Asanaのセキュリティとプライバシー

ホワイトペーパー Asana のセキュリティと プライバシー Asana によるデータ保護

Asana のセキュリティとプライバシー 目次 はじめに. ....................................................................................................................................................................................................................4 インフラストラクチャ ............................................................................................................................................................................................5 ウェブサーバー .................................................................................................................................................................................................6 データベース ......................................................................................................................................................................................................6 マスター. .....................................................................................................................................................................................................6 顧客データ .................................................................................................................................................................................................6 ユーザーデータ .........................................................................................................................................................................................6 ファイルストレージ .........................................................................................................................................................................................6 ヨーロッパのインフラストラクチャ ...........................................................................................................................................................6 データセキュリティ ........................................................................................................................................................................................7 転送時の暗号化 .........................................................................................................................................................................................7 保存時の暗号化 .........................................................................................................................................................................................7 マルチテナンシー .............................................................................................................................................................................................8 スケーラビリティおよび信頼性 ....................................................................................................................................................................8 システム可用性のレベル .........................................................................................................................................................................8 稼働状況確認ページ .................................................................................................................................................................................8 バックアップ .....................................................................................................................................................................................................8 製品セキュリティ機能 ............................................................................................................................................................................................9 管理者 .................................................................................................................................................................................................................9 ユーザープロビジョニング機能 ....................................................................................................................................................................9 ログインセキュリティ .....................................................................................................................................................................................9 パスワードの安全措置 .............................................................................................................................................................................9 Google SSO ...........................................................................................................................................................................................10 SAML を使用したシングルサインオン ............................................................................................................................................10 アクセス権限 ..................................................................................................................................................................................................10 Asana オブジェクト .............................................................................................................................................................................10 タスク ................................................................................................................................................................................................10 プロジェクト ...................................................................................................................................................................................11 チーム ................................................................................................................................................................................................11 組織 ....................................................................................................................................................................................................11 ユーザー ............................................................................................................................................................................................11 ゲスト管理 ......................................................................................................................................................................................................12 アプリのホワイトリスト .............................................................................................................................................................................12 データコントロール ......................................................................................................................................................................................13 アプリケーションのセキュリティ ....................................................................................................................................................................14 2

Asana のセキュリティとプライバシー Asana プラットフォーム. ...................................................................................................................................................................................15 連携 ...................................................................................................................................................................................................................15 サービスアカウント ..............................................................................................................................................................................15 サードパーティアプリケーション .............................................................................................................................................................16 運用上のセキュリティ .........................................................................................................................................................................................17 Asana の情報セキュリティ ........................................................................................................................................................................17 機密情報. ..................................................................................................................................................................................................17 人事管理 ...................................................................................................................................................................................................17 ユーザーアクセスのレビューとポリシー .........................................................................................................................................17 物理的セキュリティ ..............................................................................................................................................................................17 Asana の拠点 .................................................................................................................................................................................17 データセンターセキュリティ ......................................................................................................................................................18 ネットワークセキュリティ ..................................................................................................................................................................18 IT セキュリティ. .....................................................................................................................................................................................18 リスクと脆弱性の管理 .................................................................................................................................................................................18 侵入テスト ...............................................................................................................................................................................................18 バグバウンティ .......................................................................................................................................................................................18 ソフトウェア開発ライフサイクル ......................................................................................................................................................19 インシデントレスポンス ..............................................................................................................................................................................19 災害復旧と事業継続 ......................................................................................................................................................................................19 データ保持とデータ廃棄 .............................................................................................................................................................................20 データ保持 ...............................................................................................................................................................................................20 データ廃棄 ...............................................................................................................................................................................................20 監視 ...................................................................................................................................................................................................................20 サブプロセッサーとベンダー管理 .............................................................................................................................................................20 プライバシー、証明書、コンプライアンス ....................................................................................................................................................21 プライバシーポリシー ..................................................................................................................................................................................21 証明書と法令順守 ..........................................................................................................................................................................................21 プライバシーシールドフレームワーク. .............................................................................................................................................21 サービスと組織の統制 (SOC 2) ........................................................................................................................................................21 GDPR ...............................................................................................................................................................................................................22 DPA ...........................................................................................................................................................................................................22 法の執行 ..........................................................................................................................................................................................................22 おわりに ..................................................................................................................................................................................................................23 最終更新: 2020年 2月1 1 本ホワイトペーパーは Asana のセキュリティの現状を説明していますが、将来、機能 / 製品がリリースされた時点で変更される 場合があります。 3

