Pulseセキュリティ体制
暗号化、アクセス制御、認証取得状況、第三者評価の開示方針です。
UNCHAIN株式会社がPulseでお預かりするデータをどのように守っているかを、個人情報保護法が求める安全管理措置の区分に沿って説明します。貴社の情報システム部門による委託先審査や、セキュリティチェックシートへの回答の前提資料としてお使いいただけます。
安全管理措置の区分ごとの詳細と、認証・第三者評価の取得状況は、ヘルプセンター内ではこの記事にまとめています。他の記事からは結論とこの記事へのリンクだけを置いています。
安全管理措置の枠組み
個人データの漏えい、滅失または毀損の防止その他の安全管理のために必要かつ適切な措置を講じることを義務づけています。ガイドラインは、この措置を基本方針の策定、取扱規律の整備、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、外的環境の把握に分けて整理しています。講じた措置の内容は、本人の知りうる状態に置くことが求められます。
UNCHAIN株式会社は、個人データの取扱いに関する基本方針を策定し、取得から削除までの各段階について取扱規律を整備したうえで、以下の措置を実施しています。
以下の各節は、UNCHAIN株式会社の実際の運用に合わせて記載してください。実施していない措置は書かず、削除するか、導入予定であることが分かる書き方にしてください。
組織的安全管理措置
- 個人データの取扱いに関する責任者を定め、取扱いの権限と責任の範囲を明確にしています
- 個人データを取り扱う従業者と、その取り扱う個人データの範囲を明確にしています
- 取扱状況を確認できるよう、システムの利用状況、権限の付与・変更・削除、データの持出しに関する記録を残しています
- 取扱規律に違反する事実または兆候を把握した場合の報告連絡体制を整備しています
- 取扱状況について定期的に点検を行い、結果を責任者に報告しています
- 個人データの漏えい等が発生した場合の対応手順を定め、報告と通知の期限を含めて文書化しています。対応の流れはセキュリティ・プライバシーに関するFAQの「漏えいが起きた場合」の項をご覧ください
人的安全管理措置
- 全従業者と秘密保持に関する契約を締結しています。この義務は退職後も継続します
- 個人データの取扱いに関する教育を、入社時および定期的に実施しています
- 権限は業務上必要な範囲に限って付与し、異動・退職の際に速やかに見直します
通信の秘密については、電気通信事業法の枠組みに沿った取扱いを行っています。
電気通信事業者の取扱中に係る通信の秘密は侵してはならず、電気通信事業に従事する者は在職中および退職後も守秘義務を負います。違反には罰則が定められています。Pulseの共有機能や通知機能など、利用者どうしのやり取りを媒介する部分については、同条の適用があるものとして取り扱っています。UNCHAIN株式会社の役職員は、業務上知り得た通信の秘密に属する情報を、法令に基づく場合その他の正当な理由がある場合を除き、取得・利用・開示しません。
UNCHAIN株式会社の電気通信事業法上の届出状況は、法務部門に現況を確認してください。「届出済み」「届出不要」と断定的に書く前に、メンション通知やダイレクトメッセージなど他人の通信を媒介する機能の有無とあわせて確認が必要です。
なおUNCHAIN株式会社は、提供する機能ごとに、電気通信事業法および総務省「電気通信事業参入マニュアル［追補版］」に照らした位置づけの確認を継続して行っています。利用者間のメッセージを媒介する機能を提供する場合には、同法第16条に基づく届出を含め、必要な手続を行います。
物理的安全管理措置
- Pulseのサーバーは、入退館管理、監視、電源および空調の冗長化が行われたデータセンターに設置されています
- 業務で使用する端末には、ディスクの暗号化と画面ロックを必須としています
- 個人データを含む機器や電子媒体を持ち運ぶ場合の手順を定めています
- 機器および電子媒体を廃棄する際は、データを復元できない方法で消去します
技術的安全管理措置
| 区分 | 内容 |
|---|---|
| 通信の暗号化 | 端末とサーバー間の通信はTLSで暗号化しています |
| 保存時の暗号化 | 保存されたデータは暗号化して保持しています |
| アクセス制御 | 個人データを取り扱う情報システムの利用者を識別・認証し、権限を業務上必要な範囲に限定しています |
| 認証 | 認証は連携先のIDプロバイダに委ねています。多要素認証は、お使いのIDプロバイダ側で有効にしてください |
| ログ管理 | システムの利用状況とアクセスの記録を取得し、一定期間保管しています |
| 脆弱性管理 | 使用するソフトウェアを最新の状態に保ち、既知の脆弱性の有無を継続的に確認しています |
| 不正アクセス対策 | 外部からの不正アクセスを防止する仕組みを導入し、監視しています |
アクセス制御の具体的な範囲、監視の方式、不正アクセス防止措置の詳細は、公表することにより安全管理に支障を及ぼすおそれがあるため、この記事には記載していません。個人情報保護法施行令は、こうした事項を公表事項から除くことを認めています。委託先審査で詳細が必要な場合は、秘密保持契約の締結を前提に個別にご説明します。
外的環境の把握
個人データを外国で取り扱う場合、当該外国の個人情報の保護に関する制度を把握したうえで、必要かつ適切な措置を講じる必要があります。Pulseでは、データの保存は原則として日本国内のリージョンで行い、要約の生成など一部の処理を日本国外の事業者に委託する場合があります。
