セキュリティガイドライン
Security Guideline
1．前提
- 1-1
- 「ほすぴタッチ」アカウント所有者が利用します。
- 1-2
- 「ほすぴタッチ」は、シーライヴ株式会社が運用しています。
- 1-3
- 「ほすぴタッチ」は、クラウド運用のSaaSサービスです。
- 1-4
- 「ほすぴタッチ」は、法令等による業務を行うために、国等が提供するシステムではありません。
- 1-5
- 「ほすぴタッチ」は、ISMAPに該当するサービスではありません。
2．アプリケーション保護
- 2-1
- 定期的及び緊急のセキュリティパッチは毎月定期的にアップデートします。緊急時は都度適用を行います。このとき、本番運用の停止は原則行いません。
- 2-2
- 情報資産の暗号化を行っています（AWS Key Management Service）。
- 2-3
- AWS WAFによる保護を行っています。
- 2-4
- アンチウイルス対策（ウイルス対策ソフト等）を導入しています。
3．通信の保護
- 3-1
- https通信による通信の暗号化を行っています。
- 3-2
- ポート制御や接続プロトコルの制御をファイアウォール等により実施しています。
4．データの保護
- 4-1
- データの保存先は国内サーバで行っています。
- 4-2
- 24時間毎にデータのバックアップを行っています。
- 4-3
- データ削除時にNIST 800-88ポリシーに準拠して安全に削除しています。
5．ログの管理
- 5-1
- システムの利用者を特定するため、1ユーザー1アカウントとなっており、ユーザの特定ができます。
- 5-2
- インシデント発生時に原因や影響範囲を特定するために、必要なログの取得を行っています（Amazon CloudWatch）。
- 5-3
- 個人情報がある場合、「個人情報を記録したシステムにおける端末機によるデータの更新、検索等の操作の記録に関する要綱（アクセスログ要綱）」の対応を行っています（Amazon CloudWatch）。
6．認証について
- 6-1
- システム管理者に対して多要素認証を導入しています（Google Authenticator）。
- 6-2
- 一般利用者に対しても多要素認証を導入しています（Google Authenticator）。
7．運用について
- 7-1
- メールアドレス・電話番号・Teamsチャットを公開し、ユーザとの連絡体制を構築しています。
- 7-2
- 原則としてシステムの緊急停止は行っていません。万一行う場合は、事前に利用者に通達します。天変地異や大規模障害時はこの限りではありません。
- 7-3
- 業務上必要な最小限の権限のみを付与する運用が行われています。
8．生成AIについて
- 8-1
- 生成AIを必要最小限に絞って利用しています。
- 8-2
- 入力した情報が生成AIの学習に利用されないように、保護される仕組みになっています。