トラストセンター
プラットフォームをどう保護しているか、データがどこに置かれているか、どの認証を保有しているか——保有していないものも含めて、お伝えできるすべてを掲載しています。
準拠している、または取得を進めているフレームワークです。現在の認証状況は下の表をご覧ください。
データ保管地とプライバシー
カナダ国内の、自社で運用するサーバーに保管しています。主データ保管場所
カナダ 🇨🇦
アカウント情報、スキャン結果、ログは、カナダ・トロントにある自社所有・自社運用のサーバーに保管しています。暗号化した夜間バックアップは、保管場所が固定されていない Cloudflare R2 にも複製しており、鍵は当社だけが保有しています。以下の各再委託先は、そのサービスに必要な情報だけを受け取ります。
保存時の暗号化
AES-256-GCM
シークレットと保存された認証情報は AES-256-GCM で暗号化されます。暗号鍵はトークン署名鍵とは別に管理され、サーバー環境にのみ存在し、データベース・バックアップ・リポジトリに書き込まれることはありません。
通信時の暗号化
TLS 1.3
API と Web のすべての通信は前方秘匿性を備えた TLS 1.3 を使用します。暗号スイートは利用可能な最も強固な構成に限定しています。
トラフィックを取得しません
一切なし
ネットワークトラフィックを取得・保存することは一切ありません。スキャンが出力する内容（ツールの出力と、そこから抽出した検出結果）は、閲覧やレポート作成のために保存し、90 日後に削除します。
保存する情報
データ処理の原則
通信時と保存時の暗号化
すべての接続で前方秘匿性を備えた TLS 1.3 を使用します。シークレットと保存された認証情報は、トークン署名鍵とは別に保持される鍵を用いて AES-256-GCM で暗号化されます。
隔離された実行環境
スキャンは専用スキャンコンテナ内でサーバー側で実行され、ジョブごとに1プロセスです。コマンドは入力値を埋め込む前にトークンへ分解されるためシェルは介在せず、すべてのクエリはお客様の組織に限定されます。
SOC 2 に沿った統制
インフラは SOC 2 Trust Services Criteria（セキュリティ、可用性、機密性、プライバシー）に沿って設計されています。Type II 監査は未完了です — 各フレームワークの状況は下の表に正確に記載しています。
追記専用の監査ログ
特権操作は追記専用の監査ログに記録され、お客様の組織に限定されたうえでダッシュボードから照会できます。ログは1年間保持します。
MFA・SSO・ロール
使い捨てバックアップコード付きの TOTP による多要素認証。Enterprise では SAML 2.0、OIDC、LDAP／Active Directory によるシングルサインオンに対応します。ロールベースのアクセス制御は UI ではなくサーバー側で強制されます。
当社が保守するツールチェーン
スキャナーのイメージと脆弱性テンプレートは当社が再ビルドして再配置します。お客様がスキャナーを更新したり、Kali マシンにパッチを当てたりする必要はありません。
データ最小化
保存するのはスキャンのメタデータと検出結果であり、生トラフィックではありません。保持期間は設定可能で、データはいつでも書き出しまたは削除できます。GDPR 第5条(1)(c)。
プラットフォーム監視
全エンドポイントでのコスト階層付きレート制限、アカウント活動に対する統計的な異常検知、障害が起きたサービスを人手を待たずに再起動するヘルスウォッチドッグ。
security.txt (RFC 9116)
IETF RFC 9116 に完全準拠したセキュリティ連絡先ファイルです。検索エンジンやセキュリティ研究者が自動的に発見できます。
# CyberSec Pro Security Policy
# RFC 9116 Compliant
Contact: mailto:security@cyber-sec-pro.com
Contact: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Acknowledgments: https://cyber-sec-pro.com/trust-center#acknowledgments
Policy: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Hiring: https://cyber-sec-pro.com/careers
Preferred-Languages: en, tr
Canonical: https://cyber-sec-pro.com/.well-known/security.txt
Expires: 2027-07-31T23:59:59.000Z
脆弱性開示ポリシー
1対象範囲
対象：
- cyber-sec-pro.com とそのサブドメイン
- app.cyber-sec-pro.com — SaaS プラットフォーム
- api.cyber-sec-pro.com — REST API
対象外：
- ソーシャルエンジニアリングとフィッシング
- サービス拒否（DoS/DDoS）
- 物理的セキュリティ
- 当社が運用していない第三者サービス
2報告窓口
セキュリティ上の脆弱性は次の宛先までご報告ください： security@cyber-sec-pro.com
報告テンプレート：
- 件名: [SECURITY] 簡潔な説明
- 対象資産: URL またはエンドポイント
- 脆弱性の種類: XSS、SQLi、IDOR など
- 再現手順: 1、2、3 …
- 影響: データ漏えい、権限昇格 など
- CVSS スコア（任意）
- PoC またはスクリーンショット
3応答 SLA
- 初回応答： ≤ 24 hours
- 状況報告： ≤ 72 hours
- 修正または例外判断： ≤ 90 days
4セーフハーバー
- 本ポリシーに沿った報告に対して法的措置をとることはありません
- 報告者の身元は非公開として扱います
