セキュリティプログラム

Fastly のセキュリティプログラムには、Fastly のサービスの使用時にお客様のデータを保護するための安全対策が含まれています。これらの安全対策に関する情報はカテゴリー別に整理されています。Fastly のテクノロジーコンプライアンスガイドには、Fastly が実施している追加の安全対策が記載されています。

認証と認可

ユーザーアカウントの割り当て。 Fastly のシステムおよびデバイスにアクセスする従業員に個々のユーザーアカウントが割り当てられます。このように割り当てることで、個々のユーザーのアクティビティをモニタリングし、アクティビティに対する責任をユーザーに課すことが可能になります。

ユーザーレベルの権限。 Fastly のシステムおよびデバイスでは、ユーザーロールの割り当てまたは同様の手段を通じて、個々のユーザーに許可するアクセスの範囲がコントロールされます。

多要素認証。 不正なログインからコンピューティングリソースをより安全に保護するため、多要素認証を実施しています。

アプリケーションのセキュリティ対策

セキュアなソフトウェア開発。 Fastly の開発者には、OWASP Top 10 を含む一般的なソフトウェアの脆弱性を特定し、攻撃から保護するためのトレーニングを毎年提供しています。また、開発者のコードはデプロイ前にピアレビューを受け、潜在的なセキュリティリスクが高いソフトウェアコンポーネントが存在しないよう社内のセキュリティエンジニアと外部のセキュリティ検証機関がコードを定期的に分析しています。

Web アプリケーションのセキュリティレビュー。 Fastly の Web アプリケーションのセキュリティは、第三者機関によって毎年評価されています。この評価で得られた知見は、Fastly サービスのセキュリティに与えるリスクに応じて対処されます。

ネットワークとインフラのセキュリティ対策

ネットワークセキュリティの見直し。 Fastly のネットワークでは、定期的に脆弱性スキャンと第三者機関によるペネトレーションテストが実施されます。Fastly は、これらの活動から得られた知見を検証し、対処することで、ネットワークのセキュリティ維持に役立てています。

設定基準。 安全なシステムとネットワーク機器を維持するため、設定基準を文書化し、それに従います。これらの基準には、使用するポート、プロトコル、サービスのビジネス上の正当性や、安全性に欠けるデフォルト設定の削除などが含まれます。

脆弱性とパッチ管理。 潜在的なセキュリティの脆弱性を認識するため、Fastly は公開および非公開の配布リストや、Fastly の責任ある開示プロセスを通じて提出されたレポートを確認しています。深刻な脆弱性に対しては、発見から24時間以内にセキュリティパッチを検証し、実装します。深刻度が低い脆弱性やアップデートについては、ベンダーが提供するパッチを定期的に導入しています。

暗号化

データ送信の保護。 Fastly のサービスでは、TLS の設定をサポートし、エンドユーザーやバックエンドのオリジンサーバーとの外部接続、および Fastly ネットワーク内での接続を暗号化しています。

暗号化キーの管理。 Fastly では、秘密鍵をそのライフサイクルを通じて保護するためのテクノロジーとプロセスを採用しています。

鍵の保管とアクセスのセキュリティ対策。 秘密鍵は暗号化されたレポジトリに保管され、鍵を管理する担当者のみが鍵の保管場所にアクセスできます。

データセンターと物理的なセキュリティ対策

物理的なアクセス制限。 Fastly のデータセンターは、不審者の侵入を防ぐため、フェンス、ゲート、マントラップなどにより、周囲が完全に保護されています。許可を受けた人物 (データセンターの担当者、Fastly の従業員、請負業者を含む) のみが、データセンター内に入り、移動することができます。

データセンターのアクセス管理。 データセンター内での移動は、警備員の配置、施設へのアクセスの記録と確認、ビデオ監視など、現場での安全対策により確実に監視されています。さらに、Fastly のデータセンターに入る可能性のある従業員のリストを定期的に見直し、調整しています。

アセットの設置における安全対策。 コンピューターやネットワークのハードウェアは、鍵付きのケージやラックに設置されます。許可された人物のみがこれらの機器に物理的にアクセスできます。

環境上の安全対策。 Fastly のデータセンターでは、バックアップ電源、温度や湿度、消火設備を制御するシステムにより、環境の乱れに対応しています。

事業継続性と運用上のレジリエンス

サービスのフェイルオーバー。 いずれかの配信拠点 (POP) でコンテンツの配信に問題が発生した場合、エンドユーザーへのコンテンツの配信を中断することなく、トラフィックを隣接する POP にリダイレクトできます。

インターネットの冗長性の確保。 Fastly のデータセンターは、複数のインターネット・サービス・プロバイダーと接続しています。Fastly はエンドユーザーにコンテンツを配信するのに、特定のキャリアに依存していません。

サービスのモニタリング。 サービス関連の問題を検出するため、社内外の複数のレポートチャネルをモニタリングしています。24時間365日体制でスタッフが Fastly サービスの障害を確認し、対応します。

コミュニケーションと報告手段。 影響を受けたお客様には、インシデントの範囲や深刻度に応じて、様々な通信手段 (status.fastly.com など) を用いて状況を随時ご報告します。

セキュリティインシデントの管理

インシデントレスポンスプラン。 Fastly は、ロールと責任、通信プロトコル、および対応プロセスが明確に定義された正式なインシデントレスポンスプランを採用しています。Fastly では、このプランを定期的に見直し、Fastly サービスに対する脅威やリスクの変化に合わせて更新しています。

