# Stripe のセキュリティ

Stripe のセキュリティ対応についての詳細をご紹介します。

Stripe ユーザーは、機密データの取り扱いに関して当社に信頼を寄せており、顧客データの管理に関しても安心して任せていただいております。決済インフラ企業として、Stripe のセキュリティーに対する姿勢は、グローバルな金融産業の厳格な基準を満たすために日々進化しています。

## 基準および規制の遵守

Stripe は以下の基準や規制に従い、セキュリティプラクティスを維持しています。

### PCI 認定

Stripe は PCI 認定監査人による評価を受け、[PCI サービスプロバイダーレベル 1](https://www.visa.com/splisting/LearnMore.html) の認証を取得しました。これは決済業界において最も厳しい認証レベルです。この監査の対象には、Stripe Card Data Vault (CDV) と、実装コードによる安全なソフトウェア開発の両方が含まれています。

Stripe では、PCI 準拠のいくつかの側面を自動化する機能をユーザーに提供しています。

- ユーザーの実装方法を分析し、使用する PCI 検証フォームを動的に通知します。
- ユーザーが Stripe Elements、 Checkout、Terminal SDK、またはモバイルライブラリと統合する場合、ダッシュボード上で PCI 検証フォーム ([自己評価質問票](https://www.pcisecuritystandards.org/pci_security/completing_self_assessment)) の記入支援を提供します。
- PCI 準拠と、Stripe のさまざまなサポートに関するユーザーへの研修に役立つ [PCI 準拠ガイド](https://stripe.com/guides/pci-compliance)を発行しています。

### System and Organization Controls (システムと組織の管理、SOC) レポート

Stripe のシステム、プロセス、コントロールは SOC 1 および SOC 2 法令遵守プログラムの一環として定期的に監査を受けています。SOC 1 および SOC 2 タイプ 2 レポートは毎年生成されており、リクエストに応じて提供できます。

米国公認会計士協会 ([AICPA](https://www.aicpa.org/)) の監査基準委員会は、AICPA の Trust Services Criteria (TSC) に基づき、SOC 3 レポートを作成しました。Stripe の SOC 3 は、セキュリティ、可用性、機密性に対する内部管理に関して公開したレポートです。[最新の SOC 3 レポート](https://docs.stripecdn.com/ebe9bebbdc5210a59ca18de4917ff3b152961a83fa3a98fbb81c758792472389.pdf)をご覧いただけます。

### カード端末用 EMVCo 基準

Stripe Terminal は、カードおよび端末のセキュリティと相互運用性に関する EMV®仕様の [EMVCo レベル 1 および 2](https://www.emvco.com/approved-products/?search_bar_keywords=bbpos&tax%5Bapproved-products_categories%5D%5B90%5D%5B%5D=94%2C95%2C96%2C97%2C99)の基準に準拠しています。また、Terminalは、第三者向けに開発された決済アプリケーションが禁止されたセキュアデータを保存することを防ぐことを目的とした、グローバルなセキュリティ標準である[PCI Payment Application Data Security Standard](https://en.wikipedia.org/wiki/PA-DSS) (PA-DSS) にも準拠しています。

### NIST サイバーセキュリティフレームワーク

Stripe の一連の情報セキュリティポリシーとその総合的な策定は、[NIST サイバーセキュリティフレームワーク](https://www.nist.gov/cyberframework/new-framework)に沿っています。Stripe のセキュリティ慣行は、オンデマンドのクラウドコンピューティングやストレージプラットフォームなどの安全な製品を提供する必要がある大手顧客 (Digital Ocean や Slack など) の基準を満たしています。

