セキュリティ
仕事の大半は、水面の下で行われています。
訪問者に見えるのはページだけです。その下で、すべての Rogueberg サイトは5層の防御に支えられています。私たちが構築し、テストし、ホスティングしている間ずっと見守ります。
-
- TLS 1.3 と HSTS
- Web アプリケーションファイアウォール
- DDoS フィルタリング
- ログインとフォームの回数制限
- ボット対策
-
- 入力値の検証
- CSRF 対策
- Content Security Policy
- 管理者の二要素ログイン
- 既知の CVE に対する依存関係のスキャン
-
- 最小構成の Linux
- 鍵認証のみの SSH、root ログイン無効
- 既定ですべて拒否するファイアウォール
- セキュリティ更新の自動適用
- 総当たり攻撃のブロック
-
- 通信時も保存時も暗号化
- 機密記録は別のデータベースに
- 最小権限のアクセス
- 毎晩の暗号化オフサイトバックアップ
- 復元テスト
-
- 1分ごとの稼働チェック
- 侵入とマルウェアの通知
- ログの確認
- 証明書の期限切れ通知
- 毎月のセキュリティレポート
公開前チェックリスト
すべての項目にチェックが入るまで、公開しません。
6ページのスタートアップサイトから大学のポータルまで、すべてのプロジェクトで同じチェックリストを使います。引き渡し時には署名入りの控えをお渡しします。
- すべての通信を HSTS 付きで HTTPS に強制
- セキュリティヘッダーと CSP を設定
- 管理画面は二要素ログインで保護
- 初期パスワードや共有鍵はなし
- フォームとログインを OWASP Top 10 に照らして確認
- 既知の CVE について依存関係をスキャン
- テストサーバーへのバックアップ復元を実施
- 通知を最初から最後までテスト
万一のときは
最初に私たちからお知らせします。対応計画とともに。
- 1 · 検知
チェックが失敗したり、ログに異常が現れたりした瞬間に、自動通知がエンジニアに届きます。
- 2 · 封じ込め
影響を受けた部分を切り離し、発生源をブロックし、何よりも先にデータを守ります。
- 3 · 復旧
原因を修正し、必要に応じてクリーンでテスト済みのバックアップからサイトを復旧します。
- 4 · 報告
何が起きたか、何を変更したか、規制当局に届け出るべきことは何かを、書面でご報告します。
組織が守るべきルールを踏まえてつくります。
私たちはコンプライアンスを容易にするシステムを設計します。正式な認証や法的助言は、監査人や弁護士の領域です。
インド
DPDP 法（2023年）
同意の通知、未成年者の保護者同意、そして求めに応じて検索・エクスポート・削除できるデータ。
インド
CERT-In の指示
ログを保存し、インシデントの詳細を準備しておくことで、報告対象のインシデントを定められた6時間以内に届け出られます。
欧州連合
GDPR
きちんと機能する Cookie 同意、必要に応じた EU 内でのホスティング、そしてサイトの実際の動作に合ったプライバシーページ。
全世界
OWASP Top 10
すべてのフォーム、ログイン、API を、Web アプリケーションで最も一般的なリスクに照らして確認します。
今のサイトのセキュリティが心配ですか？
診断して、直すべき点を率直にお伝えします。ご依頼いただくかどうかにかかわらず。