Omiseのセキュリティ

お客様がOmiseに機密情報を託してくださっていることを重く受け止め、責任を持って行動し、最高水準のセキュリティでお客様のデータを保護することをお約束します。決済インフラを提供する企業として、Omiseのセキュリティへの取り組みは揺るぎないものであり、グローバルな金融業界の厳しい要件を満たすために継続的に対応を進化させています。

コンプライアンスと基準

基準	状況
PCI DSS	Level 1 — 決済サービスプロバイダーに求められる最高レベル
NISTサイバーセキュリティフレームワーク	情報セキュリティプログラムがそのガイドラインに準拠
データ保護	PDPA、GDPR、およびその他の適用される規制フレームワークに準拠

PCI DSS

OmiseはPCI DSS Level 1認定を取得しています。

この認証の有効性を確認するには、Visaのグローバルサービスプロバイダー登録簿をご覧ください。PCI DSSそのものについて詳しく知りたい方は、PCI-DSSとは?をご覧いただくか、pcisecuritystandards.orgをご覧ください。

NIST

Omiseの情報セキュリティプログラムは、米国国立標準技術研究所(NIST)サイバーセキュリティフレームワークが定めるガイドラインに準拠しています。こうした強固なセキュリティ体制への取り組みにより、エンタープライズ顧客の厳格な要件を満たしています。

データ保護

Omiseは、PDPAやGDPRをはじめとするあらゆる関連法規制に従い、高度なプライバシーおよびデータ保護の手法、プロトコル、業界最先端のプラクティスを取り入れています。詳細はプライバシーページをご覧ください。

データ保持ポリシーにより、規制および業務上の要件を満たしながら収集するデータを最小限に抑え、情報漏えいのリスクを低減しています。

顧客データはストレージレベルの暗号化によって保護されています。カードデータについては、その機密性の高さに応じてさらに強固な保護(フィールドレベルの暗号化とトークン化)が適用されています — 詳しくはカードデータ環境をご覧ください。

セキュアなプロダクト

セキュリティは、Omiseにおけるあらゆるプロダクト設計およびインフラの意思決定を導く重要な要素です。

認証

ダッシュボードは多要素認証(MFA)に対応しており、安全なアカウントプロビジョニングを通じてチームメンバーをオンボーディングします。ダッシュボードは、応答を返す前にユーザーからのサポートリクエストを確認します。

アクセス制限

ダッシュボードのユーザーは、従業員に対して詳細なロールを割り当てることができ、最小権限の原則に基づいたアクセス管理が可能です。ダッシュボードからは、セッション管理や、誰がいつどこからログインしたかを含む、重要なアカウントの変更や操作の監査ログも確認できます。

安全な接続

Omiseは、一般公開されているウェブサイトやユーザーダッシュボードを含むすべてのサービスにおいて、TLS(Transport Layer Security)によるHTTPSを厳格に適用しており、発行される証明書、使用する認証局、対応する暗号スイートなど、実装のあらゆる側面を定期的に評価しています。

サーバー間のすべての通信は、相互TLS(mTLS)によって保護されています。システムは、古い、または安全性の低いバージョンのTLSを使用したリクエストを積極的にブロックし、あらゆる接続において最低でもTLS 1.2を必須としています。

開発

エンジニアは、プロジェクトのライフサイクルの早い段階からセキュリティ専門家と連携し、セキュリティ要件の洗い出しや、脅威モデリング、セキュリティのベストプラクティスチェックリストの確認といった作業を行うことで、新しいプロダクトが安全に開発されるようにしています。

すべてのコードは複数人によるレビューと自動テストを経ています。安全な開発パイプラインが、静的コード解析、依存関係のスキャン、自動脆弱性スキャナーを用いてすべての変更をスキャンし、リリース前にセキュリティ上の問題を検出します。

脆弱性報告および報奨プログラム

Omiseは、Omiseのプロダクトのセキュリティ向上に貢献してくれた独立系セキュリティ研究者に報酬を支払う、公開のバグバウンティプログラムを運営しています。参加方法や報告の提出方法の詳細については、HackerOne上のOmiseプログラムをご覧ください。

