セキュリティ

基本方針とガバナンス

個人情報を含む情報資産を正確かつ安全に取り扱うため、 また、適切なリスク対策により情報セキュリティ水準を継続的に向上させるため、 「情報セキュリティ基本方針」および「個人情報保護方針」を策定しています。

これらの方針に基づき、情報セキュリティマニュアル、個人情報保護規程、 各種業務規程や運用ルールを体系的に整備し、日常業務に組み込んで運用しています。

管理体制・監査

情報セキュリティ管理責任者および個人情報保護管理者を選任し、 それぞれ情報セキュリティと個人情報保護を指揮・監督します。 また、監査責任者を選任し、内部監査において規程類の整備状況・個人情報保護を含むセキュリティ対策の実施状況と有効性を確認しています。

情報資産を台帳に特定し、資産のライフサイクルと業務プロセスを考慮した詳細アプローチによるリスクアセスメントを行っています。

従業員管理と教育

全従業員および役員と機密情報・個人情報に関する非開示契約を締結し、 就業規則において情報セキュリティ違反に対する罰則規定を設けています。

全ての従業員に対して、入社時にセキュリティ・個人情報研修を実施しています。 また、定期研修を年1回以上実施し、 情報セキュリティおよび個人情報保護に関する理解と意識向上を図っています。

クラウド基盤の安全性

可用性・耐障害性を考慮したシステム構成と単一障害点を排除した設計により、 安定したサービス提供を実現しています。

物理的セキュリティ

クラウド基盤が稼働するデータセンターは日本国内に所在し、 物理的な侵入防止や設備保全の観点から、十分なセキュリティ対策が講じられていることを確認しています。

• ICカードや生体認証による入退室管理
• 監視カメラによる常時監視
• 電源・空調の冗長化、不活性ガス消火設備

バックアップ・災害対策

システム構成情報および登録データは日次でバックアップを取得し、 稼働環境とは分離された環境で暗号化（AES-256）して保管しています。

また、インシデント対応規則および事業継続計画（BCP）を整備し、 障害や災害発生時にも迅速な復旧が可能となる体制を構築しています。

アクセス制御と認証

利用者・管理者ごとにIDを発行し、 役割や属性に応じた最小権限のアクセス制御が可能です。 また、次のようなセキュリティ対策が実装されています。

• 強固なパスワードポリシー
• アカウントロックアウト機能
• 多要素認証（MFA）及びパスキーに対応
• 接続元IPアドレス制限

データ保護と暗号化

スマートコアとの通信はTLS1.2以上で常時暗号化、 データベースやバックアップはAES-256で暗号化されます。 なお、お客様のデータは、それぞれ論理的に分離された領域で管理されています。

脆弱性対策・監視

WAF、脅威検知システム等の防御機構を導入し、 不正アクセスや攻撃の検知・防止を行っています。 また、ツールを利用した脆弱性テスト、 第三者機関による脆弱性診断・セキュリティ監査を定期的に実施しています。

ログ管理・運用管理

お客様は、管理者・会員のアクセス履歴、データ変更履歴、名簿ファイルアップロード／ダウンロード履歴などを確認できます。

当社が保守・運用上お客様のデータにアクセスする場合には、 正式な申請・承認プロセスを経たうえで実施し、 作業内容は記録・監査されます。