この場合、UNCHAIN株式会社は次の3点を整理しています。
- 処理を委託する国の名称
- 当該国の個人情報の保護に関する制度（政府によるデータへのアクセスに関する制度を含みます）の把握
- 把握の結果を踏まえて講じた措置。通信および保存時の暗号化、入力されたデータを応答の生成以外に利用しない旨の契約上の取決め、保持期間の限定などが含まれます
移転先の国の名称、移転先事業者が講じる措置の概要、UNCHAIN株式会社による確認の頻度と方法については、ご本人からのお求めに応じて情報を提供します。国名と講じている措置の一覧はプライバシーポリシーの「外国にある第三者への提供」に掲載しています。
委託先と再委託先の管理
UNCHAIN株式会社が個人データの取扱いを外部に委託する場合、委託先の選定基準を定めたうえで、契約により安全管理措置の実施と再委託の条件を定め、取扱状況を定期的に確認しています。再委託についても同様の条件を課しています。
法人向けプランでは、UNCHAIN株式会社はお客様から個人データの取扱いの委託を受ける立場にあります。お客様には委託先の監督の一環として、この記事および個人データの取扱いに関する覚書（DPA）の内容をご確認いただくことを推奨します。覚書の内容は個人データの取扱いに関する覚書に掲載しています。
認証と第三者評価の取得状況
このセクションは、UNCHAIN株式会社の情報セキュリティ責任者に取得状況を確認したうえで、実態に合う記述だけを残してください。認証や準拠状況の虚偽表示は致命的な問題になります。確認できない場合は、認証に言及しないでください。書き分けの原則は次のとおりです。
- 認証を取得していない状態で「ISO 27001準拠」「ISMS準拠」「Pマーク相当」と書かないこと。ISO/IEC 27001は取得しているか否かの二択で、「準拠」という中間状態を第三者が検証する手段はありません
- SOC 2は認証ではなく監査報告書です。「SOC 2認証を取得」は誤りで、「SOC 2 Type II 報告書を取得しています」と書きます
- ISO/IEC 27017はISMS認証への付加認証、ISO/IEC 27018は実践規範です
- インフラ提供元であるクラウド事業者の認証をUNCHAIN株式会社のものとして書かないこと。書く場合は「Pulseが利用するクラウドインフラは、〇〇の認証を取得した事業者が提供しています」と主語を明示します
次の表に、制度の性質とUNCHAIN株式会社の状況をまとめます。〔 〕の欄は、確認した内容に置き換えてご利用ください。取得していない制度について「準拠」「相当」「基準を満たしています」と書くことはできません。
| 制度 | 性質 | 状況 |
|---|---|---|
| ISMS認証（ISO/IEC 27001 / JIS Q 27001） | 情報セキュリティマネジメントシステムの国際規格に基づく第三者認証 | 〔取得済み／申請中／未取得〕 |
| ISO/IEC 27017 | クラウドサービス固有の管理策に関する規格。ISMS認証に付加して取得する | 〔取得済み／申請中／未取得〕 |
| ISO/IEC 27018 | クラウド上の個人情報の保護に関する実践規範 | 〔取得済み／申請中／未取得〕 |
| プライバシーマーク | JIPDECがJIS Q 15001への適合を認定する国内の制度 | 〔取得済み／申請中／未取得〕 |
| SOC 2 Type II 報告書 | 監査法人が一定期間の内部統制の運用状況について意見を表明した報告書。認証ではありません | 〔取得済み／未取得〕 |
| ISMAP | 政府情報システムのためのセキュリティ評価制度。登録の有無はISMAPポータルの公開リストで誰でも確認できます | 現時点でクラウドサービスリストには登録していません |
取得していない制度については、「現時点で取得していません。取得に向けた準備の状況が変わり次第、このページを更新します」とご案内しています。認証の有無にかかわらず、実装している具体的な管理策（暗号化、アクセス制御、ログ管理、脆弱性管理、インシデント対応、委託先管理）はこの記事の各節で説明しており、貴社のセキュリティチェックシートへの回答や個別のご質問への対応も承っています。判断の材料が足りない場合は、tharada@the-unchain.comまでお問い合わせください。
インシデントの公表方針
UNCHAIN株式会社は、Pulseに影響のあった障害およびセキュリティインシデントについて、原因と再発防止策を自主的に公開しています。公開した内容はセキュリティに関する報告に掲載しています。
個人データの漏えい等に該当する事象が発生した場合は、個人情報保護法第26条に基づく個人情報保護委員会への報告および本人への通知を行います。手続の詳細はセキュリティ・プライバシーに関するFAQをご覧ください。
インシデントの公表について「サイバーセキュリティ基本法に基づき公表しました」という書き方はしないでください。同法第7条は事業者の努力義務を定めた規定であり、民間事業者に公表義務を課すものではありません。法的義務として書けるのは、個人情報保護法第26条に基づく報告・通知と、電気通信事業者として届出をしている場合の電気通信事業法第28条に基づく報告です。
脆弱性のご報告
Pulseの脆弱性にお気づきの場合は、tharada@the-unchain.com宛にご連絡ください。調査の対象範囲、実施していただく条件、UNCHAIN株式会社が与える承諾の範囲については脆弱性開示ポリシーに定めています。