セキュリティ概要 / セキュリティホワイトペーパー

最終更新日:2026年10月25日(バージョン1.0)。

レビュー頻度: 年次、およびプラットフォームアーキテクチャに重大な変更があった場合

1. はじめに

PassportScan Cloudは、GlobeID Limited(以下「GlobeID」)が運営するSoftware-as-a-Serviceプラットフォームであり、宿泊施設事業者がゲストの本人確認書類を取得し、同意および署名を取得し、法定のゲスト登録義務(警察、統計、国境管理当局)の履行およびPMS連携を行うことを可能にするものです。

本書は、プラットフォームおよびその上で処理される個人データを保護するセキュリティアーキテクチャならびに技術的および組織的措置について記述するものです。本書は、お客様、見込み客および監査人を対象とし、データ処理契約(DPA)および副処理者リストを補完するものであり、セキュリティ質問票に対する参照回答となります。本書は、本書の発効日時点で展開されている本番プラットフォームについて記述しています。

2. セキュリティプログラムおよびコンプライアンス

• GlobeIDは、ISO/IEC 27001:2022に準拠した情報セキュリティマネジメントシステム(ISMS)を運用しており、指名された最高情報セキュリティ責任者(CISO)、リスク登録簿および適用宣言書を備えています。ISMSは、年次サイクルで計画される内部監査およびマネジメントレビューを通じて見直されます。
• GDPR:GlobeIDは、DPAに基づきゲストデータの処理者として行動し、外部のデータ保護責任者(DPO)を任命しています。処理活動の記録、ゲストの本人確認データに関するDPIA、およびデータ主体の権利に関する手続が維持されています。
• 決済カードデータは、Stripeによってのみ取り扱われます。PassportScanはカード会員データ環境を運用しておらず、カード番号、CVVまたは有効期限を受領することは一切ありません。
• 統制の監視は、クラウド、ソースコードおよびアイデンティティプロバイダーに接続されたコンプライアンス自動化プラットフォームを通じて継続的に実施されます。独立したペネトレーションテストが定期的に委託され、発見事項は完了まで追跡管理されます。

3. ホスティングおよびアーキテクチャ

4. ネットワークセキュリティ

• デフォルトでプライベート:すべてのサービスは、専用VPCのプライベートサブネット内で稼働します。顧客向けフロントエンド、スタッフ管理コンソールおよび2つの公開APIのみが、Amazon API Gatewayおよびパブリックなアプリケーションロードバランサーを通じてインターネットから到達可能です。管理コンソールは、AWS WAFおよび独自の認証により保護されており、スタッフに個別に割り当てられたアカウントと強制的な多要素認証を採用しています。すべての内部マイクロサービス、自動化エンジンおよびOCRエンジンは、VPC内部または会社VPNを通じてのみ到達可能です。
• ウェブアプリケーションファイアウォール:公開エッジ(API Gatewayステージおよびパブリックロードバランサー)はAWS WAFによって保護されています。AWSマネージドのAmazon IP Reputation ListおよびKnown Bad Inputsルールグループが悪意のある送信元およびペイロードをブロックし、AWSのCore Rule Set(OWASP準拠)がすべてのリクエストに対して評価され、レート制限が不正な送信元をブロックします。認証エンドポイントには、より厳格な制限が適用されます。
• 通信の暗号化:公開エンドポイントはTLS 1.2およびTLS 1.3のみを受け入れます(API GatewayセキュリティポリシーTLS_1_2、ロードバランサーポリシーELBSecurityPolicy-TLS13-1-2-2021-06、モダンなECDHE-GCM暗号スイートを使用)。HTTPはHTTPSにリダイレクトされ、HTTP Strict Transport Security(HSTS)がパブリックロードバランサーで強制されます。証明書は、AWS Certificate Managerにより自動的に発行および更新されます。
• 管理アクセス:エンジニアは、個人のアイデンティティに紐付けられたゼロトラストVPNを通じてのみ内部サービスにアクセスします。インターネットに公開されたSSHまたはRDPは存在せず、踏み台サーバーもありません。
• ネットワークログ:VPCフローログ(全トラフィック)およびS3サーバーアクセスログは、90日間保持されます。

