セキュリティとコンプライアンス

1. 暗号化

• すべてのトラフィックは、HSTSと安全でないリクエストの自動アップグレードを備えたHTTPS/TLS経由でのみ提供されます。
• データベースのデータおよびファイルは、クラウドプロバイダーのインフラストラクチャに暗号化されて保存されます。
• サードパーティサービスの認証情報はサーバー上でシークレットとして保護され、ブラウザに公開されることはありません。

2. アクセス制御

• 管理者データへのアクセスは、認定アカウントとスタッフの役割を持つ者のみに限定されます。
• ロールは個別のテーブルで管理され、すべてのアクション時にサーバーで検証されます。
• 行レベルセキュリティ（RLS）ポリシーは、クライアントからの直接アクセスをすべて防止します。

3. アプリケーション防御

• 既知の攻撃パターン（SQLi、XSS、パス遍歴、プロービング）に対応した、パスごとのルールを持つアプリケーションファイアウォール。
• 公開フォームと重要な経路におけるレート制限（安全な429応答付き）。
• 厳格なセキュリティヘッダー：CSP、HSTS、nosniff、referrer policy、permissions policy。
• クライアント側とサーバー側の両方でスキーマを使用して、すべての入力を検証します。

4. 24時間365日の監視とイベント対応

• 各アクティブドメインに対し15分ごとにHTTPS/TLS自動チェック（チェーン、発行者、有効期限の確認を含む）。
• 重大度、相関ID、および識別/解決フローを伴うセキュリティイベントの記録。
• 重大な発見のみを対象としたメール通知。しきい値を設定し、繰り返しの警告を回避。
• すべてのデプロイにおける依存関係チェックと静的コード分析。

5. ログとトレーサビリティ

すべての管理アクション、ステータス変更、メール送信、GDPRリクエストは、ユーザー、時刻、IDとともに記録され、コンプライアンス目的の完全な監査証跡が確保されます。

6. 保持とバックアップ

データベースのバックアップはインフラプロバイダによって実行されます。ログファイルは規制された保持ポリシーに従い、期限切れ後に自動的に削除されます。

7. 責任ある脆弱性開示

潜在的な脆弱性を発見された場合は、「Security」という件名でinfo@veritron.coまでご報告ください。修正されるまで公開しないようお願いするとともに、72時間以内に初回回答をお約束いたします。

稼働状況や実際のユーザーデータに影響を与えるテストは避けてください。