エンタープライズグレードのセキュリティ。リアルタイムで検証。

認証とアクセス

Avalaインフラストラクチャにアクセスするすべての人とシステムは一意の認証情報を使用します。すべてのリモートアクセスに多要素認証を強制し、本番システムにはSSHキーを使用。共有アカウントなし、例外なし。アクセスは最小権限の原則に従います：本番システム、データベース、ネットワーク、暗号化キーは、文書化されたビジネスニーズを持つ担当者に制限されます。アクセスを四半期ごとにレビューし、終了時に即座に取り消します。

ネットワークセキュリティ

ネットワークは顧客データを分離するためにセグメント化されています。ファイアウォールはデフォルトで拒否するように構成され、毎年レビューされます。異常を24/7監視し、潜在的な侵害についてセキュリティチームに警告する侵入検知システムを実行しています。

暗号化

すべてのデータは保存時と転送時に暗号化されます。暗号化キーは厳格なアクセス制御で管理され—少数の許可された担当者のみがアクセスでき、すべてのアクセスがログに記録されます。

ガバナンス

セキュリティはエンジニアリング機能だけではありません—取締役会レベルの優先事項です。取締役会はサイバーセキュリティ姿勢とリスクについて年次ブリーフィングを受けます。セキュリティのための経営陣の役割と責任は正式に定義され、セキュリティ決定のための明確な報告ラインを維持しています。

従業員セキュリティ

すべての従業員は開始前に機密保持契約と行動規範に署名します。セキュリティ意識向上トレーニングは雇用から30日以内とその後毎年必須です。契約者も同じ基準が適用されます。

アセット管理

本番アセットの完全なインベントリを維持しています。ハードウェアが廃止される際は、認証された文書と共に安全にワイプまたは破壊されます。顧客データは機密性レベルに応じて分類および処理されます。

継続的テスト

年次ペネトレーションテストを実施し、定義されたSLAに従って発見事項を修正します。脆弱性スキャンは継続的に実行され、防御が設計通りに機能することを確認するためにコントロール自己評価を実施します。

インシデント対応

インシデント対応計画は文書化され、毎年テストされ、明確なエスカレーションパスを含みます。セキュリティとプライバシーのインシデントはログに記録され、調査され、規制要件に従って影響を受ける当事者に通知されます。

リスク管理

環境、規制、技術的脅威を含むセキュリティリスクを毎年評価します。特定されたリスクは重大度で評価され、文書化された軽減戦略で対処されます。財務的エクスポージャーを制限するためにサイバーセキュリティ保険を持っています。

オペレーションとレジリエンス

災害復旧と事業継続計画は文書化されテストされています。すべての本番変更は正式なレビューを経ます—デプロイ前に承認、テスト、許可されます。

保持と削除

サービスを提供するために必要な期間のみ顧客データを保持します。Avalaを離れる際、データは文書化された手順に従ってシステムからパージされます。いつでも削除をリクエストできます。

分類

データは機密性によって分類され、それに応じて処理されます。機密情報は許可された担当者に制限され、適切なコントロールで保護されます。

ポータビリティ

データはあなたのものです。いつでも標準形式でデータセットとアノテーションをエクスポートできます。ロックインなし。

サブプロセッサ

リクエストに応じて、顧客データを処理するサードパーティサービスのリストを維持しています。