セキュリティポリシー
SPHIOR Ledger for Jira
本セキュリティポリシーは、SPHIOR (以下「当社」) が SPHIOR Ledger for Jira (以下「本アプリ」) およびその開発・運用を支えるシステムをどのように保護しているかを説明するものです。データの取扱いについては当社プライバシーポリシー (https://ledger.sphior.com/privacy) をご参照ください。
1. アーキテクチャとデータ保護
本アプリは Atlassian Forge 上に構築されており、Atlassian の Runs on Atlassian プログラムの対象です。 · 外部ネットワーク egress ゼロ。本アプリ manifest は外部ホストを一切宣言せず、すべての処理は Atlassian 管理下の Forge ランタイム内で行われます。 · テナント分離ストレージ。すべての永続データは Atlassian テナント内部の Forge Storage (per-install SQL) に保管されます。当社は外部データベース、ログ転送、解析エンドポイントを一切運用しません。 · 第三者サブプロセッサーなし。本アプリは持ちません。 · 通信時暗号化: 全 API 呼び出しで TLS 1.2 以上 (Atlassian Forge プラットフォームで強制)。 · 保管時暗号化: Forge Storage は Atlassian により暗号化されます。プラットフォーム水準の統制については Atlassian Trust Centre (https://www.atlassian.com/trust) をご参照ください。
2. 改ざん検知台帳
本アプリ自身の監査台帳は SHA-256 ハッシュチェーンで保護されています。各スナップショットは直前レコードのハッシュを参照し、台帳への密かな改ざんはチェーンを破壊しアプリ内 integrity verifier に表示されます。お客様は書き出された evidence pack に含まれる署名により、pack の内容を外部独立検証できます。
3. 脆弱性管理とセキュア開発
· 自動セキュリティスキャン。Web セキュリティ監査 (認証後 DAST/SAST/SCA) は SPHIOR の中核事業であり、SAST (静的コード解析)、SCA (依存関係・OSS スキャン)、認証後 DAST を本アプリの到達面に対し定期的に (少なくとも四半期ごと、および主要リリース前に) 実施します。 · ソフトウェア部品表 (SBOM)。依存は lockfile で固定し、SBOM を維持して各リリースで確認します。 · 是正タイムライン。スキャン結果はトリアージのうえ、Atlassian Marketplace Security Bug Fix Policy に整合した期限で是正します (重大な問題は可能な限り早いリリースを優先)。 · ランタイムパッチ。Forge ランタイム、Forge SQL エンジン、Forge Storage は Atlassian が保守し、当社は Atlassian 推奨のランタイム version 更新を速やかに採用し、サポート切れの version は使用しません。 · 静的解析とレビュー。TypeScript strict、ESLint、forge lint を全コミットで実行。変更は main ブランチ merge 前にレビューされます。 · ソース内シークレットなし。リポジトリには認証情報・トークン・共有シークレットは一切含めません。本アプリはエンドユーザー PAT やパスワードを要求せず、プラットフォームトークンは Forge が管理します。 · ペネトレーションテスト。社内で認証後セキュリティテストを実施しています。独立第三者によるペネトレーションテストはロードマップ項目です。
4. セキュリティインシデント対応
本アプリに影響する確認されたセキュリティインシデント発生時、当社は以下の手順に従います。 1. 確認から 24 時間以内にトリアージを開始。 2. 重大な影響が確認された場合、影響を受けるインストールの登録 contact-for-security-issues 宛に、72 時間以内に通知 (GDPR Article 33 に整合)。 3. 根本原因分析と是正計画を作成。お客様影響のある修正は Atlassian Marketplace の標準更新パイプライン経由でリリース。 4. インシデント事後報告を影響顧客と共有し、必要に応じ本ページで公開要約。 セキュリティ事象の疑いは随時 security@sphior.com までご報告ください。1 営業日以内に受領確認します。
5. アクセス制御 (内部)
· 最小権限。ソースリポジトリ、Atlassian Developer Console、本番デプロイへのアクセスは、必要最小限の原則に基づきアプリのメンテナーに限定します。共有アカウント・共有本番認証情報は使用しません。 · ソースリポジトリ。main ブランチはステータスチェック必須 (TypeScript・lint・テストの通過を merge の前提) で保護されています。 · Developer Console。アクセスは publisher アカウント (founder@sphior.com) に限定し、多要素認証 (MFA) を有効化した Atlassian アカウント水準の認証を使用します。 · 多要素認証。ソースコード・Developer Console・デプロイツールにアクセスする全アカウントで MFA を強制します。 · 定期アクセスレビュー。開発・デプロイシステムへのアクセス権を持つアカウント一覧を少なくとも四半期ごとにレビューし、不要となったアクセスは速やかに失効します。 · 本番デプロイは Atlassian Forge CLI 経由で実施。共有本番認証情報は使用しません。