Asana のセキュリティとプライバシー はじめに 現在、世界中の企業が、日常業務から戦略的イニシアチブまで、より協働的かつフレキシブルに仕事を管理、整理す るために、新しいツールを導入しています。これらのツールは仕事管理ソリューションと呼ばれる新しいソフトウェ アのカテゴリに属し、Asana はその代表的存在です。 Asana はチームがより迅速にビジネスの結果を出せるよう、仕事の計画、整理、実行を支援します。195 か国で 75,000 社以上が有料サービス会員で、数百万人が利用する Asana は、チームの全員が何を、誰が、いつまでにや るべきか、確実に把握できるようにすることで、透明性 (クラリティ) の向上を進め、仕事に対するメンバーの足並 みを揃えることに役立っています。Asana で作成されたタスクは、なんと 10 億以上に上ります。 お客様は安心して Asana にデータを預けられるため、ビジネスにとって最も重要な仕事に集中できます。だからこ そ、当社では使いやすくコラボレーションに適したワークマネジメントソリューションを作ることだけでなく、お客 様のデータを安全に守ることに力を入れています。 Asana では、企業文化を通じて、全従業員のセキュリティ意識を高めています。この信用と透明性を重んじる企業 文化こそが、お客様の情報資産の保護に対する全体的な考え方、自覚、重視の姿勢を方向付けています。当社の経営 陣は、ポリシー声明、行動規範、共通のミッションや価値観に関する表明を通じて、こうした意識を当社の価値観や 行動基準の中で強化し、また「全部任せ、全責任を負う」姿勢を推奨する環境作りのために、さまざまなアクション を起こしています。 Asana はセキュリティプログラムとセキュリティ慣行の設計および実装に当たり、以下の原則を重視します。 • 不正アクセスから当社のウェブアプリおよびモバイルアプリを保護するための、物理的および環境的セキュ リティ • アプリケーションの可用性の維持 • 顧客データを保護するための機密性 • ライフサイクルを通してデータの正確性と一貫性を保持するための整合性 本ホワイトペーパーでは、インフラストラクチャ、製品、運用、コンプライアンス、認証の観点からセキュリティと プライバシーについて説明します。 本ホワイトペーパーの大部分はすべての Asana プランに当てはまりますが、Premium、Business、Enterprise の有 料プランを念頭に置いて作成されています。2 機能が一部のプランで利用できない場合は、その旨明記されています。 2 Asana の各プランについて詳しくは、 asana.com/pricing をご参照ください。 4

Asana のセキュリティとプライバシー インフラストラクチャ Asana は、主に Amazon Web Services (AWS) のクラウドコンピューティングサービス製品を、Asana プラッ トフォームの土台となる構成要素として活用しています。 AWS はクラウドコンピューティングインフラストラクチャのセキュリティとコンプライアンスを管理し、Asana は クラウドコンピューティングインフラストラクチャ上のソフトウェアと機密データのセキュリティとコンプライアン スを管理します。AWS の責任共有モデルをご参照ください。3 Asana は Amazon の仮想プライベートクラウドを使用し、AWS が提供するネットワーキングサービスと構成要素 を使用してセキュアでスケーラブル、管理が簡単なネットワークアーキテクチャを設計しました。Amazon の Elastic Compute Cloud (EC2) サービスが Asana プラットフォームの大部分を実行し、信頼性が高く、スケーラブ ルでセキュアな方法で、お客様のデータを処理します。下に Asana のインフラストラクチャを簡単に図示します。 3 http://aws.amazon.com/compliance/shared-responsibility-model * 暗号化は Enterprise のお客様のみに適用されます。 5

