トラストセンター
管理策
インフラストラクチャのセキュリティ
- 不明: 本番データベースで一意の認証を強制当社は、本番データストアへの認証に、一意の SSH キーなど承認済みの安全な認証方式を使用することを義務付けています。
- 不明: 暗号鍵へのアクセスを制限当社は、暗号鍵への特権アクセスを、業務上の必要がある承認済みユーザーに限定しています。
- 不明: 一意のアカウント認証を強制当社は、システムとアプリケーションへの認証に、一意のユーザー名とパスワード、または承認済みの SSH（Secure Socket Shell）キーを使用することを義務付けています。
- 不明: 本番アプリケーションへのアクセスを制限システムへのアクセスは、承認されたアクセスのみに制限されています。
- 不明: 本番データベースへのアクセスを制限当社は、データベースへの特権アクセスを、業務上の必要がある承認済みユーザーに限定しています。
- 不明: 本番 OS へのアクセスを制限当社は、オペレーティングシステムへの特権アクセスを、業務上の必要がある承認済みユーザーに限定しています。
- 不明: 本番ネットワークへのアクセスを制限当社は、本番ネットワークへの特権アクセスを、業務上の必要がある承認済みユーザーに限定しています。
- 不明: ネットワークシステムで一意の認証を強制当社は、「本番ネットワーク」への認証に、一意のユーザー名とパスワード、または承認済みの SSH（Secure Socket Shell）キーを使用することを義務付けています。
- 不明: リモートアクセスで MFA を強制当社の本番システムにリモートアクセスできるのは、有効な多要素認証（MFA）手段を持つ承認済みの従業員のみです。
- 不明: リモートアクセスで暗号化を強制当社の本番システムにリモートアクセスできるのは、承認済みの暗号化接続を使用する承認済みの従業員のみです。
組織のセキュリティ
- 不明: マルウェア対策技術を使用当社は、悪意ある攻撃を受けやすい環境にマルウェア対策技術を導入し、定期的に更新され、ログが記録され、関連するすべてのシステムにインストールされるよう設定しています。
- 不明: 従業員の身元調査を実施当社は、新しい従業員の身元調査を実施しています。
- 不明: 従業員が秘密保持契約に同意当社は、従業員に対し、入社手続きの際に秘密保持契約への署名を求めています。
製品のセキュリティ
- 不明: データ暗号化を使用機密性の高い顧客データを保管する当社のデータストアは、保存時に暗号化されています。
- 不明: 管理策の自己評価を実施当社は少なくとも年に 1 回、管理策の自己評価を実施し、管理策が整備され有効に機能していることを確認しています。関連する検出結果に基づいて是正措置を講じます。検出結果について SLA を約束している場合、是正措置はその SLA の期限内に完了します。
- 不明: ペネトレーションテストを実施当社のペネトレーションテストは少なくとも年に 1 回実施されます。修正計画を策定し、SLA に従って脆弱性を修正するための変更を実施します。
- 不明: 脆弱性とシステム監視の手順を確立当社の正式なポリシーでは、IT／エンジニアリングに関する次の機能の要件を定めています：脆弱性管理、システム監視。
社内のセキュリティ手順
- 不明: サイバーセキュリティ保険に加入当社は、業務の中断による財務上の影響を軽減するため、サイバーセキュリティ保険に加入しています。
- 不明: 構成管理システムを確立当社は、システム構成が環境全体で一貫してデプロイされるよう、構成管理の手順を整備しています。
- 不明: SOC 2 – システムの説明監査報告書のセクション III 向けに、システムの説明を作成する
- 不明: 内部通報ポリシーを確立当社は正式な内部通報ポリシーを定め、ユーザーが潜在的な問題や不正の懸念を報告できる匿名の連絡窓口を設けています。
- 不明: 取締役会への監督報告を実施当社の取締役会または関連する小委員会は、少なくとも年に 1 回、上級経営陣から当社のサイバーセキュリティとプライバシーのリスクの状況について報告を受けます。取締役会は必要に応じて経営陣にフィードバックと指示を与えます。
- 不明: 取締役会規程を文書化当社の取締役会には、内部統制に対する監督責任を定めた規程が文書化されています。
- 不明: 取締役会の専門性を確保当社の取締役は、情報セキュリティ管理策を設計、実装、運用する経営陣の能力を監督するのに十分な専門知識を持っています。取締役会は必要に応じて外部の情報セキュリティ専門家やコンサルタントを起用します。
- 不明: 取締役会を開催当社の取締役会は少なくとも年に 1 回開催され、正式な議事録を保管しています。取締役会には当社から独立した取締役が含まれます。
- 不明: システム変更を社外に通知当社は、顧客の処理に影響する可能性のある重要なシステム変更を顧客に通知します。
- 不明: 役割と責任を明確化情報セキュリティ管理策の設計、開発、実装、運用、保守、監視に関する役割と責任は、職務記述書または役割と責任に関するポリシー、あるいはその両方で正式に割り当てられています。
- 不明: サポート体制を提供当社は、ユーザーが障害、インシデント、懸念事項、その他の苦情に関するシステム情報を適切な担当者に報告できる、社外向けのサポート体制を整えています。
- 不明: システム変更を通知当社は、承認された社内ユーザーにシステム変更を伝えています。
- 不明: アクセス申請を必須化当社は、対象範囲のシステムコンポーネントへのユーザーアクセスが職務上の役割と機能に基づくこと、またはアクセス付与前に文書化されたアクセス申請書とマネージャーの承認を必要とすることを徹底しています。
- 不明: 会社のコミットメントを社外に通知当社のセキュリティに関するコミットメントは、マスターサービス契約（MSA）または利用規約（TOS）で顧客に伝えています。
- 不明: 社外向けサポートリソースを提供当社は、システム運用に関するガイドラインと技術サポートリソースを顧客に提供しています。
- 不明: サービスの説明を周知当社は、自社の製品とサービスの説明を社内外のユーザーに提供しています。
- 不明: リスク評価の目的を明確化当社は、目的に関連するリスクを特定し評価できるよう、その目的を明確にしています。
- 不明: リスク評価を実施当社のリスク評価は少なくとも年に 1 回実施されます。このプロセスの一環として、サービスのコミットメントに対する脅威と変化（環境、規制、技術）を特定し、リスクを正式に評価します。リスク評価では、不正の可能性と、不正が目的の達成に与えうる影響も考慮します。
データとプライバシー
- 不明: 解約時に顧客データを削除顧客がサービスを解約した際、当社はベストプラクティスに従い、機密情報を含む顧客データをアプリケーション環境から消去または削除します。
レポート
サブプロセッサー
データ
Hacktron は顧客の個人識別情報、クレジットカード情報を収集します。 個人の健康情報は収集しません。