ソラコム セキュリティチェックシート

ソラコム セキュリティチェックシート
本チェックシートの項目は、総務省の「クラウドサービスの安全・信頼性に係る情報開示指針」を基に一部追加変更削除を加えた上で、当社並びに当社が提供するサービスについてセキュリティ対策を記載したものです。
・総務省： クラウドサービスの安全・信頼性に係る情報開示指針 https://www.soumu.go.jp/main_content/000475596.pdf
本チェックシートは運用や改善のために予告なく変更することがあります。
情報開示項目
1 開示情報の時点

情報開示項目詳細

ソラコム回答

開示情報の日付

2021年1月20日

事業者名

事業者の正式名称(商号): 株式会社ソラコム

情報セキュリティに関する組
情報セキュリティに関する責任者の有無
織体制の状況

有り

事業所・事業
2 事業所等の概要
コンプライアンス
3

4

情報セキュリティに関する組織体制の有無
組織体制

5

有り
情報セキュリティに関する取 情報セキュリティに関する基本方針を策定し、セキュリティポリシーとして公開されています
組み
その方針の公表有無
https://soracom.jp/share/security_policy/

6

従業員の教育情報セキュリティに関する従業員の役割及び責有り
任について、全従業員を対象に教育訓練実施の定期的に教育訓練を実施しています有無

7 ファシリティ

入退出管理

個人が特定可能な認証により社員を識別し、社 有り
員以外の入退出管理有無
オフィスへの入館はセキュリティーカードを使用し記録しています

8 個人情報

個人情報の取り扱い

個人情報の取扱いに関する規程等の有無と、「有り」の場合は記載箇所

お客様の個人情報に関する取り扱いについて、プライバシーポリシーに基づいて管理しています
https://soracom.jp/share/privacy/

9

守秘義務契約守秘義務に係る契約又は条項の有無

就業規則などに規定・制定済みです

10

守秘義務

11 準拠法© 2022 SORACOM, INC.

有り
情報セキュリティに関する体制は規定されており、社内に周知されています

守秘義務違反があった場合のペナルティ条項の就業規則などに規定・制定済みです
有無
採用している準拠法

約款に記載しています
https://www.soracom.jp/share/terms/

1

ソラコム セキュリティチェックシート
情報開示項目

情報開示項目

詳細ソラコム回答

サービス基本特性
12

サービス開始時期

2015年9月30日

13

本サービスの内容・特徴

https://soracom.jp/services/

14

サービス連携の有無とその内容有り
SORACOM APIを利用して連携を実現いただけます15

サービスとのネットワーク接続方式

セルラー通信、インターネット接続、VPN接続、専用線接続となります16

サービス提供時期

24時間365日

17

提供するインターフェース

Web コンソールおよびAPIを提供しています

18

データ取得

利用者によるデータ出力機能の有無

API・Web コンソールにてお客様のデータをエクスポート可能です

カスタマイズ

カスタマイズ可能範囲

Web コンソールおよびAPIを利用して、通信先設定などの変更が可能です。また可視化サービスは自由に画面レイアウトなどを変更できます

サービス内容19

本サービスを利用する際における既存システム システム構築前の支援として、ソリューションアーキテクトによるシステからの移行支援の有無（契約内容に依存する場 ム構築の相談がございます。
合はその旨記述）
また、インテグレーションパートナー様ご紹介による移行支援が可能です

20

移行支援
21

その他支援

22 サービスの変更・終了

契約の終了© 2022 SORACOM, INC.

