セキュリティとグラウンディング
セキュリティ窓口
support@salewise.co.uk再現手順を添えてください。他の事業者のデータにアクセスしたり、サービスを妨害したりしないでください。
現在の状況
- SOC 2、ISO 27001の認証はありません。
- 独立したペネトレーションテストはまだ実施していません。
- カード情報は保有していません。
要約
4つの主張と、その根拠の場所。
マーケティングの形容詞ではありません。コードに裏打ちされた設計判断です。
02
プロバイダーのシークレットは保存時に暗号化されます。
AES-256-GCM、レコードごとのランダムIV、および各暗号文をプロバイダー、アカウント、連携レコードに結び付ける追加認証データを使用します。
仕組みを読む仕組みとして根拠を持つ
モデルは選ぶ。サーバーが描画する。
生成の前に検索を実行します。モデルは候補から選び、サーバーが計算と描画を行います。
01
検索を先に
モデルに問い合わせる前に、サーバーが事業者のカタログから候補商品を取得します。モデルがオープンウェブを検索することはありません。
02
モデルは選び、サーバーが描画する
価格、在庫、バリエーション、販促情報はカタログレコードからサーバー側で描画されます。モデルの文章に現れる数字が正解になることはありません。
03
IDを検証
モデルが選ぶ商品は、取得済みの候補セットに存在しなければなりません。無効なIDは、回答が買い物客に届く前に破棄されます。
04
誠実な断り方
カタログに答えがない場合、エージェントはその旨を伝え、引き継ぎを提案します。モデルが利用できないときは、アシスタントは答えられない旨を伝え、買い物客はもう一度試すか、スタッフに相談できます。
モデルに渡るもの
- 買い物客の質問。
- 取得されたカタログ候補のセット。
- 店舗設定と関連する規定文。
モデルに決して渡らないもの
- カード情報や決済認証情報。
- パスワード、APIキー、Salewiseのマスターキー。
- POSに書き込めるツール。
管理策台帳
信頼バッジではなく、管理策の台帳。
各行は、管理策、その背後の仕組み、限界の場所を示します。質問票でより詳しい情報が必要なら、お問い合わせください。
根拠のある回答
カタログが正解の源です。
- モデルが動く前に、サーバーが候補商品を取得します。モデルはそのセットからIDを選ぶことだけができます。無効なIDは破棄され、価格、在庫、バリエーション、販促情報はサーバー側で描画されます。カタログに答えがなければ、エージェントはその旨を伝え、引き継ぎを提案します。
保存時の認証情報
シークレットは暗号化され、結び付けられ、バージョン管理されます。
- プロバイダーの認証情報はAES-256-GCMを使用し、レコードごとにランダムな96ビットIVを持ちます。追加認証データが暗号文を provider:{providerId}:account:{accountId}:credentials に結び付けるため、別のテナントにコピーされたレコードは復号に失敗します。keyVersionはキーローテーションを支え、復号失敗時はシークレットを返さず安全側で停止します。
Salewiseリクエスト
ベアラートークンではなく、署名。
- SalewiseマスターAPIへのリクエストは、メソッド、パス、タイムスタンプ、ナンス、本文のSHA-256に対するHMAC-SHA256署名を持ちます。署名は定数時間で比較され、リプレイ防止期間によって制限されます。マスターキーはサーバー側にあり、一度設定され、保存時に暗号化され、ブラウザに返されることはありません。
アカウントとロール
事業者アカウントは、サーバー管理者ではありません。
- Sageには事業者ロールとサーバー管理者ロールがあります。パスワードはアカウントごとのソルトを用いたscryptです。アクセストークンは15分後に失効し、リフレッシュトークンはハッシュとして保存され、使用時にローテーションされ、30日後に失効します。招待は7日後に失効し、招待されたメールアドレスに結び付きます。
テナント分離
店舗の参照は、所有権の確認です。
- すべての店舗ルートは、データを返す前に店舗を解決し、認証済みアカウントに属することを確認します。リポジトリのメソッドはアカウントと店舗で範囲が限定され、SQLはルートハンドラーではなくリポジトリ層の背後にあります。
カード情報
決済なし、PANなし。
- Salewiseは決済を行わず、カード情報を保存しません。買い物客向けPWAには会計画面がなく、取引は事業者のPOS内に残ります。カード決済を処理しないため、カード決済に対するPCI DSSの適用範囲を主張しません。
保存期間
無期限ではなく、設定されます。
- リファレンス構成では、セッション会話記録は180日、イベントレコードは365日に設定され、環境とDPAによって定められます。事業者固有の保存期間はDPAで合意し、削除は依頼に応じて処理します。定期的な削除処理は現時点では運用していません。
監査証跡
セキュリティに関わるイベントは記録を残します。
- 登録、ログイン、ログイン失敗、招待、セットアップ、連携認証情報の変更は監査ログに書き込まれます。監査詳細ではメールアドレスを生のまま保存せず、ハッシュ化します。ログは現在内部向けで、事業者向けの監査画面はまだありません。
モデルの境界
モデルは必要最小限だけを受け取ります。
