暗号化: 現在と今後
現在: すべての通信を TLS と HSTS で保護、パスワードは Argon2id でハッシュ化、2段階サインインのシークレットは暗号化。今後: 部門代表者と従業員が鍵を保持する、エンドツーエンド暗号化ウォレット。
原則
ポリシーではなく、設計によるプライバシー保護。
人ではなく、フローと部署単位の分析
分析が示すのは接点、フロー、部門です。個々の従業員の貢献は3件以上の評価がそろってから表示され、本人とその所属部署のオーナーだけが見られます。
人のランキングなし
リーダーボードも順位も人の比較もありません。設定任せではなく、製品に組み込まれています。
EUのクラウド
テナント分離を備えたEU内ホスティング: テナントごとに独立したデータベーススキーマ。当社はデータ処理契約に基づく処理者として行動します。
または完全オンプレミス
EVCを、閉域網を含む御社のインフラで運用できます。当社は御社のデータを閲覧も処理もしません。テレメトリーは初期設定でオフです。
いつでもエクスポート
テナントの全データをオープンな形式(JSON、CSV)で提供します。テナントの削除も可能です。ライセンスが切れてもデータがロックされることはありません。
アクセスと監査
メール + 2FA、OIDC または SAML による SSO、SCIM プロビジョニング。権限はロールとオブジェクトの組み合わせで、リクエストごとに確認されます。監査ログはエクスポート可能です。
AIが人を採点することはありません
AI機能はイベントを提案することがあります。人を評価したり順位付けしたりすることはありません。
第三者トラッカーなし
製品にも本サイトにも、第三者の分析SDKや広告SDKはありません。
従業員のワークウォレット
慎重に導入します。
従業員のワークウォレットを有効にするかどうかは部門が決めます。有効化の前に、全従業員に分かりやすい通知が届きます。誰が何を見られるかのルールは製品に組み込まれています。
- 通知では、何が記録されるか、誰が何を見られるか、異議の申し立て方法、削除方法を説明します。
- ワークウォレットはワークスペース内のロールとしての従業員に属し、個人のウォレットとは別のものです。エンドツーエンド暗号化が導入されると、鍵は従業員が保持します。
- 同僚同士がお互いの貢献を見ることはありません。
- 経営層は、従業員の貢献を部門単位の集計としてのみ閲覧します。
- 導入パックを提供します: 影響評価テンプレート、従業員向け通知、労使協議会向け説明資料。
セキュリティの基準
当社の目指す基準。
- アプリケーションセキュリティの目標として OWASP ASVS レベル2。
- 最初の Enterprise 契約前に外部ペネトレーションテストを実施。
- リリースごとのソフトウェア部品表(SBOM)。
- オンプレミス提供向けの署名付きリリース。
- 認証は取得後にここに掲載します。持っていないものを持っているとは言いません。