Cintooのホスティングオプションとサイバーセキュリティ

この記事では、お客様のデータがCintooでどのように保存されるか、主なホスティングオプション、Cintooがさまざまなセキュリティ上の課題にどのように取り組んでいるか、認証・認定などについて詳しく説明します。

はじめに

Cintooのリアリティデータ管理およびコラボレーションソリューションは、クラウド経由で提供されます。

クラウドは、必要に応じてコンピューティング能力、ストレージ、新しいサービスを簡単に追加できる柔軟性、拡張性、信頼性を備えているため、Cintooはお客様とともに成長できます。

クラウドにおけるセキュリティは、幅広いセキュリティ認証と認定、データの暗号化、強固なデータセンターの物理的セキュリティを備えており、オンプレミスよりも優れていると評価されています。これにより、お客様のビジネスのIT基盤をより安全に管理できます。

組織によってクラウドの要件は異なり、多くの場合、IT戦略、既存のインフラストラクチャ、セキュリティポリシーによって決まります。Cintooは、世界最大の二つのクラウドサービスプロバイダーであるMicrosoft AzureとAmazon Web Services（AWS）を利用して、クラウドオプションに柔軟性を持たせています。

このドキュメントでは、お客様に最も安全なクラウドサービスを提供するためにCintooが導入しているさまざまなオプションと、サイバーセキュリティ対策の全体像について説明します。秘密保持契約（NDA）の締結後に、さらに詳しい情報を開示できます。

目次

• 顧客メタデータと顧客ファイルの違い
• 顧客データのクラウドホスティングオプション
• ハイブリッドクラウドオプション
• データの分離
• アクセス管理と認証
• 企業向けシングルサインオン（SSO）
• 多要素認証（MFA）
• SOC 2への準拠
• ISO 27001認証
• ペネトレーションテスト
• FedRAMP
• GDPR
• データの保持と削除
• データのバックアップと復旧
• 災害復旧と事業継続
• サービスレベル目標
• 暗号化

顧客メタデータと顧客ファイルの違い

Cintooは、顧客データを二つの異なる種類に分けています。

• 顧客メタデータは、ユーザー、メンバー、閲覧者に関するすべてのデータです。
• 顧客ファイルは、お客様がアップロードしたデータ、およびお客様がCintooのツールを使用する際に生成したデータです。

顧客データのクラウドホスティングオプション

前文：

• すべての顧客データは、Microsoft Azure、Amazon Web Services（AWS）、またはGoogleのデータセンターにある、さまざまなデータセンターリージョンに保存されます。
• 顧客ファイルは、オブジェクトストア（Microsoft Azure Blob、AWS S3、または互換性のある任意のストレージ）に保存されます。
• 顧客メタデータは、現在Microsoft AzureでホストされているSQLデータベースに保存されます。
• Cintooのオフィスにあるローカルサーバーやリポジトリには、顧客メタデータも顧客ファイルも存在しません。

定義：

データセンターリージョンとは、低遅延・高帯域幅のネットワークで相互接続された一つ以上のデータセンターの集合体です。通常は個別の市場または地理的範囲内にあり、一般に二つ以上のリージョンを含み、データレジデンシーとコンプライアンスの境界を維持します。これにより、特定のデータレジデンシーおよびコンプライアンス要件を持つ組織は、データとアプリケーションを近くに置いておくことができます。

コンテンツ配信ネットワーク（CDN）は、特定のプロジェクトのホスティングオプションを選択する際に、有効にすることも無効にすることもできます。CDNは、プロキシサーバーとそのデータセンターで構成される、地理的に分散したネットワークです。CDNにより、エンドユーザーに高い可用性と高いパフォーマンスが提供されます。

• CDNを使用している場合、世界中のどこにいてもよいエンドユーザーのストリーミング性能を向上させるため、データはCDN内に一時的にキャッシュされます。データは、最後のアクセスから30日後にCDNから削除されます。
• CDNを使用していない場合、データは常に選択したデータセンターリージョン内に保持され、プロキシサーバーには配信されません。

