Mapboxのセキュリティ

当社のウェブサイトはHTTPS経由でのみ提供し、すべてのAPIはデフォルトでHTTPSおよびTLS 1.2+で提供します。アカウントを保護するために、ログインには二要素認証を提供し、アカウントリソースへのアクセスをきめ細かく制御するために、複数のカスタマイズ可能なアクセストークンを作成できます。

Mapboxには、コンピューティングイメージ（Ubuntu、Debian、Amazon Linux）およびアプリケーションランタイム（NodeJS、Python）の最新の安定バージョンでシステムを最新の状態に保つための継続的なソフトウェア更新プロセスがあります。（Common Vulnerabilities and Exposures catalogなど）パブリックセキュリティ調査データベースからの文書化された脅威を監視し、インフラストラクチャ全体で、また各デプロイメントの前に、定期的に自動脆弱性スキャナーを実行します。Mapboxの開発者は、Open Web Application Security Project（OWASP）ガイドラインを含む、安全なソフトウェア開発に関するトレーニングを受けています。すべての主要なコード変更は、セキュリティに特に注意を払って、多地点コードレビューの対象となります。

エンタープライズユーザーがアップロードしたドローンからのラスター画像から、車両群からのGPSトレースまで、データはプライベートマップで保護できます。新しいマップはデフォルトでプライベートであり、既存のマップはワンクリックでプライベートにできます。アクセストークンは、権限を制御するための強力な方法を提供します。管理インターフェースでは、ユーザーはトークンに基づいてリソースの使用状況を作成、取り消し、監視できます。

Mapboxのインフラストラクチャは、Amazon Web Services（AWS）が設計および運用するデータセンター内で稼働しています。AWSのデータセンターは、火災、停電、悪天候から保護するための最新の環境セキュリティ制御を備えています。これらの施設への物理的なアクセスは厳しく制限されており、専門のセキュリティ担当者によって監視されています。Mapboxのオフィスには、アクセス制御、侵入検知、ビデオ監視システムが装備されています。

地図と位置情報は、政治的に敏感な বিষয়である可能性があります。当社では、帯域幅およびプロトコルベースの攻撃から保護するために、エッジサーバーおよびオリジンロードバランサーにファイアウォールを維持しています。また、高度で進化する攻撃を含むアプリケーションレイヤーでの攻撃を軽減するために、インテリジェントなWebアプリケーションファイアウォールとコンピューティング能力の伸縮自在なスケーリングを使用しています。

すべての顧客データは、少なくとも二重の冗長性で保存されており、99.999999999%の長期耐久性を実現するようにストレージソリューションを設計しています。すべてのMapboxアカウントには、組み込みの保存時の暗号化が付属しています。モバイルテレメトリは、専用パイプラインに保存および保護します。

個々の API リクエストからインフラストラクチャ構成の変更まで、プラットフォーム全体のアクティビティをログに記録します。ログは、監視、分析、異常検出のために集約され、保護されたストレージにアーカイブされます。ログの改ざんや中断を検出および防止するための対策を実施しています。

すべてのMapboxエンジニアリングチームは、セキュリティに加えて、特定された脅威または脆弱性に対応するために、24時間365日のオンコールチームを維持しています。

Mapboxには、厳格なセキュリティ要件が満たされていることを確認するために、関与する前にベンダーとサブプロセッサを評価する、定義済みのベンダー管理プログラムがあります。

Mapbox はStripeで支払い処理を行っています。Stripe は、Payment Card Industry Standard 認定監査人による監査を受け、PCI サービスプロバイダーレベル1の認定を受けています。これは、利用可能な最も厳格な PCI DSS 認証レベルです。支払い情報は、安全な保管のために HTTPS 経由で Stripe に直接送信され、Mapbox サーバーに送信または保存されることはありません。