KARTE セキュリティホワイトペーパー

KARTE セキュリティホワイトペーパー
2.5 版

株式会社プレイド

1

KARTE セキュリティホワイトペーパー

1

利⽤者との責任分界点

プレイドの責任プレイドは、以下のセキュリティ対策を実施します。
l

KARTE のセキュリティ対策

l

KARTE に保管されたお客様データの保護l

KARTE の提供に利⽤するインスタンスにおける、ミドルウェア、OS のセキュリティ対策

お客様の責任
お客様は、以下のセキュリティ対策を実施する必要があります。
l

各利⽤者に付与されたパスワードの適切な管理l

KARTE アカウントの適切な管理（登録、削除、管理者権限の付与など）

2

データ保管場所l

お客様からお預かりしたデータは、GCP 台湾リージョン・⽶国リージョン・東京リージョンおよび、AWS 東京リージョンに保管されます。

3

データの削除KARTE 利⽤に関する契約が終了した場合、委託された個⼈情報については、90 ⽇以内に削除します。
また、この場合、委託された個⼈情報以外については、当社が定める相当な期間を経た後に削除できることとします。

4

装置のセキュリティを保った処分⼜は再利⽤

l

KARTE 提供において使⽤されるサーバー、ネットワーク機器等の装置は、全て AWS・GCP が管理しています。装置の処分・再利⽤においては、AWS・GCP のポリシー1に従い、セキュリティを保った処分・再利⽤が⾏われます。

5

容量・能⼒の管理l

KARTE を構成するサーバー、ネットワークのリソースは 24 時間常時監視されており、必要に応じて

1

https://cloud.google.com/security/compliance/csv-guidelines-handbook.pdf

https://d0.awsstatic.com/whitepapers/International/jp/AWS_Risk_Compliance_Whitepaper_Au
g_2015.pdf
2

KARTE セキュリティホワイトペーパー

⾃動的にリソースの追加・削減がなされます。

6

実務管理者の運⽤のセキュリティl

サポートサイト（https://support.karte.io/）をご⽤意しております。
「設定メニュー」内の「組織設定」（https://support.karte.io/docs/menu/organization_settings）などを参照してください。

7

クラウドサービスの監視l

KARTE の稼働状況・正常性については、ステータスページ（http://status.karte.io/）にて確認することができます。
Ø

⽬標通知時間︓プレイドが障害を認識してから 60 分以内

8

セグメント機能l

お客様は、KARTE に送信された⾏動情報およびユーザー情報に含まれるデータから、⾃由に条件を組み合わせてセグメントを作成することができます。詳細については、サポートサイトの「セグメント画⾯」（https://support.karte.io/post/7MpE1mgXpeol2icXMG5L24）などを参照してください。

9

利⽤者登録および削除

l

お客様は、契約の範囲内において、いつでも⾃由にユーザーの追加削除を⾏うことが可能です。
詳細については、サポートサイトの「プロジェクトのアカウントを追加・削除する」（https://support.karte.io/post/2473xT5MjJE8aFoajHbp5S）などを参照してください。

10 アクセス権の管理
l

お客様は、登録したユーザーの権限を、⾃由に切り替えることが出来ます。適切な権限グループを設定することで、閲覧・編集を細かく制御することが可能です。詳細については、サポートサイトの「アカウントの権限設定」（https://support.karte.io/post/6Zm3RpqSvRgN0btvhGDaDl）などを参照
してください。

11 パスワードの配布⽅法l管理者ユーザーが、新規ユーザーを追加したと同時に、新規ユーザーのメールアドレスに、初期パス
3

KARTE セキュリティホワイトペーパー

ワードを登録するための、⼀意の URL を含むメールが送信されます。
新規ユーザーは、その URL にアクセスし、パスワードを⼊⼒・設定することで、サービスの利⽤を開始できます。

