セキュリティに関するよくあるご質問（FAQ）

1.KnowBe4は、顧客が他の顧客データにアクセスするのをどのように防止していますか？

KnowBe4は、マルチテナントアーキテクチャで論理にデータベースを分離して顧客のプライバシーと機密性を確保しています。データプライバシーを確保し、顧客が他の顧客データにアクセスするのを防止するために、これらの厳格なプライバシー管理がKnowBe4のアプリケーションコードに組み込まれています。これは、各ユーザーを特定のアカウントに関連付ける一意のアカウント識別子を使用して行われます。これらのプライバシー管理が意図したとおりに機能することを確認するために、KnowBe4は多くのユニットテストおよび統合テストを実施しています。コードベースが更新されるときには毎回、これらのテストを実行しています。1つのテストに失敗しただけでも、新しいコードは本番環境にリリースされません。

 

2.バックアップの頻度はどのぐらいですか？

 KnowBe4のバックアップとリカバリインフラは、Amazon Simple Storage Service（Amazon S3）とAmazon Relational Database Service（Amazon RDS）の組み合わせを利用してホスティングされています。これにより、拡張性と効率性に優れるデータストレージインフラと、サイズ変更可能なデータベースキャパシティが提供されます。Amazon RDSサービスは、本番データベースのバックアップを毎日実行します。また、バックアップを35日間保持し、暗号化されたバックアップは高可用性を備えたデータストレージに保存されます。Amazon RDSサービスでは、過去2週間以内の任意の時点にデータベースをポイントインタイムで復元することが可能です。バックアップのコピーは、KnowBe4のデータ保持スケジュールに従って削除されます。

 

3.KnowBe4 の RPO（目標復旧時点）および RTO（目標復旧時間）を教えてください。

KnowBe4のRPOは数分から数時間であり、遅くとも72時間以内です。KnowBe4のRTOは72時間です。

 

4.KnowBe4の変更制御/変更管理の手続きについて教えてください。

KnowBe4は、環境のサービスやシステムを変更する際に、スタッフが変更をリクエストし、管理し、承認し、制御できるようにする正式な変更管理プロセスを採用しています。変更制御プロセスは、ソフトウェアに変更が加えられるたびに、開発変更や緊急変更を含め、重要な開発管理を確実に実施するよう設計されています。変更管理プロセスは、変更すべき内容の特定およびその記録・分類から始まり、その後、変更のレビュー、承認、テストを経て、本番環境へのステージングへと進みます。実装が完了し、評価され報告された時点で、変更プロセスは完了します。

    

5.テスト環境で本番データは使用されますか？

本番データはテスト環境にコピーされません。KnowBe4では、本番データベース全体を匿名化するプロセスを毎日実施しています。このプロセスは、KnowBe4のデータプライバシーおよび情報セキュリティチームによって監督されています。この匿名化されたデータベースには、顧客の住所、ドメイン、会社名、個人情報、およびその他の機密情報など、匿名化された顧客アカウントの詳細が含まれています。この匿名化されたデータベースは、必要に応じてテストに使用されます。このデータベースは毎日更新されており、アカウントデータが削除または消去されると、匿名化データベースからもアカウントデータが消去されます。

    

6.KnowBe4の従業員によるアクセスはどのように管理および監視されていますか？

KnowBe4は、従業員に対して最小権限の原則およびロールベースのアクセスを適用しています。全ての従業員アクセスはログに記録され、監視されています。

    

7.KnowBe4はどのような種類のデータを収集または処理していますか？

 

8.KnowBe4のサブプロセッサーの一覧はどこで確認できますか？

KnowBe4のサブプロセッサーの一覧はこちらでご覧いただけます。

 

9.KnowBe4はどのように製品の可用性を確保していますか？

KnowBe4のシステムはクラウドで稼働しており、自社でルーター、ロードバランサー、DNSサーバー、または仮想システムを運用していません。一部のデータサブプロセッサー、サービス、およびデータを除き、データは主にAmazon AWSのデータセンターでホスティングされています。米国に拠点がある顧客やデータを米国内で保持する必要がある顧客向けに、KnowBe4はノースバージニアのAWSデータセンターにシステムを設置しています。EU/EEA（英国およびスイスを含む）に拠点がある顧客向けに、KnowBe4はアイルランドのダブリンにあるAWSデータセンターで本番データを保存し、フランクフルトのデータセンターにフェイルオーバー機能を備えたシステムを設置しています。ただし、一部のデータサブプロセッサーは、限られたデータのサブセットを米国内で処理します。データを処理する全拠点の詳細は、KnowBe4のサブプロセッサー一覧でご確認いただけます。