5. データセキュリティ

5.1 暗号化

5.2 データの所在地およびレジデンシー

• コアプラットフォームサービスおよびプライマリデータベースは、AWS eu-west-1(アイルランド)のみでホストされており、データベースのクロスリージョンレプリケーションは設定されていません。
• 顧客が書類画像の保存を有効にした場合、画像は施設の管轄区域に対応するS3リージョンに保存されます。プロビジョニング済みのリージョンは、eu-west-1(欧州)、us-east-1(北米)、sa-east-1(南米)、ap-southeast-1(アジア太平洋)およびap-southeast-2(オーストラリア)です。各リージョンのバケットには、同一の暗号化、バージョニングおよびアクセスログの設定が適用されます。
• EEA域外への移転は、DPAに記載のとおり、AWSデータ処理補遺および標準契約条項の適用を受けます。

5.3 シークレットおよび鍵

• アプリケーションのシークレット、APIキーおよび暗号鍵は、AWS Systems Manager Parameter Store(SecureString)に保存され、起動時にコンテナに注入されます。これらがソースコードにコミットされたり、イメージに組み込まれたりすることは一切ありません。
• データベースの認証情報は、AWSによって生成およびローテーションされる(AWS Secrets ManagerのRDSマネージドシークレット)か、またはAWS Systems Manager Parameter StoreにSecureStringとして保存され、起動時にシークレットとしてコンテナに注入されます。
• 本番環境におけるシークレットの変更は、コンソール上での手作業ではなく、監査対象の運用ワークフローを通じて実施されます。アプリケーションのデータベースパスワードは、当社の内部運用プラットフォームにより、ダウンタイムなしで定期的にローテーションされます。

5.4 バックアップおよび保持

• Aurora MySQL:15日間の保持期間を伴う日次の自動バックアップおよび継続的なポイントインタイムリカバリ。削除保護を有効化。クラスターの削除前には最終スナップショットを取得します。
• オブジェクトストレージ:旧バージョンを90日間保持するバージョニングにより、誤った削除または上書きから保護します。
• 契約終了時には、DPAに定めるとおり、顧客データは顧客の要請に基づき、要請から30日以内に顧客に返却され、かつ/または削除されます。その後、バックアップコピーは上記の保持サイクルを通じて失効します。

