営サポート業務を行うものが、その業務範囲内において、以下の情報を閲覧できるページを指す。管理者用ページは正しいアクセス権限持ったユーザーのみがアクセス出来ることを自動テストにて担保する。クレジットカードの情報についてPAY.JPと紐付けるtoken情報のみ保持する。PAY.JPへのアクセスキーなどは、暗号化して保存している。暗号化とは、環境変数の暗号化を指す。情報資産の取扱範囲について、全社員にそれぞれの役割におけるアクセス権限の範囲と責任について合意書を締結するものとする。社員の教育・訓練セキュリティポリシーに関する意識向上のための適切な教育・訓練として、以下の教育動画を定期的(約半年に一度を目安とする)に閲覧することを義務付ける。違反のレベルに応じて、適切に対処する。会社/情報セキュリティ規定/入社時・退職時のマニュアル(社内文書)に記載する。業務において発見あるいは疑いをもった情報システムの脆弱性や情報セキュリティインシデント(サービス停止、情報の漏えい・改ざん・破壊・紛失、ウイルス感染等)について、従業員はすみやかに当社のslackにて報告を行う。後日、[docs.esa.io](https://docs.esa.io)にまとめる。ついても社員と同等のセキュリティポリシーの尊守を契約書に盛り込み、義務付ける。監査ログサービスの提供および継続上重要な記録として以下の監査ログを取得している。本ポリシーで定める情報へは運営サポート業務を行う者が業務で利用する各自のマシンからのみアクセス出来るものとする。利用するマシンにはPCのロック設定・暗号化を行う。データベースAWSのRDSを利用する。運用に必要なデータベースの設定・管理などの作業を行う権限を持つ者を指す。インフラ主な情報は、[サービス運用ポリシー内のインフラ情報](https://docs.esa.io/posts/261#9-0-0)を参照のこと。運用に必要なインフラの設定・管理などの作業を行う権限を持つ者を指す。インフラに関するアカウントAWSのIAMを用いて、インフラ管理者が行う。ミドルウェアのバージョン秘匿Webサーバ、OSデフォルトの名称やバージョン情報をエラー情報などに表示しない。SSL通信の強制HTTPへのアクセスはHTTPSへリダイレクトしている。ユーザーパスワードの取扱Googleアカウントでのログインのみ許可している。https://support.google.com/a/answer/33386?hl=jaに準拠。脆弱性対策サービスの提供に用いるアプリケーション等の新規開発時や改修時において、定期的な実施時と同等またはそれ以上の水準で脆弱性診断を行い、その結果に基づいて対策を行っている。applicationsを用いてソースコードの静的解析により対策を施している。ソースコードレビューアプリケーションのソースコードレビューは、開発者とは別の第3者により実施され、セキュリティの観点を含んで確認を行う。Request](https://help.github.com/articles/about-pull-requests/)を用いて行う。エラー内容の考慮エラー発生時の表示メッセージに、問い合わせなどに必要な情報のみを記載し、内部構造が推測できるような不必要な情報を表示しない。その際のサーバー内のログ出力において、開発・監視に直接関わることの少ない、ユーザーのプライバシーに関わるような情報を出さない。各チームのownerへメールにて報告する。必要な場合は全サービスをメンテナンスモードへ移行後、直ちに各チームのownerへメールにて報告する。LLC(以降、当社と呼ぶ)の運営する、esa.ioが取り扱う情報セキュリティに関してのポリシーである。esa.ioの利用者が、安心してサービスを利用できるようにするため、当社の情報セキュリティに対するポリシーを示し、社員全員がこれを尊守する。team.esa.ioに記載される社員全員とする。される情報資産は、後述の当社の取り扱う情報資産についてへ記載する。位置付け位置付け本セキュリティポリシーは当社の他の規定よりも優先される。本セキュリティポリシーを定め、運用と監視を行う。本セキュリティポリシーに則り情報資産を取り扱う。責任者と経営メンバーにおいて以下の項目のレビューを行い、必要があれば改定を行う。reminderを用いて、見直し実施をお知らせし、見直しを行う。セキュリティポリシーの改訂の承認セキュリティポリシーの改訂の承認esaの該当記事に変更箇所のdiffを貼り、それに対して社員全員が「LGTM」とコメントすることで承認したものとする。責任者セキュリティーポリシーの制定と改定、組織内の尊守に責任を持つ。運営サポート業務を行うもの運営サポート業務を行うもの情報資産を取扱い、運営サポートを行うものを以下に定める。