### プライバシーとデータ保護

Stripe のプライバシーに関する取り組みは、Stripe が CBPR および PRP 認証を取得していることからも明らかなように、CBPR および PRP 制度に準拠しています。[CBPR](https://privacy.trustarc.com/privacy-seal/validation?rid=31b93f92-8732-402c-9768-f15aabc763f4) および [PRP](https://privacy.trustarc.com/privacy-seal/validation?rid=712f8b7a-6d3c-4484-9522-3bf21d56818a) 認証の状況については、それぞれご確認ください。また、Stripe は、アメリカ商務省が定める EU-アメリカデータプライバシーフレームワーク (EU-US DPF)、EU-US DPF のイギリス拡張、およびスイス-アメリカデータプライバシーフレームワークにも準拠しています。詳細については、[認証](https://www.dataprivacyframework.gov/s/participant-search/participant-detail?id=a2zt0000000TQOUAA4&status=Active)を参照してください。

当社は、すべての適用されるプライバシーおよびデータ保護規制の下で、進化するプライバシーおよびデータ保護のプロセス、手順、ベストプラクティスを継続的に実施しています。詳細については、以下の Stripe のリソースをご参照ください。

- [プライバシーポリシー](https://stripe.com/privacy)
- [プライバシーセンター](https://stripe.com/legal/privacy-center)
- [データ処理同意書](https://stripe.com/legal/dpa)

## Stripe 製品のセキュリティ

セキュリティは、すべての製品設計とインフラの決定における Stripe の基本理念の 1 つです。ユーザーが Stripe データをより適切に保護できるように、幅広い機能を提供しています。

### 機密情報にかかわる操作の認証

Stripe ダッシュボードは、[パスキー](https://support.stripe.com/questions/sign-in-using-a-passkey)、[ハードウェアセキュリティキー](https://support.stripe.com/questions/set-up-a-hardware-security-key-for-two-step-authentication)、[時間ベースのワンタイムパスワードアルゴリズム](https://support.stripe.com/questions/enable-two-step-authentication-using-a-mobile-app) (TOTP)、[SMS](https://support.stripe.com/questions/enable-two-step-authentication-via-text-messaging) など、いくつかの形式の[多要素認証](https://support.stripe.com/questions/enable-two-step-authentication) (MFA) をサポートしています。パスキーまたはハードウェアセキュリティキーはフィッシングに強いため、お勧めします。SMS ベースの MFA は SIM スワップや傍受に脆弱であるため、最後の手段としてのみ使用してください。また、SAML (セキュリティアサーションマークアップランゲージ) 2.0 による[シングルサインオン](https://docs.stripe.com/get-started/account/sso.md)もサポートしており、ジャストインタイム (JIT) アカウントプロビジョニングによるサインイン要件の義務化、アクセス制御の設定、チームメンバーの即時ユーザー登録が可能です。SSO と SCIM を併用する場合は、アイデンティティプロバイダーを通じて認証ポリシーを一元的に適用できます。

Stripe ではサポートリクエストを認証しています。ログイン後、ダッシュボードからサポートリクエストを送信してください。ログインしていない場合、Stripe は対応する前にアカウントへのアクセス権があることを確認します。認証を必須にすることで、権限のない人物に情報が共有されるリスクを最小限に抑えることができます。

### アクセス制限と監査

ダッシュボードでは、従業員に最小限の権限でアクセスを許可できるよう、きめ細かく設定されたさまざまな[役割](https://docs.stripe.com/get-started/account/teams.md)を割り当てられます。また、[制限付き API キー](https://docs.stripe.com/keys.md#create-restricted-api-key)を作成して、API キーの漏えいによるセキュリティーや信頼性へのリスクを軽減できます。さらに、許可されていない場所から API キーが使用されるのを防ぐため、[アクセスポリシーを設定](https://docs.stripe.com/keys.md#access-policies)できます。

重要なアカウント変更とアクティビティーの監査ログを、[セキュリティ履歴](https://dashboard.stripe.com/security_history)で表示することもできます。これらの監査ログには、ログインや銀行口座情報の変更といった、機密性の高いアカウントアクティビティーのレコードが含まれます。Stripe ではログインを監視し、以下に注意します。

- 同一または通常のデバイスによるものか
- 一貫した IP アドレスによるものか
- 支払いの失敗

ユーザーは履歴情報をログからエクスポートできます。時間的制約のあるアクティビティ、特に不明な IP やデバイスからのログインについては、Stripe からユーザーに自動メール通知が送信されるため、ユーザーがログを手動でレビューする必要はありません。

