セキュリティ基準

ProcureLabsでは、セキュリティをプラットフォームの基本と考えています。このページでは、調達データを保護するために導入している対策と、それらが対象とするもの・対象としないものについて説明します。

認証・コンプライアンス

データ暗号化

インフラストラクチャセキュリティ

• クラウドインフラストラクチャ： SOC 2、ISO 27001、PCI DSS認証を保有するAWS上でホストしています。これらはAWSの認証であり、ProcureLabsの認証ではありません。
• データ分離： 顧客データを保持するデータベーステーブルでは行レベルセキュリティが有効になっているため、サインインしたユーザーのクエリには自身の組織の行のみが返されます。昇格されたデータベースアクセスで実行されるバックグラウンドジョブおよび管理経路は行レベルセキュリティを経由せず、アプリケーションコードでテナントフィルターを適用します。
• 可用性： 単一のAWSリージョン（Singapore）；リージョン間フェイルオーバーなし
• 災害復旧： ポイントインタイムリカバリに対応したデータベースバックアップ（データベースホストであるSupabaseが提供）

アクセス制御

セキュリティ監視と対応

• 脆弱性管理： すべてのマージリクエストについて、コミットされたシークレット（Gitleaks）および修正可能な重大な依存関係の脆弱性（Trivy）をスキャンします。
• インシデント対応： インシデントには、ProcureLabsの創業者がプラットフォームのインシデント対応プレイブックを使用して対応し、影響を受けた顧客にはメールで通知します。
• セキュリティに関する問題は、以下のセキュリティ連絡先に報告できます。

AIデータ処理のセキュリティ

当社のAI機能は、セキュリティとプライバシーを考慮して設計されています：

• OpenAIによる処理 OpenAIはチャット、分析、およびツールの選択と調達の証拠に関するDecisionsの限定的な判定に使用されます。お客様の有効な許可と合意された地域設定を条件として、Decisionsは、許可された目的のために最小化し機密情報を除去したコンテキストと質問を受け取ります。OpenAI APIのデータは、明示的に参加を選択した場合にのみモデルの学習に使用されます。Decisionsは暗号化されたプロンプトキャッシュの状態を最大24時間、標準の不正利用監視ログを最大30日間保持する場合があります。適用されるセキュリティ、安全性または法律上の例外が適用されます。
• Decisionsの処理に対する許可 Decisionsの処理には、お客様の有効な指示と、特定の目的、アカウント、処理者および米国への移転に対する許可が必要です。AIを無効にするか、該当する権限を撤回すると、Decisionsへの新しいリクエストは停止されます。重大な影響を伴う操作には、引き続き必要な保護措置と独立した審査が適用されます。
• 保持は、対象のデータ分類、お客様の指示、法的な保全義務およびプロバイダーの条件に従います。チャット履歴、派生コンテンツ、監査記録およびプロバイダーのログには、それぞれの保持条件があります。削除の依頼は、データ処理契約と適用法に基づいて取り扱われます。
• 任意のAI機能は管理者が無効にできます
• AI機能は、管理者が組織全体に対して無効にすることも、各ユーザーが自分自身に対して無効にすることもできます
• AIが提案したアクションに関する判断の監査ログ

データレジデンシー

すべての顧客データは単一のリージョンに保存されます。AI機能は、必要なデータを米国のAIプロバイダーで処理します。現時点では、追加の保存リージョンは利用できません。

ガバナンス

• 文書化した情報セキュリティポリシーを保持し、ポリシーと手順の一覧を少なくとも年1回見直しています。
• 当社は、誠実性、機密保持および利益相反を対象とする行動規範を書面で整備しています。
• ProcureLabsには3名の創業者がいます。CEO兼取締役のDavid Hodgeがセキュリティとデータ保護に責任を負っています。共同創業者によるレビューおよび独立した復旧体制については、文書化と検証を進めています。
• 文書化したリスク登録簿を保持し、少なくとも年1回、また重要な変更の前に見直しています。
• 当社は、サブプロセッサーを確認およびレビューするプロセスを書面で整備しています。ProcureLabsを運用するサーバーの物理的セキュリティはAWSおよびSupabaseが提供しており、当社は自社のデータセンターを運用していません。
• 文書化した事業継続計画を保持し、少なくとも年1回見直しています。
• 当社は、バックアップからデータベースをテスト復元する手順を書面で整備しています。データベースのみの復元演習は完了しており、一時コピーは削除しました。アプリケーション全体、認証およびオブジェクトストレージの復旧、ならびに独立した代替運用者によるアクセスについては、引き続き検証が必要です。

変更管理と処理の完全性

• コード変更は、シークレットスキャン、データベース移行チェック、および本サイトのセキュリティとプライバシーに関する記述が引き続きコードと一致していることの確認など、必須のパイプラインチェックに合格する必要があるマージリクエストを通じてメインブランチに反映されます。本番環境へのリリースは、そのブランチからのみ行われます。必須チェックが削除された場合、または失敗を許容する設定にされた場合、 自動テストは失敗します。
• コード内の既知の弱点は、ベースラインおよびコンプライアンス証跡登録簿に記録されています。エラーを黙って破棄するエラーハンドラーや、裏付けとなるコードが変更された公開済みの記述など、新たな弱点を追加する変更は、修正または記録されるまでブロックされます。
• 当社APIの書き込みエンドポイントの大半は、宣言されたスキーマに対して各リクエスト本文を検証し、一致しないリクエストを400エラーで拒否します。
• 検出エンジンの各実行では、すべての検出器について、完了したかどうかと返した結果の件数、または失敗したことを記録します。失敗は「検出結果なし」としてではなく、必ず失敗として記録されます。