6. アイデンティティおよびアクセス管理

• お客様のユーザーは、プラットフォームのアイデンティティプロバイダー(Clerk)を通じて、メール認証、セッション管理およびオプションの多要素認証により認証されます。お客様アカウント内のアクセスは、ロールベースで管理されます。
• GlobeIDのスタッフ:ソースコード、CI/CDおよび社内管理コンソールへのアクセスは、二要素認証が強制されたGitHub組織を通じて行われます。いかなるエンジニアも本番AWSアカウントへの常時アクセス権を保有せず、個人が保有するいかなる認証情報も本番環境内のロールを引き受けることはできません。本番環境の変更および運用は、当社の社内運用プラットフォームおよび監査対象の運用ワークフローを通じてのみ行われ、エンジニアがコンソールまたはコマンドラインから操作する経路は存在しません。開発者は、開発アカウントおよびステージングアカウントに対してのみ最小権限のアクセス権を有します。監視および運用には、専用の最小権限ロールが使用されます。当社の運用プラットフォームで利用可能な限定的な運用操作(例:ローリング再起動、メンテナンスモード、定期的な認証情報のローテーション、承認済みの単発データタスク、データベーススナップショット)は、指定されたリソースに範囲が限定され、ロールによって制御され、本番データ操作については第二の管理者による承認を必要とし、かつ監査されます。文書化された緊急時(ブレークグラス)手順は、指定された組織オーナーに限定され、当社のCI/CDシステムを通じてのみ実行され、使用のたびに記録および審査されます。
• 本番データベースへのアクセスは、エンジニアに恒久的に付与されることはありません。アクセスは、理由を明記したうえで社内運用プラットフォームを通じてジャストインタイムで申請され、第二の管理者(申請者本人は不可)により承認され、1つのデータベースおよび1つのアクセスレベルに範囲を限定したデータベースユーザーとしてプロビジョニングされます。スキーマ変更権限が付与されることはなく、時間制限付き(本番環境では読み取りアクセスは最長4時間、書き込みアクセスは最長1時間)で、期限到来時に自動的に削除されます。認証情報は申請者本人にのみ表示されます。すべての申請、承認および取消しは記録されます。本番データをワークステーションにエクスポートすることは禁止されています。
• 本番データは本番環境に留まります:開発環境およびステージング環境では、合成データまたは匿名化されたデータのみが使用されます。データベーススナップショットは、取得元の環境内の新しいデータベースにのみリストアされるため、本番データが開発環境またはテスト環境にリストアされることはありません。本番環境へのリストアには、理由の明記および第二の管理者による承認が必要です。本番データの修正は、事前に申告され、コードレビューを経たタスクを通じてのみ行われ、まずステージング環境でテストされたうえで第二の管理者により承認されます。アドホックなSQLによる修正は一切行われません。
• オペレーター操作の監査証跡:運用プラットフォームを通じて実行されるすべての特権操作(本番ログ内容へのアクセスを含む)、すなわちアクセス申請および承認、リリースの昇格およびロールバック、環境の電源状態の変更、構成変更、文書承認および電子署名は、オペレーターの身元(GitHub SSO、2FA強制)、タイムスタンプおよび結果とともにログに記録され、監査人に対する証拠として提供可能です。
• CI/CDからAWSへの認証は、GitHub OpenID Connectフェデレーションを通じて行われ、環境ごとに専用のデプロイメントロールを使用し、プラットフォームの指定されたリポジトリに限定されます。
• 入社・異動・退職(Joiner/Mover/Leaver)の手続き、スクリーニングおよび守秘義務の誓約は、人事セキュリティ手順の一部であり、アクセス権の見直しは定期的に実施されます。

7. セキュアな開発および変更管理

• すべての変更は、Gitを通じて本番環境に到達します。具体的には、プルリクエスト、独立したコードレビュー(作成者以外の者による承認)、自動チェック、および環境ごとのブランチによる昇格フロー(開発 → ステージング → 本番)を経ます。ステージングおよび本番への各昇格は、一人の管理者が申請し、別の管理者が運用プラットフォームを通じて承認するものとし、その際、昇格に含まれるデータベースマイグレーションについて明示的な確認が行われます。本番への昇格には、さらにステージングリリースに対するQA承認が必要です。各変更セットは、チケットからデプロイ済みバージョンまで追跡可能であり、運用プラットフォーム外からの本番デプロイは、ブレークグラス手順による場合を除き拒否されます。
• コンテナイメージは一度だけビルドされ、レジストリへのプッシュ時に既知の脆弱性についてスキャンされます。本番レジストリのタグはイミュータブル(リリース済みのタグが気づかれないうちに置き換えられることは決してありません)であり、本番環境はステージングで検証されたものと完全に同一のイメージダイジェストを取得します。本番環境のために再ビルドされるものは一切ありません。
• インフラストラクチャの変更も同じ経路に従います(プルリクエスト時にTerraform plan、マージ時にapply)。これにより、本番環境の変更について完全かつレビュー可能な監査証跡が得られます。
• リリースはコンポーネント単位でロールバック可能です。すべてのコンポーネントのデプロイ済みバージョンは、各昇格の前に記録されます。