KnowBe4のシステムは、事業継続性およびディザスタリカバリの両方を考慮して構築されています。KnowBe4のITインフラストラクチャ（システムおよびデータベースを含む）は、事業継続性のために、EUおよび米国の両リージョンにおいて複数のAmazon AWSデータセンター（アベイラビリティゾーン）に分散されています。システムはKnowBe4専用の仮想プライベートクラウド（VPC）内にあり、ネットワークアクセスコントロールリスト（ACL）を使用して、内部ネットワークへの不正なアクセスを防止しています。

KnowBe4は、コンテナを実行するためのマネージドサービスAWS Fargateを利用しています。AWS Fargateは、KnowBe4が仮想マシン（VM）のクラスタをプロビジョニング、設定、およびスケーリングせずにコンテナを実行できるようにするAmazon Elastic Container Service（Amazon ECS）向けのサーバーレスコンピューティングエンジンです。AWS Fargateは、バックエンドのインフラおよびクラスタを管理します。また、需要に応じてアプリケーションを自動的にスケーリングします。AWS Fargateにより、EC2インスタンスをスケーリング、監視、パッチ適用、保護する必要がなくなります。

KnowBe4のバックエンドシステムと顧客のバックエンドシステム間のデータ通信は暗号化され、送信中のデータが保護されます。データは暗号化されたAmazon Relational Database Service（Amazon RDS）に保存されており、可用性とデータの耐久性が確保されています。ストレージは、KnowBe4専用の暗号化されたAmazon Simple Storage Service（S3）バケットによって提供されます。保管されているデータを保護するために暗号化が有効化されています。

 

10.KnowBe4はどのようにデータの機密性を確保していますか？

KnowBe4の内部ネットワークは、Amazon AWSが提供するステートフルインスペクションファイアウォールによって、公共インターネットからのトラフィックから保護されています。セキュリティグループはファイアウォールとして機能し、インスタンスグループに許可するトラフィックを制御します。各セキュリティグループには、グループ内のインスタンスへの許可された受信トラフィックを管理するカスタムルールが追加されます。その他の全ての受信トラフィックは拒否されます。

通信は暗号化され、KnowBe4のアプリケーションおよび内部ネットワークへのリモートのインターネットセッションを保護しています。暗号化は、公共ネットワーク上で送信されるデータのプライバシーと完全性を確保するために使用されています。

全てのデータは安全なチャネルを通じて送信されます。これには、サービスプロバイダーのトレーニングコンソールのWebサイトへのアクセス、サードパーティに処理のために送信される情報、およびログ記録が含まれます。Webサーバーとデータベース間で送信されるデータは、AWSの仮想プライベートクラウド内で行われます。

KnowBe4のアプリケーションと顧客のアプリケーション間で送信されるデータには、最低でもHTTPS TLS 1.2（利用可能な最高レベルのTLSがデフォルトで使用されます）接続を通じて、最新の暗号化方式が強制的に適用されます。データベースインスタンスはAES256暗号化標準で暗号化されています。

 

11.KnowBe4のデータ保管ポリシーを教えてください。

KnowBe4のデータ保管ポリシーはこちらでご確認いただけます。

 

12.KnowBe4は、HIPAA規制で定められているビジネスアソシエイト契約に署名していますか？

被保険者に代わってPHI（保護対象医療情報）を処理する組織には、ビジネスアソシエイト契約が必要です。KnowBe4のBAAはhttps://www.knowbe4.com/business-associate-agreement でご覧いただけます。また、これは顧客とKnowBe4間で締結される利用規約やマスターサービス契約（MSA）など、別途署名される契約の一部を構成し、該当する場合に適用されます。

 

12.KnowBe4 HIPAAの認定を受けていますか？

いいえ。現在、クラウドサービスプロバイダー向けの正式なHIPAA認定は存在しません。HIPAAが適用されるかどうかにかかわらず、KnowBe4は情報セキュリティプログラムをFedRAMP、NIST 800-53、ISO 27001の要件に準拠させています。

 

13.顧客は、自社のデータが保存されている場所やコンソールの場所をどのように確認できますか？

顧客はコンソールにログインした後にURLを確認することで、KnowBe4のAWSロケーションのどこにコンソールが保管されているかを確認できます。以下の表で、コンソールのURLと対応するAWSストレージの所在地に関する情報をご確認ください。