Asana のセキュリティとプライバシー 当社の本番環境のインフラストラクチャはロックダウンされており、当社の負荷分散装置のみが、外部からのウェブ トラフィックを受信できます。各ホストには役割が割り当てられています。セキュリティグループを使用して、これ らの役割の間で予測されるトラフィックを定義しています。 ウェブサーバー Amazon の CloudFront コンテンツ配信ネットワーク (CDN) を使用して、Asana の静的アセットをスケーラブル な方法で低遅延かつ高速に転送します。 データベース データベースは Amazon のリレーショナルデータベースサービス (RDS) で、マネージド MySQL データベースを運 用します。 マスター それぞれのユーザーの、暗号化されたパスワード (ハッシュ化およびソルト化された bcrypt) と認証情報を保管します。 顧客データ チーム、プロジェクト、タスクなど、お客様が Asana にアップロードしたすべての情報を保管します。 ユーザーデータ ユーザー名やメールアドレスなど、ユーザープロフィールに関連した情報を保管します。 ファイルストレージ ストレージサーバーは Amazon の Simple Storage Service (S3) です。ここには添付ファイルやデータベースの バックアップが保管されます。添付ファイルは、コンピューターから Asana タスクに直接アップロードされたあら ゆるファイルを指します。クラウドホストのコンテンツコラボレーションプラットフォームからの添付ファイルは、 これらのプラットフォームへのリンクとして作成され、Asana のストレージサーバーには保管されません。 ヨーロッパのインフラストラクチャ Asana はデータをヨーロッパ内に置く必要のある Enterprise のお客様に対して、ヨーロッパのデータセンターを提 供します。顧客データはフランクフルト (ドイツ) の AWS 欧州リージョンに保管され、バックアップがダブリン (ア イルランド) の AWS リージョンに保管されます。米国とヨーロッパのインフラストラクチャについて、いずれも AWS データセンターを使用します。組織全体の顧客データは、お客様の要望に応じて米国または EU 内に保管され ます。下図は、お客様がヨーロッパのインフラストラクチャを利用する場合の、Asana のインフラストラクチャを 簡易的に表したものです。 6

Asana のセキュリティとプライバシー データセキュリティ 転送時の暗号化 app.asana.com への接続は 128 ビット暗号で暗号化され、TLS 1.2 以上のバージョンをサポートします。接続の暗 号化と認証には AES_128_GCM、鍵交換方式には ECDHE_RSA が使用されます。Asana は Forward Secrecy と AES-GCM をサポートし、RC4 または SSL 3.0 以下のバージョンを使用した安全でない接続を禁止します。グ インと機密データの転送は TLS/SSL のみで実行されます。 保存時の暗号化 Enterprise のお客様向けに、Asana は顧客データが保管時に AES 256 ビット秘密鍵を使用して暗号化されること を保証します。 7

Asana のセキュリティとプライバシー マルチテナンシー インフラストラクチャは複数の顧客インスタンス間で共有されます。したがって Asana はマルチテナントのウェブ アプリケーションです。アカウントの認証、論理的なデータベースフィールドの分離、セッション管理コントロール を実装して、お客様のアクセスを、それぞれの組織に関連したデータのみに制限しています。 スケーラビリティおよび信頼性 Asana はサービスのスケーラビリティを保証する Amazon Web Services を使用しています。データベースは同期 して複製されるので、データベースの障害が発生してもすばやく復元できます。また、万一に備えてデータベースの スナップショットを定期的に作成し、離れた場所にあるデータセンターで安全に保管することにより、たとえ Amazon のリージョン全体で障害が起きたとしても、必要に応じて別の場所で復元できるようにしています。 システム可用性のレベル Enterprise のお客様には 99.9% のサービス稼働時間を保証しています。 稼働状況確認ページ 信頼とは努力によって得るものであり、私たちは、システムのステータスとパフォーマンスについて透明性を提供す ることがそのはじめの一歩だと信じています。Asana の稼働状況確認ページでは、過去 12 時間、7 日間、30 日 間、1 年間のウェブアプリ、モバイルアプリ、API の可用性を公開しています。 trust.asana.com をご確認ください。 バックアップ データベースのスナップショットは毎日作成されます。バックアップは本番環境のデータベースと同じ方法で保護さ れています。Enterprise のお客様には、バックアップのクロスリージョンコピーを行うことを保証します。 8