- モデルは、買い物客の質問、取得されたカタログ候補、店舗設定、関連する規定文を受け取ります。パスワード、API認証情報、カード情報は受け取らず、POSに書き込めるツールも持ちません。
「構築済み」は、その管理策が今日の製品に存在することを意味します。すべての管理策が独立した監査を受けているという意味ではありません。不足はこのページの下部に記載しています。
認証情報とリクエスト
保存時は暗号化。転送時は署名。
セキュリティ審査担当者が最初に尋ねることが多い2つの仕組みです。
保存時の認証情報
- アルゴリズム
- AES-256-GCM、認証付き暗号化。
- IV
- レコードごとに12バイトのランダム値、再利用なし。
- 結び付け
- AAD provider:{providerId}:account:{accountId}:credentials。コピーされたレコードは復号に失敗します。
- ローテーション
- すべてのレコードにkeyVersion。ローテーション中は以前のキーも受け入れます。
- 失敗時
- 復号失敗時は安全側で停止します。古いシークレットで再試行することはありません。
Salewiseリクエスト
マスターキーはサーバーセットアップ時に一度だけ設定されます。すべてのリクエストはそれで署名され、署名はベアラートークンではありません。
canonical = method + "\n" + path + "\n" + timestamp + "\n" + nonce + "\n" + sha256(body); signature = HMAC-SHA256(masterKey, canonical);
- X-Sage-Signatureとして、タイムスタンプとナンスのヘッダーとともに送信されます。
- 定数時間で比較され、リプレイ防止期間があります。
- マスターキーはサーバー側に保持され、保存時に暗号化されます。
- ブラウザに返されたり、ログに書き込まれたりすることはありません。
データ、ロール、保存期間
最小限のデータ。範囲を限定したアクセス。記録。
商品の質問に答えるために、アシスタントが買い物客の身元を知る必要はありません。
セッションに記録されるもの
- セッションID、QRコード、きっかけとなった通路。
- 質問、回答、推薦内容。
- 引き継ぎイベントとタイムスタンプ。
氏名、アカウント、カード情報はありません。デモはセッションを氏名のある買い物客に紐付けません。
アクセスできる人
- 事業者アカウント。アクセス範囲は、紐づく店舗に限定されます。
- セットアップとプロバイダー設定のためのサーバー管理者。
- 店舗ルートを通じた事業者間の店舗アクセスはありません。
招待はメールアドレスに結び付き、7日後に失効します。
保存期間
- セッション会話記録：180日に設定。
- イベントレコード：365日に設定。
- 事業者固有の条件：DPAで定めます。
削除は依頼に応じて処理します。定期的な削除処理は現時点では運用していません。
監査イベント
登録、ログイン、ログイン失敗、招待、セットアップ、連携認証情報の変更は監査ログに書き込まれます。監査詳細ではメールアドレスを生のまま保存せず、ハッシュ化します。ログは現在内部向けで、事業者向けの監査画面としては提供していません。
帰属
記録は監査に耐えなければなりません。
一致した販売は、完全一致かモデル推定のどちらかです。事業者はどちらか、そして理由を確認できます。
確定的
セッションから販売まで引き継がれた引換コード。信頼度1.0。モデル推定は行いません。販売はそのまま帰属されます。
モデル推定
2時間以内の同一店舗の販売で、推薦商品を含むもの。信頼度スコアが保存され、上限は0.92です。一致は報告されるすべての場所でモデル推定と明記されます。
完全一致は完全一致です。モデル推定の一致は、報告されるすべての場所でモデル推定と明記されます。料金はサブスクリプションのみで、帰属を収益として提示することはありません。
正直な限界
主張しないこと。
不足を明示すると、信頼は確認しやすくなります。
質問票でこのリストの項目が求められている場合は、その旨をお知らせください。
ごまかして答えるより、取引を失うほうがましです。
- 01
現在、SOC 2またはISO 27001の認証を取得していません。
- 02
現在、独立したペネトレーションテストやセキュリティ監査を完了していません。
- 03
カード決済を処理しないため、カード決済に対するPCI DSSの適用範囲を主張しません。
- 04
現在の製品では、ある事業者のカタログや会話で共有モデルを学習させることはありません。
- 05
リスクのないAIシステムはありません。グラウンディングは誤った生成を減らしますが、事業者による確認と引き継ぎルールの必要性をなくすものではありません。
- 06
現在、保存期間に基づく定期的な削除処理は運用していません。削除はDPAに基づく運用上の手順です。
- 07
監査ログは内部向けで、事業者向けの監査画面としては公開していません。
- 08
このページでサービスレベルを約束することはありません。可用性に関する約束は注文書で定めます。
責任ある開示
脆弱性を発見したと思われる場合は、 support@salewise.co.uk まで、再現に十分な詳細を添えてご連絡ください。他の事業者のデータへのアクセス、サービスの妨害、当社が対応する前の公開はお控えください。