Cintooのホスティングアーキテクチャ

ホスティングオプション

顧客メタデータは現在、次のいずれかにホストされているマネージドSQLデータベースに保存されています。

• Central US（アイオワ）。バックアップはEast US（バージニア）に保存されます。
• または、West Europeリージョン（オランダ - アムステルダム）。バックアップはAzure North Europe（アイルランド - ダブリン）に保存されます。
• または、ca.cintoo.cloudでホストされているアカウントの場合は、Canada Centralリージョン（トロント）。バックアップはCanada East（ケベックシティ）に保存されます。
• お客様は、最初のプロジェクトを作成する前に、これら3つのオプション（US / EU / カナダ）のいずれかを選択するようCintooに依頼できます。

カナダリージョン

ca.cintoo.cloudでホストされているアカウントは、データをカナダ国内に保持します。顧客メタデータ、顧客ファイル、データ処理（360ビデオの処理を含む）、およびメール通知はカナダ国内にとどまります。ただし、次の例外があります。

• Ricohカメラで撮影した360ビデオは、まずRicoh360 Cloud（US（AWS）またはEU。サブスクリプションで選択したTenantによって異なります）にアップロードされ、その後カナダに同期されます。元のビデオはRicoh360 Cloudに保存されたままになります。
• 受信者のメールアドレスを含むメール配信ログは、EUにあるCintooの監視プラットフォームに送信されます。

顧客ファイルについては、プロジェクトの作成時に、プロジェクトマネージャーは、2つのホスティングオプション（AWS - Canada (Central) またはAzure - Canada Central (Toronto)）のいずれかを選択できます。カナダリージョンではCDNは利用できません。

顧客ファイルは、お客様のプロジェクトマネージャーがプロジェクトの作成時に選択したホスティングオプションに応じて、次のいずれかのクラウドの「リージョン」に保存されます。

• CDNを使用する場合、ホスティングはお客様の所在地に応じてヨーロッパ（AWS Frankfurt）または米国（AWS Ohio）となり、CDNのいずれのポイントオブプレゼンスにもキャッシュされる可能性があります。
• CDNを使用しない場合、プロジェクトマネージャーはプロジェクトごとに個別に、次のクラウドオプションを選択できます。
  • AWS - Asia Pacific (Sydney)
  • AWS - Asia Pacific (Jakarta)
  • AWS - Canada (Central)
  • AWS - Europe (Frankfurt)
  • AWS - Europe (London)
  • AWS - US East (N. Virginia)
  • AWS - US West (Oregon)
  • Azure - Australia East (Sydney)
  • Azure - Brazil South (Sao Paulo State)
  • Azure - Canada Central (Toronto)
  • Azure - France Central (Paris)
  • Azure - Norway (Oslo / Stavanger)
  • Azure - Southeast Asia (Singapore)
  • Azure - Switzerland North (Zurich)
  • Azure - UK South (London)
  • Azure - West Europe (Netherlands)
  • Azure - West US (Washington)
  • Google - Europe North (Finland)
• このリストに、プロジェクトに本当に必要なリージョンがない場合は、AzureおよびAWSが提供するその他のリージョンが利用可能かどうかを確認するため、support@cintoo.comまでCintooチームにお問い合わせください（追加料金が発生する場合があります）。
  • 現在のAzureデータセンターリージョンの一覧については、こちらをクリックしてください
  • 現在のAmazon Web Servicesデータセンターリージョンの一覧については、こちらをクリックしてください
• AzureおよびAWSの米国リージョンの一部は、FedRAMP（Federal Risk and Authorization Management Program）認証を取得しています。これは、米国連邦政府機関を扱うプロジェクトで必要になる場合があります。CintooのFedRAMPオプション。
  • FedRAMPの詳細はこちらをご覧ください。
  • Microsoft AzureにおけるFedRAMPの詳細はこちらをご覧ください。
  • Amazon Web ServicesにおけるFedRAMPの詳細はこちらをご覧ください。

サービスのスケーラビリティは、リアルタイムで綿密に監視されている伸縮自在なクラウドリソースを利用することで保証されています。アプリケーションのパフォーマンスは継続的に監視・改善されており、ユーザー、プロジェクト、スキャンなどの規模に対してプラットフォームが拡張可能であり続けるようにしています。

