アクセス制御
CrowdHandlerでは、堅牢なアクセス制御ポリシーを採用し、システムやデータへのアクセスを許可された個人のみに制限しています。当社の論理的アクセス制御手順には、以下のものが含まれます：
エンドユーザー
当社のクライアントのアプリケーションのエンドユーザーは匿名であり、ランダムに生成されたトークンによってのみ識別されます。エンドユーザーにはログイン権限がなく、CrowdHandlerのシステムやデータへのアクセス権もありません。エンドユーザーのセッションを管理者パネルのユーザーに昇格させる方法は存在しません。
管理ポータルのユーザー
クライアント管理者は、当社の管理ポータルにアクセスして設定を行ったり、レポートを確認したりします。アクセス制御は以下の方法で行われます：
- 専用ログイン - 各クライアントの管理者は、当社のポータルにログインするための固有のユーザー名とパスワードを持っています。パスワードは、安全なハッシュ化およびソルト処理を施して保存されます。
- ロールベースのアクセス制御 -管理者には、標準の「ユーザー」ロールまたは特権のある「管理者」ロールのいずれかが割り当てられ、ポータルのどの機能にアクセスできるかが決定されます。請求情報の閲覧やユーザー管理の変更を行えるのは、管理者ロールのみです。
- 二要素認証（任意） -管理者は、Google Authenticator や類似のアプリを使用して、ポータルアカウントで二要素認証を有効にし、セキュリティをさらに強化することができます。
AWSユーザー（CrowdHandlerスタッフ限定）
CrowdHandlerのスタッフは、セキュアなVPNおよびMFAによる認証を経由してAWS環境にアクセスし、インフラストラクチャやアプリケーションコンポーネントの管理を行っています。アクセス制御には以下が使用されています：
- 専用のIAMユーザー - 各スタッフには、AWSコンソールおよびCLIにログインするための固有のIAMユーザー名とパスワードが割り当てられています。パスワードは複雑に設定されており、90日ごとに変更されます。
- 厳格な最小権限の原則 -IAMポリシーを用いて、従業員が職務を遂行するために必要な最小限の権限のみを付与しています。すべてのアクセスは監視および監査の対象となります。
- 多要素認証 -AWSへのすべてのアクセスには、ハードウェアセキュリティキーまたはGoogle Authenticatorを使用したMFA認証が必要です。
- 認証情報のローテーション -アクセスキーとパスワードは、少なくとも6か月ごとに更新されます。
CrowdHandlerのアクセス制御ポリシーは、システムおよび顧客データへの特権アクセスを、承認された個人のみに限定するように設計されています。多要素認証（MFA）、認証情報の安全な保管、最小権限の原則に基づくアクセスなど、複数の安全対策により、ログイン認証情報とアカウントのセキュリティを最大限に確保することを目指しています。監査ログにより、アクセス権限がどのように利用されているかについて透明性が確保されます。当社のポリシーは、IDおよびアクセス管理に関する業界のベストプラクティスに準拠しており、アクセス権の不正利用によるリスクを最小限に抑えます。