Alohiのセキュリティ
Alohiは、Sign.Plus、Fax.Plus、Scan.Plus、Dial.Plusを含むすべてのサービスで、お客様のデータを保護するための強固なセキュリティ対策とプライバシー対策を提供しています。
高度な暗号化、厳格なアクセス制御、リアルタイムの脅威検知を導入し、各サービスにわたってお客様のデータを守っています。当社のセキュリティ対策は国際基準に準拠しており、強固な保護とプライバシーを確保しています。また、新たなサイバー脅威に対抗できるよう防御体制を継続的に進化させ、お客様の情報の安全を維持しています。
テクノロジー
転送中および保管中のデータの暗号化
署名済み文書やFAX文書を含め、保管中のすべてのファイルは、256ビットのAdvanced Encryption Standard（AES）で暗号化されます。ユーザーごとに固有の暗号化キーを使用することで、データの安全性を確保しています。
当社のアプリ（モバイル、API、Webのいずれも）とサーバー間で送信されるデータには、従来の暗号化プロトコルであるSecure Sockets Layer（SSL）を改良した最新のプロトコル、Transport Layer Security（TLS）を使用しています。これにより、128ビット以上のAdvanced Encryption Standard（AES）暗号化で強化された安全な通信経路が確立されます。
当社はTLS 1.3に対応しています。TLS 1.3は、TLS 1.2を上回る速度とセキュリティを実現します。さらにプライバシー保護の層が加わり、通信を復号できるのは両方のエンドポイントだけとなるため、最高水準の機密性が保証されます。
アプリケーションのセキュリティテスト
当社のセキュリティチームは、Webアプリケーションおよびモバイルアプリケーションにおける潜在的な脆弱性やバグを検出して修正するため、自動および手動のセキュリティ評価を定期的に実施しています。さらに、第三者機関による監査を通じて年1回のセキュリティテストを受けており、Web、API、モバイルの各アプリケーションで特定された問題に迅速に対処できます。セキュリティへの取り組みをさらに強化するため、HackerOneなどのセキュリティプラットフォームにも積極的に参加し、セキュリティインシデントが発生する可能性を一層低減しています。
システムアーキテクチャ
安定性、パフォーマンス、セキュリティを高めるため、当社のシステムアーキテクチャは、複数の保護レイヤーを組み込んだn層フレームワークで構築されています。これらの保護レイヤーには、暗号化、ネットワーク構成、アプリケーションレベルの制御が含まれ、スケーラブルで安全なインフラ全体に慎重に分散されています。
DDoS対策
当社は、これまでに記録された最大規模のDDoS攻撃の15倍のネットワーク容量を持つコンテンツデリバリーネットワーク（CDN）を利用しています。この堅牢なインフラが最前線の防御となり、DDoS攻撃の可能性からサービスを守ります。
キー管理
保管中のファイル（署名済みファイルとFAXファイルの両方）の暗号化を担う当社のキー管理インフラは、運用面、技術面、手順面の強固なセキュリティ制御を備えて綿密に設計されています。キーへのアクセスは厳しく制限されており、最高水準のセキュリティを確保しています。
WAF
高度なネットワークレベルのファイアウォールに加え、エンタープライズ級のWebアプリケーションファイアウォール（WAF）を使用して、SQLインジェクション攻撃、クロスサイトスクリプティング、クロスサイトリクエストフォージェリなどの脆弱性からサービスを保護しています。
ハードウェアレベルのセキュリティ
FAXで送受信したファイルと署名済みファイルは、すべてスイス国内のデータセンターにのみ保管されます。これらのデータセンターは、ISO 27001などの最も厳格なセキュリティ基準を満たしていることを基に慎重に選定されており、Cloud Security Alliance（CSA）のメンバーでもあります。興味深いことに、データセンターの1つは、チューリッヒ近郊にある旧軍用の耐核指揮統制施設内に設けられ、スイスアルプスの奥深くで厳重に保護されています。もう1つはジュネーブにあり、ヨーロッパの金融拠点やグローバル市場に近い戦略的な場所に位置しています。