各チームの/teamからアクセス出来るチーム情報と、ユーザー情報、投稿情報の3つに情報資産を分類する。投稿情報チーム情報、ユーザー情報については、運営サポート業務に限り、運営サポート業務を行うものへ管理者用ページのアクセス許可を与える。投稿情報に関しては、後述するDB管理者以外に一切のアクセス権限は与えない。DB管理者においても特別の事情がない限り一切の投稿情報へのアクセスは行わないものとする。管理者用ページ運営サポート業務を行うものが、その業務範囲内において、以下の情報を閲覧できるページを指す。管理者用ページは正しいアクセス権限持ったユーザーのみがアクセス出来ることを自動テストにて担保する。クレジットカードの情報についてクレジットカードの情報についてPAY.JPと紐付けるtoken情報のみ保持する。PAY.JPへのアクセスキーなどは、暗号化して保存している。暗号化とは、環境変数の暗号化を指す。情報資産の取扱範囲について、全社員にそれぞれの役割におけるアクセス権限の範囲と責任について合意書を締結するものとする。社員の教育・訓練社員の教育・訓練セキュリティポリシーに関する意識向上のための適切な教育・訓練として、以下の教育動画を定期的(約半年に一度を目安とする)に閲覧することを義務付ける。違反のレベルに応じて、適切に対処する。会社/情報セキュリティ規定/入社時・退職時のマニュアル(社内文書)に記載する。業務において発見あるいは疑いをもった情報システムの脆弱性や情報セキュリティインシデント(サービス停止、情報の漏えい・改ざん・破壊・紛失、ウイルス感染等)について、従業員はすみやかに当社のslackにて報告を行う。後日、docs.esa.ioにまとめる。ついても社員と同等のセキュリティポリシーの尊守を契約書に盛り込み、義務付ける。監査ログ監査ログサービスの提供および継続上重要な記録として以下の監査ログを取得している。本ポリシーで定める情報へは運営サポート業務を行う者が業務で利用する各自のマシンからのみアクセス出来るものとする。利用するマシンにはPCのロック設定・暗号化を行う。データベースデータベースAWSのRDSを利用する。インフラインフラ主な情報は、サービス運用ポリシー内のインフラ情報を参照のこと。インフラに関するアカウントインフラに関するアカウントAWSのIAMを用いて、インフラ管理者が行う。ミドルウェアのバージョン秘匿ミドルウェアのバージョン秘匿Webサーバ、OSデフォルトの名称やバージョン情報をエラー情報などに表示しない。SSL通信の強制SSL通信の強制HTTPへのアクセスはHTTPSへリダイレクトしている。ユーザーパスワードの取扱ユーザーパスワードの取扱Googleアカウントでのログインのみ許可している。名前とパスワードのガイドラインhttps://support.google.com/a/answer/33386?hl=jaに準拠。サービスの提供に用いるアプリケーション等の新規開発時や改修時において、定期的な実施時と同等またはそれ以上の水準で脆弱性診断を行い、その結果に基づいて対策を行っている。applicationsを用いてソースコードの静的解析により対策を施している。ソースコードレビューソースコードレビューアプリケーションのソースコードレビューは、開発者とは別の第3者により実施され、セキュリティの観点を含んで確認を行う。Requestを用いて行う。エラー内容の考慮エラー内容の考慮エラー発生時の表示メッセージに、問い合わせなどに必要な情報のみを記載し、内部構造が推測できるような不必要な情報を表示しない。その際のサーバー内のログ出力において、開発・監視に直接関わることの少ない、ユーザーのプライバシーに関わるような情報を出さない。各チームのownerへメールにて報告する。必要な場合は全サービスをメンテナンスモードへ移行後、直ちに各チームのownerへメールにて報告する。LLC(以降、当社と呼ぶ)の運営する、[esa.io](https://esa.io)が取り扱う情報セキュリティに関してのポリシーである。趣旨・目的[esa.io](https://esa.io)の利用者が、安心してサービスを利用できるようにするため、当社の情報セキュリティに対するポリシーを示し、社員全員がこれを尊守する。[team.esa.io](https://team.esa.io/)に記載される社員全員とする。適用される情報資産は、後述の**当社の取り扱う情報資産について**へ記載する。位置付け本セキュリティポリシーは当社の他の規定よりも優先される。本セキュリティポリシーを定め、運用と監視を行う。本セキュリティポリシーに則り情報資産を取り扱う。責任者と経営メンバーにおいて以下の項目のレビューを行い、必要があれば改定を行う。