Stripe のセキュリティ
Stripe のセキュリティ対応についての詳細をご紹介します。
Stripe ユーザーは、機密データの取り扱いに関して当社に信頼を寄せており、顧客データの管理に関しても安心して任せていただいております。決済インフラ企業として、Stripe のセキュリティーに対する姿勢は、グローバルな金融産業の厳格な基準を満たすために日々進化しています。
基準および規制の遵守
Stripe はクラス最高のセキュリティ慣行を使用して高レベルのセキュリティを維持しています。
PCI 認定
PCI 認証を受けた監査人によって Stripe が監査され、PCI サービスプロバイダーレベル 1 であると認定されました。これは決済業界において最も厳しい認証レベルです。この監査には、Stripe の Card Data Vault (カードデータボルト、CDV) と、実装コードによる安全なソフトウェア開発の両方が含まれています。
Stripe では、PCI 準拠のいくつかの側面を自動化する機能をユーザーに提供しています。
- ユーザーの実装方法を分析し、使用する PCI 検証フォームを動的に通知します。
- ユーザーが Stripe Elements、 Checkout、Terminal SDK、またはモバイルライブラリと統合する場合、ダッシュボード上で PCI 検証フォーム (自己評価質問票) の記入支援を提供します。
- PCI 準拠と、Stripe のさまざまなサポートに関するユーザーへの研修に役立つ PCI 準拠ガイドを発行しています。
System and Organization Controls (システムと組織の管理、SOC) レポート
Stripe のシステム、プロセス、コントロールは SOC 1 および SOC 2 法令遵守プログラムの一環として定期的に監査を受けています。SOC 1 および SOC 2 タイプ 2 レポートは毎年生成されており、リクエストに応じて提供できます。
アメリカ公認会計士協会 (AICPA) の監査基準委員会が策定した Trust Service Criteria (TSC) に基づき、SOC 3レポートが作成されます。Stripe の SOC 3 は、セキュリティ、可用性、機密性に対する内部管理の公開報告書です。最新の SOC 3 レポートはこちらからご覧いただけます。
カード端末用 EMVCo 基準
Stripe Terminal は、カードおよび端末のセキュリティと相互運用性に関する EMV®仕様の EMVCo レベル 1 および 2の基準に準拠しています。また、Terminalは、第三者向けに開発された決済アプリケーションが禁止されたセキュアデータを保存することを防ぐことを目的とした、グローバルなセキュリティ標準であるPCI Payment Application Data Security Standard (PA-DSS) にも準拠しています。
NIST サイバーセキュリティフレームワーク
Stripe の一連の情報セキュリティポリシーとその総合的な策定は、NIST サイバーセキュリティフレームワークに沿っています。Stripe のセキュリティ慣行は、オンデマンドのクラウドコンピューティングやストレージプラットフォームなどの安全な製品を提供する必要がある大手顧客 (Digital Ocean や Slack など) の基準を満たしています。
プライバシーとデータ保護
Stripe のプライバシー慣行は、Stripe が取得している CBPR および PRP 認証により、CBPR および PRP 制度に準拠していることが示されています。CBPR および PRP認証の状況については、それぞれご確認ください。また、Stripe は、アメリカ商務省が定めるアメリカデータ・プライバシー・フレームワーク (EU-US DPF)、EU-US DPF の英国拡張、およびスイス・アメリカ・データ・プライバシー・フレームワークに準拠しています。詳細については、当社の認証をご覧ください。
当社は、すべての適用されるプライバシーおよびデータ保護規制の下で、進化するプライバシーおよびデータ保護のプロセス、手順、ベストプラクティスを継続的に実施しています。詳細については、以下の Stripe のリソースをご参照ください。
Stripe 製品の保護
セキュリティは、すべての製品設計とインフラの決定における Stripe の基本理念の 1 つです。ユーザーが Stripe データをより適切に保護できるように、幅広い機能を提供しています。
機密情報にかかわる操作の認証
