G-gravity

セキュリティホワイトペーパー（ISO27017準拠）

　このホワイトペーパーは、ISO/IEC 27017:2015に基づき、クラウドサービス提供者として当社が実施するセキュリティ対策及び関連する情報を利用者に提供することを目的としています。

　本資料により、利用者は当社のセキュリティ対策の概要を把握し、ISO/IEC 27017に関する認証や評価に際して必要な情報を確認することができます。

１．適用対象 

　当社のISO/IEC 27017の適用範囲は、以下のサービスが対象です。 

  • G-Hibiki Datahub 
  • G-Hibiki LMS

２．セキュリティ対策

2.1 ネットワークセキュリティ

  • ゲートウェイ技術の利用：利用するクラウド基盤のセキュリティグループ設定により、サービスに不要な通信は遮断します。
  • WAF（Web Application Firewall）：サービス環境への攻撃を防止します。
  • 環境分離：お客様ごとに独立した環境を構築します。

2.2 アクセス管理

  • 多要素認証の実施：重要システムへのアクセスにはMFAを適用します。
  • 権限管理の徹底：POLPを原則として必要最小限の権限を付与します。
  • パスワードポリシーの厳格化：当社が定めるパスワードポリシーを遵守します。

2.3 データ保護

  • データの暗号化：SSL/TLSによる通信データの暗号化、および利用するクラウド基盤の機能を利用した保存データの暗号化を実施します。
  • 暗号化の利用にあたっては、関連法令及び規制を遵守します。
  • バックアップ：定期的なバックアップを取得します。
  • 不要データの廃棄：サービス提供上不要なデータについて、不要となったタイミングで即時消去を実施します。
  • データを保管する可能性のある国：日本
  • 当社は日本国内にあり、詳細は当社Webサイトにて公開しています。

2.4 セキュリティ監視

  • ログ監視の実施：利用するクラウド基盤の機能によりセキュリティログの取得および監視を実施します。当社はログ等の記録について、改ざん防止措置を講じた上で保管します。
  • クロック同期：ログの整合性を確保するため、利用するクラウド基盤の機能により、UTCを基準としたクロック同期を実施します。

2.5 脆弱性対策

  • 外部機関による診断：外部機関による定期的な診断を実施します。
  • セキュア開発：OWASP Top10等を考慮したセキュア開発を実施します。
  • ツールによるスキャン：コードスキャンツールによりリリース前の脆弱性スキャンを実施します。
  • 脆弱性情報の収集：適切な脆弱性情報の収集および対策を実施します。

2.6 社員教育と意識向上

  • 定期的なセキュリティトレーニングを実施します。
  • 内部監査によるセキュリティルールの遵守状況を確認します。

2.7 法令遵守と各種認証に基づいた体制構築

  • 情報セキュリティに関する各種法令を遵守します。（※当社サービスの利用にあたっては日本法が適用されます）
  • ISO27001等の基準に基づく管理体制を構築します。

３．インシデント対応について

3.1 責任範囲について

　当社は「情報セキュリティ基本方針」に基づき、情報セキュリティに関する役割及び責任を定義しています。また、クラウドサービスにおいて実施する情報セキュリティ対策について、本書に示すとともに、サービスの内容に応じて必要な対策を実施しています。各サービスにおける情報セキュリティ及びインシデント管理に関わる責任分界は以下の通りとなります。

[当社]

  • サービス全体に関するセキュリティインシデント発生に対する対応・報告
  • 各サービスに対するセキュリティアップデート
  • サービスに関するシステムへのセキュリティ対策

[お客様]

  • お客様側の操作に起因するセキュリティインシデントの管理
  • 各サービスマニュアルに基づくサービスの利用
  • アカウント管理
  • 最新バージョンの利用

3.2 インシデント報告について

　当社は情報漏えいやデータ破損等、お客様に重大な影響を及ぼすセキュリティインシデント検知を行っており、インシデントを検知した際には2営業日以内に担当者への報告を行います。

　セキュリティインシデントとして開示する対象は以下の通りです。

[対象]

  • お客様データの消失・破損・改ざん
  • サービスに影響を及ぼす外部からの不正アクセス
  • マルウェア感染
  • 外部への情報漏えい
  • 知的財産権の侵害

[開示レベル]

  • セキュリティインシデントの内容・影響範囲
  • 再発防止策を含む対応内容

3.3 インシデント発生時の連絡先について

　セキュリティインシデントの発生、インシデント対応に関してのお問い合わせは、下記の「インシデントお問い合わせ窓口」までご連絡ください。

3.4 インシデントからの復旧方法について

　障害・インシデントが発生した際の復旧方法についてご不明点がある場合は、下記の「インシデントお問い合わせ窓口」までご連絡ください。

3.5 情報セキュリティ事象（インシデントの疑い）がある場合について

　情報セキュリティ事象（セキュリティインシデントの疑い、可能性）がある場合は、下記の「インシデントお問い合わせ窓口」までご連絡ください。

　当社側で速やかに状況の確認及び調査を行い、2営業日以内に当社担当者よりメールにより状況及び対応策についてご連絡いたします。

　セキュリティ事象の対応状況についてはメールにて都度状況をご報告させていただくものとします。なお、広範囲のお客様に影響を及ぼすものについては当社Webサイト上にて状況を確認できるよう情報公開を行う場合がございます。

　

インシデントお問い合わせ窓口：product_support@g-gravity.jp
上記窓口または、担当営業までお問い合わせください