Trust Hub

セキュリティに対する当社の取り組みは、次の原則から始まります。

• ゼロトラスト
  クラウド管理の「モノのインターネット」（IoT）デバイスに対するVerkadaの「ゼロトラスト」アプローチでは、当社のシステムは認証と権限がない場合、ユーザー、ネットワーク、デバイスのいずれも信頼すべきではないことを前提としています。IoTデバイスは拡張および相互接続することを前提としているため、サイバー攻撃の侵入経路になりやすいというリスクがあります。Verkadaのゼロトラストアプローチでは、IoTデバイスに内在するこうしたリスクを低減します。

  • • Verkadaの担当者は、VerkadaのIDプロバイダからSAMLシングルサインオンでの認証によってのみ、Verkadaの製品インフラストラクチャまたはコードにアクセスできます。
    • 製品インフラストラクチャ用のVerkadaのIDプロバイダは、VerkadaのコーポレートIDプロバイダとは別であり、ハードウェアキーなど多要素認証が必要です。
    • Verkadaのサポートツールを通じてお客様データにアクセスするVerkadaサポート担当者は、サポート許可システムを通じて権限を持つお客様から期限付きの同意を事前に取得しておく必要があります。
    • Verkadaは、すべての製品インフラストラクチャ、お客様データ、Verkadaデバイスへのアクセスに対して、最小限の役割ベースのアクセスコントロールを適用します。つまり、必要なアクセスレベルをユーザーの役割に基づき決定し、可能な限り最低レベルのアクセスを提供します。上位のアクセス権限を必要とする役割は、必要に応じてオンデマンドで高度な監視のもと、限られた期間のみ付与されます。
    • 公開ネットワークのVerkadaの製品とシステムでのすべての通信では、最新の暗号スイート構成を備えたTLS 1.2以降が使用されます。
• 最小限に抑えられた攻撃対象領域
  Verkadaの製品とインターフェースは、セキュリティが強化された一つの限られたインターフェースセットを介して、あらゆる新しいタイプのデータを転送できるように設計されています。このアプローチにより、潜在的な攻撃に対して保護する必要があるエントリーポイントの数が減り、セキュリティリソースを各エントリーポイントに集中させることができます。

  • • 当社では、シングルサインオン認証用の独立したIDプロバイダに至るまで、製品インフラストラクチャを会社の他の部分から分離しています。
    • 潜在的な攻撃ポイントを最小限に抑えるために、最小化されたオペレーティングシステムと可能な限り少ないコンポーネントでデバイスファームウェアを構築しています。
    • すべての管理コマンドは、デバイス上の安全なチャネルのみを使用します。このチャネルは、Verkada Commandプラットフォームの安全なAPIゲートウェイへのアウトバウンドネットワーク呼び出しによって確立されます。
• 自動化ファースト
  自動化ファーストのアプローチで、Verkadaのセキュリティプログラムのあらゆる側面を開発します。これにより、規模を拡張してもVerkadaのセキュリティプログラムの有効性が維持でき、ポリシー導入時の不足を最小限に抑えることができます。

  • • 当社は「Configuration as Code」というアプローチを採用しています。構成内容をコード化するこの手法により、業界標準に沿った構成パターンを確実に適用し、セキュリティを強化できます。
    • 当社の「Policy as Code」アプローチは、Verkadaのポリシーをソフトウェアが従うべきルールとして定義し、Verkadaのポリシー遵守を強化します。
    • 既知の脆弱性に対するパッチは、少なくとも2週間ごとにインフラストラクチャサービスに自動的に適用されます。
    • 当社のコンプライアンス自動化プラットフォームは、セキュリティとプライバシーの基準へのコンプライアンスを継続的に監視します。
    • 当社は継続的にセキュリティログを監視し、潜在的なセキュリティインシデントを自動検出します。
• ソフトウェアセキュリティ
  Verkadaは、多層的で複合的なアプローチを用いて、ソフトウェア開発サイクル全体でセキュリティ対策を取り入れています。これによって、脆弱性を未然に排除し、セキュリティ侵害の影響を低減します。

  • • 当社のソフトウェアエンジニアリングチームは、Verkadaのセキュリティチームのメンバーと連携して、製品と機能の構想から完成までセキュリティのベストプラクティスが確実に守られるようにします。
    • 安全な構成とデフォルト設定により、整備された道筋を進めるVerkadaのソフトウェアを実装し、あらかじめ正しい決定を下すことができます。
    • セキュリティ設定を変更できないよう固定することで、設計段階と実装段階で安全な設定から逸脱できないようにしています。
    • また、当社は継続してバグバウンティプログラムも実施しており、潜在的なセキュリティ問題を発見して報告した外部のセキュリティ専門家や研究者に金銭的な報酬を提供しています。
  • 当社は、現行のリスク管理と顧客満足の一環として少なくとも四半期に一度、独立したセキュリティコンサルタントに依頼し、セキュリティアセスメントを実施します。