セキュリティ要件
本ページでは公開を前提とした要件のみを記載し、機密性の高い詳細要件は非公開ドキュメントで管理しています。
管理について
- セキュリティ要件は、公開を前提とした要件と非公開要件に分けて管理しています。
- 公開要件は本ページで概要を示し、非公開要件はプライベートリポジトリで管理します。
- 公開情報は、設計意図の説明に必要な粒度に限定し、攻撃に悪用される詳細は含めません。
ログイン
- 認証はアカウント単位で管理し、認可済みユーザーのみ管理機能へアクセスできます。
- パスワードは安全な保管方針に基づき、平文のまま扱わない運用を徹底します。
- 二段階認証を含む追加認証を導入しています。
管理画面
- 管理画面は認証後のみ閲覧可能とし、未認証状態での直接アクセスを制限します。
- 機能ごとにアクセス権限を分離し、不要な操作範囲を持たない設計を採用します。
- 重要操作はログを記録し、監査や障害調査に活用できる状態を維持します。
管理API
- 管理APIは認証トークンを前提とし、未認証リクエストを拒否します。
- 入力値検証とアクセス制御を組み合わせ、意図しないデータ操作を防止します。
- レート制限や監視ログにより、異常トラフィックの早期検知と抑制を行います。