当社は、技術上及び業務の遂行上やむを得ない場合は、SORACOM Airサービス及びこれに付帯するサービスの全部又は一部を廃止することがあります。この場合、遅滞なくお客様にお知らせいたします

告知時期

23
情報の返却・削除・廃棄

システム構築前の支援として、ソリューションアーキテクトによるシステム構築の相談がございます。またシステム構築時の有償プロフェッショナ
ルサービスの提供があります。そのほかオンラインのドキュメント類、ハンズオンセミナー、市販の書籍もあります

お客様のデータは、契約終了前にデータ出力機能を用いてエクスポートす契約終了時等の情報資産（利用者データ等）のることが可能です。
返却責任の有無と、受託情報の返還
契約終了後のデータについては、当社が不要と判断した段階で適切に処理方法・ファイル形式・費用等を実施します24

情報の削除又は廃棄方法の開示の可否と、可能 データの削除を行う場合は、AWSの提供するデータ削除に関連するAPIをな場合の条件等用いて実施します

25

削除又は廃棄したことの証明書等の提供

サービスとしては提供しておりません2

ソラコム セキュリティチェックシート
情報開示項目

情報開示項目詳細ソラコム回答

サービス基本特性
サービス稼働設定値

27

認証取得・監査実施

ISMS (ISO/IEC 27001:2013) を取得しています

28

脆弱性診断

マシンイメージ等の脆弱性スキャンを定期的に実施しています。
第三者(外部業者委託)による脆弱性診断の定期実施をしています29

バックアップ対策

30

利用者データのバックアップ実施インターバル 日次
世代バックアップ（何世代前までかを記述）

全てのバックアップを1年以上保管しています

サービスが停止しない仕組み（冗長化、負荷分 インフラにAWSを利用し、冗長化・負荷分散によりSPOFが生じない構成
散等）にしています31

32

サービス稼働に関する情報開示

サービスステータスダッシュボードに記載しています
https://status.soracom.com/

26

サービス品質サービス継続DR（ディザスターリカバリー）対策の有無と、「有り」の場合はその概要

有り
システムは複数のデータセンター間にまたがって構成されており、特定箇所で災害発生時でもシステム稼働が可能です。データに関しては３箇所以上の拠点にまたがってレプリケーションされています

33

SLA

無線区間についてSLA/SLOが設定されていないため、通信サービス全体でのSLA/SLO設定はありません34

サービスレベル維持するための体制有り
システム監視やパフォーマンス監視を行っており、問題点はチームへ適宜通知されます35

目標復旧時間(RTO)

特段RTOの設定はありません。システム冗長化を基本としており、サーバ障害などは自動復旧が行われます

36

目標復旧時点(RPO)

24時間(データのバックアップ間隔が24時間のため）

37

死活監視

有り
対象: 仮想サーバの死活監視、OS監視、性能情報収集（CPU/メモリ、ストレージI/O）、各通信プランのリソース監視

38

時刻同期

有り
NTPを利用して時刻同期を実施

39

ウイルス対策有り
サービス運用者が利用する端末にウイルス対策ソフトを導入し、OS含め常に最新の状態にしています

40

管理者権限の運用管理

アプリケーション

セキュリティ

© 2022 SORACOM, INC.

有り
システム運用部門の管理者権限の登録・登録削
社内規定に従って一時的な管理者権限付与・作業終了後に権限削除を行っ除の手順の有無ています3

ソラコム セキュリティチェックシート
情報開示項目

情報開示項目

詳細ソラコム回答

アプリケーション
41

事業者側にて、利用者のID・PWを付与する場
ソラコムよりお客様に ID・PWを発行・付与することはしておりません。
合におけるIDやパスワードの運用管理方法の規
お客様のID/PWの発行・管理は、お客様の管理責任となります
程の状況

42

パスワード保存方法(暗号化・ハッシュ化されているか)ID ・パスワードの運用管理

43

パスワード設定ルールの強度は担保されているか。十分な桁数、使用文字列制限、定期的な変 桁数：８桁以上100桁まで更要求などにより、推測されやすいパスワード 文字種：英数大文字小文字それぞれ最低１文字含む
OTPを利用した多要素認証をご利用いただけますを許さない設定となっている

44

管理者以外のユーザがID 新規登録、変更、削除を行うことを制限できるか

45

作成したユーザごとに適切なアクセス権を設定
アクセス管理機能(SAM)を利用することで制御可能です
できるか

アクセス制御アクセス管理機能(SAM)を利用することで制御可能です

第三者はアクセルできません。
第三者がリソースにアクセスできる可能性はあSIM や SORACOM Harvest のデータなどは外部からアクセスできないよ
るか
うに制限されています46
セキュリティ

47

記録(ログ等)© 2022 SORACOM, INC.

