セキュリティとコンプライアンス
セキュリティとは、システムの作り方と運用の仕方に宿る性質です。
Protocoreは、決済・AI・ブロックチェーンシステムのソフトウェア層を構築しています。このページでは、データの扱い方、ソフトウェアの運用方法、そして規制領域の境界線がどこにあるかを率直にご説明します。掲げるバッジではなく、私たちが拠り所とする姿勢をお伝えします。
データとプライバシー
収集するのは、フローに必要なデータだけです。
私たちが構築するシステムは、データ最小化を前提に設計されています。各フローは役割を果たすために必要な項目だけを取得し、必要な期間だけ保持します。ホスティングはEU域内で行い、本番環境はフランクフルトのAWS eu-central-1で稼働しています。GDPRの実務に沿うよう、処理に対する適法な根拠の確保、アクセス請求や削除請求への対応、ログや分析基盤に個人データを含めない運用を標準としています。
- 01デフォルトでデータ最小化
- 02EUホスティング — AWS eu-central-1（フランクフルト）
- 03GDPRに沿った取り扱い：適法な根拠、アクセス、削除
- 04ログや分析に個人データを残さない
運用の仕組み
最小権限のアクセスと、理由の入力を求める特権操作。
私たちが提供するソフトウェアは、最初のコミットからログ・メトリクス・トレースを組み込んでいます。そのため、本番環境で何が起きているかを推測ではなく、実際に確認できます。アクセスは最小権限が原則で、人であってもサービスであっても、すべての主体には業務に必要な最小限の権限だけを付与します。機微な運用操作は、実行前に理由の入力を求め、誰がいつ何をなぜ行ったかを監査証跡として残します。これはオペレーターコンソールであるProtocore Centerの基盤となるモデルであり、あらゆるシステムに組み込んでいる姿勢です。
- 01デフォルトで計装済み — ログ、メトリクス、トレース
- 02人もサービスも、すべての主体に最小権限
- 03理由の入力が必須の特権操作
- 04誰がいつ何をなぜ行ったかの監査証跡
責任範囲の分離
ソフトウェアは私たちが構築し、規制領域はライセンスが担います。
決済プロダクトは、2つの要素が一体となったものです。資金を保有・移動するための規制上の許可と、それを指示し、照合し、表示するソフトウェアです。Protocoreが構築するのは、このソフトウェアです。資金の保有、口座の発行、送金といった規制対象の業務は、オペレーター自身のライセンス、またはライセンスを持つパートナー（銀行、EMI、決済事業者）の領域になります。お客様が用意される規制対象のレールに合わせてフローを構築しますが、私たちはその許可の代わりにはなりませんし、どんなソフトウェアにもそれはできません。
- 01Protocoreが構築するのはソフトウェアであり、ライセンスではありません
- 02規制対象の業務は、オペレーターまたはライセンスを持つパートナーが担う
- 03カードデータがお客様のサーバーを通過しない設計
- 04決済フローに組み込まれた強力な顧客認証
取り組み
信頼できるシステムを支える習慣。
私たちが組み込んでいる具体的な取り組みを、バッジではなく仕組みとしてご説明します。
カードデータをサーバーに置かない
カード情報は決済レールで処理されトークン化されるため、生のカード番号がオペレーター自身のインフラに触れることはありません。
強力な顧客認証
SCAは決済とサインインのフローに組み込まれています。レールやリスクに応じて第二要素を求める設計であり、後付けではありません。
通信の暗号化
通信はエンドツーエンドでTLSを使用します。シークレットや認証情報はマネージドストアとインスタンスロールで管理し、ソースコードには含めません。
テナントごとに分離
1つのシステムが複数のオペレーターにサービスを提供する場合、各テナントのデータはアクセス制御で分離され、他のテナントのデータを読み取ることはできません。
責任ある開示
何か見つけましたか？ ご連絡ください。
Protocoreのシステムにセキュリティ上の問題を見つけた場合は、メールでご連絡ください。一緒に対応を進めます。報告は速やかに受領確認を行い、修正の間は進捗をお伝えし、解決後はご希望に応じてお名前をクレジットとして掲載します。公表の前に、修正に必要な妥当な期間をいただけますようお願いします。また、テスト中は、ご自身のものではないデータへのアクセスや改変はお控えください。
security@protocore.io に、発見した内容と再現手順をお送りください。
受領した旨をお伝えし、通常は数営業日以内に調査を開始します。
問題を修正し、解決までの進捗をお知らせします。
ご了承をいただいたうえで、解決後にお名前をクレジットとして掲載します。
よくある質問
よくいただくセキュリティのご質問
私たちはセキュリティを、バッジではなく実践としてご説明しています。Protocoreが構築するのはソフトウェア層です。カード取り扱いなど規制スキームが適用される領域では、認証の範囲は決済レール、またはオペレーターのライセンスパートナー側にあり、私たちはカードデータがお客様のサーバーを通らないよう設計しています。ご利用のプログラムで特定の認証が必要な場合はお知らせください。誰が何を保持するのかを整理してご説明します。
EU域内です。本番環境はAWS eu-central-1（フランクフルト）で稼働しています。データ最小化、処理の適法な根拠、アクセス請求・削除請求への対応など、GDPRの実務に沿うよう構築しています。
ライセンスです。Protocoreが構築するのは、資金移動の指示と照合を行うソフトウェアです。資金の保有や移動は、お客様ご自身のライセンス、またはライセンスを持つパートナー（銀行、EMI、決済事業者）の領域になります。どんなソフトウェアも、その許可の代わりにはなりません。
すべての主体に最小権限を適用し、特権操作には理由の入力を求めて監査証跡を残します。すべてが計装されているため、誰が何をしたかは後から再構築するのではなく、記録として確認できます。
security@protocore.io までメールをお送りください。速やかに受領確認を行い、修正の間は進捗をお伝えし、解決後はご希望に応じてお名前をクレジットとして掲載します。
ここにないセキュリティのご質問はありますか？
確認されたい内容をお知らせください。アーキテクチャ、データフロー、どちらがどの領域を担うのかなど、具体的にお答えします。