ハイブリッドクラウドオプション

ハイブリッドクラウドオプションは、顧客ファイルを組織自身のネットワーク内に保存する必要がある組織向けに提供されています。

• すべての顧客ファイルは、組織のAzureまたはAWSのプライベートインスタンスに保存されたままとなり、Cintooはこのプライベートストレージからユーザーのブラウザーにデータを直接ストリーミングします。
• さらに、Cintooは、お客様自身のクラウド環境内でCintoo Connectアプリケーションへのアクセスを提供し、ユーザーがお客様のクラウド内の顧客ファイルに直接アクセスして共同作業できるようにします。

顧客メタデータは、Cintooアカウントの作成時にアカウント管理者が行った選択に応じて、Central US（アイオワ）、West Europeリージョン、またはCanada Centralリージョンにホストされたままとなります。バックアップは別の場所に保存されます。

ハイブリッドクラウドオプションを導入するには、追加料金が発生します。

データの分離

顧客メタデータについて：

• Cintooはコミュニティプラットフォームであるため、複数のお客様のデータを扱っており、お客様は、他のお客様や過去の案件ですでにCintooアカウントを持っているユーザーにアクセス権を付与する場合があります。
• 汎用URL（aec.cintoo.com）経由でCintooにアクセスするユーザーには、さまざまなアカウントやお客様の間でユーザーを共有できるデフォルトのTenantがあります。
• カスタムURL（company.cintoo.cloud）からCintooにアクセスするユーザーの場合、お客様ごとに一つのTenantがあります：

顧客ファイルについて：

• 各プロジェクトのデータの分離は、顧客ファイルを、プロジェクトごとにオブジェクトストア内の専用フォルダー（または専用のオブジェクトストア）に保存することで確保されています。
• ハイブリッドクラウドホスティングオプションを選択した場合、顧客ファイルはお客様自身が保存・管理できます。

アクセス管理と認証

Cintooプラットフォームのデフォルトの認証方式はログイン/パスワードに基づいており、推奨される最善のセキュリティ対策とプラクティスが導入されています。

ユーザーのアクセス管理はCintooプラットフォームに組み込まれています。管理は、アカウント管理者の役割を持つお客様が、役割と権限機能を使用して行います。これらはカスタマイズでき、ユーザーの役割と権限を設定する管理者に適切な粒度を提供します。

これら5つのプリセットの役割に加えて、アカウント管理者は、より細かい粒度を実現するためにカスタム役割を定義することもできます。

特定のプロジェクトへのすべてのユーザー招待の監査証跡が維持され、アプリケーション内で確認できます。アカウント管理者は、使用レポートをCintooの管理タブからエクスポートできます。このレポートには、直近一週間、一か月、または3か月の、すべてのプロジェクトのすべてのユーザーに関する日ごとの情報が含まれます。利用可能な情報は次のとおりです。

顧客データへのすべてのアクセスとログイン試行は記録されるため、不審なアクティビティを追跡、調査、監査できます。ただし、適切なユーザーに適切な役割/権限を割り当てる責任は、管理者および共同管理者にあります。

Cintoo独自のアプリケーションはすべて、Azure ADシングルサインオン（SSO）で保護されており、すべてのユーザーに対してMFAが必須となっています。

お客様のデータにアクセスできるのは、お客様の明示的な承認を得た後のCintooのサポートエンジニアのみであり、本番環境のインシデント調査やバグ修正に必要な場合に限られます。このようなアクセスは記録され、監査できます。

企業向けシングルサインオン（SSO）

Cintooは、企業のセキュリティ要件を満たし、ユーザー管理を簡素化するために、企業のシングルサインオン（SSO）ソリューションと統合できます。企業SSOのメリットは、覚えるパスワードが一つで済むことだけではありません。ユーザーアクセス、認証、パスワード管理に関する企業のポリシー（例：3か月ごとのパスワード変更、パスワード構成、過去のパスワードの再利用禁止など）を採用できることです。

企業SSOを導入することで、Cintoo Cloudは本質的にこのポリシーに準拠します。

Cintooは、OpenID Connect（OIDC）およびSAMLプロトコルをサポートしており、次のIDプロバイダーと互換性があります。

• Azure AD（推奨プロバイダー）
• Microsoft ADFS
• Okta / Okta MyID
• Ping Federate

CintooアカウントでSSOオプションを申し込むには、Cintooの営業担当者またはsales@cintoo.comにお問い合わせください。この導入には追加料金が必要です。

