セキュリティ

UiPath® では、RPA プロジェクトに関連するデータを例外なく安全かつセキュリティで保護された状態に保てるよう努めています。UiPath® Task Mining を使用すると、データに関して、UiPath® が適用する多層セキュリティおよびガバナンス テクノロジ、運用方法、コンプライアンス ポリシーのメリットが得られます。

UiPath® Task Mining は、記録アプリケーション、データ プリプロセッサ、アナライザー、管理ポータルの 4 つの主要なコンポーネントで構成されています。これらのコンポーネントを組み合わせると、環境内のユーザーが実行するタスクの調査が実行されます。それらの調査に基づき、UiPath® Task Mining は自動化に適したタスクのリストを特定し、それらのタスクのための詳細なプロセス マップを作成します。これらの調査はシステム管理者によって管理され、調査中に収集されたデータはユーザーのプライバシーが侵害されないよう暗号化されます。

サービス デザインの原則

管理ポータルとアナライザーは、Microsoft Azure で構築およびホストされるサービスとしてのソフトウェア (SaaS) モデルを通じて提供されます。これらはすべて、コンピューティング、ストレージ、ネットワーク、SQL データベース、アプリの設定、Key Vault 内のシークレット ストレージ、ID および アクセス管理などの、Azure のコア サービスを使用します。

これにより、セキュリティ、プライバシー、コンプライアンスにおける Azure の最先端の機能を活用し、それらの機能上に構築された、独自の UiPath® のサービスの実行に注力できます。また、Azure を通じて利用可能な業界認定も活用できます。

UiPath® は、Azure との連携によりお客様のデータを責任を持って保護し、Azure に関して公開されるガイダンスに厳密に準拠します。

データの暗号化

UiPath は、サービスの一部として提供されるあらゆるデータ ストアに保存されているすべての顧客データを暗号化します。たとえば、SQL データベースでは透過的なデータ暗号化を使用しています。

すべてのデータは、インターネット上でも、内部のサービス コンポーネント内でも、保護されたチャネル経由で送信されます。

ID およびアクセス管理

UiPath では、Google、Microsoft、LinkedIn などのさまざまな ID サービス プロバイダーやネイティブ アカウントを使用した、Cloud Platform でのアカウントの作成をサポートしています。アカウントの作成後、UiPath のサービスが、アプリケーションにより管理される、ロールベースのアクセス制御チェックを使用して、特定のユーザーのアクセス権を管理します。

テナントのデータの分離

各テナントのデータは、サービス内の他のテナントのデータから論理的に分離されています。そのため、すべてのテナントに対し、サービス内のデータにアクセスするときにアクセスと承認の制御を適用できます。

プライバシー

UiPath® は、Task Mining サービスの運用と改善を目的として、ユーザーから以下の 2 つのカテゴリのデータを収集します。

1. 顧客データ: UiPath® がサービスを運用し、お客様と UiPath® との契約を管理するために必要な、お客様との取引とやり取りに関する、ユーザーを特定可能なデータです。
2. システム生成ログ: 集計される可能性があり、顧客データが含まれる場合もある、サービスの使用状況に関するデータです。

GDPR の観点からは、UiPath® はデータ処理者とみなされます。そのため、UiPath は、製品のアーキテクチャと実装に従って、お客様がご自身のデータを完全に制御できるようにすることで、データ処理者としてのすべての義務を履行します。

リクエストに応じて、お客様のデータをすべてエクスポートできるようにしました。お客様が UiPath Task Mining のアカウントを閉じる場合、またはその他の方法でデータの削除をリクエストした場合、必要な 30 日間の論理的な削除期間が経過した後、そのデータは UiPath のシステムから削除されます。

データ所在地と主権

私たちは、お客様がデータの場所について非常に気にかけていることを知っています。 UiPath は、有料ユーザーの所在地と主権の要件を満たすリージョンのユーザーに対して、すべてのコンテンツを提供し、すべてのデータを保存します。 現在サポートされているリージョンを確認するには、『概要ガイド』の 「データ所在地 」をご覧ください。 顧客ベースの拡大に伴い、引き続きリージョンを追加する可能性があります。

注:

現在、PII のマスクに Microsoft Cognitive Service を使用しているため、データ所在地が適用されます。これは、テナントのリージョンに関連して機能します。

セキュリティとコンプライアンスの実践

UiPath® は、侵害を防止し、最高水準のデータ セキュリティ、プライバシー、可用性を維持するために、セキュリティとコンプライアンスに関して以下のように対処しています。

システムの強化

Task Mining は、インフラストラクチャの大部分に Azure のサービスとしてのプラットフォーム (PaaS) オファリングを使用しています。 PaaS は、既知のセキュリティの脆弱性に対して定期的な更新を自動的に提供します。

