メインコンテンツまでスキップ

セキュリティ

Kurocoはクラウドネイティブに構築されておりセキュリティに配慮した設計となっております。

API​

  • 完全に暗号化されたHTTPS通信
  • TLS証明書
  • 独自ドメイン設定
  • WAF
  • CDN
  • DDoS対策
  • 固定トークン・ダイナミックトークン・Cookieを利用したアクセス制御
  • CORSの柔軟な設定
  • ユーザーのグループ設定による細かな権限の制御
  • IPアドレス制限
  • アクセスログ（監査ログ）
  • アプリケーションログ
  • SAML/OAuth/IDaaSによる外部ログイン連携
  • クライアント証明書によるアクセス制御（オプション）
  • Fastly DDoS Protection適用（オプション）

管理画面​

  • 完全に暗号化されたHTTPS通信
  • TLS証明書
  • WAF
  • DDoS対策
  • ID/PWDによるアクセス制限（パスワードポリシーやログインロックはログインポリシーを参照）
  • ユーザーのグループ設定による細かな権限の制御
  • IPアドレス制限
  • シークレットによるアクセストークンなど機密情報の暗号化保存
  • アクセスログ（監査ログ）
  • アプリケーションログ
  • ワンタイムパスワード（Authenticator(TOTP)、Email、SMS）およびパスキーによる2要素認証の設定
  • SAML/OAuth/IDaaSによる外部ログイン連携、SCIMによるメンバー情報の自動同期
  • クライアント証明書によるアクセス制御（オプション）
  • Admin MCPによるMCPクライアントからの管理操作の3層での制御

KurocoFront​

  • 完全に暗号化されたHTTPS通信
  • TLS証明書
  • 独自ドメイン設定
  • CDN
  • DDoS対策
  • Basic認証
  • IPアドレス制限
  • アクセスログ

KurocoFiles​

  • 完全に暗号化されたHTTPS通信
  • TLS証明書
  • CDN
  • DDoS対策
  • ユーザーのグループ設定による細かな権限の制御
  • IPアドレス制限
  • アクセスログ

※KurocoFilesの他にGoogle Cloud StorageやAmazon S3を利用したユーザー認証ベースのファイルのアクセス制限などが可能です。

ログインポリシー​

管理画面へのログインには、[環境設定] -> [サイト管理]の「ログイン」で2要素認証（ワンタイムパスワード・パスキー）、ログインロック、パスワードポリシー（有効期限・文字数・過去のパスワードの再利用禁止など）を設定できます。

注記

ワンタイムパスワードとパスキーの設定は管理画面へのログインでのみ有効です。API側はAPI毎に設定します。

ログ​

バックアップ​

  • サイトごと：バックアップで手動または自動（毎日1回）でバックアップを取得できます
  • 基盤全体：1日1回フルバックアップを実施し、5日間（5世代）保管しています。基盤全体の再構築訓練も実施済みです
  • サイトごとのバックアップを設定していない場合などに、基盤全体のバックアップからお客様のデータを抽出して復元するリストア作業は、有償オプション（330,000円/回、税込）です

詳細はインフラに関するドキュメントを参照してください。

Admin MCP​

Admin MCPで実行できる操作は、エンドポイントURL・OAuthクライアントのスコープ・認証したメンバーの権限の3層で制御されます。代理ログインと組み合わせると、AIエージェント専用に権限を絞ったメンバーへ権限を委譲できます。

提供形態とデータセンタ​

提供形態稼働プラットフォームプラットフォームのISMAP登録状況
パブリックSaaS版GCP（Fastlyを併用）GCPはISMAP登録済み
プライベートSaaS版（Managed）AWSAWSはISMAP登録済み
プライベートSaaS版（Self-Hosted/BYOC）AWSAWSはISMAP登録済み
  • パブリックSaaS版は、利用開始時にGCPの東京・EU・USリージョンから選択できます
  • プライベートSaaS版は、お客様の要件に合わせて構築できます。CDNとして利用しているFastly（ISMAP未登録）の利用可否も選択できます
注記

Kuroco自体はSaaSとしてISMAPに登録されていません。プライベートSaaS版はISMAP登録済みのAWSを利用した構成が可能です。

詳細はKurocoはISMAP（政府情報システムのためのセキュリティ評価制度）に対応していますか？およびオンプレミス版の提供はありますか？を参照してください。

冗長化と災害対策（DR）​

  • パブリックSaaS版は3AZ、プライベートSaaS版は2AZ（基本構成）のマルチAZ構成です
  • 東京リージョンの環境のバックアップは大阪リージョンに保管しています
  • プライベートSaaS版では、オプションで大阪リージョンにホットスタンバイ環境を構築できます

詳細は災害対策（DR）を参照してください。

運営会社(株式会社ディバータ)​

脆弱性診断​

  • コンテナ更新時（ほぼ毎日）にコンテナの脆弱性スキャンを実施
  • VAddyによる脆弱性診断を実施（代表サイトの標準APIのみ）。お客様サイトのカスタマイズしたAPIも、管理画面からのお申し込みでVAddyと自動連携して診断できます
  • OpenAI DaybreakのDaybreak Blueを利用した脆弱性調査を実施
  • AnthropicのCyber Verification Programに申請中
  • 個別の脆弱性診断での指摘事項のうち、重要かつKuroco由来のものには無償で対応

セキュリティ設定の診断​

  • Admin MCPとKuroco Skillsのkuroco-security-auditを利用すると、Kurocoのセキュリティ設定がベストプラクティスに沿っているかをAIエージェントで点検し、レポートを作成できます（設定は変更しません）
  • 有償のKuroco設定セキュリティ診断では、Kurocoチームが設定を診断してリスクと対処方針を報告し、設定の修正もサポートします

いずれも設定値の診断であり、脆弱性スキャンやペネトレーションテストは含みません。

チェックリスト​

次のセキュリティチェックシートを提供できます。ご希望の場合はサポートからお問い合わせください。

  • 独立行政法人情報処理推進機構(IPA)監修「セキュリティ実装チェックリスト」
  • 経済産業省(METI)発刊「SaaS向けSLAガイドライン別表(Kuroco版)」

お客様独自のセキュリティチェックシートへの記入は有償（1回毎に55,000円（税込）〜）です。詳細はセキュリティチェックシートへの記入をお願いできますか？を参照してください。

セキュリティ評価プラットフォーム​

第三者によるセキュリティ評価プラットフォーム「Assured」での調査にも対応しています（別途Assuredのご契約が必要です）。セキュリティ評価は96.6 / 100（全体の上位5%）です。

資料​

関連FAQ​

関連ドキュメント​

サポート

お探しのページは見つかりましたか？解決しない場合は、問い合わせフォームからお問い合わせいただくか、Slackコミュニティにご参加ください。

フォームから問い合わせをする
Slackコミュニティに参加する