CLDMSセキュリティホワイトペーパー

1.情報セキュリティの役割と責任（ISO/IEC27017　項：6.1.1）

サービスの利用にかかる契約者及び弊社の役割と責任については、以下の通り定めます。
また、サービスにかかる契約書に必要とされる事項を記述します。

契約者の役割と責任は以下の通り

1. サービスの利用におけるアカウントの管理（個人、ID、パスワード）
2. 登録する情報データの運用にかかる管理（登録等）
3. サービスの開始時にて登録された契約者登録情報の管理
   なお、契約者登録についての運用仕様については個別に定める契約時に規定します。
   （ISO/IEC27017　項：9.2.1）

弊社の役割と責任は以下のとおり

1. サービスにかかるサーバー設備及び、通信機器等の管理
2. サービスのかかる環境保全のための環境バックアップ等、保全管理
3. サービスのかかるアプリケーションの運用とメンテナンスの管理
4. サーバーのクロックの管理
   （サービスに利用されるサーバーのクロックはインターネットにてクロック情報を取得し、自動的に同期します）（ISO/IEC27017　項：12.4.4）

2.情報資産

サービスにおける契約者情報資産は以下のとおり

1. 契約者に関する契約情報
2. 契約者の登録したサービスに関するデータ
3. 利用者に関する個人情報
4. 利用者の申込データ

なお、情報資産については、サービスの利用期間に伴う保全の期間が規定されます。

3.情報管理の分類（ISO/IEC27017　項：8.2.2）

サービス内にて登録された情報は、契約及び利用範囲に応じて情報は分類されます。
サービス内に閲覧する場合は、登録されたID、パスワード等にて管理され設定された権限等により閲覧及び一覧表の表示ができます。なお、情報区分のラベル付けについてはサービスの性質上、提供しておりません。

分類される情報科目は以下のとおり

1. 契約者が、サービス内に登録したデータ情報
2. 契約者が、サービス内に登録した権限等の情報

4.サービスの利用期間における情報管理

サービスの利用期間は、個別に交わした契約者との契約期間により規定されます。
サービスの利用終了後については、サービス内の情報資産は30日後に全て削除されます。
詳細な条件等は、個別契約書をご確認ください。

1.契約者の登録と削除

サービスの利用における契約者の登録は、サービス開始前に契約者に対して説明を行い契約者の依頼を受け弊社にて契約者の登録を実施します。
契約者の削除は、サービス契約に基づき契約者の依頼にて弊社が行います。
（ISO/IEC27017　項：9.2.1）

2.ネットワークの管理

サービスにおけるネットワークは、仮想化技術の使用により、サービス毎に論理的ネットワークを分離することと、テナント間で論理的なデータの分離をすることで情報の機密性を保持しています。
なお、弊社のサービス運用管理に関わるネットワークにつきましては、サービスと分離し管理しています。
サーバーにおけるネットワーク等の管理情報は、セキュリティの観点から公開しません。

3.契約者アクセスの提供と制限（ISO/IEC27017　項：9.2.2）

サービスの利用に際してのアクセスについては、サービス開始前に契約にて規定された手順で登録されサービスで提供されるユーザー管理機能によりIDとパスワードが設定されます。
サービスの利用に際しては、登録されたID、パスワードでアクセスが制限されています。
ユーザーの管理は、契約の開始前に弊社の管理者にて設定が行われます。

1.教育とトレーニング（ISO/IEC27017　項：7.2.2）

サービスの提供に際して運用に携わる人的リソースへのコンプライアンス教育とトレーニングを実施しています。また、サービスの提供にかかるアプリケーションのアップグレード時においても弊社内にてサービス従事者に対して定期的なトレーニングを実施しています。

1.セキュリティに関する手順について

サービスにおけるセキュリティ手順は、弊社にて規定されたISMS情報セキュリティ管理手順書に基づいて運用しています。
また、サービス運用については、契約内容にて提供するサービスマニュアル等に記述された運用規定の手順に従い運用しています。（ISO/IEC27017　項：CLD12.1.5）

