開発者に選ばれ、CISOにも信頼されるPostman

Postmanは自社でデータセンターを保有しておらず、データセンターの物理的および環境面のセキュリティはAWSが管理しています。Postmanの製品データとバックアップは、セキュリティとプライバシー保護に優れた機能を備える、EUおよび米国のAWSサーバーでホストされています。

Postmanでは、開発、デプロイ、運用のすべての段階でアプリケーションのセキュリティを確保しています。アプリケーションはNode.jsの最新安定版で実行し、コンテナ化によってソフトウェアを分離しています。また、アーキテクチャのセキュリティガイドラインを策定し、コードレビューを実施しています。ソフトウェア開発ライフサイクル全体に業界標準とセキュリティフレームワークを取り入れ、OWASPに関連する脆弱性についてもテストしています。さらに、第三者機関によるセキュリティ検証を毎年実施しています。Postman API Platformの潜在的な脆弱性は、バグバウンティプログラムを通じて誰でも報告できます。

自動と手動の両方でコードレビューを行い、Postmanのセキュリティポリシーに違反する可能性のあるコードをチェックしています。また、オペレーティングシステムにパッチ適用の仕組みを組み込み、デバイスを自動的に更新しています。

Postmanでは、すべての製品リリースに対して定期的に脆弱性評価とペネトレーションテスト（VAPT）を実施するなど、さまざまな継続的な取り組みを通じて、製品やアプリケーションのセキュリティを監視しています。

また、年間を通じてネットワーク、アプリケーション、オペレーティングシステムの各レイヤーで定期的に脆弱性スキャンを実施し、Postmanのコンピューティングデバイスやアプリケーションで検出された脆弱性を修正しています。

検出された問題はすべてCVSS（Common Vulnerability Scoring System）で評価し、担当者を割り当てます。また、脆弱性の修正に関する社内のSLA（Service Level Agreement）に基づいて対応期限を設定します。必要に応じて、サービスを削除または停止する場合もあります。

さらに、ソースコードを解析する自動ツールを使用し、本番環境へのリリース前に毎回実行しています。このツールでは、オープンソースソフトウェアやライブラリの脆弱性もチェックします。該当するサードパーティライセンスとオープンソースソフトウェアの一覧も確認できます。

Postmanは、サービスの運営、サポート、マーケティングに必要な場合に限り、第三者と情報を共有します。お客様のデータを商業目的で販売することはなく、CCPAおよびCPRAで定義される「共有」も行いません。サブプロセッサーを含むすべてのサードパーティベンダーは、プライバシーリスク評価の対象となり、Postman標準のベンダー向けDPAを締結する必要があります。導入を検討しているお客様は、Customer Trust Portalからアクセスをリクエストできます。Postmanが利用するサブプロセッサーの全一覧も確認できます。

Postmanでは、個々のAPIリクエストからインフラストラクチャの構成変更まで、プラットフォーム上のアクティビティを幅広くログに記録しています。これらのログを集約して監視、分析、異常検出に活用し、安全に保護されたストレージにアーカイブしています。

ログの改ざんや記録の中断を検出、防止するための対策も行っています。自動システムでアクセスパターンとネットワークのデータフローを監視し、異常を検出するとアラートを発して、セキュリティ侵害の検出につなげています。また、機能をリリースするたびに自動スキャンを実施し、サードパーティライブラリによるセキュリティ上の問題を軽減しています。

お客様からセキュリティ侵害が報告された場合は、Postmanの経営陣に自動的に通知されます。社内ポリシーに従い、報告から数時間以内に対応します。

Postmanでは、サービスの可用性、完全性、セキュリティ、プライバシー、機密性に関するサイバーリスクを軽減するため、インシデント対応のポリシーと手順を定めています。また、Postmanの各チームが以下の対応を行えるようトレーニングを実施しています。

• インシデントの可能性を示すアラートに迅速に対応する
• インシデントの可能性を分析し、深刻度を評価する
• 影響を軽減し、被害を封じ込めるための対策を実施する
• 影響を受けたお客様への通知や、侵害・インシデントの通知に関する契約上の義務への対応を含め、社内外の関係者と連携する
• 調査に必要なフォレンジック証拠を収集し、保全する
• 恒久的なトリアージ計画を策定するとともに、事後検証を実施して記録する

インシデント対応のポリシーとプロセスは、System and Organization Controls（SOC 2）やその他のセキュリティ評価の一環として監査されています。

Postmanのアカウントやリソースを使った不正利用の疑いがある行為や悪意のある活動については、カスタマーサポートチームまたはsecurity@postman.comまでご連絡ください。

脆弱性については、HackerOneの報告ページから報告できます。セキュリティ研究者の方は、バグバウンティプログラムで脆弱性を報告する前に、セキュリティガイドラインとポリシーもご確認ください。

Postmanのセキュリティポリシーについてさらに情報が必要な場合は、security@postman.comまでお問い合わせください。Postmanとの通信は、PGP公開鍵を使って暗号化できます。

はい。PostmanはHackerOneを通じて非公開のバグバウンティプログラムを運営しています。対象範囲、参加条件、報告方法について詳しくは、脆弱性の報告ページをご覧ください。