パスワードはハッシュ化されて保存されています

インターネットからのアクセス(APIアクセス)に関して全てアクセスログを記録。
利用者の利用状況の記録（ログ等）取得の状況
お客様は管理ユーザー毎のログインもしくはAPI経由で認証を試みた履歴と、その保存期間及び利用者への提供可否を過去24時間にさかのぼって照会することが可能です
保存期間: 1年以上

48

システム運用に関するログの取得の有無と、「有り」の場合は保存期間有り
1年以上保管しています49

ログの改ざん防止措置の有無有り
バックアップの変更記録・改竄防止/アクセス制限/暗号化を実施しています

50

脆弱性情報は日々確認し、緊急適用の必要がある脆弱性に対するパッチは随時適用する仕組みを構築・運用しています。
パッチ管理の状況とパッチ更新間隔等、パッチ基本的には本番環境の稼動に影響を与えずに随時適用可能です。安定稼働
適用方針の許す限りセキュリティ修正プログラムの提供が行われるバージョンへアップデートを行っています

セキュリティパッチ管理4

ソラコム セキュリティチェックシート
情報開示項目

情報開示項目詳細

ソラコム回答アプリケーション
51

暗号化対策

暗号化措置（データベース）への対応の有無と、「有り」の場合はその概要

暗号化を有効にしています

52 セキュリティ

その他セキュリティ対策

その他、特筆すべきセキュリティ対策を記述（情報漏えい対策等）

AWSの提供するセキュリティ機能（DDoS対策、異常ログ検知など）を有効にしています53

インシデント対応

緊急対応の体制が整備されているか

対応基準と体制を定め、ISMS に基づくセキュリティインシデント管理手順を整備しています54

ファイアウォール

ファイアウォール設置等の不正アクセスを防止 有りする措置の有無55

不正侵入検知不正パケット、非権限者による不正なサーバ侵 有り入に対する検知等の有無と、「有り」のIDS を導入しています。また不正なAPIコールを検知する仕組みを導入し場合は対応方法ています

56

ネットワーク監視事業者とエンドユーザとの間のネットワーク（専用線等）において障害が発生した際の通報時間

57

ユーザ認証

ユーザ（利用者）のアクセスを管理するための多要素認証をご利用いただけます
認証方法、特定の場所及び装置からの接続を認証する方法等

58

暗号化対策

暗号化措置（ネットワーク）への対応の有無と、「有り」の場合はその概要

59

セルラー通信区間の安全性

通信基地局から弊社通信コアまでの区間は、日本ではNTTドコモ/KDDI、日本以外ではテレコムオペレーターのローミングネットワークにより安全性を担保しています。またSIMから通信基地局までの無線区間は国際的な通信標準3GPPに基づき暗号化されております60

SIM カード

国際規格に適合したセキュアモジュールとして開発されており、耐タンパー性を備えたICカード (UICC) として作られています

61

その他セキュリティ対策

その他、特筆すべきセキュリティ対策を記述（情報漏えい対策等）

DDoS対策を導入しています。
不要なポートやサービスは無効にしています

62

建物形態

データセンター専用建物か否か

AWSの提供するホワイトペーパーに記載があります

63

所在地

国名、日本の場合は地域ブロック名

日本国内(関東)、米国、ドイツ

ネットワーク

セキュリティ

インシデント検知後、運用ポリシーに従ってステータスダッシュボードを更新します有り
セルラー通信区間、IP通信区間それぞれにおいて、適切な暗号化を行っています

ハウジング（サーバ設置場所)