安全な開発ライフ サイクル

UiPath のセキュリティ チームと開発チームは、Task Mining® の開発プロセス全体を通じてセキュリティの脅威に対処します。

両チームは、サービスの設計時に脅威モデリングを実行します。設計とコードのベスト プラクティスに準拠し、内部で構築されたツール、商用の静的および動的分析ツール、内部侵入テスト、外部バグ報奨金プログラムを活用した多面的なアプローチを使用して、最終製品のセキュリティを検証します。

また、サードパーティのライブラリを通じてコードベースに生じる脆弱性を監視し、これらのライブラリへの依存とそれに伴う露出を最小限に抑えます。セキュリティの状況は絶えず変化しており、UiPath® のチームは最新のベスト プラクティスを常に把握しています。また、UiPath® のクラウド サービスに従事するすべてのエンジニアと運用担当者に対して、毎年トレーニングを実施しています。

サービスとデータの可用性

UiPath® の Task Mining サービスが利用可能で、ユーザーが組織のアセットにアクセスできるようにすることは、UiPath にとって最も重要なことです。そのため、UiPath では Azure のバックアップ機構を利用してデータを復旧しています。

可用性を確保するために、他のフェイルセーフを採用しています。 たとえば、悪意のある分散型サービス拒否 (DDoS) 攻撃は、Task Mining サービスの可用性に影響を与える可能性があります。 Azure には、サービスに対する攻撃を防ぐのに役立つ DDoS 防御システムがあります。 SYN Cookie、レート制限、接続制限などの標準的な検出および軽減手法を使用します。

このシステムは、外部からの攻撃だけでなく、Azure 内部からの攻撃にも耐えるように設計されています。

ライブ サイト テスト

UiPath では、社内のレッド チームが、サービスや基盤となるインフラストラクチャに対する敵対的な戦術をエミュレートします。

目標は、実際の脆弱性、設定エラー、その他のセキュリティ ギャップを制御された方法で特定して、防止、検出、対処機能の有効性をテストできるようにすることです。

セキュリティ インシデント対応

UiPath では、サービスの攻撃対象領域を最小限に抑え、データ侵害が発生する可能性を減らすために多大な努力を払っています。それでも、セキュリティ インシデントは依然として発生する可能性があります。

侵害が発生した場合は、セキュリティ対応計画を使用して、データの漏洩、損失、または破損を最小限に抑えます。そして、インシデント全体を通じてお客様に透明性を提供します。UiPath による年中無休の 24 時間体制のサイト信頼性エンジニアリング (SRE) およびセキュリティ チームは、問題を迅速に特定し、インシデントの影響を封じ込めるために必要な開発チームのリソースを確保できるよう、常に待機しています。

チームが問題を封じ込めると、セキュリティ インシデント管理プロセスが続行され、根本原因を特定し、必要な変更を追跡して、今後は同様の問題を確実に防げるようにします。

生産アクセス制御

UiPath では、自社の生産環境や顧客データへのアクセスについて、常に厳格に管理しています。

アクセス権は、適切な理由が提示され、その正当性が検証された後にのみ、必要な最小限の特権レベルで付与されます。チーム メンバーが緊急の問題を解決したり設定の変更をデプロイしたりするためにアクセスを必要とする場合は、運用サービスへの "ジャスト イン タイム" アクセスを申請する必要があります。

そうした状況が解決されるとすぐに、アクセス権は取り消されます。アクセス要求と承認は追跡されます。開発者または運用スタッフのユーザー名やパスワードが盗まれても、すべての本番システムへのアクセスに 2 要素認証を使用しているため、データは引き続き保護されます。

シークレットの管理

暗号化キーなど、サービスの管理と保守に使用するシークレットは、Azure 管理ポータルを通じて安全に管理、保存、送信されます。

すべてのシークレットは定期的にローテーションされ、セキュリティ イベントが発生した場合はオンデマンドでローテーションできます。

セキュリティとプライバシーに関する強固な基盤を持つ UiPath® は、クラウド プラットフォーム向け ISO 27001:2013、ISO 27017、CSA Star、SOC 1 Type 2 などの業界認証と認定の取得を目指しています。

管理ポータルもアナライザーも、Microsoft Azure で構築およびホストされるサービスとしてのソフトウェア (SaaS) モデルを通じて提供されます。これらはすべて、コンピューティング、ストレージ、ネットワーク、SQL データベース、アプリの設定、Key Vault 内のシークレット ストレージ、ID および アクセス管理などの、Azure のコア サービスを使用します。UiPath は、Azure との連携によりお客様のデータを責任を持って保護し、Azure に関して公開されるガイダンスに厳密に準拠します。

セキュリティ認証

Task Mining のセキュリティ認証については、UiPath の Web サイトの 「UiPath® Security 」のページをご覧ください。