インシデントレスポンスチーム。 セキュリティ関連のインシデントを発見した際は、主要部門の代表者が対応します。これらの担当者は、インシデントの調査と解決、および必要に応じて外部連絡先とのコミュニケーションを調整します。

セキュリティ侵害の通知。 Fastly は、お客様の機密情報の不正な開示を確認した後、48時間以内に影響を受けるお客様に通知します。

ログ記録とモニタリング

ログ解析。 Fastly の内部システムのアクティビティに関するデータを集約し、安全に保管します。これらのログをモニタリングすることで、潜在的なセキュリティ問題を発見し、調査することができます。

変更と設定のモニタリング テクノロジーの変更の可視性を高め、変更管理プロセスの遵守を確実にするため、複数のモニタリングおよび警告メカニズムを使用しています。

侵入の検出。 ネットワークやホストレベルで侵入の可能性を検出する仕組みを採用しています。Fastly のセキュリティチームが、これらの検出方法によって発見されたイベントについて調査し、対応します。

お客様とエンドユーザーのデータ管理

キャッシュのデータと設定。 お客様は、コンテンツをコントロールするポリシーを設定することで、キャッシュするコンテンツ、キャッシュの場所、キャッシュに保存する期間を管理することができます。詳しくは、キャッシュに関する説明をご覧ください。Fastly は、法律で義務付けられている、またはお客様が明示的に許可した場合、サービスを提供するため、あるいはサービスや技術上の問題を防止またはそれに対処するため、お客様のアカウントまたは設定に直接アクセスしたり、変更することがあります。同じ理由により、お客様のコンテンツを管理する機器やシステム、サービスにアクセスしたり、変更することもあります。

クライアントの IP アドレス。 Fastly のキャッシュネットワークとインターネットの一般的な通信の一環として、Fastly はサービスの提供と改善の目的で、匿名化されたクライアントの IP アドレス情報を限定的に収集しています。通常クライアントの IP アドレスは、最大2営業日、またはそれらのアドレスが転送エラー (503「Service Unavailable」エラーなど) に関連している場合は最大7日間、匿名化されず集計されないまま保持され、その後は破棄されます。

お客様の IP アドレス。 Fastly は、Fastly のコントロールパネルまたは API を通じてサービスにアクセスするユーザーの IP アドレスを独自に収集します。お客様はイベントログ機能を通じてこれらの IP アドレス情報にアクセスできます。お客様がオリジンサーバーや syslog のエンドポイントを IP アドレスを使用して定義している場合、その IP アドレスは設定の一部として保存されます。イベントログや設定で使用された IP アドレスは無期限に保存される場合があります。動的に解決されたオリジンの IP アドレスは、最大2営業日、またはそれらのアドレスが転送エラー (503「Service Unavailable」エラーなど) に関連している場合は最大7日間保持され、その後は破棄されます。

IP アドレスとセキュリティ監視。 Fastly は、当社のネットワークまたはお客様にリスクをもたらす可能性のある疑わしいアクティビティに関連する、あるいは Fastly サービスへの管理上の接続に関連するクライアントまたは契約者の IP アドレスを匿名化および集計せずに無期限に保持することができます。

コンテンツリクエストに関するデータ。 コンテンツは、リクエストに応じて Fastly のネットワークに入り、通過し、離れます。Fastly は、当社のサービス、事業運営、セキュリティおよびコンプライアンスプログラムをモニタリング、維持、改善する目的で、リクエスト処理の実行と信頼性に関するデータを保持し、使用します。お客様への守秘義務に従い、Fastly はこのデータを匿名化および集計した形でのみ開示します。

お客様のログストリーミング。 お客様は、エンドユーザーの IP アドレスを含む syslog のアクティビティをリモートのエンドポイントにストリーミングして分析し、利用することができます。Fastly は上述の場合を除き、お客様の syslog アクティビティを保持しません。

クラウドインフラのセキュリティとコンプライアンスプログラム

コンテンツの配信やリクエストの処理を行う Fastly のプロダクトをホストするのにサードパーティのクラウドインフラストラクチャを使用する場合、Fastly が直接インフラストラクチャを管理する場合とは異なるセキュリティおよび技術コンプライアンスプログラムの特定の側面に対処する必要があります。

データセンターと物理的なセキュリティ対策。 Fastly が使用しているクラウドインフラストラクチャでは、Fastly はクラウドインフラストラクチャのプロバイダーの管理下にあるデータセンタースペースに依存しています。これらのプロバイダーは、Fastly サービスのデータを含むアセットへの物理的なアクセスが可能な場合があります。Fastly は、第三者機関によるセキュリティレビューのプロセスの一環として、これらのプロバイダーが適切な物理的セキュリティ対策を講じてデータセンター施設を保護していることを確認しています。

事業継続性と運用上のレジリエンス。 クラウドホスト型のプロダクトを複数のインフラリージョンまたはゾーンに展開し、運用上の問題が発生した場合にサービスを継続できるようにしています。1つのアベイラビリティーゾーン内でサービスに障害が発生した場合、Fastly は自動的に別のゾーンのクラウドノードの使用を試みます。

暗号化。 Fastly は、Fastly とクラウドインフラストラクチャのプロバイダー間で送信されるデータを保護したり、クラウドインフラストラクチャに存在するデータを保護するため、送信中および保存時にデータを暗号化しています。Fastly はインフラストラクチャのプロバイダーが提供する暗号化機能を使用して保存時のデータを暗号化しているため、これらのプロバイダーも秘密鍵を保有している場合があります。Fastly は、第三者機関によるセキュリティレビューのプロセスの一環として、これらのプロバイダーがセキュアな暗号鍵の管理プロセスを維持していることを確認しています。

Back to Top