Asana のセキュリティとプライバシー 製品セキュリティ機能 Asana はユーザーや管理者がデータを保護するために必要な機能を備えています。これらの機能はお客様のデータ の包括的な管理コントロールと可視性を提供します。下記の機能の一部は Asana のプランによってはご利用になれ ない場合があります。Asana のプランについては、 asana.com/pricing をご覧ください。 管理者 管理者は、ユーザーが組織やワークフローに参加、離脱するのに合わせて、チームを管理して、メンバーやゲストの 追加や、プロビジョニングの解除を行えます。また、管理者は管理 API を使用してドメインのエクスポート、構成、 権限、サードパーティアプリ、チーム設定、ユーザー設定を管理することもできます。 ユーザープロビジョニング機能 Asana では、ユーザーや管理者が、自身のデータにアクセスできるメンバーを管理できます。 • ユーザーや管理者は、メンバーやゲスト (外部メンバー) を組織やチームに招待できます。 • 管理者は管理者コンソールから任意のメンバーやゲストを削除できます。 さらに、Enterprise のお客様は SCIM (クロスドメインアイデンティティ管理システム) 標準を使って、Asana と自 社のクラウドアイデンティティプロバイダーを連携することで、その他の SaaS ソリューションと同時にユーザーの プロビジョニングやプロビジョニングの解除を実行できます。 ログインセキュリティ Asana の管理者は、ユーザーが Asana のアカウントにログインする際の認証方法を決定できます。これには、 Asana 認証情報、Google SSO、SAML 2.0 を使ったシングルサインオンの 3 つのオプションがあります。 パスワードの安全措置 ユーザーが Asana 認証情報でアカウントにログインすることを許可されている場合、管理者はパスワードの強度要 件を指定できます。「強力な」パスワードを必要条件にすると、ユーザーは小文字、大文字、数字、特殊文字のうち 3 つを含む 8 文字以上のパスワードを使用する必要があります。 また、管理者は、組織のすべてのユーザーのパスワードを強制的にリセットすることもできます。 9

Asana のセキュリティとプライバシー Google SSO 管理者は組織のユーザーに、Asana へのログインに Google GSuite アカウントを使用することを指定できます。 SAML を使用したシングルサインオン Enterprise の管理者はアイデンティティプロバイダー (IdP) を構成し、ユーザーに対し、クラウド IdP アカウント 認証情報を使用して Asana にログインすることをリクエストできます。これは SAML 認証標準に基づいて構成され ます。 アクセス権限 管理者およびユーザーは他のユーザーを招待して自身のデータへのアクセスを許可することができます。ユーザーを 組織に招待する際には、さまざまな権限設定が可能です。招待されるユーザーのアクセス権は、オブジェクトレベ ル (タスク、プロジェクト、チーム、組織) で、いくつかの種類から選んで設定できます。アクセス権はユーザーレベ ルでなくオブジェクトレベルで定義されます。つまり、1 人の同じユーザーでも、コンテンツに応じてコメント限定 でアクセスできたり、完全に非表示となったり、リクエストによる「承認制」でアクセスできたり、完全な利用権限 が付与されたり、といったことがあり得ます。各オブジェクトや権限の種類についての詳細は Asana ガイド、 asana.com/guide でご確認ください。 Asana オブジェクト タスク Asana のタスクの公開設定は、非公開、公開、非公開プロジェクトに含まれる、または公開プロジェクトに含まれ る、のいずれかになります。 タスク: アクセスできるユーザー: 非公開タスク タスクのコラボレーターのみ 公開タスク 組織メンバー全員 非公開プロジェクト内のタスク タスクのコラボレーターとプロジェクトメンバー 公開プロジェクト内のタスク タスクのコラボレーター、プロジェクトメンバー、チームメンバー サブタスク タスクのコラボレーターと親タスクにアクセスできるメンバー 10

