セキュリティフレームワーク

Zoom AIセキュリティフレームワークの概要

セキュリティフレームワーク

Zoomのセキュアなソフトウェア開発ライフサイクル（SDLC）は、ソフトウェア開発ライフサイクルの各段階にセキュリティを組み込むよう設計された一連の実践とプロセスです。Zoomのセキュアなソフトウェア開発管理策は、Zoomのセキュリティ認証および保証報告に記載されているとおり、独立した監査法人によって評価されており、お客様はこれらを Zoomのトラストセンター。Zoom AI機能は、以下のセクションを含むZoomの標準的なセキュアSDLCプロセスに従います。

設計レビュー

ZoomのEngineering Securityチームは、機能が構想される設計段階で関与し、主要なセキュリティ管理策を要件に組み込めるようにします。脅威分析を含むセキュリティ設計レビューを実施して、潜在的な脅威と緩和策を特定します。Zoomは、セキュリティ設計レビューで特定されたセキュリティ脆弱性の修正または緩和を規定する脆弱性対処基準を維持しています。

コードレビュー

ピアコードレビューは、Zoomのセキュアなソフトウェア開発ライフサイクルの重要な要素であり、Zoomのソフトウェア開発プラットフォームで強制されています。ピアコードレビューに加えて、セキュリティ設計レビューで特定された高リスク領域では、セキュアコードレビューが必要です。必要に応じて、各リリースごとに手動テストも実施されます。

静的解析テスト

Zoomは、静的解析セキュリティテスト（SAST）ツールを使用して、コーディングエラーや一般的なセキュリティ脆弱性（Open Web アプリケーション Security Project（OWASP）のトップ10やNational Vulnerability Database（NVD）を含む）についてソースコードをスキャンします。Zoomは、静的解析テストを通じて特定されたセキュリティ脆弱性の修正または緩和を規定する脆弱性対処基準を維持しています。

動的解析テスト

Zoomは、動的解析セキュリティテスト（DAST）ツールを使用して、OWASPのトップ10やNVDを含む一般的なセキュリティ脆弱性を特定します。Zoomは、動的解析テストを通じて特定されたセキュリティ脆弱性の修正または緩和を規定する脆弱性対処基準を維持しています。

サードパーティコードレビュー

オープンソースソフトウェア（OSS）が使用される場合、OSSパッケージは、OSS評価基準一式と一般的なセキュリティ脆弱性のスキャンを含むZoomのサードパーティコードレビュー・プロセスを受ける必要があります。Zoomは、サードパーティのOSSスキャンツールを通じて特定されたセキュリティ脆弱性の修正または緩和を規定する脆弱性対処基準を維持しています。

デプロイ

新製品および機能（Zoom AI機能を含む）のデプロイには、セキュリティ承認が必要です。Zoomには、リリース前にZoomクライアントのビルドをスキャンする責任を負う専任のRelease Security Assurance機能があります。最終的なZoomクライアントのビルドスキャンは、潜在的な脆弱性または悪意のあるコンテンツを特定するよう設計されており、その完全性と真正性を維持するためにビルドにはデジタル署名が施されます。

生成AIモデルのセキュリティ

上記のZoomのセキュアSDLCで概説した手順に加えて、Zoomがホストするモデルは、生成AIモデルに固有のセキュリティ脅威を評価するためのセキュリティレビューの対象となります。生成AIモデルのレビューには、OWASPのLLM向けトップ10やその他のセキュアAIフレームワークに沿った、一般に知られているLLMモデルの脆弱性が含まれます。生成AIのセキュリティレビューで特定された脆弱性は、Zoomの脆弱性対処基準に従って修正されなければなりません。

Zoomのサードパーティサブプロセッサは、Zoomのサードパーティリスク管理プログラムの一環として、少なくとも年1回セキュリティ評価の対象となります。Zoomのサードパーティリスク管理策は、Zoomのセキュリティ認証および保証報告に記載されているとおり、独立した監査法人によって評価されており、お客様はこれらを Zoomのトラストセンター.

セキュリティ評価

Zoomには、Zoom AI機能を含むZoomのプラットフォーム全体で継続的な脆弱性調査とレッドチーム演習を実施する専任のオフェンシブセキュリティチームがあります。Zoomの専任オフェンシブセキュリティチームに加えて、少なくとも年1回、独立した第三者によるペネトレーションテストが実施されます。

脆弱性開示プログラム

Zoomは、独立したセキュリティ研究コミュニティがZoom製品のセキュリティに重要な貢献をもたらすと考えています。Zoomは、 脆弱性開示プログラム ならびに、セキュリティ研究者が潜在的なセキュリティ脆弱性を責任ある形で報告するよう促し、Zoomがそれらを修正してユーザーの安全を守れるようにする、HackerOneを通じた脆弱性報奨金制度を維持しています。

コンプライアンス認証

ZoomのAI機能は、それらが組み込まれている主要なZoom製品と同じセキュリティおよびコンプライアンス要件に準拠しており、Zoom Workplace内の主要なZoom AI機能（旧称AI Companion）は、ISO 27001、ISO 27701、およびISO 27017/18の認証を受けており、ZoomのSOC 2報告の対象範囲に含まれています。これらは次でご確認いただけます Zoomのトラストセンター.