セキュリティ

サービスデザインの原則

管理ポータルとアナライザーは、Microsoft Azure で構築およびホストされるサービスとしてのソフトウェア (SaaS) モデルを通じて提供されます。これらはすべて、コンピューティング、ストレージ、ネットワーク、SQL データベース、アプリの設定、Key Vault 内のシークレットストレージ、ID およびアクセス管理などの、Azure のコアサービスを使用します。

これにより、セキュリティ、プライバシー、コンプライアンスにおける Azure の最先端の機能を活用し、それらの機能上に構築された、独自の UiPath のサービスの実行に注力できます。また、Azure を通じて利用可能な業界認定も活用できます。

UiPath は、Azure との連携によりお客様のデータを責任を持って保護し、Azure に関して公開されるガイダンスに厳密に準拠します。

データの暗号化

UiPath は、サービスの一部として提供されるあらゆるデータストアに保存されているすべての顧客データを暗号化します。たとえば、SQL データベースでは透過的なデータ暗号化を使用しています。

すべてのデータは、インターネット上でも、内部のサービスコンポーネント内でも、保護されたチャネル経由で送信されます。

ID およびアクセス管理

UiPath では、Google、Microsoft、LinkedIn などのさまざまな ID サービスプロバイダーやネイティブアカウントを使用した、Cloud Platform でのアカウントの作成をサポートしています。アカウントの作成後、UiPath のサービスが、アプリケーションにより管理される、ロールベースのアクセス制御チェックを使用して、特定のユーザーのアクセス権を管理します。

テナントのデータの分離

各テナントのデータは、サービス内の他のテナントのデータから論理的に分離されています。そのため、すべてのテナントに対し、サービス内のデータにアクセスするときにアクセスと承認の制御を適用できます。

プライバシー

UiPath は、UiPath Task Mining サービスの運用と改善を目的として、ユーザーから以下の 2 つのカテゴリのデータを収集します。

顧客データ: UiPath がサービスを運用し、お客様と UiPath との契約を管理するために必要な、お客様との取引とやり取りに関する、ユーザーを特定可能なデータです。
システム生成ログ: 集計される可能性があり、顧客データが含まれる場合もある、サービスの使用状況に関するデータです。

GDPR の観点からは、UiPath はデータ処理者とみなされます。そのため、UiPath は、製品のアーキテクチャと実装に従って、お客様がご自身のデータを完全に制御できるようにすることで、データ処理者としてのすべての義務を履行します。

リクエストに応じて、お客様のデータをすべてエクスポートできるようにしました。お客様が UiPath Task Mining のアカウントを閉じる場合、またはその他の方法でデータの削除をリクエストした場合、必要な 30 日間の論理的な削除期間が経過した後、そのデータは UiPath のシステムから削除されます。

お客様には、クラウドサービスの使用においてプライバシー義務が遵守されているかどうかを評価することをお勧めします。UiPath のプライバシーステートメント、オンラインサービス利用時の UiPath によるお客様のデータの処理方法、GDPR への取り組みの詳細については、UiPath のプライバシーポリシーをご覧ください。

データ所在地と主権

お客様がデータの場所について非常に気にかけておられることを UiPath は認識しています。UiPath は、有料ユーザーの所在地と主権の要件を満たすリージョンのユーザーに対して、すべてのコンテンツを提供し、すべてのデータを保存します。現在サポートされているリージョンを確認するには、「データ所在地」をご覧ください。顧客ベースの拡大に伴い、引き続きリージョンを追加する可能性があります。

注:

現在、PII のマスクに Microsoft Cognitive Service を使用しているため、データ所在地が適用されます。これは、テナントのリージョンに関連して機能します。

セキュリティとコンプライアンスの実践

UiPath は、侵害を防止し、最高水準のデータセキュリティ、プライバシー、可用性を維持するために、セキュリティとコンプライアンスに関して以下のように対処しています。

システムの強化

UiPath Task Mining は、インフラストラクチャの大部分に Azure のサービスとしてのプラットフォーム (PaaS) オファリングを使用しています。PaaS は、既知のセキュリティの脆弱性に対する定期的な更新プログラムを自動的に提供します。

安全な開発ライフサイクル

UiPath Task Mining の開発プロセス全体で、UiPath のセキュリティチームと開発チームが連携してセキュリティの脅威に対処します。

両チームは、サービスの設計時に脅威モデリングを実行します。設計とコードのベストプラクティスに準拠し、内部で構築されたツール、商用の静的および動的分析ツール、内部侵入テスト、外部バグ報奨金プログラムを活用した多面的なアプローチを使用して、最終製品のセキュリティを検証します。

