セキュリティインシデントに対するアトラシアンの責務

概要

アトラシアンは、他のすべてのクラウド サービス プロバイダーと同様に、システムの停止やセキュリティ インシデントが発生しないよう最善を尽くしています。しかし、セキュリティ インシデントが発生する可能性があることも認識しています。アトラシアンのセキュリティ インシデント対応プロセスにお客様がどのように関与するのか、インシデントの段階ごとにお客様にどのような責務があるのかを、お客様自身にご理解いただくことは、当社にとって重要です。アトラシアンは最悪の事態に備えて計画を立てているので、そうした事態が発生した場合でも適切に対応して、お客様をないがしろにせず守ります。

アトラシアンは、当社のサービスとインフラストラクチャに影響するあらゆるセキュリティインシデントについて、その全体を解決するよう努力しています。違反の検出から、封じ込め、情報の開示にいたるまで、すべてのことを行います。ただし、すべてのことを把握することは不可能です。場合によっては、お客様にインシデントを報告するお手伝いをしていただく、外部コンサルタントから調査や法務関係の専門スキルの提供を受ける、などということが必要になったりします。

役割

アトラシアンは、複数のセキュリティインシデント管理モデルを検証、活用して、当社のインシデント対応プロセスを包括的かつ世界に通用するものにしています。そのようなモデルから最も重要なアクティビティを抜き出し、各役割の責務を記述しました。

責務

アトラシアンでは、セキュリティインシデントの管理責務を RACI モデルを使って規定しています。アトラシアンは規定された責務を遂行するためにあらゆる努力を尽くしますが、アトラシアンカスタマー契約に基づき、お客様のデータのセキュリティに関しては最終的にお客様が責任を負います。

• 実行責任者 (Responsible) - 当事者は、タスクを遂行するための作業を実施します。
• 説明責任者 (Accountable) - 当事者は、アクティビティの適切で完全な遂行について最終的に説明する義務を負います。
• 協業先 (Consulted) - 当事者は、意見を求められた場合に対応します。これは、双方向のやり取りです。
• 報告先 (Informed) - 当事者は、タスクの進捗に関する最新の報告を常に受けます。これは、一方向のみのやり取りです。