2.暗号化による対策（ISO/IEC27017　項：10.1.1）

サービスの通信においては、暗号化対策（SSL）がされ情報データの通信において堅牢なデータ保全対策がされています。

3.システムの運用とメンテナンス

サービスの提供において安定的なサービスを供給するため定期的にシステムのメンテナンス（オペレーティングシステムのアップグレードを含む）を実施しています。

4.オペレーティングシステムアクセス管理

サービスのシステムに関わるオペレーティングシステムにおいては、契約者のアクセスは行えません。アクセスについては、サービス供給者である弊社の管理者が実施しています。
　　オペレーティングシステムアクセスは、弊社にて規定された管理者が手順に従い行います。
　　また、アクセスした記録については、文書管理規程に従い管理保存されます。

1.サービス利用のアクセスコントロール

サービスにアクセスする契約者は、事前に登録された方のみアクセスが可能となります。
また、登録時にアクセスする契約者の管理情報を記録し、IDとパスワードを弊社のサービス管理者が発行します。（サービスの対象契約者は、契約時に登録された利用メンバーが対象になります。）

2.サービスシステムのアクセスコントロール

サービス環境及び仮想サーバーへのアクセスコントロールは、弊社の指定された管理者のみアクセスが可能です。指定された管理者は、サーバーシステムのメンテナンス及び不具合対応時のみアクセスします。システムにアクセスした場合、記録を残します。
また、契約者の要求によりアプリケーションの登録内容等の変更を行う場合も同様とします。

3.情報リソースの分離化（ISO/IEC27017　項：CLD.9.5.1）

サービスにおける環境については、システムサーバーを複数配置し使用するネットワークの仮想化により情報リソースを安全に管理しています。仮想化されたサーバーは異なるサーバーに対し相互に影響を及ぼさないように分離しています。また、情報リソースを保全するデータストレージについても各々の仮想サーバーと1対1にて構築され他の情報データリソースに影響を及ぼさないよう設定されています。

4.情報データのバックアップ（ISO/IEC27017　項：18.1.3）

サービスの契約期間中、契約者の情報データは、全て日本国内で保全管理されるとともにデータのバックアップを毎日午前３時に実施します。バックアップしたデータは３０日間保存されます。
バックアップしたデータが正常であることを、不定期にテストサーバーに復元して確認します。バックアップされたデータは契約者へは提供しません。
バックアップされたデータはサービスの契約終了から60日後に全て削除されます。
（ISO/IEC27017　項：11.2.7）

5.セキュリティインシデント

サービスにおけるセキュリティインシデント対応については、弊社にて制定されたISO/IEC27001 及びISO/IEC27017にて規定されているセキュリティインシデント管理手順にて適切に対応いたします。なお、セキュリティインシデントが発生した場合、影響し得るサービス契約者に対して通知するとともに、正確な状況を連絡します。

6.セキュリティぜい弱性の報告

サービスにおけるセキュリティのぜい弱性の検知については、弊社にて定期的な検証を行うとともにセキュリティにおける最新情報の収集に努めます。セキュリティのぜい弱性を検知した場合、影響し得るサービス契約者へは、通知するとともに、正確な情報を連絡します。

7.セキュリティぜい弱性の改善

サービスにおけるセキュリティのぜい弱性を検知した場合、弊社サービス管理者は速やかに対策を講じるとともに改善した内容について記録を残します。なお、改善した詳細な内容については、セキュリティ保持の観点から公開はいたしません。

1.法令事項への対応

サービス利用におきましては、契約条項内にて定められる法令事項を順守するとともに弊社に規定されるISMSに準拠しサービスの提供に努めます。

弊社、取得の認定規格は以下のとおりです。

・ISO/IEC27001：2013　認定企業