Plume Trust Center

セキュリティ

Plumeは、製品とサービスのセキュリティに特化しています。お客様がサービスの成長と革新に専念できるよう、当社はセキュリティに重点を置き、消費者のスマートホームエクスペリエンスを向上させます。 PlumeはSOC 2 Type 1認証を取得しており、現在はSOC 2 Type 2の監査を受けています。また、国際標準化機構（ISO）の認証も2件取得しています: ISO/IEC 27001 (2022年) およびISO/IEC 27701 (2019年) を取得しています。Plumeの情報保護プログラムについてご質問がある場合、またはPlumeのサービスに関連する情報セキュリティイベントが発生した場合は、security@plume.comまでお問い合わせください。

デバイスとアプリケーションのセキュリティ

Plumeは、業界で認められているOWASP SAMMなどのフレームワークに従って、セキュリティを製品開発ライフサイクルに統合しています。セキュリティ評価は、リリースプロセスの一環として実施されます。Plumeの目標は、ソフトウェアとファームウェアが最初から安全に設計され、構築されるようにすることです。
セキュリティトレーニングは、当社の従業員がセキュリティ上の脅威を特定し、対処して軽減できるように設計されています。
Plumeのサービスプロバイダーは、Plumeのサードパーティリスク管理プログラムの一環としてセキュリティリスク評価を受けます。このプログラムには、そのようなサードパーティの法令順守のレビューが含まれます。

データセキュリティ

Plumeは、NISTのベストプラクティスフレームワークを使用してサービスを保護し、NIST標準を使用してストレージ内の顧客データと、コンシューマープレミス機器とクラウドへのモバイル/ウェブアプリケーション間の通信を暗号化しています。
ネットワーク分離と役割ベースのアクセス制御は、不正なデータアクセスを制限するために使用されます。
データアクセス許可は、最小特権の原則を使用して構成され、特定のビジネス目的でアクセス許可を必要とするユーザーのみにアクセスを制限します。
実稼働データへのアクセスは監視され、ログに記録され、監査されます。

脆弱性の開示

Plumeの情報保護プログラムについてご質問がある場合、Plumeのサービスに関連する情報セキュリティイベントが発生した場合、または脆弱性の開示を送信する場合は、security@plume.comまでお問い合わせください。脆弱性の開示を送信するために、このフォームを使用することもできます。
5営業日以内に確認通知をお送りします。報告された問題については、定期的に最新情報が送信されます。
Plumeは、全力を尽くして、脆弱性の存在を確認し、プロセス全体を通じて可能な限り透明性を保ちます。

プライバシー

Plumeは個人のプライバシー保護に取り組んでいます。Plumeの取り組みは、次のようなコアプライバシー原則に基づいたプライバシーガバナンスプログラムによって実現されます。

合法性、公正性、透明性：個人情報の取り扱いは透明かつ公正に行われます。
目的の制限：個人情報は、本人に開示される、明白で正当な特定の目的のために処理され、開示された目的と一致しない方法でそれ以上処理されることはありません。
データの最小化：個人情報は、個人情報が収集された目的のために合理的に必要な範囲で処理されます。
正確性：Plumeは、個人情報を正確、最新かつ完全なものとして維持するよう努めています。
保存の制限：個人情報は、収集された目的に必要な期間のみ保存されます。
完全性と機密性：Plumeは、適切な技術的および組織的措置を講じて個人情報のセキュリティと機密性を保護します。

プライバシーガバナンスプログラム

Plumeのプライバシーガバナンスプログラムには、次のような重要な慣行が含まれています。

Plumeは、個人が個人情報に関して有する権利と選択肢、およびその権利の行使方法をプライバシーポリシーに記載しています。
Plumeの従業員は、組織の要件、契約上の要件、規制上の要件を対象としたプライバシー意識向上トレーニングに参加します。
Plumeは、製品開発ライフサイクルの全工程にわたり、プライバシーバイデザインとプライバシーバイデフォルトのコントロールを組み込んでいます。
Plumeは、個人情報への不正アクセス、不正使用、不正利用、不正開示を防止、検出、是正するための手順を備えています。
個人情報を取り扱うPlumeのサプライヤーおよびベンダーは、個人情報の処理における役割と制限を規定する拘束力のある約定に従うものとします。
Plumeは定期的に自己評価を実施して、プライバシーガバナンスプログラムのギャップを特定し、特定されたギャップを解消してベストプラクティスを確立するための対策を定めます。
Plumeは、異なる保存期間が顧客契約または法律より要求されない限り、開示された目的を達成するために必要な期間中、個人情報を保持するための措置を講じます。
Plumeのサービスは複数の地域でホストされ運営されています。場合により、Plumeは管轄区域を越えて個人情報を転送することがあります。EEA、英国、スイスから個人情報を国際的に転送する場合、Plumeと顧客およびサプライヤーとの契約には、決定2010/87/EUに従って欧州委員会が発行した標準契約条項 (英国およびスイスに関する補遺を含む) が含まれます。個人情報の宛先の管轄区域が送信元の管轄区域と同じレベルのデータ保護を保証していない場合、Plumeは、その他の個人情報の転送に関して適用される法律を順守します。