インフラとプロセス

Omiseは定期的な脆弱性スキャンとペネトレーションテストを実施しており、第三者のセキュリティ専門機関による独立した評価を受け、発見された課題を迅速に解決しています。システムは常時監視されており、サーバーのオペレーティングシステムはセキュリティサポート終了日を迎える前に積極的にアップグレードされます。

カードデータ環境

機密データは、通信時および保存時のいずれにおいても暗号化されています。クレジットカード番号などのカード会員番号(PAN)を保存、復号、送信するためのインフラは、Omiseの他のサービスと認証情報を共有しない、独立した環境で稼働しています。

この独立した環境へのアクセスは、限られた人数のエンジニアのみに制限されており、定期的にレビューされています。

すべてのカード番号は、AES-256による保存時の暗号化とトークン化が適用されています。復号キーは別のシステムの暗号化モジュールに保管されており、Omise内の他のいかなるサーバーも平文のカード番号を取得することはできません。

社内セキュリティ

従業員の認証には、SSO、ハードウェアトークンを用いた二要素認証(2FA)、Omise支給端末からのmTLSによるVPN接続が用いられています。従業員がネットワークに接続した後も、機密性の高い社内システムや通常業務の範囲外のものへのアクセスには、追加の権限が必要です。

Omiseは監査ログを監視し、異常や侵入、不審な挙動を検知しています。Omise支給のノートパソコンは、不正なプロセス、不正なドメインへの接続、侵入の兆候について継続的にチェックされています。

アクセス管理

社内システムおよび情報へのアクセス許可には正式な手続きが定められており、アクセス権限は定期的にレビューされ、不要になったアクセス権は削除されます。誰が何にアクセスしたかは継続的に監視されています。

セキュリティ文化と意識向上

全従業員が月次のセキュリティ意識向上プログラムを受講し、エンジニアはセキュアなソフトウェア開発に関するトレーニングを受けています。社内フィッシング演習により従業員がフィッシングの兆候を見抜く力を検証しているほか、セキュリティチャンピオン制度など、会社全体のセキュリティ文化を強化するその他の取り組みも行っています。

その他ご不明な点や、Omiseのセキュリティへの取り組みについて詳しく知りたい場合は、security@omise.coまでお問い合わせください。

よくある質問

Q: Omise APIを導入する際、当方が負うべきセキュリティ上の責任は何ですか? A: このページの姉妹ドキュメントであるセキュリティのベストプラクティスをご覧ください。シークレットキーの取り扱い、カード情報の安全な送信、ウェブフックエンドポイントの要件について説明しています。

Q: OmiseのPCI DSS Level 1のステータスはどのように確認できますか? A: Visaのグローバルサービスプロバイダー登録簿でOmiseを検索してください。

Q: Omiseはどのデータプライバシー規制に準拠していますか? A: PDPA、GDPR、およびその他の適用される地域の規制フレームワークです — 詳しくはデータ保護およびプライバシーページをご覧ください。

Q: セキュリティ脆弱性はどのように報告すればよいですか? A: HackerOne上のOmiseの公開バグバウンティプログラムから報告してください。

Q: ダッシュボードへのアクセスは多要素認証で保護されていますか? A: はい — 詳しくは認証をご覧ください。

Q: カード会員データはどのように保護されていますか? A: 通信時および保存時に暗号化され、トークン化された上で、アクセスが制限され定期的にレビューされる独立した環境で処理されています — 詳しくはカードデータ環境をご覧ください。

Q: Omiseのサービスが現在稼働しているかどうかはどこで確認できますか? A: status.omise.coをご覧ください。

Q: Omiseの侵害通知(ブリーチノーティフィケーション)のプロセスはどうなっていますか? A: これはこのページではなく、Omiseとのサービス契約に基づく契約上の事項です — 契約書の利用規約をご参照いただくか、担当のアカウントチームまでお問い合わせください。

Q: このページに記載のないコンプライアンス関連の資料が必要です。どこに問い合わせればよいですか? A: security@omise.coまでお問い合わせください。

関連コンテンツ

• セキュリティのベストプラクティス — 加盟店として負うべき責任について説明した、このページの姉妹ドキュメントです
• PCI-DSSとは?
• プライバシーポリシー
• Omiseバグバウンティプログラム
• Omise APIステータス