Asana のセキュリティとプライバシー プロジェクト Asana のプロジェクトは非公開にすることも公開することもできます。プロジェクトへのアクセス権を持つユーザー は、そのプロジェクト内のすべてのタスクや会話にアクセスできます。プロジェクトにユーザーを追加するとき、編 集可能またはコメント限定のいずれかのアクセス設定をすることができます。 プロジェクト: アクセスできるユーザー: 非公開プロジェクト プロジェクトメンバー 公開プロジェクト チームメンバーとプロジェクトメンバー 公開チーム内の公開プロジェクト 組織メンバー、チームメンバー、プロジェクトメンバー チーム Asana のチームは非公開、公開、または承認制にすることができます。チームに所属するメンバーは、そのチームの すべての会話と公開プロジェクトにアクセスできます。 チーム: アクセスできるユーザー: 参加の可否: 非公開 チームメンバー 不可 組織に公開 チームメンバーと組織メンバー 可 承認制チーム 承認制チーム 要承認 組織 Asana の組織はチーム、プロジェクト、タスクを含む最上位のオブジェクトです。 ユーザー Asana のユーザーは、使用するメールアドレスに関連付けられた個人のアカウントを取得します。そのアカウント には上述のさまざまなデータオブジェクトへのアクセス権が付与されます。さらに、デフォルトでは、ユーザーアカ ウントは使用するメールドメインに基づき、1 つの組織に自動的にアクセスできます。 フルメンバー 組織のメンバーシップは、使用するメールアドレスに関連付けられているドメインを基にしています。組織のメン バーになるには、組織が承認しているメールドメインのいずれかを持つメールアドレスを使用する必要があります。 11

Asana のセキュリティとプライバシー 組織のメンバーができることは以下のとおりです。 • 新しいチームの作成 • 組織内で参加リクエストが可能な全チームのリストの表示 • 組織内の他のメンバーやゲストの名前とメールアドレスの表示 • 組織で公開されているプロジェクトやタスクへのアクセス ゲスト 組織で承認されたメールドメインのメールアドレスを持たないクライアント、請負業者、お客様などの外部メンバー は、組織のゲストとしてコラボレーションできます。ゲストには組織内で限定的なアクセス権が与えられ、本人に明 示的に共有されたもののみ閲覧できます。 組織のゲストは、招待されない限りチームに参加することはできません。また、他のチームを作成、表示したり、チー ムへの参加をリクエストしたりすることはできません。 限定アクセスメンバー チームにはそれぞれ独自のメンバーが所属し、固有のプロジェクトがあります。チーム内の一部のプロジェクトにア クセス権がない人は、チーム設定のメンバータブに限定アクセスメンバーであることが表示されます。 限定アクセスメンバーは、自分が追加されたプロジェクトとタスクは見ることができますが、チームの会話や他のプ ロジェクトは見ることができません。 ゲスト管理 Enterprise の管理者は、外部メンバー (ゲスト) を招待できるユーザーを指定できます。管理者は以下の 3 つのオプ ションのいずれかを選択して、組織ゲストを招待する権限を持つユーザーを決めることができます。 • 管理者のみ • 管理者と組織メンバー • 全員 (組織メンバーとゲストの両方が含まれます) アプリのホワイトリスト Asana Enterprise の管理者は、Asana のアカウントを持つユーザーが使⽤できるサードパーティ連携を決めたり、 好ましくない連携をブロックしたりできます。 asana.com/apps を参照して、利⽤可能なサードパーティアプリ ケーションをご確認ください。 12

Asana のセキュリティとプライバシー データコントロール お客様は簡単に Asana のデータを選択してエクスポートしたり削除したりできます。また、Asana API を使⽤して ドメイン全体のデータを⾃動的にエクスポートすることもできます。 13

