Impediment Ledger for Jira のセキュリティポリシーとインシデント対応

最終更新日：2026-10-12

1. 適用範囲

本ポリシーは、Atlassian Forge アプリ Impediment Ledger for Jira(以下「本アプリ」)と、その開発・公開に使用するアカウント、作業用コンピューター、リポジトリに適用されます。本ポリシーは PR Flow（個人事業主 Árpád Kozma (egyéni vállalkozó) の屋号）(以下「発行者」または「当方」)が管理しています。

PR Flow は個人で運営する事業です。本ポリシーには、実際に実施している管理策と、問題が発生した際に当方が従う手順を記載しています。2026-10-13 に制定し、少なくとも年 1 回、およびセキュリティインシデントの発生後に毎回見直します。

本アプリによるデータの取り扱いは プライバシー通知 に、顧客に対するセキュリティ上の義務は エンドユーザー使用許諾契約 の第 11 条に記載しています。

本ポリシーは英語で作成されており、英語版が優先します。翻訳は便宜のためにのみ提供されます。

2. 脆弱性の報告

脆弱性は公開の場ではなく、[email protected] へ非公開でご報告ください。このアドレスは本アプリの Marketplace 掲載ページに記載のセキュリティ連絡先でもあります。

3. アカウントとアクセス

  • 本アプリに使用するすべてのアカウントで多要素認証を有効にしています(GitHub、Google Workspace、Atlassian アカウント、ウェブサイトのホスティングアカウント)。
  • パスワードはアカウントごとに固有で、パスワードマネージャーで管理しています。
  • ソースコード、Forge アプリ、Developer Space、Marketplace パートナーアカウントにアクセスできるのは所有者のみです。アクセス権(コントリビューター、Developer Space のメンバー、GitHub のコラボレーター、デプロイトークン)は四半期ごとに見直し、不要なものは削除します。
  • Forge のデプロイトークンは保護された GitHub 環境にのみ保管しています。年 1 回、または漏えいの疑いがある場合は直ちにローテーションします。

4. 作業用コンピューター

  • 開発用コンピューターでは、ディスク全体の暗号化、OS とアプリケーションの自動更新、マルウェア対策を使用しています。
  • サポートが終了した OS のバージョンは、開発にもデプロイにも使用しません。

5. 開発と変更管理

  • すべての変更は、プッシュ前に型チェック、Lint(セキュリティおよびシークレット検出のルールを含む)、ユニットテスト・プロパティベーステスト・システムテスト、依存関係の監査を通過します。より時間のかかるチェック(詳細なテスト、ミューテーションテストの全件実行、監査)はリリースのたびに実行します。
  • 本番環境へのデプロイは、メインブランチのバージョンタグから、自動化されたデプロイワークフローを通じてのみ行います。
  • 本アプリの脅威モデルは OWASP Top 10 と OWASP Application Security Verification Standard (ASVS) 5.0 を基準としています。
  • 依存関係はロックファイルからのみインストールし、新しいパッケージには公開からの最低経過期間を設けています。更新は Renovate と Dependabot で管理し、本アプリに同梱される依存関係に深刻度が高以上の既知の脆弱性があると CI は失敗します。各リリースには CycloneDX のソフトウェア部品表(SBOM)を作成します。
  • 本アプリ自体はシークレットを必要とせず、コードやリポジトリにも保存していません。

6. データ

  • 本アプリは外部への通信(external egress)なしで Atlassian Forge 上で動作します。顧客データは顧客の Atlassian サイトの Forge ホストストレージにとどまり、発行者はアクセスできません。
  • 本アプリでユーザーが行う操作はそのユーザーの Jira 権限で実行され、ユーザーに表示される結果はすべて、そのユーザーが閲覧できる範囲に絞り込まれます。
  • ログには個人データ、認証情報、トークンを含めません。記録するのは許可された構造化フィールドのみです。
  • ソースコードとその履歴は GitHub に保管しており、本アプリはどのリリースタグからでも再ビルド・再デプロイできます。

7. インシデント対応

当方は Atlassian の app security incident management guidelines に従います。

  • 検知と記録。 何をいつ確認したか、何が影響を受ける可能性があるか(本アプリ、アカウント、トークン、顧客サイト)を記録します。
  • 封じ込め。 漏えいしたトークンやパスワードを失効またはローテーションし、影響を受ける機能を無効化するか直近の正常なリリースに戻し、原因が判明するまでデプロイを停止します。
  • 通知。 顧客またはそのデータに影響するインシデントを認識してから 48 時間以内に Developer and Marketplace サポートポータルで Atlassian に通知し、影響を受ける顧客にも Atlassian の インシデント連絡テンプレート を用いて遅滞なく通知します。
  • 修正と検証。 原因を修正し、回帰テストを追加して、通常のチェックを経てリリースします。
  • 振り返り。 何が起きたか、何を変えるかを記録し、本ポリシーを更新します。

この計画は年 1 回、トークンの漏えいと脆弱性の報告をシナリオとした机上演習で確認します。

8. 事業継続

  • 本アプリは Atlassian Forge 上で動作しており、復旧が必要な PR Flow のサーバーはありません。
  • 作業用コンピューターを紛失した場合は、GitHub からコードを復元し、オフラインで保管している多要素認証の回復コードでアカウントを回復し、デプロイトークンをローテーションします。

9. 連絡先

セキュリティに関する報告: [email protected]。その他のお問い合わせ: サポート。