reminderを用いて、見直し実施をお知らせし、見直しを行う。セキュリティポリシーの改訂の承認esaの該当記事に変更箇所のdiffを貼り、それに対して社員全員が「LGTM」とコメントすることで承認したものとする。情報資産取扱の責任者セキュリティーポリシーの制定と改定、組織内の尊守に責任を持つ。運営サポート業務を行うもの情報資産を取扱い、運営サポートを行うものを以下に定める。各チームの`/team`からアクセス出来る**チーム情報**と、**ユーザー情報**、**投稿情報**の3つに情報資産を分類する。投稿情報チーム情報、ユーザー情報については、運営サポート業務に限り、**運営サポート業務を行うもの**へ**管理者用ページの**アクセス許可を与える。投稿情報に関しては、後述するDB管理者以外に一切のアクセス権限は与えない。DB管理者においても特別の事情がない限り一切の投稿情報へのアクセスは行わないものとする。管理者用ページ運営サポート業務を行うものが、その業務範囲内において、以下の情報を閲覧できるページを指す。管理者用ページは正しいアクセス権限持ったユーザーのみがアクセス出来ることを自動テストにて担保する。クレジットカードの情報についてPAY.JPと紐付けるtoken情報のみ保持する。PAY.JPへのアクセスキーなどは、暗号化して保存している。暗号化とは、環境変数の暗号化を指す。取扱範囲について、全社員にそれぞれの役割におけるアクセス権限の範囲と責任について合意書を締結するものとする。社員の教育・訓練セキュリティポリシーに関する意識向上のための適切な教育・訓練として、以下の教育動画を定期的(約半年に一度を目安とする)に閲覧することを義務付ける。違反のレベルに応じて、適切に対処する。会社/情報セキュリティ規定/入社時・退職時のマニュアル(社内文書)に記載する。業務において発見あるいは疑いをもった情報システムの脆弱性や情報セキュリティインシデント(サービス停止、情報の漏えい・改ざん・破壊・紛失、ウイルス感染等)について、従業員はすみやかに当社のslackにて報告を行う。後日、[docs.esa.io](https://docs.esa.io)にまとめる。ついても社員と同等のセキュリティポリシーの尊守を契約書に盛り込み、義務付ける。監査ログサービスの提供および継続上重要な記録として以下の監査ログを取得している。本ポリシーで定める情報へは運営サポート業務を行う者が業務で利用する各自のマシンからのみアクセス出来るものとする。利用するマシンにはPCのロック設定・暗号化を行う。データベースAWSのRDSを利用する。運用に必要なデータベースの設定・管理などの作業を行う権限を持つ者を指す。インフラ主な情報は、[サービス運用ポリシー内のインフラ情報](https://docs.esa.io/posts/261#9-0-0)を参照のこと。運用に必要なインフラの設定・管理などの作業を行う権限を持つ者を指す。インフラに関するアカウントAWSのIAMを用いて、インフラ管理者が行う。ミドルウェアのバージョン秘匿Webサーバ、OSデフォルトの名称やバージョン情報をエラー情報などに表示しない。SSL通信の強制HTTPへのアクセスはHTTPSへリダイレクトしている。ユーザーパスワードの取扱Googleアカウントでのログインのみ許可している。https://support.google.com/a/answer/33386?hl=jaに準拠。脆弱性対策サービスの提供に用いるアプリケーション等の新規開発時や改修時において、定期的な実施時と同等またはそれ以上の水準で脆弱性診断を行い、その結果に基づいて対策を行っている。applicationsを用いてソースコードの静的解析により対策を施している。ソースコードレビューアプリケーションのソースコードレビューは、開発者とは別の第3者により実施され、セキュリティの観点を含んで確認を行う。Request](https://help.github.com/articles/about-pull-requests/)を用いて行う。エラー内容の考慮エラー発生時の表示メッセージに、問い合わせなどに必要な情報のみを記載し、内部構造が推測できるような不必要な情報を表示しない。その際のサーバー内のログ出力において、開発・監視に直接関わることの少ない、ユーザーのプライバシーに関わるような情報を出さない。必要な場合は全サービスをメンテナンスモードへ移行後、直ちに各チームのownerへメールにて報告する。LLC(以降、当社と呼ぶ)の運営する、esa.ioが取り扱う情報セキュリティに関してのポリシーである。esa.ioの利用者が、安心してサービスを利用できるようにするため、当社の情報セキュリティに対するポリシーを示し、社員全員がこれを尊守する。