私たち自身のセキュリティポスチャー

データの取り扱い

私たちは、ポスチャーとフローを評価するために必要な最小限のメタデータを読み取ります。コンテンツの検査が必要な場合（Flow Guard）、コンテンツは分類のために一時的に処理され、判定結果とその証拠の抜粋を超えて保持されることはありません。

検出結果、判定、およびそれらの証跡は、保存時に暗号化されて格納されます。ワークスペースのデータはいつでもエクスポートまたは削除できます。削除はサポートチケットではなく、製品機能として提供されています。

OAuthのみのスコープ

コネクターは、有効化したエンジンをサポートするために必要な最小限のスコープを使用して、OAuthまたはベンダーのAPIで認証します。当社が要求するすべてのスコープとその理由を、コネクターごとにドキュメントに記載しています。

エンドポイントエージェント、ネットワークアプライアンス、ブラウザ拡張機能は一切ありません。OAuth許可を取り消すと、当社のアクセスは即座に遮断されます。緊急停止スイッチは、すでにお客様が管理しているアイデンティティプロバイダーです。

プラットフォームのセキュリティ

8200.dev は Google Workspace OAuth でサインインするため、盗まれるパスワードがありません。組織はエンタープライズ向けシングルサインオン（Okta、Azure AD、Google、OneLogin による SAML）を追加し、多要素認証（TOTP 認証アプリと使い捨てバックアップコード）を組織全体で適用し、信頼できる IP 範囲（IPv4 および IPv6）にアクセスを制限できます。

製品内のアクセスはデフォルトで最小権限となっています。機能ごとの権限アトムから構築されるきめ細かなカスタム RBAC、セッションポリシー（最大継続時間、アイドルタイムアウト、強制ログアウト）、および CSV、JSON、CEF として SIEM にストリーミングまたはエクスポートできる、組織ごとの完全な追記専用監査ログを備えています。

すべてのリリースは、2,000 件を超える自動テスト群、13 ロケールにわたる i18n 整合ゲート、そして本番ビルドゲートを通過して提供されます。これは、私たちが保護するシステムに求めるのと同じエンジニアリングの厳格さです。

現在は検知型、書き込みアクセスを許可すると予防型に

当社はエージェントレスであり、読み取りスコープのOAuthを通じて接続するため、現在はリスクのある権限、データフロー、またはポリシー違反のエージェントアクションを検知し説明できますが、ソースでブロックすることはまだできません。製品が「何がブロックされるか」を表示する箇所はすべて、SIMULATION（シミュレーション）として明確に表示されています。当社は、実際には備えていないライブ強制を主張することは決してありません。

ライブの予防的強制には、コネクター上の昇格された書き込みスコープと、コネクターごとの明示的なオプトインが必要です。これらを許可すると、「ブロックされます」が「ブロックされました」に変わりますが、判定に至る方法は変わりません。変わるのは強制される場所のみです。正確なスコープと同意の手順は、有効化する前に文書化されています。

攻撃的機能はありません

8200.devには、エクスプロイト、ラテラルムーブメント、その他いかなる種類の攻撃的ツールも含まれていません。本プラットフォームは構成を観察し、データフローを評価し、お客様が承認したベンダーのAPIを通じてポリシーを適用します。それ以外は行いません。

監査ログ

本プラットフォームが実行するすべてのアクション、つまりすべてのスキャン、検出、ブロック、構成変更は、追記専用の監査ログに記録されます。BusinessおよびEnterpriseのプランでは、これをエクスポートできます。

お客様のワークスペースに対する当社自身の管理者操作も同じ証跡に記録され、お客様が確認できます。当社にはお客様のデータへの秘密の裏口はなく、それを検証できるようにしています。

脆弱性の報告

何か見つかりましたか？[email protected] までご連絡ください。当社は報告を48時間以内に確認することを目指しており、誠実な研究者に対して口外禁止を課すことはありません。

当社は90日間の期間を設けた協調的開示に従います。報告を受けた時点から修正に着手し、進捗を随時お知らせします。公開は最大90日間、または修正がリリースされるまで（いずれか早い方）お控えいただくようお願いします。