法人GAIセキュリティホワイトペーパー
株式会社ギブリー
2024/06/17 初版
2024/06/25 改訂

内容
1.

目的...................................................................... 3

2.

情報セキュリティの取り組み ................................................ 3

2-1情報セキュリティのための方針群 ............................................ 3
2-2情報セキュリティの役割及び責任（クラウドコンピューティング環境における役割及び責任の共有及び分担）........................................................ 3
2-3関係当局との連絡 .......................................................... 4
2-4クラウドコンピューティング環境における役割及び責任の共有及び分担 .......... 4
2-5情報セキュリティの意識向上、教育及び訓練 .................................. 4
2-6資産目録 .................................................................. 5
2-7クラウドサービスカスタマの資産の除去 ...................................... 5
2-8情報のラベル付け .......................................................... 52-9利用者登録及び登録削除 .................................................... 52-10利用者アクセスの提供..................................................... 52-11特権的アクセス権の管理................................................... 62-12利用者の秘密認証情報の管理 ............................................... 62-13情報へのアクセス制限..................................................... 62-14特権的なユーティリティプログラムの使用 ................................... 62-15仮想コンピューティング環境における分離 ................................... 62-16仮想マシンの要塞化....................................................... 62-17暗号による管理策の利用方針 ............................................... 72-18装置のセキュリティを保った処分又は再利用 ................................. 72-19変更管理................................................................. 7法人GAIセキュリティホワイトペーパー

株式会社ギブリー

2-20容量・能力の管理......................................................... 72-21実務管理者の運用のセキュリティ ........................................... 72-22情報のバックアップ....................................................... 72-23イベントログ取得......................................................... 82-24実務管理者及び運用担当者の作業ログ ....................................... 82-25クロックの同期........................................................... 82-26クラウドサービスの監視................................................... 82-27技術的ぜい弱性の管理..................................................... 82-28ネットワークの分離....................................................... 92-29仮想及び物理ネットワークのセキュリティ管理の整合 ......................... 92-30情報セキュリティ要求事項の分析及び仕様化 ................................. 92-31セキュリティに配慮した開発のための方針 ................................... 92-32供給者との合意におけるセキュリティの取扱い ............................... 92-33 ICTサプライチェーン ................................................... 102-34責任及び手順............................................................ 102-35情報セキュリティ事象の報告 .............................................. 102-36証拠の収集.............................................................. 102-37適用法令及び契約上の要求事項の特定 ...................................... 102-38知的財産権.............................................................. 112-39記録の保護.............................................................. 112-40暗号化機能に対する規制.................................................. 112-41情報セキュリティの独立したレビュー ...................................... 113.

各種情報................................................................. 112法人GAIセキュリティホワイトペーパー

株式会社ギブリー

1. 目的
当ホワイトペーパーは、株式会社ギブリー（以下「当社」）が提供するクラウドサービスである法人GAI（以下「本サービス」）に関する情報セキュリティへの取り組みを記載したものです。
記載内容については、クラウドサービスに関する情報セキュリティの国際規格である ISO/IEC 27015:2022において、クラウドサービス事業者が、クラウドサービス利用者に対して、開示もしくは公開を求めている事項に基づき、構成されています。
なお、各項目の末尾に記載されているカッコは、ISO/IEC 27017:2015 の該当する項番を表しています。

2. 情報セキュリティの取り組み
2-1情報セキュリティのための方針群
当社は、当社の定めた情報セキュリティ方針（https://givery.co.jp/informationsecurity/）、並びにクラウドサービス情報セキュリティポリシーを以下とし、サービス運営を行います。

2-2情報セキュリティの役割及び責任（クラウドコンピューティ
ング環境における役割及び責任の共有及び分担）
法人GAIでは、利用規約にて契約やサービス内容を定義し、サービス提供を実施しております。法人GAIは、Microsoft Azure（以下、Azure）を基盤にシステムを構築しており、 情報セキュリティ上の役割及び責任については、下記の責任共有モデルに基づくものとします。
また、サービスの利用契約が終了した場合、本サービス内に保管されているデータは、９０日以内に削除します。

3

法人GAIセキュリティホワイトペーパー

株式会社ギブリー

責任共有モデル

2-3関係当局との連絡
本サービスを運営する株式会社ギブリーは日本の法人であり、本店所在地は東京です。
本サービスの主たるデータは、日本国内のデータセンターに保管しています。