Asana のセキュリティとプライバシー アプリケーションのセキュリティ Asana のサービスは、ウェブベースの SaaS (サービスとしてのソフトウェア) アプリケーションです。ユーザーは、 ウェブブラウザー、モバイルアプリケーション (Android と iOS)、アプリケーションプログラミングインターフェイ ス (API) を使用して自身のデータにアクセスできます。 Asana を構成するサービスとコンポーネントは、React アプリケーションフレームワークに基づいて、主に JavaScript、TypeScript、Python、Scala で書かれています。Asana は OWASP Foundation が定義するセキュ リティベストプラクティスに従い、常にセキュリティバイデザインというアプローチに基づいて開発されています。 このように、当社は包括的な措置を講じて、以下のトピックを含む (ただし、これに限定されない) セキュリティリ スクを回避しています。 • インジェクション • 認証の不備 • 機密データの露出 • XML 外部実体攻撃 (XXE) • アクセス制御の不備 • セキュリティ設定のミス • クロスサイトスクリプティング (XSS) • 安全でないデシリアライゼーション • 既知の脆弱性を持つコンポーネントの使用 • 不十分なロギングと監視 • クロスサイトリクエストフォージェリ (CSRF) • 未検証のリダイレクトと転送 Asana は OWASP Top 10 のすべてのリスクに対する監査を毎年受けています。 14

Asana のセキュリティとプライバシー Asana プラットフォーム 連携 Asana ではユーザーがアプリケーションプログラミングインターフェイス (API) を使用して、アカウントにアクセス できます。Asana API は RESTful インターフェイスです。プラットフォーム上のデータの大部分についてプログラ ムでの更新、アクセスが可能なほか、変更が起きると自動的に反応することもできます。リソースにアクセスするた めの予測可能な URL が提供され、コマンドの受信と応答のために組み込みの HTTP 機能が使用されます。これに より、コマンドラインユーティリティ、ブラウザープラグイン、ネイティブアプリケーションなど、さまざまな環境 から Asana と容易に通信できます。お客様はこれらの API を使用してカスタムソリューションの作成や、その他の ソフトウェアとの連携が可能です。Asana は OAuth 2.0 または個人アクセストークンを API の認証方法としてサ ポートしています。 Asana API について詳しくは、 asana.com/developers をご覧ください。 下の図は実行可能なアクションと操作に関連するオブジェクトの概要を表しています。 デフォルトでは、すべてのソフトウェアやスクリプトの権限は、実行するユーザーの権限に従います。つまり、使用 できるデータはユーザーがアクセス権を持つデータに限定されます。追加のアクセス権が必要な場合、Enterprise のお客様は「サービスアカウント」をご利用いただけます。詳細は下記をご覧ください。 サービスアカウント Asana Enterprise のお客様は、サービスアカウントを使用して、すべてのコンテンツにアクセスできます。たとえ ば、サービスアカウントにより、組織全体のデータのエクスポートやチームアクティビティの監視などが可能です。 15

Asana のセキュリティとプライバシー サードパーティアプリケーション Asana の API では何百ものソフトウェアと簡単に連携でき、お客様はそれを利用して Asana の使用体験を向上か つ補完できます。Asana は Google や Microsoft の多様なツールと連携して、お客様のワークフローを合理化し、 生産性を高めます。その他のベンダーのサードパーティツールとも連携でき、以下のような機能を利用できます。 • アプリ間のメッセージの同期 • ワークフローの自動化 • プラットフォームの拡張 • ソフトウェア開発 • データインポート • ファイル共有 • レポート • 時間追跡 • データの受け付け サードパーティアプリケーションの一覧は asana.com/apps でご確認いただけます。 16