また、サードパーティのライブラリを通じてコードベースに生じる脆弱性を監視し、これらのライブラリへの依存とそれに伴う露出を最小限に抑えます。セキュリティの状況は絶えず変化しており、当社のチームは最新のベストプラクティスを常に把握しています。また、UiPath のクラウドサービスに従事するすべてのエンジニアと運用担当者に対して、毎年トレーニングを実施しています。

サービスとデータの可用性

UiPath の Task Mining サービスが利用可能で、ユーザーが組織のアセットにアクセスできるようにすることは、当社にとって最も重要なことです。そのため、当社では Azure のバックアップ機構を利用してデータを復旧しています。

また、可用性を確保するために、他のフェイルセーフ機構も使用しています。たとえば、悪意のある分散型サービス拒否 (DDoS) 攻撃は、UiPath Task Mining サービスの可用性に影響を与える可能性があります。Azure は、サービスへの攻撃を防ぐのに役立つ DDoS 防御システムを備えており、SYN Cookie、レート制限、接続制限などの標準的な検出および軽減手法を使用しています。

このシステムは、外部からの攻撃だけでなく、Azure 内部からの攻撃にも耐えるように設計されています。

ライブサイトテスト

UiPath では、社内のレッドチームが、サービスや基盤となるインフラストラクチャに対する敵対的な戦術をエミュレートします。

目標は、実際の脆弱性、設定エラー、その他のセキュリティギャップを制御された方法で特定して、防止、検出、対処機能の有効性をテストできるようにすることです。

セキュリティインシデント対応

UiPath では、サービスの攻撃対象領域を最小限に抑え、データ侵害が発生する可能性を減らすために多大な努力を払っています。それでも、セキュリティインシデントは依然として発生する可能性があります。

侵害が発生した場合は、セキュリティ対応計画を使用して、データの漏洩、損失、または破損を最小限に抑えます。そして、インシデント全体を通じてお客様に透明性を提供します。UiPath による年中無休の 24 時間体制のサイト信頼性エンジニアリング (SRE) およびセキュリティチームは、問題を迅速に特定し、インシデントの影響を封じ込めるために必要な開発チームのリソースを確保できるよう、常に待機しています。

チームが問題を封じ込めると、セキュリティインシデント管理プロセスが続行され、根本原因を特定し、必要な変更を追跡して、今後は同様の問題を確実に防げるようにします。

生産アクセス制御

UiPath では、自社の生産環境や顧客データへのアクセスについて、常に厳格に管理しています。

アクセス権は、適切な理由が提示され、その正当性が検証された後にのみ、必要な最小限の特権レベルで付与されます。チームメンバーが緊急の問題を解決したり設定の変更をデプロイしたりするためにアクセスを必要とする場合は、運用サービスへの "ジャストインタイム" アクセスを申請する必要があります。

そうした状況が解決されるとすぐに、アクセス権は取り消されます。アクセス要求と承認は追跡されます。開発者または運用スタッフのユーザー名やパスワードが盗まれても、すべての本番システムへのアクセスに 2 要素認証を使用しているため、データは引き続き保護されます。

シークレットの管理

暗号化キーなど、サービスの管理と保守に使用するシークレットは、Azure 管理ポータルを通じて安全に管理、保存、送信されます。

すべてのシークレットは定期的にローテーションされ、セキュリティイベントが発生した場合はオンデマンドでローテーションできます。

セキュリティとプライバシーに関する強固な基盤を持つ UiPath は、クラウドプラットフォーム向け Veracode Continuous、ISO 27001:2013、ISO 27017、CSA Star、SOC 1 Type 2 などの業界認証と認定の来年中の取得を目指しています。

管理ポータルもアナライザーも、Microsoft Azure で構築およびホストされるサービスとしてのソフトウェア (SaaS) モデルを通じて提供されます。これらはすべて、コンピューティング、ストレージ、ネットワーク、SQL データベース、アプリの設定、Key Vault 内のシークレットストレージ、ID およびアクセス管理などの、Azure のコアサービスを使用します。UiPath は、Azure との連携によりお客様のデータを責任を持って保護し、Azure に関して公開されるガイダンスに厳密に準拠します。