6. コンプライアンスと認証
コンプライアンスステータス: · GDPR Data Processor 義務: 採用 (プライバシーポリシー §10 参照)。 · CCPA Service Provider 義務: 採用 (個人情報の販売なし、業務目的に限定した処理)。 · Runs on Atlassian プログラム: 対象。 · SOC 2 Type II: ロードマップ (ローンチ後)。 · ISO 27001: ロードマップ (ローンチ後)。 · HIPAA: 未取得 — 本アプリは PHI 保管を想定していません。 当社は現時点で SOC 2 / ISO 27001 認証を保持していません。本アプリの Runs on Atlassian 対象資格により、基盤インフラについては Atlassian のプラットフォーム水準認証を継承しています。当社自身の認証を必要とされるお客様はロードマップ時期について当社までお問合せください。
7. 責任ある開示 (Responsible Disclosure)
本アプリに対するセキュリティリサーチを歓迎します。発見事項は以下の情報を添えて security@sphior.com まで非公開でご報告ください。 · 問題の説明 · 再現手順 · 影響評価 · 想定される緩和策 当社からの commitment: · ご報告を 1 営業日以内に受領確認 · 初期トリアージ判断を 5 営業日以内に提示 · 本ポリシーに従う善意のリサーチャーに対し法的措置を取らない Atlassian Marketplace Security Bug Bounty Program への参加はロードマップ項目です。参加完了までは当社へ直接ご開示ください。
8. お客様側のセキュリティコントロール
本アプリは Jira 既存の管理 UI 経由で運用され、Jira の認証・認可・監査ログ基盤を継承します。以下を強く推奨します。 · Jira 管理者権限は信頼できる最小限の担当者に限定。 · すべての Atlassian アカウントで二要素認証を有効化。 · アプリ内 Recent activity テーブルを定期確認し、スナップショット pipeline が想定通り動作していることを確認。 · 監査ルーティンの一部として evidence pack を生成・保管。pack にはアプリ外で検証可能な独立署名が含まれます。
9. ワークステーションと開発者セキュリティ
· フルディスク暗号化。開発用ワークステーションはフルディスク暗号化 (FileVault 等) を使用します。 · 画面ロックと MFA。ワークステーションはアイドル時に自動ロックし認証を要求、アカウントアクセスには MFA を要求します。 · パッチ適用。OS と開発ツールはベンダーのセキュリティ更新で最新に保ちます。 · エンドポイント保護。ワークステーションはベンダーサポートのエンドポイントマルウェア保護を実行します。 · 認証情報衛生。シークレット・トークンはソース管理に commit せず、プラットフォームトークンは Forge が管理します。
10. ログと監視
· Forge プラットフォームログ。アプリ実行ログは Atlassian Forge プラットフォーム (forge logs) と Developer Console から参照でき、外部システムへログを転送しません。 · ログに顧客データを残さない。アプリログは個人データや生の顧客設定を記録しないよう記述し、識別子は最小限にします。 · アプリ内可観測性。本アプリはキャプチャ成功率・ハッシュチェーン整合性・最近のアクティビティといった自身の稼働状態を管理 UI に直接表示し、外部ツールなしで正常動作を確認できます。
11. 事業継続と災害復旧
· プラットフォーム由来の堅牢性。永続データは Atlassian 管理下の Forge Storage に保管され、Atlassian のプラットフォーム水準のバックアップ・レプリケーション・堅牢性統制を継承します。Atlassian Trust Centre (https://www.atlassian.com/trust) をご参照ください。 · 独立インフラなし。本アプリは Forge ランタイム内で完結するため、Atlassian プラットフォームから独立して障害を起こす SPHIOR 運用のサーバー・データベース・サービスは存在しません。 · ソース復旧性。アプリのソースはバージョン管理され、標準の公開パイプライン経由で Atlassian Marketplace に再デプロイ可能です。 · 顧客側エクスポート。管理者はいつでも evidence pack を生成・保管でき、アプリ外で独立検証可能な台帳のコピーを得られます。
12. 人工知能 (AI)
SPHIOR Ledger は中核機能に人工知能・機械学習モデルを一切使用しません。設定キャプチャ、差分、ハッシュチェーン、actor 突合、コンプライアンスマッピングはすべて決定論的です。本アプリのゼロ egress アーキテクチャに整合し、顧客データを AI/ML サービスへ送信することはありません。
13. ポリシーのレビューと周知
本セキュリティポリシーおよび当社の内部セキュリティ実務は、少なくとも年 1 回、ならびに本アプリまたはその運用環境に重大な変更が生じた際にレビューします。関連する実務は、開発・運用に従事する委託先や第三者に周知します。上記の「最終更新日」は直近のレビュー時点を示します。
14. お問合せ
セキュリティ事象: security@sphior.com 一般お問合せ: support@sphior.com プライバシー関連: プライバシーポリシー (https://ledger.sphior.com/privacy) をご参照ください
最終更新日: 2026-06-29