Zoho Appticsのセキュリティと暗号化

Zoho Appticsのセキュリティと暗号化

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

概要

顧客データの保護は、Zoho Appticsの基本原則です。アプリからデータが送信された時点から、Zohoのインフラ内で安全に処理、保存されるまで、複数層の認証と暗号化によってデータを保護します。

Zoho Appticsにおける暗号化アーキテクチャのフロー

Zoho Appticsでは、次の方法でデータを保護します。
  1. JWTベースのリクエスト認証
  2. 転送中の機密データに対するRSA暗号化
  3. すべてのネットワーク通信に対するTLS暗号化
  4. 保存データに対するAES-256暗号化
  5. Zohoが独自に開発した鍵管理サービス（KMS）
これらの仕組みにより、不正アクセス、データの傍受、中間者攻撃、サーバーの侵害からデータを保護します。

JWTベースのリクエスト認証

Apptics SDKから送信されるすべてのリクエストは、JSON Webトークン（JWT）を使用して認証されます。

JWT認証では、SDKのリクエストを処理前に検証することで、セキュリティをさらに強化します。アプリの認証情報のみに依存する場合とは異なり、署名付きJWTを使用することで、リクエストが信頼できるSDKインスタンスから送信され、改ざんされていないことを確認できます。

JWTベースの認証では、リクエストが信頼できるSDKインスタンスから送信されたことを確認し、リクエストの整合性を検証することで、APIへの不正アクセスや認証情報の悪用を防止します。

機密データのRSA暗号化

SDKによって収集された機密情報は、クライアントアプリから送信される前に、RSA公開鍵暗号化によってさらに保護されます。

仕組み

Apptics SDKは、AppticsサービスからRSA公開鍵を安全に取得します。送信前に、指定された機密項目（個人情報など）が、取得した公開鍵を使用してローカルで暗号化されます。

データを復号できるのは、Appticsのサーバーに安全に保存されている、対応するRSA秘密鍵のみです。この非対称暗号化モデルにより、送信中にデータが傍受された場合でも、機密情報を読み取ることはできません。

転送中の暗号化

アプリ、Apptics SDK、Zoho Appticsサービス、対応する連携間のすべての通信は、トランスポート層セキュリティ（TLS）を使用して保護されます。TLSは、転送中の顧客データを中間者（MITM）攻撃、ネットワークの盗聴、パケットの傍受、データの改ざんから保護します。

指定された機密項目に対するRSA暗号化では、トランスポート層の暗号化に加えてアプリ層でも保護することで、TLSを補完します。
Info
詳細については、Zohoの転送中の暗号化に関するドキュメントを参照してください。

保存データの暗号化

Zoho Appticsに到達したデータは、保存前に暗号化されます。Zoho Appticsでは、保存データのアプリ層での暗号化にAES-256（高度暗号化標準）を使用します。AES-256は、機密性の高い情報の保護に使用される業界標準の共通鍵暗号化アルゴリズムです。Zohoのアプリ層の暗号化では、暗号化対象の項目に、CBCモードとPKCS5パディングを指定したAES-256を使用します。詳細については、Zohoの暗号化に関するホワイトペーパーをご覧ください。

詳細については、Zohoの鍵管理サービス（KMS）のドキュメントを参照してください。

保護されるデータ

Zoho Appticsでは、使用する機能に応じて、次の情報が保護されます。
  1. メールアドレスやIPアドレスなどの個人情報（PII）
  2. 認証関連情報
  3. 主要な分析データおよびエンゲージメントデータ（セッション、画面、イベント、API）
  4. クラッシュの診断情報
  5. パフォーマンス監視データ
  6. ユーザーおよびデバイスのメタデータ
  7. フィードバックデータ
  8. ストアのレビューデータ
機密情報は、転送中およびZoho Apptics内での保存中に保護されます。
Notesメモ：アプリの開発者は、適用されるプライバシー規制に従ってユーザーの同意を取得し、データ収集を設定する責任を負います。Zoho Appticsでは、アプリによって収集、送信された後のデータを保護します。

ディスク全体の暗号化

アプリ層の暗号化に加えて、Zohoのインフラでは、対応するデータセンターでハードウェアベースのディスク全体の暗号化を利用でき、保存データをさらに保護できます。

現在、ハードウェアベースのディスク全体の暗号化は、次の地域で利用できます。
  1. US（アメリカ合衆国）
  2. IN（インド）
  3. EU（欧州連合）
  4. JP（日本）
  5. CN（中華人民共和国）
  6. AU（オーストラリア）
  7. AE（アラブ首長国連邦）
  8. CA（カナダ）
  9. SA（南アフリカ）
Info
詳細については、Zohoのディスク全体の暗号化に関するドキュメントを参照してください。