プライバシー

WiFiのことを考える必要は、本来ありません。それこそが目指す姿です。

仕事も、遊びも、防犯カメラも、ご家族との通話も、すべてが1本の接続を通っています。通話は途切れません。動画は止まりません。新しいドアベルカメラはすぐに使え、ネットワーク上にあってはならないものは、入り込む隙さえ与えられません。何事もなく使えるその裏側で働いているのが、PlumeのAIです。Plumeがサービスを提供するご家庭や企業で、1分間に数十億もの信号を読み取っています。

AIは、必要なユーザーに必要な帯域幅を、その瞬間に割り当てます。あらゆるデバイスを接続した瞬間に認識し、正常に動作しているかどうかを見極めます。脅威は、存在に気づかれる前に阻止します。そして、万が一問題が発生した場合は、ご不満が生じる前に通信事業者様が対処できるよう支援します。お客様が何かに気づくことはありません。それこそが、あるべき姿です。

ソフトウェアに任せていただくのは、大きな信頼があってこそ。Plumeはその重みを真摯に受け止めています。

PlumeのAIはお客様のために存在し、運用するのは人です。

Plumeは、PlumeグローバルAIガバナンスポリシーフレームワークに基づいてAIを活用しています。このフレームワークは、最高法務およびプライバシー責任者が主導し、プロダクト部門およびテクノロジー部門の責任者と共同で監督しており、Plumeが開発、ライセンス取得、または採用するすべてのAIシステムが対象です。お客様のネットワークの保護を任される企業は、自社のガバナンス体制についても、同じように透明性を保つべきだと考えます。本フレームワークは、OECD AI原則（OECD AI Principles）やNIST AIリスクマネジメントフレームワーク（NIST AI Risk Management Framework）など、私たちが尊重する基準を参考にしており、製品や社会の変化に合わせて見直しを続けています。

具体的な取り組み

責任は常に人が負います。Plumeでは、機械が最終判断を下すことはありません。運用するすべてのAIシステムについて、その結果に責任を持つ担当者をフレームワークで明確に定めています。
レビューを経ずに導入されるものはありません。 PlumeでAIツールを使用する前には、必ずレビューと承認を行い、リスクレベルを割り当てます。お客様への影響が大きいシステムほど、より厳格な精査と詳細な文書化を行います。
AIであることをお知らせします。人ではなくAIアシスタントがお客様に対応する場合は、その旨をお伝えします。また、各システムの目的、学習に使用するデータ、結論に至る過程についても記録しています。
お客様のデータが、無断でAIの学習に使われることはありません。 機密情報や非公開情報を、許可なくAIモデルの学習やファインチューニングに使用することはありません。また、学習に使用するデータは、事前に匿名化しています。
プライバシーとセキュリティは、標準装備です。 Plumeのその他の部分を守っている暗号化、アクセス制御、脆弱性管理が、AIも同様に保護しています。AIが関わるあらゆる領域で、プライバシーファーストの姿勢を貫いています。
公平性は、後付けではなく設計上の要件です。 影響を受ける人々を公平に扱うシステムとなるよう、開発と評価を行っています。

責任を果たすための取り組み

PlumeのAIガバナンス委員会は、法務、プロダクト、エンジニアリング、IT、セキュリティの各部門の上級リーダーで構成され、社内全体でAIがどのように開発・採用されているかを監督するため、定期的に会議を開催しています。議題、議事録、アクションアイテムは記録として保管し、第三者機関による年次ISO認証審査の際に確認を受けています。Plumeの全メンバーは、フレームワークを読み、理解したことを表明しており、責任あるAIが社内全体の共通の習慣となるよう、継続的な教育にも投資しています。

PlumeによるAIの活用についてご質問がある場合や、気になる点がある場合は、privacy@plume.comまでご連絡ください。お寄せいただいたメッセージはすべて拝見し、お答えします。

クラウド

クラウドのパワーを活用するPlumeのサービスは、安全性、回復性、動的拡張性を備えた設計になっています。当社の米国のクラウドとEUのクラウドの運用状況は一般公開されています。

クラウドに関するプラクティス

Plumeクラウドは、高可用性とデータ冗長性を提供するように設計されています。
クラウドインフラストラクチャは、組織的および技術的管理によって補完された認定クラウドプロバイダーのサービスを活用する責任共有モデルを使用して構築および運用されます。
企業リソースへのアクセスは、SSO (Single-Sign-On、シングルサインオン)、MFA (Multi-Factor Authentication、多要素認証)、VPN (Virtual Private Network、仮想プライベートネットワーク) ベースのリモートアクセスなどのコントロールを使用して管理されます。
システムは必要最小限のサービスで構成されており、変更はログに記録され、監視されます。
マルウェア対策システムと侵入検知システムは、異常な動作や悪意のある活動を検出して対応するために使用されます。
定期評価を実施して、環境の脆弱性を検出します。検出された脆弱性は、変更管理とインシデント対応プロセスを使用してリスクに基づいて軽減されます。

コンプライアンス

Plumeは、規制順守義務を満たし、義務を上回る措置を講じるために継続的に取り組んでいます。Plumeは、これらのコンプライアンス認証を維持します。

ISO/IEC 27001:2022 - 情報セキュリティ管理システム

Plumeは、ISO/IEC 27001:2022を取得しています