### 安全な接続のための HTTPS および HSTS

Stripe では、公開されているウェブサイトや[ダッシュボード](https://dashboard.stripe.com)などのすべてのサービスに、*TLS* (TLS refers to the process of securely transmitting data between the client—the app or browser that your customer is using—and your server. This was originally performed using the SSL (Secure Sockets Layer) protocol) (SSL) による HTTPS の使用を義務付けています。Stripe では実装の詳細 (提示する証明書、使用する認証局、サポートする暗号など) を定期的に監査しています。また、[HSTS](https://en.wikipedia.org/wiki/HTTP_Strict_Transport_Security) を使用して、ブラウザーが HTTPS 経由でのみ Stripe と通信するようにしています。Stripe は、最新の主要ブラウザーすべての HSTS プリロードリストにも登録されています。Stripe のシステムは、古い安全性の低いバージョンの TLS を使用したリクエストを自動的にブロックし、[TLS 1.2 以降の使用を必須](https://stripe.com/blog/completing-tls-upgrade)としています。

Stripe の内部サーバー間の通信はすべて、mTLS(相互トランスポート層セキュリティ)を使用して暗号化されます。Stripe では、Stripe とのメール通信を暗号化したり、弊社から受け取った署名付きメッセージを確認したりするための専用の [PGP キー](https://docs.stripe.com/security/python-client-pgp-key.md)を用意しています。

ダッシュボードや API サブドメインを含む [stripe.com](https://stripe.com) ドメインは、Chrome 向けの[トップドメイン](https://chromium-review.googlesource.com/c/chromium/src/+/605062)リストに登録されており、ホモグラフ攻撃に対する保護が強化されています。これにより、Chrome では stripe.com に似せた偽造ページが作成されにくくなり (たとえば、`strípe.com` は Punycode `xn--strpe-1sa.com` としてレンダリングされます)、Stripe の認証情報がフィッシングされにくくなっています。

### 事前のインターネット監視

Stripe では加盟店の API キーがインターネット上に存在しないか事前にスキャンします。漏洩したキーが見つかった場合は、適切な措置を取り、API キーを再度発行するようユーザーに案内します。Stripe は GitHub のシークレットスキャン機能を活用して、ユーザーの API キーが GitHub で漏洩したときに警告を受け取るようにしています。ユーザーがアクセスしてしまう可能性のある外部のフィッシングページが見つかった場合、Stripe はベンダーと積極的に連携し、それらのページを削除し、Google セーフブラウジングに報告します。

## インフラのセーフガード

Stripe のセキュリティチームは、脆弱性をスキャンし、侵入テストとレッドチーム演習を実施することにより、定期的にインフラをテストしています。サードパーティのセキュリティ企業を採用してシステムのスキャンを実行し、見つかった問題をすぐに解決します。サーバーは、稼働状態を維持し、古くなった接続やリソースを破棄するため、頻繁に自動で交換しています。サーバーのオペレーティングシステムは、セキュリティの使用終了 (EOL) 日より前に余裕をもってアップグレードしてます。

### 専用カードテクノロジー

Stripe はセンシティブデータを送信中と保存時の両方で暗号化します。クレジットカード番号などのプライマリーアカウント番号 (PAN) の保存、復号化、送信を行う Stripe のインフラは、別のホスティングインフラで実行され、API やウェブサイトなど他のサービスと認証情報を共有することはありません。専任チームが、Stripe の他のインフラから隔離された Amazon Web Services (AWS) 環境で CDV を管理しています。この隔離環境へのアクセスは、特別なトレーニングを受けた少数のエンジニアに制限されており、アクセス権限は四半期ごとに見直されます。

