情報の安全性とセキュリティの基準

1. ISO/IEC 27001 情報セキュリティフレームワーク

CreditBirdは、国際規格ISO/IEC 27001およびベトナムサイバーセキュリティ法に厳格に準拠した情報セキュリティマネジメントシステム（ISMS）を構築・維持しています。

ITエンジニアの採用・審査、ソフトウェア要件の策定、サーバーインフラ構成からソースコード納品に至る全開発ライフサイクルにおいて、厳格なセキュリティポリシーを遵守し、以下の3本柱を確実に維持します。

2. ソースコードセキュリティとDevSecOpsパイプライン

オーダーメイドソフトウェア開発およびカスタムERPプロジェクトにおいて、CreditBirdはセキュアソフトウェア開発ライフサイクル（SSDLC）を適用しています。

• 完全分離リポジトリ設計: クライアントプロジェクトごとに独立したリポジトリを割り当て、ブランチ保護ルール（Branch Protection Rules）を適用。本番マージにはシニアテックリード2名以上の承認を義務付けています。
• 自動セキュリティスキャン: 静的アプリケーションセキュリティテスト（SAST）によりOWASP Top 10の脆弱性を検出し、ソフトウェア構成分析（SCA）によりOSSライブラリのゼロデイ脆弱性を遮断します。
• シークレット漏洩の防止: APIキー、データベース認証情報、シークレットトークンを含むコミットを自動遮断するCI/CDフックを常備。
• 100%クリーンな納品: クライアントへのソースコード納品時には、重大な脆弱性ゼロ（Zero High/Critical Vulnerabilities）の監査レポートを添えて引き渡します。

3. ERPデータ保護とディザスタリカバリ（DRP）

ERPデータ（受注、在庫、VAS会計帳簿、人事データ）は企業の最も重要な資産です。データ保護メカニズムには以下が含まれます。

• 日次自動バックアップ: オフピーク時に定期スナップショットを作成し、特定時点への復元（Point-In-Time Recovery - PITR）を支援します。
• 3-2-1エンタープライズバックアップ戦略: 3つ以上のデータコピーを、2つの独立したストレージメディアに保存し、少なくとも1つは別地域のオフサイトデータセンターに保管します。
• エンドツーエンド暗号化: すべてのデータベーススナップショットは、クラウド保管庫に転送される前にAES-256規格で暗号化されます。
• 改ざん不可能な監査証跡（Immutable Audit Trail）: 会計伝票の修正、入出庫の記録、ユーザー権限の変更はすべて、改ざん・削除が不可能な不変ログに記録されます。

4. IT人材派遣・常駐（Onsite/Remote）のセキュリティ基準

IT人材派遣・常駐サービスをご利用いただく際、クライアントの企業秘密を完全に保護するため以下の対策を実施しています。

• 個人機密保持契約（個別NDA）: 派遣されるすべてのエンジニアは、プロジェクト参画前に法的拘束力を持つ個人秘密保持契約（NDA）を締結します。
• 標準化された安全な作業端末: クライアント企業の支給PC、またはCreditBird支給のBitLocker/FileVault暗号化およびMDM制御が施されたセキュア端末のみを使用します。
• 個人端末へのデータ保存の完全禁止: 業務コードやデータベースを個人の端末やUSBメモリ等の外部記録媒体に複製・保存することを厳格に禁止しています。

5. スマートIoT業務用ディフューザー＆空調設備セキュリティ

WiFiおよびアプリ経由で遠隔管理可能なスマートアロマディフューザーは、安全なIoT設計を採用しています。

• サーバー相互認証を備えたセキュアなTLS/MQTTプロトコルによる通信の暗号化。
• 専用のIoT VLANによるネットワーク分離を行い、企業の基幹内部ネットワークから完全に隔離。
• CreditBird公式のデジタル署名入りファームウェアにより、不正な改ざんや乗っ取りを防止。

6. セキュリティ脆弱性の報告と対応プロセス

CreditBirdは、セキュリティ研究者やコミュニティからの脆弱性報告を歓迎し、迅速に対処します。疑わしい脆弱性を発見された場合は、下記窓口までご連絡ください。