8. ロギング、監視およびインシデント対応

• ログの一元管理: すべてのサービスのアプリケーションログおよびアクセスログは、Datadog(EUサイト、datadoghq.eu)および Amazon CloudWatch に送信され、アプリケーションログは最長90日間保持されます。個人データおよびシークレット情報は、ログが Datadog に送信される前にサービス内でマスキングされ、表示時にも再度マスキングされます。当社の運用プラットフォームでは、管理者以外のスタッフは、個人情報の値がその場でマスキングされた状態で本番環境のログ内容を閲覧し、自動化ツールおよびAIツールにはリクエストまたはレスポンスのペイロードは一切提供されません。一方、診断に必要な情報(エラーメッセージ、リクエスト識別子、ステータスコード)は引き続き閲覧可能です。本番環境のログ内容へのすべてのアクセスは監査されます。
• クラウド監査および脅威検知: AWS CloudTrail は、本番アカウントにおいて実行されるすべての管理APIコールを全リージョンにわたって記録し、ログファイルの完全性検証およびバージョン管理されたストレージを備えています。Amazon GuardDuty は、当社が運用するすべてのリージョンにおいて、CloudTrail、VPC フローログおよび DNS アクティビティを継続的に分析し、認証情報の不正使用、偵察活動、既知の悪意あるホストとの通信などの脅威を検知します。検知結果は運用チームによってレビューされます。
• アラート通知: データベース、キャッシュ、ロードバランサー、API Gateway および ECS タスクのライフサイクルイベントに関する CloudWatch アラームは、SNS を通じて運用チームに通知されます。アプリケーションのパフォーマンスは Datadog で監視されます。環境ごとのインフラストラクチャの健全性、キュー、コストおよび廃止予定通知は、運用プラットフォームの監視コンソールに集約されます。
• 公開ステータスページ: プラットフォームの可用性は外部から監視され、https://status.passportscan.net で公開されており、インシデントおよびメンテナンスに関する情報は自動的に通知されます。
• インシデント対応: 文書化されたインシデント対応およびデータ侵害手順により、重大度レベル、役割およびエスカレーションが定められています。個人データの侵害については、DPA に定めるとおり、不当な遅滞なく、いかなる場合も48時間以内に影響を受ける顧客に通知し、必要な場合には72時間以内に監督機関に通知します(GDPR 第33条)。
• 脆弱性の開示: セキュリティ研究者は、脆弱性開示ポリシーに基づき問題を報告することができます(security@passportscan.net)。

9. 事業継続および災害復旧

• 本番環境は、eu-west-1 の3つのアベイラビリティゾーンにわたる AWS マネージドサービス上で稼働しています。Aurora のストレージは3つのゾーンにわたり6重に複製され、コアサービスはゾーンをまたいで分散された少なくとも2つのタスクで稼働し、負荷に応じて自動的にスケーリングされます。ECS は、障害が発生したタスクを、ロードバランサーの背後にある正常なゾーン内で自動的に置き換えます。デプロイメントにはサーキットブレーカーが使用され、新バージョンがヘルスチェックに失敗した場合には自動的にロールバックされます。
• データベースは、15日間の保持期間内の任意の時点に復元することができます。復元手順は、年次の災害復旧訓練の一部として実施されます。
• 事業影響分析ならびに事業継続および災害復旧計画により、プラットフォームの復旧目標が定められています(コアチェックインサービスの目標復旧時間は2時間未満、目標復旧時点はポイントインタイムリカバリにより分単位)。
• 第三者への依存関係(クラウドプロバイダー、アイデンティティプロバイダー、決済プロバイダー、ログ管理、ボット対策および業務コミュニケーションサービス)は、サプライヤーセキュリティプロセスにおいて評価され、復処理者リストに記載されています。

10. 復処理者

GlobeID に代わって顧客の個人データを処理する第三者は、その目的および処理場所とともに、https://www.passportscan.net/sub-processor/ の公開復処理者リストに記載されています。追加については、DPA に従って顧客に通知されます。

11. 責任の分担

GlobeID は、上記に記載のとおりプラットフォームのセキュリティについて責任を負います。顧客は、引き続き以下の事項について責任を負います。ユーザーおよび認証情報の管理(MFA の有効化を含む)、プラットフォームへのアクセスに使用するデバイスおよびネットワークのセキュリティ確保、保持期間および地域別ストレージオプションの適法な設定、ゲストへのプライバシー通知の提供、ならびに接続する PMS またはサードパーティシステムのセキュリティ。

12. お問い合わせ

セキュリティに関する質問およびアンケート: security@passportscan.net プライバシーおよび DPO: privacy@passportscan.net GlobeID Limited, The Black Church, St. Mary's Place, Dublin 7, D07 P4AX, Ireland(CRO 559612)