妥協のないセキュリティ

組織的セキュリティ

Crowdin情報セキュリティポリシーの要件は、Crowdin組織全体に適用され、すべての従業員およびこれらの業務プロセスに関与するすべての人に義務付けられています。ISMSは、人、プロセス、テクノロジーという3つの柱に基づいて構築されており、ゼロトラストアーキテクチャ（ZTA）が広範に実装されています。ゼロトラストアーキテクチャは「決して信頼せず、常に検証する」という原則に基づいて動作します。つまり、ユーザーやデバイスの場所を根拠に、リソースへのアクセスが暗黙的に信頼されることはありません。代わりに、アクセスの試行ごとに、ネットワーク境界の内側からか外側からかを問わず、厳格な本人確認と継続的な認証が必要です。最高情報セキュリティ責任者（CISO）は、情報資産とテクノロジーが適切に保護されるようにする責任を負います。

セキュリティトレーニングと意識向上

Crowdinでは、すべての従業員が年間を通じて継続的なセキュリティおよび意識向上トレーニングを受講しています。新しいチームメンバーは全員、入社後1か月以内に基本的なセキュリティトレーニングを完了します。当社では、定期的なアクセス監査とパスワード更新を実施し、最小権限の原則に基づいて運用しています。役割別のセキュリティトレーニングも必須です。

ハードウェアセキュリティ

すべての従業員デバイスには暗号化されたハードドライブが搭載されています。ハードウェアおよびソフトウェアのインストール、設定、変更は、任命されたシステム管理者のみが行います。データセンター施設への機器の搬入・搬出は承認、記録、監視されます。ワークステーション機器、サービス、アプリケーションにアクセスするには、ユーザー固有のアクセス認証情報（例:ユーザーID/パスワードの組み合わせなど）が必要です。

• BYOD（Bring Your Own Device）は制限されています。機密データは会社管理のデバイス上でのみ処理されます。
• 会社管理のデバイスには、MDM、バイナリ承認・監視システム、ウイルス対策ソフトウェア、管理されたソフトウェアアップデートが備わっています。
• 必須ハードウェアキー - 会社データへのアクセスは、必須のハードウェアベースの2FAキーによって制御されます。
• コンテキストアウェアアクセス - 企業データへのアクセスは、会社管理のデバイスからのみ許可されます。
• 位置情報に基づくアクセス制限が適用されます。
• バイナリの承認と監視 - 許可リストに登録されたバイナリファイルのみ、従業員デバイス上で実行できます。

物理セキュリティ

Crowdinのオフィスは警報システムによって監視・保護されており、火災警報システムも備えています。オフィス全体には閉回路（CCTV）カメラが設置され、出入口やその他の指定区域を撮影しています。Crowdinのインフラストラクチャ全体はクラウド上にあるため、Crowdinの従業員は本番施設に物理的にアクセスできません。安全区域は入退室管理によって保護されており、許可された担当者のみがアクセスできます。

ネットワークセキュリティ

当社の内部ネットワークは制限、分離、パスワード保護されており、ネットワークセキュリティ関連のすべてのイベントが記録されます。

ソフトウェアセキュリティ

Crowdinでは、24時間365日対応のサーバースペシャリストチームを配置し、ソフトウェアとその依存関係を最新の状態に保つことで、潜在的なセキュリティ脆弱性を取り除いています。サイト攻撃を防止・排除するために、監視ソリューションを使用しています。

• ソフトウェア許可リスト - 会社デバイスでは、承認済みのソフトウェアとブラウザプラグインのみが許可されます。
• OAuthアプリ管理 - 企業データにアクセスできるOAuthアプリは継続的に管理・監視されます。
• クラウドサービスへのアクセスは、コンテキストアウェアアクセスを備えたSAML経由で行われます。

インシデント対応

Crowdinは、エスカレーション手順、迅速な緩和措置、事後分析を含むセキュリティイベント対応プロトコルを実装しています。すべての従業員に当社のポリシーを周知しています。

従業員審査

Crowdinは、現地の法律に従い、システム、ネットワーク、または物理データセンター施設にアクセスできるすべての新入社員、契約社員、その他の個人に対して身元調査を実施しています。

第三者およびサプライヤーのセキュリティ

Crowdinはベンダーリスク管理の取り組みを維持し、第三者が審査され、期待される水準のセキュリティ管理策を維持していることを確認しています。サブプロセッサー一覧を見る.