team.esa.ioに記載される社員全員とする。される情報資産は、後述の当社の取り扱う情報資産についてへ記載する。位置付け位置付け本セキュリティポリシーは当社の他の規定よりも優先される。本セキュリティポリシーを定め、運用と監視を行う。本セキュリティポリシーに則り情報資産を取り扱う。責任者と経営メンバーにおいて以下の項目のレビューを行い、必要があれば改定を行う。reminderを用いて、見直し実施をお知らせし、見直しを行う。セキュリティポリシーの改訂の承認セキュリティポリシーの改訂の承認esaの該当記事に変更箇所のdiffを貼り、それに対して社員全員が「LGTM」とコメントすることで承認したものとする。責任者セキュリティーポリシーの制定と改定、組織内の尊守に責任を持つ。運営サポート業務を行うもの運営サポート業務を行うもの情報資産を取扱い、運営サポートを行うものを以下に定める。各チームの/teamからアクセス出来るチーム情報と、ユーザー情報、投稿情報の3つに情報資産を分類する。投稿情報チーム情報、ユーザー情報については、運営サポート業務に限り、運営サポート業務を行うものへ管理者用ページのアクセス許可を与える。投稿情報に関しては、後述するDB管理者以外に一切のアクセス権限は与えない。DB管理者においても特別の事情がない限り一切の投稿情報へのアクセスは行わないものとする。管理者用ページ運営サポート業務を行うものが、その業務範囲内において、以下の情報を閲覧できるページを指す。管理者用ページは正しいアクセス権限持ったユーザーのみがアクセス出来ることを自動テストにて担保する。クレジットカードの情報についてクレジットカードの情報についてPAY.JPと紐付けるtoken情報のみ保持する。PAY.JPへのアクセスキーなどは、暗号化して保存している。暗号化とは、環境変数の暗号化を指す。情報資産の取扱範囲について、全社員にそれぞれの役割におけるアクセス権限の範囲と責任について合意書を締結するものとする。社員の教育・訓練社員の教育・訓練セキュリティポリシーに関する意識向上のための適切な教育・訓練として、以下の教育動画を定期的(約半年に一度を目安とする)に閲覧することを義務付ける。違反のレベルに応じて、適切に対処する。会社/情報セキュリティ規定/入社時・退職時のマニュアル(社内文書)に記載する。業務において発見あるいは疑いをもった情報システムの脆弱性や情報セキュリティインシデント(サービス停止、情報の漏えい・改ざん・破壊・紛失、ウイルス感染等)について、従業員はすみやかに当社のslackにて報告を行う。後日、docs.esa.ioにまとめる。ついても社員と同等のセキュリティポリシーの尊守を契約書に盛り込み、義務付ける。監査ログ監査ログサービスの提供および継続上重要な記録として以下の監査ログを取得している。本ポリシーで定める情報へは運営サポート業務を行う者が業務で利用する各自のマシンからのみアクセス出来るものとする。利用するマシンにはPCのロック設定・暗号化を行う。データベースデータベースAWSのRDSを利用する。インフラインフラ主な情報は、サービス運用ポリシー内のインフラ情報を参照のこと。インフラに関するアカウントインフラに関するアカウントAWSのIAMを用いて、インフラ管理者が行う。ミドルウェアのバージョン秘匿ミドルウェアのバージョン秘匿Webサーバ、OSデフォルトの名称やバージョン情報をエラー情報などに表示しない。SSL通信の強制SSL通信の強制HTTPへのアクセスはHTTPSへリダイレクトしている。ユーザーパスワードの取扱ユーザーパスワードの取扱Googleアカウントでのログインのみ許可している。名前とパスワードのガイドラインhttps://support.google.com/a/answer/33386?hl=jaに準拠。サービスの提供に用いるアプリケーション等の新規開発時や改修時において、定期的な実施時と同等またはそれ以上の水準で脆弱性診断を行い、その結果に基づいて対策を行っている。applicationsを用いてソースコードの静的解析により対策を施している。ソースコードレビューソースコードレビューアプリケーションのソースコードレビューは、開発者とは別の第3者により実施され、セキュリティの観点を含んで確認を行う。Requestを用いて行う。エラー内容の考慮エラー内容の考慮エラー発生時の表示メッセージに、問い合わせなどに必要な情報のみを記載し、内部構造が推測できるような不必要な情報を表示しない。その際のサーバー内のログ出力において、開発・監視に直接関わることの少ない、ユーザーのプライバシーに関わるような情報を出さない。必要な場合は全サービスをメンテナンスモードへ移行後、直ちに各チームのownerへメールにて報告する。