セキュリティ・バイ・デザイン

セキュリティ・バイ・デザインとは、セキュリティを後から付け足すのではなく、設計・開発・運用の最初から組み込むことです。私たちは透明性による信頼、対応よりも予防、継続的な改善という3つの原則に基づいて取り組んでいます。

このページでは、私たちのコードまたはホスティング事業者のドキュメントで確認できる対策だけを説明しています。実施していないことは、実施していないと明記します。

CoachBallは、Amazon Web Services（AWS）のインフラ上に構築されたマネージドホスティング基盤Laravel Cloudで稼働しており、その前段にCloudflareのネットワークがあります。

エッジネットワーク：すべてのリクエストはまず最寄りのCloudflare拠点に届き、DDoS対策とWebアプリケーションファイアウォール（WAF）を通過してからアプリケーションに転送されます。CSS、JavaScript、画像などの静的ファイルはエッジでキャッシュされ、そのキャッシュはデプロイのたびに消去されます。

コンピュートネットワーク：アプリケーションはプライベートネットワーク内で稼働し、インターネットから直接ではなく、エッジネットワーク経由でのみアクセスできます。

• DDoS対策：大量トラフィック攻撃や増幅攻撃は、アプリケーションに届く前にエッジで吸収されます。
• Webアプリケーションファイアウォール：CloudflareのOWASP Core Rulesetが、インジェクションなどの一般的な攻撃をアプリケーションに届く前にフィルタリングします。
• 暗号化された通信：すべての通信はHTTPS（TLS）を使用し、証明書は自動で更新されます。
• セキュリティヘッダー：ページが読み込める外部ドメインを制限し、他サイトによるCoachBallの埋め込みを防ぐContent Security Policyに加え、X-Content-Type-Options: nosniffと厳格なReferrer-Policyを送信しています。

• パスワードは一方向ハッシュ（bcrypt）としてのみ保存されます。私たちを含め、誰も読むことはできません。
• ログイン試行には回数制限があり、パスワードを際限なく推測されることはありません。
• Cookieは暗号化され、すべてのフォームはクロスサイトリクエストフォージェリ（CSRF）から保護されています。
• 役割ごとのアクセス：閲覧・操作できる内容は、チームやクラブでの役割（コーチ、選手、保護者など）によって決まります。

CoachBallへの通信はすべて暗号化され、アップロードされた写真やファイルはストレージ事業者によって暗号化（AES-256）して保存されます。パスワードは一方向ハッシュとして保存され、YouTubeなどの連携サービスのアクセストークンはデータベース内で暗号化されています。

すべてのデータがアプリケーションレベルで暗号化されているとは主張しません。チームの情報を販売することは一切なく、アカウントとデータはいつでも削除できます。

CoachBallはISO/IEC 27001の認証を取得しておらず、SOC 2報告書もありません。アクセス管理、暗号化、インシデント対応などについて、これらの標準の原則を指針として活用しています。

ホスティング事業者のLaravel CloudはISO/IEC 27001認証を取得しており、Security、Confidentiality、AvailabilityについてSOC 2 Type 2の保証報告を受けています。これはCoachBallが稼働する基盤についてのものであり、CoachBall自体についてのものではありません。

データ処理契約など、コンプライアンスに関する具体的なご質問はお問い合わせください。

セキュリティは継続的なプロセスです。エラーとアプリケーションログを監視し、依存パッケージを定期的に更新し、コードのセキュリティ上の問題を確認しています。問題が見つかれば修正し、必要に応じてこのページを更新します。

私たちの取り組みについてご質問がある場合や、技術的・法的な詳細が必要な場合は、お問い合わせください。