お客様のデータを安全に保つことは、Finが最も重要視していることです。Finに送信されるすべてのデータが安全に取り扱われるよう、相当な努力をしています。Finの安全性は私たちのビジネスの根幹です。

私たちがどのようにセキュリティを維持しているか、そしてお客様のデータのセキュリティを継続的に向上させるために行っている取り組みの一部を共有したいと思います。この文書は生きた文書であり、随時更新していきます。

また、利用規約とプライバシーポリシーもご覧いただくことをお勧めします。ご質問やコンプライアンス文書へのアクセスについては、Trust Centerをご利用ください。必要に応じて、security@intercom.ioまでご連絡いただくことも可能です。

私たちのチームは関連する経験を持っています

私たちのチームには、AmazonやFacebookなどの企業で、支払い処理プラットフォーム、クラウドサービス、コンテンツ配信ネットワークなどの高度に安全なインターネット向けシステムの設計、構築、運用で主導的役割を果たした人々が含まれています。また、ゼロから複数のスタートアップを成功裏に立ち上げたメンバーや、確立された小規模なインターネット企業で働いた経験のあるメンバーもいます。

私たちは世界クラスの施設でホスティングしています

私たちのサービスとデータの大部分は、米国のAmazon Web Services施設でホスティングされています。Amazonが施設とサービスのセキュリティにおいて講じている多大な対策の詳細はこちらでご覧いただけます。

私たちはベストプラクティスに従っています

Finでは、セキュリティ体制を強化するためにいくつかのベストプラクティスを実践しています。

いくつかの例を挙げます：

信頼性が高く頻繁に使用される自動化を導入しており、アプリケーションと運用プラットフォームの両方に対して数分以内に安全かつ確実に変更を展開できます。通常、1日に数十回のデプロイを行っているため、必要に応じて迅速にセキュリティ修正をリリースできると高い自信を持っています。
私たちに送信されるすべてのデータは転送中に暗号化されています。APIとアプリケーションのエンドポイントはTLS/SSLのみを使用し、SSL Labsのテストで「A+」評価を獲得しています。これは、強力な暗号スイートのみを使用し、HSTSやPerfect Forward Secrecyなどの機能が完全に有効になっていることを意味します。また、保存データも暗号化しています。
私たちは定期的に評価の高い第三者監査人と連携し、コードベースとインフラストラクチャの監査を行い、潜在的な問題の解決に取り組んでいます。
私たちのインフラはTerraformでコードとして管理されています。Elasticsearch、AWS CloudTrail、PantherLabsなどの技術を使用して、インフラとIntercom製品の監査証跡を提供しています。監査により、アドホックなセキュリティ分析、設定変更の追跡、スタックのすべての層へのアクセス監査が可能になります。
可能な限り二要素認証を使用しています。すべてのアカウントでベンダーに二要素認証の適用を求めています。共有アカウントの使用は推奨していませんが、やむを得ない場合は1Passwordを使ってログイン情報を安全に共有しています。どのアカウントがシステムにアクセスできるかとその権限を定期的に見直しています。
私たちは社内ネットワークを信用していません。社内ネットワークは本番システムへのバックドアを持っていません。
インシデント対応計画を文書化しており、全スタッフにセキュリティ手順とポリシーの教育を行っています。
専任の外部セキュリティパートナーによる年2回の外部ペネトレーションテストを実施しています。
Detectifyを使用して主要なウェブプロパティの継続的なスキャンを実施しています。
コードベースへの変更はすべてピアレビューされ、CI/CDプロセスの一環として静的解析を用いて回帰やセキュリティの欠陥を自動的に検出しています。
Bugcrowdと連携した公開バグバウンティプログラムを運営しています。
詳細はセキュリティページおよびTrust Centerでご覧いただけます。

製品のセキュリティ：ワークスペースの保護方法

セキュリティは共有の責任です。ワークスペースのセキュリティを強化するために、以下の製品セキュリティ機能を有効にしてください。

ワークスペースを保護する

これらの機能はワークスペースの保護とデータの安全を助けます。

⭐ アカウントを保護するために2FA、Googleサインオン、またはSAML SSOを使用し、ユーザー名/パスワードログインを無効にすることでフィッシング攻撃のリスクを減らします。強く推奨されます。
ロールベースのアクセス制御 - 役割と権限を設定して、機密データや機能へのアクセスを制限します。
IP許可リスト - 特定のIPアドレスにワークスペースへのアクセスを制限します。
カスタムセッション長 - チームメンバーの認証状態の持続時間をカスタム設定で制御します。
チームメンバーのアクティビティログ - ワークスペースでの重要な操作を監視・監査します。
リンクセキュリティ - リンク警告を有効にし、ワークスペース内のリンクやドメインを管理するポリシーを作成して、チームメンバーを悪意のあるリンクから保護します。
PANの編集 - 会話から支払いカード番号（PAN）を自動検出して編集します。
添付ファイルのセキュリティ - ワークスペースでの添付ファイルの使用方法を制御します。

Messengerを保護する

これらの機能はMessengerのインストールを保護し、お客様との通信の安全を助けます。

⭐ JWTでMessengerを保護する - 悪意のある者がエンドユーザーをなりすましたり、会話を読み取ったり、データに不正アクセスするのを防ぎます。さらに、JWTを使用するとユーザーの身元確認と送信するすべてのデータ属性の保護が可能です。強く推奨されます。
信頼できるドメインリストを追加して、Messengerが所有し大切にしているドメインでのみ読み込まれるようにします。
Messenger経由での属性作成を無効化して、悪意のある者がブラウザを通じて独自のデータを挿入するのを防ぎます。
JavaScriptシャットダウンメソッドを使用して、ユーザーがアプリからログアウトしたときにセッションを終了させます。

これらの機能の詳細は、Help CenterのセキュリティとプライバシーおよびMessengerセキュリティのセクションでご覧いただけます。