多要素認証（MFA）

すべてのCintooドメイン（eu.cintoo.cloud、us.cintoo.cloud、ca.cintoo.cloudを含む）で、ネイティブログインフロー（SSOフロー以外）を経由するすべてのユーザーは、メールによるワンタイムパスワード（OTP）認証を行う必要があります。

SOC 2への準拠

Cintooは、COSO、COBIT 5、ISO 27001に基づく内部統制フレームワークを構築しており、毎年SOC 2 Type 2監査によって検証されています。最新の監査報告書は、秘密保持契約（NDA）の締結後にお客様に提供できます。

Cintooの情報システムセキュリティポリシー（「ISSP」）、ITポリシー、運用手順、セキュリティ手順は、システムとデータを保護する方法について、組織全体にわたるアプローチを定めています。これらには、サービスの設計・開発方法、システムの運用・管理方法、従業員の採用・教育方法に関するポリシーが含まれます。「ISSP」とその統制は、最高レベルのセキュリティとコンプライアンスを確保するため、毎年見直されています。

ISO 27001認証

Cintooは、ISO 27001準拠認証を維持しています。ISO 27001は、情報セキュリティマネジメントシステム（ISMS）の仕様を定めた、情報セキュリティの国際規格です。Cintooは2024年からISO 27001認証を取得しています。

ペネトレーションテスト

日常的な監視に加えて、Cintooは第三者の企業に依頼して、年二回のペネトレーションテストを実施しています。ペネトレーションテストの報告書は、秘密保持契約（NDA）の締結後に提供できます。

FedRAMP

Cintooは現在、FedRAMP認証を取得していません。ただし、一部のホスティングオプションでは、データベース/Webサーバー部分がFedRAMP認可を受けており、Cintooがそのコントロールを継承できます。

例：

デフォルトのプロジェクトホスティング（CDN）は、EUリージョンではAWSドイツを使用しており、これはFedRAMPの認可を受けていません。

FedRAMP認可を受けたインフラストラクチャ（データベース/Webサーバー）を利用するには、プロジェクトのホスティングをAzureまたはAWS USのみにする必要があります。

GDPR

Cintooのクラウドプラットフォームに関する、お客様に対するCintooのサービスおよびセキュリティ上のコミットメントは、次の文書に記載・通知されており、いずれもCintoo経由でオンラインで閲覧できます。

• 利用規約
  • 利用規約は、Cintooのお客様によるCintooおよび関連サービスへのアクセスと利用を規定します。
  • すべてのCintooユーザーは、アカウントの作成時にこの利用規約に同意する必要があります。
• データ処理契約
  • データ処理契約は、Cintooとお客様の間の利用規約に対する追補です。この契約には、EU一般データ保護規則（GDPR）に基づく、データセキュリティおよびインシデント対応の要件、お客様の責任を含む、顧客データの取り扱いおよび処理に関する要件が記載・通知されています。
  • データ処理契約は、Cintooアカウントの作成時にアカウント管理者が同意する必要があります。

データの保持と削除

顧客メタデータについて：

• SQLデータベースに保存されている削除済みの顧客メタデータは、監査目的で3か月間保持されます。
• お客様が明示的に削除を依頼した場合、このデータはデータベースのバックアップに30日間のみ保持されます。

顧客ファイルについて：

• プロジェクトがCintooから削除された場合（お客様による明示的な削除またはサブスクリプションの終了のいずれか）、デフォルトのパブリッククラウドホスティングを使用している場合は、自動化されたプロセスにより、1か月後（お客様が明示的に依頼した場合はそれより早く）に、オブジェクトストアからすべての顧客ファイルが削除されます。
• お客様がハイブリッドクラウドオプションを選択した場合、顧客ファイルの削除を含む管理は、お客様の責任となります。

データのバックアップと復旧

Cintooは、正式なバックアップおよびデータ復旧の手順を維持しています。顧客ファイルは、アベイラビリティゾーンまたはリージョンに基づく複数のデータセンターにリアルタイムで保存・複製されます。さらに、お客様のデータには30日間の増分バックアップ復旧期間があり、お客様はいつでも、過去30日間に行われた変更内容のすべてを復旧できます。

