セキュリティ対策

序文

Forward Email では、セキュリティを最優先に考えています。当社は、お客様の電子メール通信と個人データを保護するために、包括的なセキュリティ対策を実施しています。このドキュメントでは、当社のセキュリティ対策と、お客様の電子メールの機密性、整合性、可用性を確保するために当社が講じている手順について説明します。

インフラストラクチャセキュリティ

安全なデータセンター

当社のインフラストラクチャは、SOC 2 準拠のデータセンターでホストされており、次の特徴を備えています。

24時間365日の物理的なセキュリティと監視
生体認証アクセス制御
冗長電源システム
高度な火災検知と消火
環境モニタリング

ネットワークセキュリティ

当社では、複数層のネットワークセキュリティを実装しています。

厳格なアクセス制御リストを備えたエンタープライズグレードのファイアウォール
DDoS 防御と緩和
定期的なネットワーク脆弱性スキャン
侵入検知および防止システム
すべてのサービスエンドポイント間のトラフィック暗号化
疑わしいアクティビティを自動的にブロックするポートスキャン保護

[!重要] 転送中のすべてのデータは、最新の暗号スイートを使用した TLS 1.2+ を使用して暗号化されます。

メールセキュリティ

暗号化

トランスポート層セキュリティ (TLS): すべてのメールトラフィックは、TLS 1.2以上を使用して転送中に暗号化されます
エンドツーエンドの暗号化: OpenPGP/MIMEおよびS/MIME標準のサポート
ストレージ暗号化: 保存されているすべてのメールは、SQLite ファイル内の ChaCha20-Poly1305 暗号化を使用して暗号化されます。
フルディスク暗号化: ディスク全体のLUKS v2暗号化
包括的な保護: 保存時の暗号化、メモリ内の暗号化、転送中の暗号化を実装しています

[!NOTE] 当社は、量子耐性があり個別に暗号化された SQLite メールボックスを使用する世界初かつ唯一のメールサービスです。

認証と承認

DKIM署名: 送信メールはすべてDKIMで署名されています
SPF と DMARC: メールのなりすましを防ぐための SPF と DMARC の完全サポート
MTA-STS: TLS暗号化を強制するMTA-STSのサポート
多要素認証: すべてのアカウントアクセスで利用可能

不正使用防止対策

スパムフィルタリング: 機械学習による多層スパム検出
ウイルススキャン: すべての添付ファイルをリアルタイムでスキャン
レート制限: ブルートフォース攻撃と列挙攻撃に対する保護
IPレピュテーション: 送信IPレピュテーションの監視
コンテンツフィルタリング: 悪意のあるURLとフィッシング攻撃の検出

データ保護

データの最小化

当社はデータ最小化の原則に従います。

当社はサービスを提供するために必要なデータのみを収集します
電子メールの内容はメモリ内で処理され、IMAP/POP3 配信に必要な場合を除き永続的に保存されません。
ログは匿名化され、必要な期間のみ保持されます

バックアップとリカバリ

暗号化による毎日の自動バックアップ
地理的に分散されたバックアップストレージ
定期的なバックアップ復元テスト
RPO と RTO が定義された災害復旧手順

サービスプロバイダー

当社は、サービスプロバイダーを慎重に選定し、高いセキュリティ基準を満たしていることを確認しています。以下は、国際データ転送に使用するプロバイダーと、その GDPR 準拠状況です。

プロバイダー	目的	DPF認定	GDPRコンプライアンスページ
クラウドフレア	CDN、DDoS 保護、DNS	✅ はい	クラウドフレア GDPR
データパケット	サーバーインフラストラクチャ	❌ いいえ	データパケットプライバシー
デジタルオーシャン	クラウドインフラストラクチャ	❌ いいえ	デジタルオーシャン GDPR
バルト	クラウドインフラストラクチャ	❌ いいえ	GDPRについて
縞	支払い処理	✅ はい	Stripe プライバシーセンター
ペイパル	支払い処理	❌ いいえ	PayPalのプライバシー

当社は、国際的なデータ保護規制に準拠しながら、信頼性が高く安全なサービスの提供を保証するために、これらのプロバイダーを利用しています。すべてのデータ転送は、お客様の個人情報を保護するために適切な安全対策を講じて行われます。

コンプライアンスと監査

定期的なセキュリティ評価

当社のチームは、コードベース、サーバー、インフラストラクチャ、プラクティスを定期的に監視、レビュー、評価しています。当社は、以下を含む包括的なセキュリティプログラムを実施しています。

SSHキーの定期的なローテーション
アクセスログの継続的な監視
自動セキュリティスキャン
積極的な脆弱性管理
チームメンバー全員に対する定期的なセキュリティトレーニング

コンプライアンス

GDPR 準拠したデータ処理方法
データ処理契約（DPA）法人のお客様にもご利用いただけます
CCPA準拠のプライバシー管理
SOC 2 タイプ II 監査プロセス

インシデント対応

当社のセキュリティインシデント対応計画には以下が含まれます。

検出: 自動監視および警告システム
封じ込め: 影響を受けたシステムの即時隔離
根絶: 脅威の除去と根本原因の分析
回復: サービスの安全な復旧
通知: 影響を受けるユーザーとのタイムリーなコミュニケーション
事後分析: 包括的な見直しと改善

[!警告] セキュリティ上の脆弱性を発見した場合は、直ちに security@forwardemail.net.

セキュリティ開発ライフサイクル

flowchart LR
    A[Requirements] --> B[Design]
    B --> C[Implementation]
    C --> D[Verification]
    D --> E[Release]
    E --> F[Maintenance]
    F --> A
    B -.-> G[Threat Modeling]
    C -.-> H[Static Analysis]
    D -.-> I[Security Testing]
    E -.-> J[Final Security Review]
    F -.-> K[Vulnerability Management]

すべてのコードは以下を経ます: