Recorded Futureのセキュリティに関するよくある質問

Recorded Futureはどのようにしてデータを安全に保ちますか?

Recorded Future 暗号化、高度な訓練を受けたスタッフ、および技術的な保護手段を組み合わせて使用して、 保護する 私たちに委託されたデータ。

Recorded Futureの情報セキュリティプログラムには、次のような対策が含まれています。

• 暗号化およびハッシュ化されたパスワード
• アクティブな DDoS 軽減
• 自動アカウントロックアウト
• 広範な施設アクセス制御
• 多要素認証
• 包括的な脅威インテリジェンスプログラム
• システムの自動セキュリティスキャン
• アクティブペネトレーションテスト
• 従業員向けの広範な社内セキュリティ意識向上プログラムとトレーニング
• Recorded Future脆弱性 レポート プログラム 

最後に、Recorded Futureには、潜在的な脆弱性がないかサービスを探し出し、エンジニアが安全なコードを出荷するのを支援する専任の製品セキュリティチームがあります。 私たちのチームは、Recorded Futureを使用して、オープンウェブ、テクニカルウェブ、ダークウェブのソースからデータを自動的に収集および分析し、当社に影響を与える可能性のある直接的な脅威と新たな脅威に関する最新情報を提供します。

ISO認証情報は、こちらでご確認いただけます。

Recorded Futureはどのようにしてプライバシーを保護しますか?

Recorded Futureは20か国以上の専門家や法務顧問と提携し、ISO 27701に基づく年次監査を受けて、コンプライアンス義務を理解し最新の規制に対応していることを確認しています。

Recorded Futureのプライバシー慣行はプライバシー ポリシーに記載されており、収集する個人情報、 Recorded Future がどのように利用するか、そして適用法に基づく個人の権利が詳述されています。

絶対的な安全を保証する措置はありませんが、Recorded Futureは個人情報を保護するための適切な技術的・組織的措置を実施しています。これには、データ収集、保管、処理方法、セキュリティ対策に関する内部レビュー、および不正アクセスを防ぐための物理的なセキュリティ対策が含まれます。

Recorded Futureは顧客データを暗号化しますか?

Recorded Futureは、暗号化を含むさまざまなセキュリティ対策を使用して顧客データを保護します。

• 保存データ:Recorded Futureは、Advanced Encryption Standard(AES)256ビット暗号化を使用して保存顧客データを暗号化します。
• 転送中のデータ:Recorded Futureは、Transport Layer Security(TLS)1.2を使用して転送中のデータを暗号化します。
• アクセス制御:Recorded Futureは、アクセス制御を使用して、顧客データにアクセスできるユーザーを制限します。 特定の目的のために顧客データにアクセスできるのは、許可された担当者のみです。
• 鍵管理インフラストラクチャ:暗号化方式と鍵管理インフラストラクチャは、Recorded Futureの管理下にあります。 顧客データはデータベースに挿入される前に暗号化され、データベースは暗号化された Elastic Block Store (EBS) ボリュームに格納されます。

クライアントおよび見込み客の情報要求およびセキュリティに関する質問票

セキュリティ、コンプライアンス、認証に関する問い合わせには 、Recorded Future Security Trust Center の利用をお勧めします。トラストセンターへのアクセスをリクエストするには、上記のリンクをご利用ください。

このセルフサービスプラットフォームは、最新のセキュリティドキュメント(SOC2、ISOなど)への即時アクセスと、一般的なセキュリティ質問に答える包括的なナレッジベースを提供します。Conveyorが提供するトラストセンターを利用することで、顧客はベンダーリスク評価プロセスを大幅に加速させることができます。

顧客に関する情報が従業員によって悪用されないようにするにはどうすればよいでしょうか?

Recorded Futureは、当社が取り扱うデータの機密性を完全に認識しており、そのため、当社が保管するすべての情報を不正アクセスから保護することをお約束します。

Recorded Futureが保存する顧客データは主にAWSによって保護されたデータセンターに保管されており、AWSは比類なき物理的および情報的セキュリティを提供しています。これらのサーバーはRecorded Futureの本社とは別に設置され、世界中に分散しています。
Recorded Futureは、当社の業務全体におけるすべてのインフラとデータに対して「最小権限アクセス」アプローチを採用しています。これは、当社の内部アクセスポリシーおよび関連するプロビジョニングプロセスによって決定され、少なくとも年に一度は監査されます。これらのプロセスは、SOC 2 Type 2、 ISO 27001、および27701の認証を取得しており、職務内容のニーズに厳密に対応しています。

