ベンダー審査セキュリティ審査で求められる情報を、2つのファイルに。
アーキテクチャとセキュリティのホワイトペーパーと、記入済みのセキュリティ質問票です。現在構築されているサービスに基づいて書かれています。各回答は根拠となる文書またはソースを示し、示せないものは「主張しない」または「未対応」と明記しています。
2026年11月9日版どちらのファイルも英語です。
2つのファイル
そのまま使うことも、回答を自社のベンダー審査テンプレートに転記することもできます。
アーキテクチャとセキュリティのホワイトペーパー
リクエストがサインインの入口からメンバーのリージョンのWorkerとそのデータベースまでどう流れるか、IDトークンがどう署名され鍵がどう守られるか、データの保管場所、誰が何にアクセスできるか、そしてインシデント、脆弱性、復旧への対応を説明します。付録に各記述の根拠を一覧にしています。
avonao-security-whitepaper.md · Markdown、英語.mdをダウンロード回答記入済みのセキュリティ質問票
一般的な簡易質問票の形式による93問を分野別にまとめ、各問に回答、短い説明、根拠へのリンクを付けています。
avonao-security-questionnaire.csv · CSV、英語.csvをダウンロードホワイトペーパーと質問票は英語版のみです。法的文書と異なる場合は、法的文書が優先します。
ホワイトペーパーの内容
ロードマップではなく、構築済みのサービスを説明します。保護が部分的な場合は、その旨を記載しています。
- データの流れ:ホームのWorker、6つのリージョンWorkerとそのデータベース、アプリ向けサインイン、外向きのリクエストとWebhook、企業接続とSCIM
- ES256のトークン署名鍵と鍵暗号化鍵の管理、ローテーション、鍵が侵害されたときの対応
- データリージョンと所在地:リージョンごとのもの、本拠リージョンの米国西部に残るもの、そしてリクエストが別のリージョンに切り替わらない理由
- 再委託先と変更の告知方法
- 通信時と保存時の暗号化（プロバイダー側とアプリケーション側）
- アクセス制御:パスキー、メールのリンク、第2要素、セッション、事業者のロール、当社スタッフによるアクセス
- ログの記録、メンバーのセキュリティログ、事業者の監査ログ
- 可用性、インシデント対応と侵害の通知、そしてまだ公開していないこと
- 脆弱性の報告と、まだ整っていないこと
- バックアップと復旧
- 当社が主張しないこと
- 各記述を根拠となる文書とソースファイルに結び付ける付録
回答の読み方
回答欄には4つの値を使います。誰でも同じように並べ替えや絞り込みができるよう、ファイル内では英語のままにしています。
- Yes
- 現在対応済み。説明欄とリンク先の文書のとおりです。
- Partial
- 制限付きで対応済み、または一部のプランのみ。説明欄にどちらかを記載しています。
- No
- 現在はサービスに含まれません。
- Not claimed
- この項目については主張しません。
これらの回答を拘束する文書
パックは要約です。拘束力を持つのはこれらの文書の本文です。
データ処理補遺（DPA）
事業者向けの処理者条件、構築済みのセキュリティ対策、48時間以内の侵害通知、監査、国際移転。
DPAを読む →再委託先一覧
個人データを処理する各事業者、その役割と所在地。変更は30日前に通知します。
一覧を見る →セキュリティ
サインイン、セッション、トークン、データリージョンがアカウントをどう守るかを説明します。
セキュリティのページを読む →トラスト情報
Avonaoがアカウントとデータをどう扱うか、そしてルールの読み先。
トラスト情報を開く →脆弱性を報告する
脆弱性の報告方法と、調査される方へのお願い。
脆弱性を報告する →プライバシーポリシー
収集する情報、保存場所、レコードの種類ごとの保存期間、そしてお客様の選択肢。
ポリシーを読む →
パックで答えていない質問
お手持ちの質問票をお送りください。書面でお答えします。事業者のお客様は、アーキテクチャを一緒に確認することもできます。
