01 認証
第三者認証機関の審査を受けた、4つの有効なISO認証を取得しています。
情報セキュリティマネジメント
情報セキュリティマネジメントシステム。年次審査と12か月ごとのサーベイランス審査を受けています。
品質マネジメント
品質マネジメントシステム。運用プロセスとガバナンスの基準です。
環境マネジメント
環境マネジメントシステム。サービスが環境に与える影響を測定し、削減します。
労働安全衛生マネジメント
労働安全衛生マネジメントシステム。運用に携わる担当者を守るための仕組みです。
02 データの保管場所
すべての運用データ（SOCのテレメトリ、お客様のログ、連絡先データ）は、欧州連合（EU）域内のデータセンターで保管しています。主な保管先はイタリアとその他のEU加盟国です。重要なデータをEU域外に複製することはありません。データにアクセスする担当者はすべて欧州のスタッフで、ミラノの本社から業務を行っています。
Fortgaleは欧州連合（EU）域内の企業として個人データを取り扱います。日本とEUの間では、2019年1月23日から相互の十分性認定に基づく個人データの移転の枠組みが運用されています。
管理された例外：Webフォントの読み込み（個人を特定する情報なし）と、利用者の明示的な同意がある場合に限り、アクセス解析とマーケティング用ピクセル。EU域外への移転が発生する場合は、標準契約条項（SCC）などの契約上の保護措置に基づいてのみ行います。
個別のベンダー名はNDAの対象です。インフラ事業者、利用リージョン、DPAの詳細は、下記のサブプロセッサー一覧に記載しています。署名入りの版はinfo@fortgale.comまでご依頼ください。
03 サブプロセッサー一覧
サービスの提供にあたり、個人データの取り扱いを委託している外部事業者の一覧です。2026年5月5日時点の内容です。重要な変更がある場合は、DPAを締結しているお客様に少なくとも30日前までにお知らせします。
| 事業者 | 目的 | リージョン | 契約 |
|---|---|---|---|
| Microsoft Ireland Operations Ltd | メール、Teams、SharePoint、Bookings | EU（アイルランド、オランダ） | Microsoft DPA · Online Services Terms |
| EUのIaaS事業者（NDAにより非開示） | Webホスティング、ステージング環境と本番環境 | EU | DPA + SCC 2021/914 |
| Google Ireland Limited | Google Fonts（フォント配信CDN） | EU + 米国 | Google DPA + SCC + EU-US DPF |
| LinkedIn Ireland Unlimited | Insight Tag（同意がある場合のみ） | EU + 米国 | LinkedIn DPA + SCC |
| Plausible Insights OÜ | プライバシーに配慮したアクセス解析（個人を特定する情報なし） | EU | Plausible DPA EU-only |
04 公開SLA
記載の数値は、リテーナー契約が有効なお客様に適用されるサービス目標で、直近12か月の実績に基づいています。お客様ごとの契約上のSLAは、個別のサービス契約で定めます。
05 セキュリティ対策
システムの機密性、完全性、可用性、回復力を守るために実施している技術的・組織的な対策です（ISO/IEC 27001 附属書Aの管理策）。
暗号化
通信時はTLS 1.3、保存時はAES-256。鍵管理はMicrosoftのHSMで実施。
アクセス管理
ゼロトラスト、多要素認証、ジャストインタイムアクセス、記録を残す緊急時アクセス（break-glass）。
監視
ログの一元管理、SOCによる24時間365日の監視、12か月以上のログ保管。
バックアップ
冗長化したバックアップと定期的な災害復旧（DR）テスト。
脆弱性管理
継続的なスキャン、年次ペネトレーションテスト、重要度別のパッチ適用SLA（P1は48時間未満）。
人員
全員と恒久的なNDAを締結、半年ごとのサイバーセキュリティ研修。
06 責任ある開示
弊社のシステム（Webサイト、インフラ、製品）に脆弱性を発見された場合は、協調的な開示の手順に沿ってご連絡ください。
まずはご連絡ください
info@fortgale.com宛てに、脆弱性の説明、技術的なPoC、ご連絡先をお送りください。ご希望があればPGPによる暗号化にも対応します。
48時間以内に回答します
受領の確認、初期分類、修正の見込み時期をお知らせします。弊社の対象範囲外であっても、すべての報告をトリアージします。
協調的な開示
公開の時期を相談して決めます（通常は修正後90日）。ご希望があれば、hall of thanksでお名前を公表し、謝意をお伝えします。
行わないでいただきたいこと：第三者のデータへの不正アクセスの試み、DDoS、従業員へのソーシャルエンジニアリング、データの破壊。誠実に行動する研究者に対しては、セーフハーバーの考え方で対応します。
07 引用されている研究
Fortgaleのチームが公開した技術分析は、フレームワーク、独立した研究、専門メディアで情報源として引用されています。確認可能なものの一部を紹介します。
MITRE ATT&CK：Fortgaleの「StrelaStealer Malware Analysis」は、テクニックT1119 · Automated Collectionの参考文献の一つとして、マルウェアStrelaStealer（S1183）の手順例の根拠になっています。HiSolutions Researchは、RATのcsharp-streamerをREvilのエコシステムに結び付けたFortgaleの分析を、How to detect the modular RAT csharp-streamerで引用しています。Google Cloud（Mandiant）は、FortgaleがNebula Brokerとして最初に追跡したアクターを、UNC4990として確認しています。FortgaleのC2フィンガープリンティングの研究は、トリノ工科大学（Politecnico di Torino）の修士論文Advanced C2 Fingerprintingで引用されています。
08 ダウンロード資料
公開している資料と、ご依頼に応じて提供する資料（一部はNDA締結後）です。
09 セキュリティ窓口
セキュリティに関する技術的なご質問、ベンダー登録、デューデリジェンスについては、こちらへご連絡ください。
