セキュリティ
サイバー防御を教える私たち自身が、どのように本サービスを守っているか、そして脆弱性を見つけた方がどのように報告できるかをまとめています。
1. 当社のセキュリティ対策
- 認証：すべての受講者・管理者に多要素認証（認証アプリ）を必須化しています。
- データの保管：Amazon Web Servicesの東京リージョンに保存し、通信（TLS）と保存データを暗号化しています。
- 決済：カード情報はブラウザ上でSquareがトークン化し、当社のサーバーを通りません。決済通知は署名を検証し、一度だけ処理します。
- 最小権限：システムの各機能には必要最小限の権限のみを与えています。
- ラボの隔離：ラボは他のシステムから隔離され、IAM権限を持たず、時間制限で自動停止し、停止時に削除されます。
- Webサイト：idcc.centerはスクリプトを一切使用せず、厳格なコンテンツセキュリティポリシーで配信しています。
- コンテンツの安全性：教材やAIの出力はすべてエスケープして表示します。
法人のお客さま向けに、セキュリティ質問票への回答や詳細資料をご用意しています。contact@idcc.centerまでご依頼ください。
2. 脆弱性の報告（脆弱性開示ポリシー）
本サービスの脆弱性を見つけた場合は、security@idcc.centerまでご報告ください。日本語・英語どちらでも受け付けます。
対象範囲：idcc.center、app.idcc.center、IDCCのAPI、およびラボ環境（ラボからの脱出、他の受講者のラボへのアクセスを含みます）。
対象外：Square、AWSなど第三者のサービス自体の脆弱性（各社にご報告ください）、サービス妨害（DoS）攻撃、ソーシャルエンジニアリング、物理的な攻撃、自動スキャナの結果のみの報告。
調査のルール
- ご自身のアカウントとデータのみを使い、他の利用者のデータへのアクセスは、脆弱性の証明に必要な最小限にとどめてください。アクセスした場合は、直ちに調査を中止してご報告ください。
- データを変更・削除したり、サービスを妨げたりしないでください。
- 修正前に第三者へ公開しないでください。当社は報告から90日以内の修正を目指し、公開の時期をご相談します。
当社のお約束
- 3営業日以内に受領をお知らせし、対応状況をお伝えします。
- 本ポリシーに従った善意の調査について、当社から法的措置をとったり、捜査機関へ告発したりすることはありません。
- ご希望の方は、修正後に本ページで謝辞としてお名前を掲載します。現在、報奨金制度はありません。
報告の連絡先は security.txt にも掲載しています。