セキュリティポリシーの要件

推奨: プログラムには、次の項目を含めることをお勧めします。

セキュリティエキスパートの指定

開発のすべてのフェーズでセキュリティの考慮事項を取り入れれば、ソリューションをセキュリティ脅威から保護しやすくなります。ソリューションがセキュリティガイドラインに確実に従うようにする最良の方法の 1 つは、開発チームにセキュリティエキスパートを指定することです。そして、設計、実装、テストといった開発のすべてのフェーズで開発チーム全体がセキュリティエキスパートと連携します。セキュリティに関する検討を開発の最終フェーズまで後回しにしていると、コーディング中知らぬ間にセキュリティ違反を伝搬させてしまう可能性が高まります。定期的なコラボレーションにより、セキュリティ違反を不要にため込むことがなくなり、AppExchange セキュリティレビュー申請に合格するための準備に手間取ることがなくなります。

セキュリティポリシーの実装

ユーザーデータなどの顧客の資産を自社がどのように保護するかを詳しく説明した、企業のセキュリティポリシーを作成します。ソリューションをエンドツーエンドで保護するために実行できる活動を顧客に知らせます。

サービスおよびアーティファクトの列挙

Web ソリューション、モバイルソリューション、Web サービス、API、SDK など、ソリューションに含まれるサービスやアーティファクトを列挙します。

サードパーティライブラリの在庫

ソリューションが正常に機能するために必要なサードパーティのライブラリやバージョンの在庫を保持します。

アーキテクチャの図の作成

データタッチポイント、情報フロー、認証、承認などのセキュリティコントロールを表示するアーキテクチャ図を用意します。

リスト認定

サードパーティ監査の実施

独立したサードパーティにセキュリティ監査を実施してもらいます。監査の概要を顧客と共有します。

セキュリティ保証活動の文書化

機密データの列挙

ソリューションで処理または保存される支払手段データ、個人データ、医療データなどの機密データをすべて列挙します。

データストレージの場所およびプロバイダーの開示

個人識別データや医療データなどの規制対象データをソリューションで保存または処理する場合は、データストレージの場所のリストを開示します。国とプロバイダー (Amazon Web Services (AWS)、Azure、Google Cloud Platform (GCP) など) を明確にします。

サードパーティデータ共有の確認

顧客データを共有するサードパーティサプライヤーのリストを用意します。

連絡先情報の共有

連絡先情報を公開します。これにより、顧客は、簡単にサポートを受けたり、セキュリティインシデントを報告したりできるようになります。