- 修正完了後、Hall of Fame に掲載します
- 書面による許可のないテストは禁止です
コンプライアンスフレームワーク
4/10 準拠インシデント対応の目標時間
インシデントが検知された時点、または security@cyber-sec-pro.com に報告された時点から、どれだけ早く対応するかの目標です。CyberSec Pro は 1 人で運営しているため、時間は毎日トロント時間の 7:00 から 23:00 までの間で数え、夜間に届いた報告は 7:00 から数え始めます。データ侵害の報告に関する法定期限は、これとは別に 24 時間途切れなく進みます。これは目標であり、契約上の約束ではありません。手順は NIST SP 800-61 のフェーズ（検知、封じ込め、根絶、復旧、振り返り）に従います。
| 優先度 | 対応開始 | 通知 | 解決 |
|---|---|---|---|
| P0 — 重大 | 1 時間以内 | 4 時間以内 | 24 時間以内 |
| P1 — 高 | 4 時間以内 | 24 時間以内 | 72 時間以内 |
| P2 — 中 | 24 時間以内 | 72 時間以内 | 7 日以内 |
| P3 — 低 | 3 日以内 | 7 日以内 | 30 日以内 |
サブプロセッサー
当社に代わって個人データを処理する第三者です（GDPR 第28条）。各データ処理契約（DPA）は事業者自身の規約の一部で、アカウント作成時に同意したものです。別途署名した写しは保有していません。例外は Gmail で、個人向けアカウントのため Google は DPA を提供していません。
| 事業者 | 目的 | 所在地 | DPA |
|---|---|---|---|
| Stripe, Inc. | 決済処理 | 米国（EU SCC + DPF） | ✓ 有効 |
| Cloudflare, Inc. | DDoS 防御、WAF、CDN、TLS 終端、クッキーを使わないウェブ解析、受信メールの転送 | グローバルエッジ（EU SCC + DPF） | ✓ 有効 |
| Brevo (Sendinblue SAS) | トランザクションメール（リンクのクリック計測あり） | EU（EU SCC） | ✓ 有効 |
| Google (Gmail) | 当社の受信箱（当社アドレス宛てのメール） | 米国（EU SCC + DPF） | なし |
| Cloudflare R2 | 暗号化されたデータベースバックアップのオフサイト保管（各 30 日間保持） | 自動配置、管轄指定なし（暗号化済み。鍵は当社のみが保持） | ✓ 有効 |
| Google Analytics | サイト利用状況の集計統計 | 米国（EU SCC + DPF） | ✓ 有効 |
最終更新：2026年11月。このリストの変更は、発効日当日にこのページとプライバシーポリシーで公開します。直近の変更：Mailjet が当社アカウントを閉鎖したため、2026年9月29日に Brevo へ切り替えました。2026年10月30日、Brevo の行を修正し、Brevo がリンクのクリックを計測していること（当初から行われていました）を明記しました。2026年11月4日以降、Gmail は当社の送信メールを中継しておらず、当社の受信箱としてのみ使用しています。
データ処理契約（DPA）
GDPR 第 28 条に基づくデータ処理契約は、すべてのお客様にご用意できます。ご請求いただければ、署名用にお送りします。EU および英国からの個人データは、両者がカナダについて下した十分性認定に基づいてカナダの当社に移転されるため、この移転に標準契約条項は必要ありません。各再委託先、その所在地、受け取るデータはプライバシーポリシーに記載しています。
DPA の範囲
- 処理の目的と方法
- 個人データおよびデータ主体の類型
- 再委託先の一覧と、新規委託先の承認手順
- 技術的および組織的措置（TOM）
- 侵害の通知（不当な遅滞なく、72 時間以内）
- 国際移転と、それぞれが依拠する保護措置
データ保護影響評価
✓ 承認済み（2026年11月）2026年11月、スキャン、デバイス識別、毎週のネットワークチェックを含むサービス全体について、GDPR第35条に基づくデータ保護影響評価を実施しました。これは創業者が承認した自己評価であり、データ保護責任者（任命されておらず、義務もありません）や監督機関による審査は受けていません。高いと評価された残存リスクはありません。評価は毎年、また処理する個人データに変更が生じる前に見直します。お客様はその写しを請求できます。
セキュリティテストと監査
自社プラットフォームと手動レビューによる継続的な内部セキュリティテストを実施しています。第三者による独立したペネトレーションテストは実施予定で、完了後はサマリーレポートを NDA のもと Enterprise のお客様に提供します。
Nuclei 3.11 + Wapiti 3.2, run against production
範囲： https://app.cyber-sec-pro.com — TLS、ヘッダー、CORS、設定不備と情報露出のテンプレート、加えて XSS・SQLi・オープンリダイレクトの検査
結果： 重大 0 件、高 0 件、中 0 件、情報 14 件。Wapiti：脆弱性 0 件。
CyberSec Pro Security Team (internal)
範囲： リポジトリ全体の認証・認可・シークレット管理・API キー・MFA・SSO・セッション管理
結果： 本番環境で機能していない統制がいくつか見つかり作り直しました。保護対象だったシークレットはローテーションし、各修正は回帰テストで固定しています。
セキュリティ Hall of Fame
脆弱性開示ポリシーに沿って報告してくださった研究者の皆さまに感謝します。
脆弱性をご報告いただければ、Hall of Fame の最初の研究者になれます。
脆弱性を報告するセキュリティ連絡先
トラストセンター最終更新：2026年9月 · ポリシー版数：2.2.0 · 次回見直し：2027年3月