12 暗号化の状況
データ
lデータベースに保管される、お客様の各種情報（⽒名、メールアドレス、各機能で利⽤するデータなど）は、GCP および AWS の標準機能により、ディスクレベルでの暗号化が⾏われます。また、パスワードは、不可逆暗号化(ハッシュ化)された状態で、データベースに保管されます。

l

お客様の端末と、システムとの間のインターネット通信は、暗号化通信によって暗号化されます。

ファイルl

接客サービスで利⽤するためにアップロードされた画像ファイルは、GCP および AWS の標準機能により、ディスクレベルでの暗号化が⾏われます。

13 ⼿順書の提供
l

お客様が利⽤できる⼿順書は、サポートサイト（https://support.karte.io/）より閲覧することが可能です。

14 バックアップの状況等
データl

データベースに保管される、イベントデータ、解析データは、⽇次でバックアップを取得しています。
バックアップは、2 世代分保管されます。

l

但し、お客様によるバックアップデータの復元等に関する要望は、承っておりません。

ファイルl

接客サービスで利⽤するためにアップロードされた画像ファイルは、クラウドストレージ内で冗⻑的に格納されます。

15 ログのクロックに関する情報l

KARTE 内で提供されるログは、UTC（世界標準時）で提供されます。
4

KARTE セキュリティホワイトペーパーl

管理画⾯内の表⽰に関しては、全て JST（UTC+9）で提供されます。

l

ログの時間同期には、GCP・AWS 等のクラウドベンダーや、NICT 等の公的機関が提供する、信頼性の⾼い NTP サーバーを使⽤しています。

16 脆弱性管理に関する情報l

KARTE 開発チームは、システムで利⽤している OS、ミドルウェア等に関する脆弱性情報を、定期的に収集しています。

lシステムで利⽤しているコンポーネントに対する脆弱性パッチが公開された場合は、テスト環境での検証を経た後、速やかに適⽤されます。

17 開発におけるセキュリティ情報l

KARTE システムの開発には、主に node.js が⽤いられています。開発は、社内で定められたコーディング規約に従って実施されます。

l

KARTE で利⽤される全てのコードは、本番反映前に⾃動テスト、⼿動テストおよびソースコードレビューを⾏い、これらを通過したもののみが、本番環境へと反映されます。

18 インシデント発⽣時の対応
l

KARTE でのインシデントに関する情報は、下記に記載されていますリンク先からご確認することが可能です。
Øl

http://status.karte.io/

インシデントに関する情報は、当社がインシデントを認識してから 60 分以内に公表することを⽬標とします。

19 お客様データの保護及び第三者提供についてl

お客様から預かったデータを適切に保護することは、プレイドの責任です。ログデータを含むお客様データは、不正なアクセスや改ざんを防ぐため、KARTE 開発チームの⼀部の⼈間しかアクセスできない、限られたアクセス権のもとで保管されます。

l

但し、裁判所からの証拠提出命令など、法的に認められた形でお客様のデータの提供を要請された場
合、プレイドは、お客様の許可なく、必要最⼩限の範囲で、お客様情報を外部に提供する可能性があります。

5

KARTE セキュリティホワイトペーパー

20 適⽤法令l

お客様とプレイドとの間の契約は、⽇本法に基づいて解釈されるものとします。

21 認証
l

プレイドは、JIPDEC が運営する ISMS 適合性評価制度における、ISMS 認証2および、クラウドセキ
ュリティ認証3を取得しています。

22 サービスのバージョンアップ報告についてl

KARTE では、毎⽇細かな仕様変更や改善を繰り返しています。その中で重要なものについては、リリースノート等で通知しています。

lØ

管理画⾯内︓https://admin.karte.io/release_note/Ø

KARTE for App︓https://developers.karte.io/docs/release-notes-ios-sdk-v2

また、仕様変更により、⼤きな影響を受けると考えられる利⽤者には個別に連絡を⾏う場合があります。

改訂履歴版

改訂⽇

改訂内容

1.0

2018/01/01

初版発⾏

2.0

2018/03/09

⼀部項⽬追加2.1

2019/04/15

障害時の⽬標通知時間を追加

2.2

2020/04/11

監視における障害検知時の⽬標通知時間を追加

2.3

2021/3/29

最新の運⽤状況に合わせて⼀部項⽬を更新

2.4

2022/3/16

最新の運⽤状況に合わせて⼀部項⽬を更新

2.5

2024/2/2

最新の運⽤状況に合わせて⼀部項⽬を更新

この資料に関するお問い合わせ株式会社プレイド
KARTE サポート担当
support@plaid.co.jp

2

https://isms.jp/lst/ind/CR_IS_x0020_623929.html

3

https://isms.jp/isms-cls/lst/ind/CR_CLOUD_x0020_688345.html
6