カナダリージョンでは、顧客ファイルはカナダ国内のアベイラビリティゾーン間でリアルタイムに複製され、カナダ国外には複製されません。30日間の増分バックアップ復旧期間は、AWS - Canada (Central) およびAzure - Canada Centralでホストされているプロジェクトに適用されます。

災害復旧と事業継続

Cintooの災害復旧（DR）および事業継続（BC）戦略の全体像は、社内の重要なIT業務をすべてクラウドに移行することで、オフィスで災害が発生しても影響を最小限、またはゼロに抑えることです。すべての従業員は、どのような状況でもサービスを運用・監視できます。事業継続を保証するために、慎重なナレッジマネジメントが行われています。DR/BC戦略の責任者は、組織内で明確に任命されています。

CintooサービスのDR計画は、主にアベイラビリティゾーンまたはペアリージョンを使用して、すべてのAzureおよびAWSのストレージリソースを地理的に複製することに依存しています。顧客メタデータのSQLデータベースは別のAzureリージョンにリアルタイムで複製されるため、リージョン障害が発生した場合も迅速に復旧できます。クラウドインフラストラクチャ全体のデプロイはInfrastructure as Codeで自動化されているため、1時間以内にゼロから再構築できます。Azureストレージアカウントの別リージョンへのフェイルオーバーにも約1時間かかります。

カナダリージョンでは、リージョン障害が発生した場合のSQLデータベースの復旧は、Canada Eastリージョンに保存されているジオ冗長バックアップに依存します。

DR計画は、高可用性アーキテクチャが想定どおりに機能することを確認するため、毎年テストされます。

SQLデータベースは別のクラウドリージョンにリアルタイムでバックアップされ、過去30日間の任意の時点からバックアップを復元できます。復元テストは、DR計画のテストの一環として毎年実施されます。カナダリージョンでは、SQLデータベースのバックアップはCanada Eastリージョンでジオ冗長化されており、保持期間は35日間です。

目標復旧時間（RTO）および目標復旧時点（RPO）の詳細は、秘密保持契約（NDA）の締結後に提供できます。

サービスレベル目標

Cintooのサービスは、インフラストラクチャのあらゆるレベルでの冗長性とマネージドクラウドサービスの利用によって確保された、高可用性アーキテクチャに基づいています。

Cintooは、計画メンテナンスを除き、毎日24時間、年365日、月間99.5%の可用性（SLA）でサービスを提供します。Cintooはお客様にメンテナンススケジュールを提供し、計画外のメンテナンスが発生する場合は事前に通知します。

暗号化

AzureストレージおよびAWSに保存されているすべてのデータは、AES 256を使用して保存時に暗号化されます。暗号鍵はAzureとAWSによって管理され、暗号化されたデータとは別に保存されます。

• Azureストレージの保存時の暗号化
• AWSのサーバー側の暗号化

適切な鍵管理の証拠は、AzureおよびAWSのSOC 2レポートで確認できます。

すべてのネットワーク転送はTLS 1.2以上で保護されています。パブリッククラウド内のデータは、TLS 1.2以上を使用して転送中に暗号化されます。

ソフトウェア開発

Cintooは、OWASPのセキュアコーディングに関するすべての推奨事項とベストプラクティスに従っています。

これらのベストプラクティスは、新しいコードを開発環境に反映する前に必須となる、体系的なコードレビューによって確保されています。

技術的な脆弱性は、コードレビュー、自動化されたQAテスト、手動のペネトレーションテストによって定期的に評価されます。脆弱性はすべて追跡され、最優先で対処されます。

すべての従業員のワークステーションにはウイルス対策ソフトウェアが導入されており、最新のOSセキュリティパッチが適用された状態に維持されています。この手順は、ログ分析や通常とは異なるイベントの検出を確実に行い、外部からの攻撃者に対する保護の確保に寄与するために設けられています。

外部からCintooの社内ネットワークにアクセスする唯一の手段は、VPNと、デフォルト拒否ポリシーで構成されたセキュリティシステム（ファイアウォール）経由のみです。