Asana のセキュリティとプライバシー 運用上のセキュリティ Asana の情報セキュリティ Asana は正式な情報セキュリティマネジメントプログラムを運用しており、Asana の最高情報セキュリティ責任者 (CISO) の管轄下のセキュリティ専門スタッフが担当しています。この組織はセキュリティコントロールの実装と Asana における悪意ある行為の監視を行っています。 機密情報 Asana は、すべてのお客様のデータを分類に関わらず機密情報として扱います。本ポリシーにより、機密情報へのア クセスを、業務の一環としてそうした機密情報へのアクセスを必要とする従業員に制限し、かつ、お客様に特定の サービスを提供する上で当該情報へのアクセスを必要とする状況のみに限定します。そのような場合、従業員は担当 の業務を実施する上で必要な、最小限の機密情報のみにアクセスするよう指示を受けます。 人事管理 Asana のすべての従業員と請負業者は、守秘義務契約と職務発明契約に署名し、雇用時と、その後は年 1 回、正式 なセキュリティ意識向上トレーニングに参加することを義務付けられています。 すべての技術者はデータアクセスポリシー契約に署名し、Asana 採用前に身元調査を受けます。さらに、顧客デー タのすべてのエントリーポイントにセキュリティゲートウェイを設置し、すべてのデータアクセスはログに記録され 無期限で保管されます。 Asana ではポリシーへの違反者に対する懲戒処分の指針を設けています。 ユーザーアクセスのレビューとポリシー 四半期ごとに、経営陣は管理対象システムへのユーザーアクセスのレビューを行い、アクセスが引き続き適切である ことを確認し、必要のなくなったアクセス権を削除します。退職した社員のアクセス権も削除されます。 物理的セキュリティ Asana の拠点 Asana のオフィスへの入退室のセキュリティ管理にはキーカードを使用し、アクセスがログに記録されます。すべて のオフィスには侵入警報システムが設置されています。訪問者は受付にて記録されます。すべての従業員には、不審 な行為、施設への無断侵入、物品の盗難 / 紛失が起きた場合の報告義務があります。 17

Asana のセキュリティとプライバシー データセンターセキュリティ Asana は AWS による世界クラスの物理的および環境的セキュリティ管理を利用しています。4 ネットワークセキュリティ 当社では、オフィスのネットワークとネットワーク上のデバイスの可用性を常に監視しています。ファイアウォー ル、DNS サーバー、DHCP サーバー、ルーターなどのネットワークデバイスによって記録されたログを 1 か所で収 集し、セキュリティ装置 (ファイアウォール)、ワイヤレスアクセスポイント、スイッチのネットワークログを保存し ています。 IT セキュリティ すべてのノートパソコンとワークステーションは、ディスク全体を暗号化し、一元管理されたイメージによりプロビ ジョニングしています。従業員のマシンには必ずアップデートを適用し、ワークステーションにマルウェアが侵入し ていないか念入りに監視しています。また、デバイスマネージャーを使用して重要なパッチを適用したり、マシンを 遠隔消去したりすることもできます。当社は可能な限り二要素認証を使用し、企業インフラストラクチャに対するア クセスのセキュリティをいっそう強化しています。Asana は定期的にセキュリティスキャンを実行しています。 リスクと脆弱性の管理 Asana は、システム内の脆弱性を積極的に特定する継続的なリスク管理プロセスを実施し、会社の運営に対して新 しく発生する脅威のアセスメントを実行しています。 Asana は本番環境における内部システムと外部システムの両方の脆弱性スキャンを実行しています。Asana のセ キュリティチームは年 4 回以上スキャンを実行し、その評価に基づき脆弱性を修正しています。また、セキュリティ 責任者が本番環境に大きな変化が起こったと判断した場合にも、脆弱性スキャンが実行されます。 侵入テスト 当社は外部のセキュリティ専門会社と提携して、コードに対する一般的なエクスプロイトをテストし、本番サーバー に対してネットワークスキャニングツールを使用しています。侵入テストは年 1 回実行されています。脆弱性が確認 された場合は修正し、再テストします。 バグバウンティ 当社では、外部のバグバウンティプログラム5 を利用し、脆弱性を発見したセキュリティリサーチャーに報酬を支 払っています。 4 http://aws.amazon.com/compliance/data-center/controls 5 http://asana.com/bounty 18