64

施設建築物

65

耐震数値

AWSの提供するホワイトペーパーに記載があります

66

免震構造や制振構造の有無

AWSの提供するホワイトペーパーに記載があります

67

災害対策機能AWSの提供するホワイトペーパーに記載があります

68

無停電電源

無停電電源装置（UPS）の有無と、「有り」のAWSの提供するホワイトペーパーに記載があります
場合は電力供給時間

69 非常用電源設備

給電ルート

異なる変電所を経由した給電ルート（系統）でAWSの提供するホワイトペーパーに記載があります
２ルート以上が確保されているか否か（自家発電機、UPSを除く）

70

非常用電源

非常用電源（自家発電機）の有無と、「有り」AWSの提供するホワイトペーパーに記載がありますの場合は連続稼働時間の数値

サーバールーム内消化設備

自動消火設備の有無と、「有り」の場合はガス
AWSの提供するホワイトペーパーに記載があります
系消火設備か否か

火災感知、報知システム

火災検知システムの有無

7172© 2022 SORACOM, INC.

特筆すべき立地上の優位性があれば記述（例：AWSの提供するホワイトペーパーに記載があります
標高、地盤等）
耐震・免責構造

消化設備

AWSの提供するホワイトペーパーに記載があります5ソラコム セキュリティチェックシート
情報開示項目

情報開示項目詳細

ソラコム回答ハウジング（サーバ設置場所)
71

入退室管理等72
73

セキュリティ

74

媒体の保管

75

有り
入退室記録の有無と、「有り」の場合はその保入退出時に施設管理者および生体認証
存期間
保存期間: 1年以上
監視カメラの有無有り

個人認証システムの有無有り
事前の入館申請、受付による本人確認

紙、磁気テープ、光メディア等の媒体の保管の媒体は利用しない
ための鍵付きキャビネットの有無
保管管理手順書の有無

同上

電話／FAX、Web、電子メール等の連絡先

サービスお問合せ窓口: ログインが必要です。
Web コンソール (ユーザコンソール) →サポート→お問い合わせhttps://soracom.zendesk.com/hc/ja/requests/new

サービスサポート76
連絡先

代理店連絡先の有無と、「有り」の場合は代理なし
店名称、代理店の本店の所在地と連絡先

77

78

サービス窓口（苦情受付・問合せ)

79

サポート問い合わせの受付は24時間365日、日本語・英語でサポートフォームからお受けしています。問い合わせ対応は平日10:00〜18:00の日勤時間に対応いたします。なお、通信障害など緊急度の高いものについては、この限りではありません
https://soracom.zendesk.com/hc/ja/articles/217805328

営業日・時間サポート範囲・手段

80

導入に関するお問合せと技術的なご質問や請求に関するお問合せで窓口が異なります。詳細はリンク先をご覧ください

サポート範囲サポート手段(電話、電子メールの返信など)

情報開示項目

情報開示項目

サポートフォームおよび電子メール

詳細

ソラコム回答サービスサポートメンテナンス等の一時的サー 利用者への告知時期（1ヵ月前、3ヵ月前、6ヵ通常、メンテナンス実施日の2週間前までに告知
ビス 停止時の事前告知
月前、12ヵ月前等の単位で記述）

81

82

83

告知方法
サービス通知・報告

84

85
86

利用環境

ステータスダッシュボードにてお知らせします。RSSをご利用いただけます。
https://status.soracom.com/障害・災害発生時の通知

障害発生時通知の有無と、「有り」の場合は通 運用ポリシーに従って、ステータスダッシュボードへ遅滞なく通知しま
知方法及び利用者への通知時間
す。

定期報告

利用者への定期報告の有無（アプリケーショ
有り
ン、サーバ、プラットフォーム、その他機
ステータスダッシュボードで公開
器の監視結果、サービス稼働率、SLAの実施結
Changelog でも製品果等）

推奨端末

パソコン、携帯電話等の端末の種類、OS等

こちらに記載しています

利用するブラウザの種類

同上

参考資料
SORACOM Technology Camp 2020 SORACOM が実現する IoT デバイスとデータのセキュリティ
SORACOM で守る IoT のエンドツーエンド・セキュリティ
SORACOM SIM inside (登壇資料)© 2022 SORACOM, INC.

6