CrowdHandlerにおけるセキュリティ強化と設定
CrowdHandlerでは、当社のサービスを支えるすべてのシステムに対して、セキュリティ強化およびベースライン設定を実施し、脆弱性を最小限に抑えています。当社のセキュリティ強化手順には、以下の内容が含まれます：
AWSの設定とセキュリティ強化
当社が利用しているすべてのAWSサービスは、AWSのセキュリティに関するベストプラクティスに従って設定されています：
- RDS MySQL- RDSのセキュリティグループ、パラメータグループ、およびオプションは、アクセスを制限し、暗号化、監査ログの記録、複雑なパスワードの設定などを実施するために使用されます。
- Lambda- 実行環境は厳重に保護されており、すべてのトラフィックはVPCエンドポイントを経由します。環境変数はKMSを使用して暗号化されます。
- S3 バケット- S3 バケットは公開されておらず、アクセス制御の実施にはバケットポリシーおよび ACL が使用されています。バージョン管理と暗号化が有効になっています。
- IAM- IAMポリシーは最小権限の原則に基づいており、多要素認証（MFA）が必須であり、パスワードポリシーも厳格に設定されています。認証情報は定期的に更新されます。APIキーは使用されていません。
- CloudFront- CloudFront ディストリビューションでは TLS が必須であり、フィールド暗号化が有効になっており、オリジンの要件に基づいてアクセスが制限されています。
- EC2サーバー- サーバーが使用されている場合、それらはプライベートサブネット内に配置され、セキュアなベースライン構成に従い、開放されているポート・プロトコル・暗号方式が制限されており、パッチ適用スケジュールが設定されています。
パッチ管理
当社は、すべてのインフラストラクチャにわたって、自動化されたパッチ管理ポリシーを運用しています：
- RDS データベース- マイナーバージョンの自動更新が有効になっており、データベースに自動的にパッチが適用されます。また、AWS のリリーススケジュールに基づき、メジャーバージョンのアップグレードも定期的に実施されています。
- Lambda ランタイム- 利用可能なパッチを適用するため、サポートされている最新の Lambda ランタイムライブラリおよび環境に更新します。
- S3/CloudFront- これらのサービスはAWSによって自動的に更新されるため、お客様によるパッチ管理は不要です。
- EC2サーバー- 導入されているサーバーについては、すべての更新プログラムについて定期的なパッチ適用スケジュールに従っています。パッチの適用は、Systems Managerなどのツールを活用して、可能な限り自動化されています。
CrowdHandlerのセキュリティ強化および設定ポリシーは、当社のサービスを支えるシステム全体の攻撃対象領域と脆弱性を低減するように設計されています。自動パッチ適用、最小権限のアクセス、およびセキュリティ対策により、ベストプラクティスに従って継続的なコンプライアンスの維持とインフラの最大限の保護を目指しています。