すべてのカード番号は、AES-256 を用いて保存時に暗号化されます。復号化キーは別のマシンに保管されています。Stripe では、PAN を内部でトークン化し、生のカード番号をインフラの他の部分から分離しています。Stripe の内部サーバーやデーモンはいずれも平文のカード番号を取得することはできませんが、静的な許可リストに登録された代行業者にカード情報を送信するようリクエストすることは可能です。銀行口座情報などのその他のセンシティブデータについても、PAN のトークン化と同様の方法で取り扱っています。

### コーポレートテクノロジー

Stripe は従業員のアクセス管理にゼロトラストアプローチを導入しています。従業員は SSO、ハードウェアベースのトークンを使用した二要素認証 (2FA)、Stripe が発行したマシンで認証を受けた暗号化による mTLS を使用して認証されます。ネットワークへの接続後、機密性の高い社内システムと、従業員の標準的な作業の範囲外の機能には追加のアクセス許可が求められます。

Stripe では、監査ログを監視して異常や不正アクセス、疑わしい活動を検知するとともに、コードベース内の機密ファイルの変更も監視しています。Stripe のすべてのコードは、多者によるレビューと自動テストを経ており、コードの変更は改ざん防止・改ざん検知可能な不変のログに記録されます。

当社は、Stripe 支給のノートパソコンに関する情報を継続的に収集し、悪意のあるプロセス、不正なドメインへの接続、不正侵入の兆候を監視しています。また、従業員のノートパソコンで使用が許可されたソフトウェアを管理する包括的な許可リスト運用プロセスを設けており、承認されていないアプリケーションのインストールを防止しています。

## セキュリティに対する姿勢のメンテナンス

当社の開発者は、プロジェクトのライフサイクルの早い段階でセキュリティ分野の専門家と協力します。セキュリティ審査処理の一環として、セキュリティの専門家がプロジェクトの実装の指針となる脅威モデルと信頼境界線を策定します。開発者はこれと同じプロセスを使用して、コードの機密性の高い要素に変更を加えます。

### 要求による専任の専門家

当社には、インフラ、オペレーション、プライバシー、ユーザー、アプリなど複数のセキュリティ分野に特化した専属のセキュリティーチームが多数存在します。セキュリティの専門家が常に待機し、年中無休で対応しています。Stripe は、ベストプラクティスの水準を常に引き上げ、サイバーセキュリティのリスクを最小限に抑えることに注力しています。

### セキュリティは Stripe 従業員全員の責務

Stripe では、すべての従業員に年 1 回のセキュリティ教育の受講を義務付けており、Stripe のエンジニアには安全なソフトウェア開発に関するトレーニングを提供しています。また、社内でフィッシング訓練を実施し、フィッシングの試みを認識して適切なセキュリティチームに報告できるかを、Stripe の全従業員を対象にテストしています。

### アクセス制御を管理する

当社には、システムおよび情報へのアクセス権を付与する正式なプロセスがあり、定期的にレビューして、非アクティブなアクセス権は自動で削除しています。インフラストラクチャの最も重要な領域での操作は、人によるレビューが必要です。アクセス制御のベストプラクティスを実現するため、Stripe のセキュリティ専門家は、最小権限の原則をチームが適用しやすくするための仕組みを構築しています。また、リスクを最小化するために、規制および業務要件を満たしつつ保持するデータを最小限に抑えるデータ保持ポリシーを運用しています。

### 脆弱性の開示と報酬プログラム

Stripe では、独立したセキュリティ研究者がユーザーの安全確保に協力した場合に報酬を支払う、脆弱性公開および報奨 (「バグバウンティ」) プログラムを運用しています。プログラムの利用規約を読み、同意した上で、[HackerOne](https://hackerone.com/stripe) を通じて Stripe にセキュリティ上のバグや脆弱性を報告してください。バグバウンティプログラムへの参加方法の詳細については、HackerOne の Stripe のポリシーをご確認ください。

## See also

- [実装に関するセキュリティガイド](https://docs.stripe.com/security/guide.md)
- [シングルサインオン (SSO)](https://docs.stripe.com/get-started/account/sso.md)
- [Stripe IP アドレス](https://docs.stripe.com/ips.md)