Asana のセキュリティとプライバシー ソフトウェア開発ライフサイクル Asana は Git バージョン管理システムを使用しています。Asana のコードベースが変更されると、自動化された一 連のテストとレビューが実施された後に、人の手によるレビューも行われます。自動化システムによるテストに合格 すると、その変更はまずステージングサーバーにプッシュされ、そこで Asana の社員がテストを行ってから、最終 的に本番環境のサーバーと Asana の顧客ベースへとプッシュされます。また、機密性が特に高い変更や機能に対し ては、特別なセキュリティレビューも追加で行われます。さらに、Asana のエンジニアが特に重要な更新のみを選 別 (チェリーピック) し、本番環境のサーバーに速やかにプッシュすることもできるようにしています。 アクセス制御を変更した場合は、それがパブリッシュされた場所をすべてリストに記録しています。また、アクセス 制御のルールが正しく作成され、ルールに従って正しく機能していることをチェックする一連のユニットテストも自 動で実施しています。 インシデントレスポンス 当社は、Asana により転送、保管、その他処理される機密データまたは個人データの、偶然または不法な破壊、損 失、盗難、変更、無断の開示、またはアクセスに関連するセキュリティインシデントやセキュリティインシデントと 疑われる事象に対して合理的で一貫性のある対応を確立するため、インシデントレスポンスプランを策定し、実施し ています。このインシデントレスポンスプランには、セキュリティインシデントに対する Asana のセキュリティト リアージ、調査、修正、報告方法の詳細が決められています。Asana はデータ漏洩時に備え、サードパーティのデジ タルフォレンジックサービスおよびインシデント対応企業と提携しています。 災害復旧と事業継続 Asana は予期せぬ不可避の災害の発生により長期的なサービス停止が起こった場合、妥当な期間内に可能な限り広 範囲のサービスを復旧するための事業継続計画を用意しています。災害後、最重要の技術インフラストラクチャとシ ステムを復旧または持続させるための一連の災害復旧ポリシーと手順が文書化されています。 Asana の主要なデータセンターは、米国内に置かれるデータについてはバージニア州、ヨーロッパに置かれるデー タについてはフランクフルト (ドイツ) の AWS でホストされ、同じ AWS リージョンに冗長性があります。1 つの AWS データセンターに障害が発生しても、復旧手順により別のデータセンターからノードが復元されます。大災害 の発生を考慮して、災害復旧 (DR) サイトは、米国内のデータについてはオハイオ州、ヨーロッパ内のデータについ てはダブリン (アイルランド) の AWS データセンターにホストされています。6 6 RDS マルチ AZ 展開による複数のアベイラビリティゾーン 19

Asana のセキュリティとプライバシー データ保持とデータ廃棄 データ保持 当社はお客様の情報を、当社のプライバシーポリシーで説明されている目的を果たすために必要な期間保持します。 Enterprise のお客様のドメインデータはリクエストにより削除します。 データ廃棄 お客様の組織の正式な代表者から要求していただくことにより、お客様は顧客データのエクスポートまたはドメイン 削除をリクエストできます。ただし、適用される法律に準拠するため、Asana は保持されたいかなる顧客データの 機密性をも維持することに同意した上で、リクエストの日付を過ぎてから該当の顧客データを実際に処理する場合が あります。 監視 Asana は、Amazon CloudWatch と、重要なデータをログから抽出し監視サービスにプッシュするカスタムスク リプトとを組み合わせて使用しています。Asana は社内とお客様向けの両方の物理的なインフラストラクチャとコ ンピューティングインフラストラクチャのキャパシティ使用率を監視し、提供されるサービスが同意されたサービス 品質保証 (SLA) と一致しているかを確認しています。当社ではネットワークとアプリケーションのセキュリティス キャンを自動的に実行しています。監視スクリプトを週 1 回実行し、コードの変更が適切にレビューされているこ とを確認しています。 特定のアプリケーションとマシンログは無期限で保持され、一般的に S3 の長期ストレージに保管されます。より詳 細なマシンログはログを生成するマシンのみに保管され、通常 2 週間保持されます。 サブプロセッサーとベンダー管理 Asana は合理的な手段を講じて、当社のポリシーに沿ったセキュリティ対策を実装しそれを維持するサードパー ティサービスプロバイダーのみを選択し採用します。Asana でソフトウェアが実装される前、またはソフトウェアベ ンダーを使用する前に、Asana の IT チームはベンダーのセキュリティプロトコル、データ保持ポリシー、プライバ シーポリシー、セキュリティ追跡記録を慎重に審査します。ソフトウェアまたはソフトウェアベンダーが、Asana のデータとエンドユーザーを十分に保護する能力を証明できない場合、当社の IT チームはそれらの使用を拒否する 場合があります。ベンダーの再審査は年 1 回行われます。 当社の現在のサブプロセッサーは、「規約」ページで確認できます。7 7 http://asana.com/terms#subprocessors 20