2-4クラウドコンピューティング環境における役割及び責任の共有及び分担
本サービスは、サービスの提供環境における役割及び責任について利用規約に定め、サービスを提供します。

2-5情報セキュリティの意識向上、教育及び訓練
本サービスでは、サービス運営担当者に対し、当社が定めたセキュリティ教育に加え、クラウドサービス情報セキュリティポリシーに定めた管理事項の運営に必要な教育を実施しています。

4

法人GAIセキュリティホワイトペーパー

株式会社ギブリー

2-6資産目録本サービスでは、お客様の情報資産（お客様が保存されるデータ）と、当社が本サービスを運営するための情報を、明確に分離しています。なお、お客様の情報資産（お客様が保存されるデータ）に関しては、お客様の管理範囲です。

2-7クラウドサービスカスタマの資産の除去サービスの利用契約が終了した場合、サービス内に保管されているデータは、速やかに物理的に削除します。

2-8情報のラベル付け
本サービスでは、以下の機能を提供し、ユーザ様のデータ分類をサポートします。
・スレッドによって情報をラベル付けして管理
使用方法の詳細はサポートサイトをご参照ください。

2-9利用者登録及び登録削除
本サービスは、管理者と一般の登録及び削除機能を提供しております。
登録や削除の手順は、サポートサイトに記載しております。

2-10利用者アクセスの提供
本サービスの 初期アカウントの発行は申込書へ記載されたメールアドレスをIDとして、管理者を発行します。本サービスは、利用者ごとの権限設定によるアクセス制御機能について、利用者登録、変更の機能を提供しております。

5

法人GAIセキュリティホワイトペーパー

株式会社ギブリー

2-11特権的アクセス権の管理
本サービスでは、SSOをはじめとした、お客様のセキュリティに配慮した認証技術を提供しています。

2-12利用者の秘密認証情報の管理
本サービスは、管理者ID、一般IIDの登録やパスワード変更、再発行方法につきましては、サポートサイトに記載しております。

2-13情報へのアクセス制限
本サービスは、管理権限と一般権限によって、機能制限を行うことができます。

2-14特権的なユーティリティプログラムの使用
本サービスでは、セキュリティ手順を回避し各種サービス機能の利用を可能とするユーティリティプログラムの提供は行っておりません。

2-15仮想コンピューティング環境における分離
本サービスでは、アプリケーションの機能によって、各お客様の情報が論理的に分離されており、セキュリティ影響がないよう設計されています。

2-16仮想マシンの要塞化
お客様が利用するサービスの提供に用いる仮想環境は、IP/プロトコル/ポートへのアクセス制限などを実施しています。

6

法人GAIセキュリティホワイトペーパー

株式会社ギブリー

2-17暗号による管理策の利用方針
本サービスのご利用において保存されるデータは、「AES-256」で暗号化され保管されます。 お客様の利用するサイトではSSL/TLSによる通信の暗号化を使用しています。

2-18装置のセキュリティを保った処分又は再利用
本サービスは、サービスの提供に関連する機材の故障などにより交換した記憶媒体の再利用、廃棄に際し、適切なプロセスでデータの削除や設備の破壊を行います。

2-19変更管理
本サービスは、サービスの仕様変更については、サポートサイトにて情報を提供しております。

2-20容量・能力の管理
本サービスでは、安定的にサービスを提供するため、日々の稼働監視を実施しています。 監視・分析の結果、必要と判断された場合、適切なタイミングにてシステムメンテナンスを実施します。

2-21実務管理者の運用のセキュリティ
本サービスでは、サービスの利用に必要な操作手順を、サポートサイトとして提供しています。

2-22情報のバックアップ
本サービスでは、サービスの提供に用いる仮想マシンのバックアップを、日次で7世代を取得/保持しています。
7

法人GAIセキュリティホワイトペーパー

株式会社ギブリー

2-23イベントログ取得
本サービスでは、サービスの維持管理に必要となる適切なログを取得しています。
また、管理権限を有している利用者へエンドユーザーのサービス利用に関わるログの確認機能を提供しています。