Stripeダッシュボードは、以下を含む複数の多要素認証 (MFA) に対応しています: SMS、時間ベースのワンタイムパスワードアルゴリズム (TOTP)、ハードウェアセキュリティキー、パスキー。また、Security Assertion Markup Language (SAML) 2.0 を用いたシングルサインオン (SSO) にも対応しており、サインイン要件の設定、アクセス制御の構成、チームメンバーの即時アカウント登録 (JIT) によるオンボーディングが可能です。
サポート対応のリクエストは、ログイン後のダッシュボードから送信するか、アカウントへのアクセス権を確認してから行う必要があります。認証を必須とすることで、権限のない第三者に情報を提供してしまうリスクを最小限に抑えています。
アクセス制限と監査
ダッシュボードから従業員に最小権限でのアクセスを可能にするために詳細な役割を割り当てたり、API キーの漏洩によるセキュリティや信頼性のリスクを低減するために制限付きアクセスキーを作成したりすることができます。
重要なアカウント変更とアクティビティーの監査ログを、セキュリティ履歴で表示することもできます。これらの監査ログには、ログインや銀行口座情報の変更といった、機密性の高いアカウントアクティビティーのレコードが含まれます。Stripe ではログインを監視し、以下に注意します。
- 同一または通常のデバイスによるものか
- 一貫した IP アドレスによるものか
- 支払いの失敗
ログから過去の情報をエクスポートすることができます。不明な IP やデバイスからのログインなど、時間が重要な活動については、自動通知を送信するため、手動でログを確認する必要はありません。
安全な接続のための HTTPS および HSTS
Stripe では、公開されているウェブサイトやダッシュボードなどのすべてのサービスに、TLS (SSL) による HTTPS の使用を義務付けています。Stripe では定期的に実装の詳細を監査していて、これには Stripe が提示する証明書、使用する認証局、サポートする暗号などが含まれます。HSTS を使用して、ブラウザーが Stripe と HTTPS 経由でのみ対話するようにしています。Stripe は最新の主要ブラウザーすべてに対して HSTS プリロードリストにも含まれています。
すべてのサーバー間通信は、相互認証付きトランスポート層セキュリティ (mTLS) を用いて暗号化されています。また、Stripe では、Stripe との通信を暗号化したり、当社から受信する署名付きメッセージを検証したりするための専用 PGP キーを提供しています。当社のシステムは、TLS の古いバージョンなど安全性の低いリクエストを自動でブロックし、TLS 1.2 以上の使用を必須としています。
ダッシュボードや API サブドメインを含む stripe.com ドメインは、Chrome 向けのトップドメインリストに含まれ、ホモグラフ攻撃に対する特別な保護を提供しています。これにより、Chrome で stripe.com に似せた偽造ページが作成されにくくなり (たとえば、strípe.com は Punycode (xn–strpe-1sa.com) としてレンダリングされます)、さらに Stripe の認証についてもフィッシングされにくくなります。
事前のインターネット監視
Stripe では、加盟店の API キーについてインターネットを積極的に監視します。侵害されたキーが見つかった場合は、適切なアクションを実行し、API キーを取り消す必要があることをユーザーに通知します。Stripe は GitHub Token Scanner を使用して、ユーザーの API キーが GitHub で漏洩したときに警告を受け取ります。ユーザーがアクセスしてしまう可能性がある外部のフィッシングページが見つかった場合、Stripe はそれらのページを削除させるためにベンダーと積極的に連携し、Google セーフブラウジングに報告します。
インフラのセーフガード
Stripe のセキュリティチームは、脆弱性をスキャンし、侵入テストとレッドチーム演習を実施することにより、定期的にインフラをテストしています。業界トップのセキュリティ企業を採用し、自社システムのサードパーティーのスキャンを実行して、見つかった問題をすぐに解決します。サーバーは、健全性を維持し、古くなった接続やリソースを破棄するために、頻繁に自動で交換されます。サーバーのオペレーティングシステムは、セキュリティの使用終了 (EOL) 日より前に余裕をもってアップグレードされます。
専用カードテクノロジー
