お客様のセキュリティを最優先に

CircleCI は FedRAMP Tailored 認証を取得しました。これにより、米国政府のデータ セキュリティ標準を満たしたサービスとして、米国政府機関での使用が認可されています。

FedRAMP 認証の詳細については https://www.fedramp.gov/ をご覧ください。

米国商務省の定める EU-米国間 (英国拡張版含む) およびスイス-米国間のデータプライバシーフレームワークにおいて、CircleCI が米国、EU、英国 (およびジブラルタル)、スイスのデータ移転に関するすべてのセキュリティ基準を満たしていることが保証されています。

データプライバシーフレームワークの詳細については、 https://www.dataprivacyframework.gov/ をご覧ください。

CircleCI は PCI に準拠した Stripe を採用しています。

新しい従業員に対して、セキュリティのベスト プラクティスに関する研修の受講を義務付けています。

エンジニアには、テクノロジー セキュリティのワークショップへの参加も義務付けています。

セキュリティ管理チームがさまざまなセキュリティ ポリシーを整備し、情報提供を行っています。

すべてのパートナーやサードパーティ ベンダーに対して、セキュリティ アンケートへの回答を要請しています。また、個人情報を扱う企業には、データ処理補足契約書への署名も求めています。

インシデント対応のポリシーと、危機的な状況における意思決定を円滑に行うための運用手順書を作成しています。

ネットワークおよびセキュリティに関するインシデントが発生した場合には、https://status.circleci.com/ にて情報を公開します。セキュリティインシデントの性質に基づき、弊社の裁量により、ステータスページの更新に加えて、直接お客様へのご連絡や、ブログにてセキュリティアラート情報を公開する場合があります。

デンバー、日本、ロンドンにある CircleCI のリモート オフィスには、サンフランシスコ本社と同等の物理セキュリティを導入しています。

CircleCI は、ミルウォーキー、ラスベガス、アトランタにある３つのデータセンターに設置された macOS フリートを運用しています。当社の全従業員はマシンに物理的にアクセスすることができず、すべての管理はリモートで行われます。マシンのプロビジョニングや、アップデート、デプロビジョニングを実施できるのは、データセンターのエンジニアだけです。2022年には、連邦規制当局が施設のセキュリティ、可用性、および信頼性を評価するために1日にわたる現地監査が実施されました。また、2022年末には、プラットフォームへの潜在的な脅威を特定し、解決するために侵入テストが実施されました。入館証による立ち入りの管理やアクセス ログなどのセキュリティ制御も実施されており、これらはすべて SOC 2 Type II の準拠にあたって監査と承認を受けています。

公式の監査ポリシーにより、アプリケーション イベント、システム イベント、ハードウェア イベント、物理アクセスを管理しています。これには、イベントの場所と時間と内容、イベントの発生元、対象、結果、関係者などが含まれます。

CircleCI のアーキテクチャは、DMZ、踏み台ホスト、Firewall など、複数のセキュリティ レイヤーから構成されています。

サイト信頼性、サポート、開発の各チームが世界中に分散して 24 時間 365 日の対応を行っています。

CircleCI では、すべてのビルドを隔離されたサンドボックスで実行します。実行が終了すると、サンドボックスは破棄されます。

環境変数は、保存時も送信時も暗号化され、ジョブの開始時に実行環境に取り込まれます。キー、トークン、その他の認証情報を含む機密情報はすべて、CircleCI 内に環境変数として格納してください。

ソース コードは、送信時に必ず TLS および SSH で暗号化されますが、保存時には暗号化されません。保存時のソース コードは、DMZ、踏み台ホスト、Firewall など、アーキテクチャを構成する複数のセキュリティ レイヤーによって保護されます。

CircleCI ではデータのバックアップとスナップショットに関するポリシーを整備しており、それに則って、業界で標準的な期限内に復旧する機能を用意しています。

サイト信頼性を担当するエンジニアリング チームを設置し、CircleCI のアプリケーション セキュリティ レイヤーを常に保守しています。

侵入テスト サービスを提供するサードパーティに依頼して、CircleCI のアプリケーション、ネットワーク、インフラストラクチャ、新しいプロダクトに脆弱性がないかを一年ごとに確認しています。項目は、OWASP Top 10 から新しいプロダクト機能の脅威モデリングまで、多岐にわたります。