2-24実務管理者及び運用担当者の作業ログ
本サービスでは、サービスの提供に関わる作業及び結果を記録し、レビューを実施しています。

2-25クロックの同期
本サービスでは、サービス提供に必要なシステムのクロック同期を、NTPなどの技術を用いて実施しています。

2-26クラウドサービスの監視
本サービスでは、サービスの提供に必要なシステムおよびログの監視を行っています。 また、エンドユーザーの利用できるサービスを確認する機能を提供しています。

2-27技術的ぜい弱性の管理
本サービスでは、ぜい弱性情報を収集し、収集した情報を元にサービスへの影響を評価し、当社の責任範囲において影響がある場合には、速やかに対応します。

8

法人GAIセキュリティホワイトペーパー

株式会社ギブリー

2-28ネットワークの分離
本サービスでは、サービス運営で必要となるネットワークに関して、自社とサービス間のネットワークを分離しています。

2-29仮想及び物理ネットワークのセキュリティ管理の整合
本サービスでは、Azureの機能を利用して、下記の点に従って設計しています。
・機密情報および社外秘情報が通過するネットワークの通信経路は暗号化する。
・インターネットを利用するシステムを構築または利用する場合、インターネットにおける通信は暗号化する。

2-30情報セキュリティ要求事項の分析及び仕様化
本サービスでは、監視機能やWAF、本ホワイトペーパーに記載している暗号化等の各種対策を提供しています。

2-31セキュリティに配慮した開発のための方針
本サービスは、当社にて定めた規約に則ったセキュリティに配慮した開発を行っています。
また、開発を外部に委託する際も、これに準じた契約のもと開発が行われます。

2-32供給者との合意におけるセキュリティの取扱い
本サービスは、サービスの提供環境における役割及び責任について利用規約に定め、サービスを提供します。 本サービスの責任分界点については、「情報セキュリティの役割及び責任」をご確認ください。

9

法人GAIセキュリティホワイトペーパー

株式会社ギブリー

2-33 ICTサプライチェーン
本サービスでは、ピアクラウドサービスプロバイダに対して当社の情報セキュリティ方針を示し、それを達成するためのリスクマネジメント活動の実施を要求するよう定めています。

2-34責任及び手順
本サービスは、当社が確認したセキュリティインシデントがお客様に重大な影響を及ぼす場合、確認より24時間以内を目標にお客様管理者様へメールにて通知を行います。 情報セキュリティインシデントに関する問合せは、お問い合わせ窓口でお受けいたします。

2-35情報セキュリティ事象の報告
情報セキュリティ事故が発⽣した場合には、メールなどにて速やかに報告いたします。また、お客様からの事象報告はお問い合わせ窓口にて受け付けております。

2-36証拠の収集
本サービスのご利用に関して、お客様責任範囲における情報セキュリティインシデントに関するログなどの証拠の収集はお客様にてご実施いただく範囲となります。
弊社責任範囲でのログなどの証拠が必要な場合は、お客様の要望に応じて個別に対応しております。都度、ご相談ください。
また、法令に基づき権限を有する公的機関から適法な手続により、開示または提供の要請があった場合は、クラウドサービスカスタマへの通知および同意を経ることなく、当該機関に情報を開示することについて合意いただく必要があります。

2-37適用法令及び契約上の要求事項の特定本サービスのご利用に関して、適用される準拠法は日本国の法令です。

10

法人GAIセキュリティホワイトペーパー

株式会社ギブリー

2-38知的財産権
本サービスをご利用いただく上での知的財産権に関わるご相談は、当社までお問い合わせください。

2-39記録の保護
本サービスは、クラウドサービスカスタマのログの保護や廃棄については、重要な記録の区分をするとともに、管理基準を定め、適切に管理しております。

2-40暗号化機能に対する規制
本サービスはSSL/TLSの暗号化を使用しております。なお、輸出規制の対象となる暗号化の利用はありません。

2-41情報セキュリティの独立したレビュー
当社は、ISO/IEC 27001とISO/IEC 27017について第三者による審査を受け、認証の取得状況を当社ウェブサイトで公開しています。

3. 各種情報
サポートサイトのURLは下記の通りです。また、サポートサイトにアカウント登録の上、上部メニューの「リクエストを送信」から問い合わせ内容を送信することができます。
https://support-hojingai.zendesk.com/hc/ja11