アカウントとデータはお客様のもの
成長支援のパートナーは、予算、成果、顧客のパイプラインを目にします。そのアクセスは必要最小限で、記録され、簡単に取り消せるものであるべきです。本サービスは125か国以上にまたがり分散・暗号化して運用しており、以下の管理策はFOCUSADS.siに組み込まれています。このページが攻撃者の手がかりにならないよう、管理策の働きは説明しますが、その背後にあるベンダーやバージョンは記載しません。
設計の軸となる3つのルール
所有権はお客様に
広告アカウント、ピクセル、アナリティクス、CRMはお客様の名義のままです。私たちは、お客様が付与し、いつでも削除できるユーザーアクセスまたはパートナーアクセスを通じて作業します。パスワードを求めることはありません。
常に最小権限
スタッフは、役割に必要な情報だけを閲覧できます。クライアントは、自社のワークスペースだけを閲覧できます。機密性の高い操作はすべて、後から編集できない監査記録に残ります。
主張より根拠
報告する数値には、取得元のプラットフォーム、アカウント、期間、通貨、取得時刻を付けているため、各プラットフォームのダッシュボードと照合できます。
プロダクトに組み込まれた管理策
二要素認証の必須化
すべてのクライアントとスタッフのアカウントは、ダッシュボードや運用コンソールを開く前に、認証アプリ（Google AuthenticatorまたはTOTPに対応した任意のアプリ）を登録する必要があります。
- 登録時はQRコードと手動入力用キーを使い、最初のコードで確認します。
- 1回限りのリカバリーコードは、ハッシュとしてのみ保存します。
- サインインとMFAのイベントは監査ログに書き込みます。
2層のテナント分離
各クライアントのワークスペースは、アプリケーションのコードで分離し、さらにデータ層の内部でも分離しています。そのため、コードでの確認に漏れがあっても、ほかのクライアントのレコードが返されることはありません。
- すべてのリクエストは、ワークスペースと役割が固定されたスコープ内で実行されます。
- すべての読み取りと書き込みでサーバーサイドの認可を行い、役割についてブラウザを信頼することはありません。
- 自動テストで、レポート、支出、タスク、請求書、メディアプランへのテナント間のアクセスを試行します。
委任によるプラットフォームへのアクセス
アクセスは、Google 広告のマネージャーアカウントのリンク、Meta Businessのパートナーアクセス、LinkedInのアカウントロール、および各プラットフォームの同等の機能を通じて申請します。各権限はプラットフォームの設定から確認し、取り消せます。
- ログイン情報の共有も、パスワードの収集もありません。
- アクセスの状況は、ダッシュボードでアカウントごとに表示されます。
追記専用の監査ログ
サインイン、MFAの変更、役割とアクセスの変更、請求のイベント、レポートの公開、データのエクスポートを記録します。データベースは監査記録の編集や削除を拒否します。
- IPアドレスは保存前に仮名化します。
- シークレットやトークンがログに書き込まれることはありません。
暗号化された通信と厳格なヘッダー
すべての通信でTLSとHSTSを使用しています。アプリケーションは、コンテンツセキュリティポリシー、フレーム保護、厳格なリファラーポリシー、制限的なパーミッションポリシーを送信します。
- セッションCookieはHttpOnly、Secure、SameSite=Laxです。
- サインインとフォームのエンドポイントにはレート制限を設けています。
カード決済は当社のシステムの外で
決済、請求書、請求ポータルは、PCI DSS認定の決済プロバイダーで運用しています。カード番号が当社のサーバーに届くことはありません。決済の状態は、署名され検証されたイベントでのみ変わり、各イベントは1回だけ処理されます。
- 重複したイベントは影響を与えません。
- 注文書に記載がない限り、メディア費用がFOCUSADSを通じて請求されることはありません。
署名付きのデータ取り込み
成果の根拠データは、暗号で署名され、有効期限があり、1回限り使えるリクエストを通じてのみプラットフォームに取り込まれます。そのため、取得したデータを偽造したり再送したりすることはできません。
- 期限切れのリクエストや重複したリクエストは拒否されます。
- 修正はリビジョンとして保存され、公開済みのレポートのバージョンは変更できません。
125か国以上で分散・暗号化
本サービスは、125か国以上にまたがる分散ネットワークから提供され、通信時も保存時も暗号化されています。本番環境とテスト環境は完全に分離しており、テスト環境が検索エンジンにインデックスされることはありません。
- シークレットは環境ごとに分けたマネージドのシークレットストレージで保管し、ソースコードに含めることはありません。
- 変更のたびに、依存関係、シークレット、コードのスキャンを実行します。
データの取り扱いの概要
- データ管理者
- ウェブサイトからのお問い合わせとアカウントについてはTHEFOCUS LTD、ワークスペース内のデータについてはクライアントであるお客様です。
- 適用法
- 英国GDPR、2018年データ保護法（Data Protection Act 2018）、PECR。
- 特別な種類のデータ
- 受け付けていません。健康データやその他の機微なデータをアップロードしたり、ターゲティングに使ったりしてはなりません。
- 漏えい時の通知
- 不当な遅滞なく、当社が認識してから48時間以内にクライアントに通知します。
- 保持
- 監査ログは24か月、クライアントの記録は契約期間に加えて6年間、成約に至らなかったお問い合わせは24か月です。
- 再委託先
- 再委託先のページにカテゴリ別に記載しています。インフラとホスティング、決済、メール、アナリティクス（同意がある場合のみ）です。名称入りのリストは、ダッシュボードでクライアントに公開しており、ご請求に応じて提供します。
脆弱性を見つけた場合
お問い合わせフォームから「セキュリティ報告」を選んでご報告ください。影響を受けるURL、再現手順、影響の内容を記載してください。ご自身のものではないデータへのアクセスやサービスの妨害はご遠慮ください。報告は英国の2営業日以内に受領を確認し、修正が反映されるまで状況をお知らせします。
セキュリティ報告を送る私たちが主張しないこと
- 現時点で、ISO 27001やSOC 2の認証は取得していません。取得した場合は、このページで認証の詳細とともにお知らせします。
- ページに特定のプログラムを明記している場合を除き、当社はこのサイトに記載している広告プラットフォームの公式パートナーではありません。
- すべてのリスクを取り除けるセキュリティ管理策はありません。私たちは、導入している管理策と、問題が起きたときの対応を説明しています。
広告アカウントのパスワードは必要ですか？ いいえ。Google 広告のマネージャーアカウントのリンクやMeta Businessのパートナーアクセスなど、各プラットフォーム自身の権限の仕組みを通じてアクセスを申請します。お客様がプラットフォーム上で承認し、いつでも削除できます。
ほかのクライアントに当社のデータが見えることはありますか？ ありません。ワークスペースはアプリケーションのコードとデータ層の両方で分離しており、テナント間のアクセスの試行を自動でテストしています。
二要素認証は任意ですか？ いいえ。すべてのクライアントとスタッフのアカウントは、ダッシュボードや運用コンソールにアクセスする前に、認証アプリを設定する必要があります。
データはどこでホストされていますか？ 125か国以上にまたがる、分散・暗号化されたネットワーク上です。英国外への移転は、プライバシーに関する通知と再委託先のページに記載している、認められた保護措置に基づいて行います。
契約前にセキュリティレビューが必要ですか？
エンタープライズのチームは、検討段階でセキュリティ質問票への回答とデータ処理補足契約をご請求いただけます。