Stripe は送信中と保存時の両方で機密データを暗号化します。クレジットカード番号などのプライマリーアカウント番号 (PAN) の保存、復号化、送信を行う Stripe のインフラは、別のホスティングインフラで実行され、他のサービスと認証情報を共有することはありません。専任チームが、Stripe の他のインフラから隔離された Amazon Web Services (AWS) 環境で CDV を管理します。この隔離環境へのアクセスは、特別なトレーニングを受けた少数のエンジニアに制限されており、アクセスは四半期ごとに審査されます。
すべてのカード番号は、AES-256 を用いて保存時に暗号化されています。復号化キーは別のマシンに保管されています。当社では、PAN を内部でトークン化し、生のカード番号をインフラストラクチャの他の部分から分離しています。Stripe の内部サーバーやデーモンはいずれもカード番号の平文を取得することはできませんが、静的な許可リストに登録されたサービスプロバイダーにカード情報を送信するようリクエストすることは可能です。カード番号の保存、復号化、送信を行う Stripe のインフラは、API やウェブサイトを含む主要なStripe サービスとは分離された別のホスティング環境で運用されており、これらのサービスと認証情報を共有することはありません。銀行口座情報などのその他の機密データについても、PAN のトークン化と同様の方法で取り扱っています。
コーポレートテクノロジー
Stripe は従業員のアクセス管理にゼロトラストアプローチを導入しています。従業員は SSO、ハードウェアベースのトークンを使用した二要素認証 (2FA)、Stripe が発行したマシンで認証を受けた暗号化による mTLS を使用して認証されます。ネットワークへの接続後、機密性の高い社内システムと、従業員の標準的な作業の範囲外の機能には追加のアクセス許可が求められます。
Stripe では、監査ログを監視して異常や不正アクセス、疑わしい活動を検知するとともに、コードベース内の機密ファイルの変更も監視しています。Stripe のすべてのコードは、多者によるレビューと自動テストを経ており、コードの変更は改ざん防止・改ざん検知可能な不変のログに記録されます。
当社は、Stripe 支給のノートパソコンに関する情報を継続的に収集し、悪意のあるプロセス、不正なドメインへの接続、不正侵入の兆候を監視しています。また、従業員のノートパソコンで使用が許可されたソフトウェアを管理する包括的な許可リスト運用プロセスを設けており、承認されていないアプリケーションのインストールを防止しています。
セキュリティに対する姿勢のメンテナンス
当社の開発者は、プロジェクトのライフサイクルの早い段階でセキュリティ分野の専門家と協力します。セキュリティ審査処理の一環として、セキュリティの専門家がプロジェクトの実装の指針となる脅威モデルと信頼境界線を策定します。開発者はこれと同じプロセスを使用して、コードの機密性の高い要素に変更を加えます。
要求による専任の専門家
当社には、インフラ、オペレーション、プライバシー、ユーザー、アプリなど複数のセキュリティ分野に特化した専属のセキュリティーチームが多数存在します。セキュリティの専門家が常に待機し、年中無休で対応しています。Stripe は、ベストプラクティスの水準を常に引き上げ、サイバーセキュリティのリスクを最小限に抑えることに注力しています。
セキュリティは Stripe 従業員全員の責務
Stripe では、すべての従業員に年 1 回のセキュリティ教育の受講を義務付けており、Stripe のエンジニアには安全なソフトウェア開発に関するトレーニングを提供しています。また、社内でフィッシング訓練を実施し、フィッシングの試みを認識して適切なセキュリティチームに報告できるかを、Stripe の全従業員を対象にテストしています。
アクセス制御を管理する
当社には、システムおよび情報へのアクセス権を付与する正式なプロセスがあり、定期的にレビューして、非アクティブなアクセス権は自動で削除しています。インフラストラクチャの最も重要な領域での操作は、人によるレビューが必要です。アクセス制御のベストプラクティスを実現するため、Stripe のセキュリティ専門家は、最小権限の原則をチームが適用しやすくするための仕組みを構築しています。また、リスクを最小化するために、規制および業務要件を満たしつつ保持するデータを最小限に抑えるデータ保持ポリシーを運用しています。
脆弱性の開示と報酬プログラム
当社では、独立したセキュリティ研究者がユーザーの安全確保に協力した場合に報酬を支払う、脆弱性公開および報奨 (「バグバウンティ」) プログラムを運用しています。HackerOne を通じて Stripe にセキュリティ上のバグや脆弱性を報告することで、プログラムの利用規約を読み、同意したことになります。バグバウンティプログラムへの参加方法の詳細については、HackerOne 上の当社ポリシーをご参照ください。