地域や国ごとの特定のデータプライバシー要件やデータレジデンシー要件に対応するため、お客様は完全に暗号化されたファイルを、世界各地にあるデータセンター間で柔軟に移動できます。この仕組みについて詳しくは、データレジデンシーをご覧ください。
コンプライアンス
ISO/IEC 27001への準拠
Alohiの認証取得済み情報セキュリティマネジメントシステム（ISMS）は、お客様のデータの安全性を確保するために設計されています。Alohiのステークホルダーとのあらゆるやり取りを対象とし、当社のサービスおよび製品の開発、サポート、保守に不可欠な人材、プロセス、ツールを網羅しています。
SOC 2 Type 2への準拠
当社のSOC 2レポートは、セキュリティに関するTrust Service Criteria（TSPセクション100）に対応した、統制に重点を置いた包括的な保証を提供します。お客様のデータを守るためにAlohiが実施している手順と、導入している複数の保護策を幅広く概観できます。この評価は、世界的に高い評価を得ている信頼性の高い機関であるEY CertifyPointが実施し、当社の統制が効果的に設計され運用されていることを証明しています。
HIPAAへの準拠
当社は、患者の医療データのプライバシーとセキュリティを最高水準で維持することの重要性を認識しています。そのため、管理面、物理面、技術面のあらゆる保護要件を綿密に精査し、HIPAAのすべての仕様に完全に準拠しています。この包括的な取り組みにより、個人の保護対象保健情報（PHI）や電子的な保護対象保健情報（ePHI）を含む、お客様のデータを保護しています。
PCI-DSSへの準拠
当社は、お客様の支払いカード情報を安全かつ確実に取り扱うため、最新バージョンのPCI DSSへの準拠を維持しています。厳格なデータセキュリティ基準を設けることで、お客様のクレジットカード情報の安全を継続的に確保しています。
高度なセキュリティ
Advanced Security Controls
すべてのユーザーとそのデータに最高水準のセキュリティとプライバシーを確保するための対策に加えて、Enterpriseプランの管理者には、データ保護をより細かく制御できる一部のセキュリティツールと機能を提供しています。アクセスログ：詳細なアクセスログを、Enterpriseチームのユーザーと管理者の両方が利用できます。アカウントがサインインするたびに、使用されたデバイスの種類と接続元のIPアドレスを記録します。
ユーザーのブロック：ユーザーが組織を離れた場合や、緊急事態・データ侵害が発生した場合に、そのユーザーを簡単にブロックできます
Business Associate Agreement（BAA）：Health Insurance Portability and Accountability Act（HIPAA）に準拠するためにBAAが必要なEnterpriseプランのユーザーとは、BAAを締結します
*Advanced Security Controlsは、Sign.PlusとFax.PlusのEnterpriseプランでのみご利用いただけます。
スイスの企業
すべてのユーザーデータは、スイス連邦データ保護法（DPA）およびスイス連邦データ保護令（DPO）によって保護されています。これらの法令は、個人にも法人にも、世界でも最高水準のプライバシー保護を提供しています。Alohiは米国およびEUの管轄外にあるため、当社が保有するごく限られたユーザー情報の開示を強制できるのは、ジュネーブ州裁判所またはスイス連邦最高裁判所の命令のみです。
セキュリティ脆弱性を報告する
当社が最優先するのは、お客様のデータのプライバシーとセキュリティです。この目標を達成するため、システムとデータの安全を守るうえでセキュリティ研究者が果たす重要な役割を歓迎しています。潜在的なセキュリティ脆弱性の責任ある報告を促すため、セキュリティチームはコミュニティと協力し、正当な報告の検証、再現、対応に取り組んでいます。潜在的なセキュリティ脆弱性を発見したと思われる場合は、ただちにご報告ください。正当な報告はすべて調査し、問題の迅速な解決に最善を尽くします。
報告は、HackerOne脆弱性開示プログラムからお送りいただけます。
Confédération Suisse
Confederazione Svizzera
Confederaziun Svizra
スイス連邦
Innosuisse - スイスイノベーション庁