当社の堅牢なインフラストラクチャセキュリティシステムは、広範なロギングおよび監査プロトコルによって補完され、内部または外部の関係者による不適切なアクセスのインスタンスを防止します。 これらのポリシーとシステムにより、有効なビジネス目的と特定のアクセス許可を持つ従業員のみが機密データにアクセスできるようになります。 すべての従業員が必須のスクリーニングの対象となるだけでなく、これらのアクションも広範囲に記録され、監査され、ポリシーの遵守が保証されます。

運用インフラストラクチャへのアクセスについては、ハードウェア トークン ベースの認証によって適用されるロールベースのアクセスと、定期的に見直される制限付きの管理アクセスがあります。

Recorded Futureは、プラットフォームの機密性、完全性、可用性をどのように維持していますか?

Recorded Futureソフトウェア開発ライフサイクルはISO 27001、9001、NIST 800-200認証を取得しています。Recorded Futureプラットフォームを広範に活用し、技術インフラに影響を与える可能性のある脆弱性を追跡・優先付ける(Vulnerability Intelligenceモジュールを通じて)。脅威アクターおよびそのTTPsを識別する(SecOpsおよび脅威インテリジェンスモジュールを通じて);潜在的な情報漏洩 / 侵害の特定(ブランドおよびアイデンティティインテリジェンスモジュール);そして、攻撃対象領域(Attack Surface Intelligence)と第三者のセキュリティ(第三者Intelligence Module)の両方を監視しています。 

Recorded Futureは、静的および動的なアプリケーション・セキュリティ・テスト(SASTおよびDAST)や外部脆弱性スキャンなど、潜在的な問題を特定するために、環境上で多数のスキャンを実行します。

構成管理システムを使用しているため、クラウドインフラストラクチャ全体の脆弱性に迅速かつ包括的にパッチを適用できます。 さらに、Recorded Futureは、Webアプリケーションファイアウォールサービスを利用して、脆弱性を悪用しているように見えるトラフィックを探してブロックします。 このサービスには、アクティブなサービス拒否の緩和策が含まれています。

Recorded Futureは、可用性を確保するために一流のサードパーティホスティングプロバイダーのみを使用し、これらの地理的に分散した施設で定期的にデータをバックアップして、中断を最小限に抑えます。

Recorded Futureは、HackerOneが外部管理する強力なバグバウンティプログラムを持ち、その巨大なコミュニティを活用しています。さらに、外部専門家が毎年少なくとも1回の潜在的な脆弱性を特定する広範なペネトレーションテストプログラムによって補完されています。

当社の堅牢なインフラストラクチャセキュリティシステムは、広範なロギングおよび監査プロトコルによって補完され、内部または外部の関係者による不適切なアクセスのインスタンスを防止します。 これらのポリシーとシステムにより、有効なビジネス目的と特定のアクセス許可を持つ従業員のみが、機密データまたは顧客提供のデータにアクセスできるようになります。 すべての従業員が必須のスクリーニングの対象となるだけでなく、これらのアクションも広範囲に記録され、監査され、ポリシーの遵守が保証されます。

リソース:Recorded FutureはSOC 2タイプ2、ISO 27001、ISO 27701、ISO 9001準拠など複数の認証を取得しています。アクセス可能です - Recorded FutureのSOC 3レポートはこちらから入手可能です。

Recorded Future は GDPR に準拠していますか?

はい。Recorded FutureはGDPRやCCPAを含むデータ保護およびプライバシーに関する法律に準拠しており、 ISO 27701認証を取得しています。

Recorded Futureはどのような情報を保存しますか?

Recorded Futureは、安全に保管される請求目的に関連する財務情報、およびプラットフォームへのアクセスを許可するユーザー認証情報に加えて、以下の顧客データを保存します。

• Sandbox の提出
• 保存されたクエリとアラート
• ユーザー生成アナリスト ノート
• 観察された相関関係とメモ
• レポート
• ウォッチ・リストを含むリスト
• 無料のブラウザ拡張機能(Recorded Future Express)を介して収集される情報

保存された顧客データは、サブスクリプションの終了後に削除されるか、帰属がなくなります。

Recorded Futureは、政府や法執行機関によるデータ要求にどのように対応していますか?

Recorded Futureプライバシーポリシーに詳述されている通り、Recorded Futureは以下の状況を除き、他の関連のない企業、組織、個人と顧客データを共有しません。

• 法執行機関の有効な要請を満たすため、または法律で義務付けられている場合
• 適用される利用規約、利用規約、またはその他の契約上の義務を執行するため
• セキュリティや安全インシデントを調査する
• 緊急の場合、Recorded Future、そのユーザー、または一般の人々の財産、安全、セキュリティ、および権利を保護するため

さらに、受け取った要求は、適用されるすべての法律を確実に遵守するために広範囲に検討され、お客様のプライバシーを最大限保護するために、可能な限り狭く対応することがRecorded Futureのポリシーです。

Recorded Futureはシングルサインオンをサポートしていますか?

Recorded Future 標準準拠のOpenID Connect、SAML v2.0、OAuth(Google経由)Identity Provider技術を用いたSSO統合をサポートしています。 以下のIDプロバイダー技術は検証済みであり、通常は同営業日中にプロビジョニング可能です。

• Okta - OpenID (OIDC)/SAML 2.0 (英語)
• Duo - OpenID (OIDC)/SAML 2.0 (英語)
• Google GSuite - Google OAuthの
• RSAクラウド・セキュリティ - SAML 2.0
• Microsoft Azure - OpenID (OIDC)/SAML 2.0
• Microsoft ADSF - SAML 2.0 (英語)
• Ping ID - OpenID (OIDC)/SAML 2.0 (英語)

その他の標準規格に準拠したIDプロバイダー技術の場合、プロビジョニングに時間がかかり、SSOクライアントの担当者との間で追加の技術的な確認が必要になる場合があります。詳細については、[email protected]までメールでお問い合わせください。

Recorded Futureは安全なコーディングガイドラインに準拠していますか?

はい、Recorded Futureはセキュアコーディングガイドライン（ OWASPセキュアコーディングプラクティスを含む）を遵守しており、一般的なソフトウェア開発の脆弱性に対処するNISTのセキュアソフトウェア開発フレームワーク（SSDF）（NIST SP 800-218）の認証を取得しています。

Recorded Futureにセキュリティの脆弱性を報告するにはどうすればいいですか?

Recorded Future は脆弱性レポートプログラムを維持しており、こちらで入手可能です。 もし当社のサービスに脆弱性を発見した場合は、[email protected] までお問い合わせいただくか、詳細はこのページをご覧ください。

リソース: Recorded Future は脆弱性レポートプログラムを維持管理しており、こちらでご覧いただけます。

Recorded Futureは顧客データをどのように使用しますか?

通常、Recorded Futureは、このデータを次の2つの方法のいずれかで使用します。

i) Recorded Futureは、このデータを使用して、クエリ結果を返すことから、検索履歴機能の提供、組織内のユーザーが構成したアラートの送信まで、あらゆるサービスを組織に提供します。そして

ii) Recorded Futureは、帰属のない顧客データを活用して提供内容を開発・改善しています。これらの改善には、改善すべきデータの種類、追求すべき研究、トレンドに関する洞察、データエンリッチメント、潜在的な機能改善などについて、チームにシグナルを提供することが含まれますが、これらに限定されませ
。さらに、有効な法的請求、セキュリティ、安全、または関連問題の調査、利用規約の執行などにおいて、インシデントがこのデータへのアクセスを求める場合もあります。

リソース:詳細については、Recorded Futureのプライバシーポリシーをご覧ください。

Recorded Futureはどのようにして不正アクセスを防止するのですか?

Recorded Futureが保存するすべての顧客データは、主にAmazon Web Services(AWS)によって保護されたデータセンターに所在しており、AWSは最先端の物理的および情報セキュリティを提供しています。これらのサーバーはRecorded Futureの本社とは別に設置され、世界中に分散しています。

AWS は、以下の規格を満たしていることが認証されています: SOC 3; PCI DSS レベル 1 ; ITAR ; FIPS 140-2; ISO 27001; ISO 27017; ISO 27018; ISO 9001 。AWSのセキュリティプロセスに関する詳細は、こちらをご覧ください。追加のセキュリティ対策として、Recorded Futureの顧客データをホストするAWSサーバーには、二要素保護のVPN経由でのみアクセス可能です。

Recorded Futureは顧客データを関連会社や子会社と共有しますか？

To the extent customers input information into the Recorded Future Platform as part of the provision of services, Recorded Future has strict internal policies that limit the use of such attributable data to its subsidiaries (for example, Recorded Future UK Ltd in the UK).

Recorded Futureがこの情報を（帰属可能な範囲で）Mastercard, Inc. などの関連会社と共有することは、以下の状況で必要な場合を除きありません。

• 法的要請、政府および/または法執行機関のデータ要求、または適用法に基づく特定の義務に関連するレビューおよび遵守
• 適用されるサービス規約、利用規約、またはその他の契約上の義務の執行
• セキュリティ、データ、または安全性に関するインシデントの調査
• 緊急の場合、Recorded Future、そのユーザー、または一般の人々の財産、安全、セキュリティ、および権利を保護するため