ジンジャーアップ クラウドセキュリティ ホワイトペーパー 1.3版
目次
1. はじめに
2. 情報セキュリティの役割および責任
3. データの保管場所
4. データの削除
5. 装置の処分又は再利用
6. データの暗号化
7. データのバックアップ
8. ログ
9. eLMZが提供するセキュリティ機能
9-1. 情報のラベル付け
9-2. 利用者登録および削除
9-3. アクセス権の管理
9-4. パスワードの管理
9-5.特権的アクセス権の提供
10. 開発におけるセキュリティ
11. 脆弱性の管理
12. サービス変更の管理
13. 情報セキュリティ事象およびインシデント発生時の対応
14. データの保護および第三者への提供
15. 外部クラウドサービスの利用
16. 認証17. 法的順守
・この資料に関するお問合せ
・改訂履歴

1. はじめに
当ホワイトペーパーの目的
株式会社ジンジャーアップが提供するe-learningシステム「eラーニング マネージャーZ (ASP版)」に関して、セキュリティ上の取り組みを明確にし、お客様に安全にご利用いただくための文書として作成しています。

適用範囲について「eラーニング マネージャーZ (ASP版)」(以下eLMZ)が適用範囲となります。

2. 情報セキュリティの役割および責任
ジンジャーアップの責任株式会社ジンジャーアップは、下記のセキュリティ対策を実施します。
eLMZ アプリケーションのセキュリティ対策
eLMZ アプリケーションに保管されたお客様データの保護
eLMZ アプリケーションの提供に利用するミドルウェア、OS、その他インフラのセキュリティ対策

お客様の責任
お客様には、下記のセキュリティ対策を実施いただく必要があります。
各利用者に付与されたパスワードの適切な管理
eLMZ アカウントの適切な管理（登録、削除、権限設定、組織管理者設定など）

3. データの保管場所
お客様からお預かりしたデータは、「クララオンライン 東京データセンター」(東京23区内)に保管されます。

4. データの削除
eLMZ 利用に関する契約が終了した場合、契約終了から 1 か月以内に、お客様からお預かりしたデータは完全に消去されます。
メール送信記録をはじめとした通信記録や操作履歴などのログは適切なアクセス権のもとで保管されます。

5. 装置の処分又は再利用
故障などにより交換となった記憶媒体の処理については、セキュリティを保った処分又は再利用を適切に行います。
セキュリティを保った処分又は再利用についてはクララオンラインの以下の基準に準じます。
サーバーの解約時にはハードディスクの内容を破砕処理によって消去いたします。
ハードウェア故障により破棄が発生した場合は、破砕処理を行います。

6. データの暗号化
ジンジャーアップでは「電子政府推奨暗号リスト」に準拠する暗号化技術を採用しています。
データベースに保管されるお客様の各種情報（氏名、メールアドレス、各機能で利用するデータなど）は、暗号化されずに、適切なアクセス権のもとで保管されます。
ただし、パスワードは、不可逆暗号化（ハッシュ化）された状態で、データベースに保管されます。
お客様の端末と、システムとの間のインターネット通信は、SSL 通信（公開鍵・共通鍵方式）によって暗号化されます。

7. データのバックアップ
データベースに保管されるお客様の各種情報（氏名、メールアドレス、各機能で利用するデータなど）は、デイリーでバックアップを取得しています。バックアップは、7 世代分保管されます。
ただし、お客様によるバックアップデータの復元等に関するご要望は承っておりません。

8. ログ
クロック
eLMZ のサービス内で提供されるログは、タイムゾーン JST(UTC+9)で提供されます。
centOSのデフォルト機能から、Chronyにて同期しています。

提供
eLMZ にイベントログの取得機能はありませんが、お客様からのお申し出により提供可能です。

9. eLMZが提供するセキュリティ機能
eLMZの操作マニュアルは、下記リンク先より閲覧することが可能です。

オンラインマニュアル
https://gingerapp.co.jp/manuals/

9-1. 情報のラベル付け
お客様は、ユーザやコースを自由にグループ分けすることができます。
ユーザーをグループ分けすることにより、グループ毎に受講内容を設定することが可能です。

オンライン管理者マニュアル 「16. ユーザーをグループで管理する」参照
https://www.gingerapp.co.jp/assets/pdf/admin_manual.pdf#page=244

コースをグループ分けすることにより、複数のコースを整理・分類することが可能です。

オンライン管理者マニュアル「8. コースを登録する」参照

https://www.gingerapp.co.jp/assets/pdf/admin_manual.pdf#page=41

9-2. 利用者登録および削除
お客様は、契約の範囲内において、自由にユーザーの登録・削除を行うことが可能です。

オンライン管理者マニュアル 「14. ユーザーを登録する」参照
https://www.gingerapp.co.jp/assets/pdf/admin_manual.pdf#page=208

9-3. アクセス権の管理
ユーザには、受講者と管理者があります。
管理者には、大きく分けて「システム管理者」と「管理者」の2種類があります。
システム管理者は、全管理機能を利用することが可能です。
一般の管理者に対しては、権限レベルを自由に付与することが可能です。

オンライン管理者マニュアル 「15. 管理者を登録する」参照
https://www.gingerapp.co.jp/assets/pdf/admin_manual.pdf#page=223

受講者に対して、ジンジャーアップから提供する権限を自由に付与することが可能です。

オンライン管理者マニュアル 「14. ユーザーを登録する」参照
https://www.gingerapp.co.jp/assets/pdf/admin_manual.pdf#page=208

9-4. パスワードの管理新規ユーザーを追加する際、管理者側から初期パスワードを設定いたします。
パスワードは大小英文字、数字を交えた8文字以上かつ、ログインIDと異なるものです。
ユーザーはパスワードを忘れた場合、自らパスワードの再設定を行うことが可能です。

オンライン管理者マニュアル 「4. ログイン」参照 (パスワードヘルパー)
https://www.gingerapp.co.jp/assets/pdf/admin_manual.pdf#page=19

9-5.特権的アクセス権の提供
基本機能であるパスワード認証と併せて、IPアドレスによる接続制限が可能です。（多要素認証）

10. 開発におけるセキュリティ
ジンジャーアップのシステム開発は、主にIPA（情報処理推進機構）発行「安全なウェブサイトの作り方」、および社内で定められたコーディングルールに従って実施します。

11. 脆弱性の管理
eLMZ 開発チームは、システムで利用している OS、ミドルウェア等に関する脆弱性情報を定期的に収集しています。
システムで利用しているコンポーネントに対する脆弱性パッチが公開された場合は、テスト環境での検証を経た後、速やかに適用されます。

12. サービス変更の管理
eLMZ のバージョンアップに伴うメンテナンスが発生する場合、メールにてご連絡いたします。
サービスの変更点に関する詳細は、HPにリリースノートを掲載しております。

13. 情報セキュリティ事象およびインシデント発生時の対応
お客様に大きな影響を与えるセキュリティインシデント（データの消失、長時間のシステム停止等）が発生した場合、インシデント発生から48時間以内を目標に、eLMZ 利用契約時にご提供いただいたご担当者へ、メールもしくは電話にて連絡いたします。
情報セキュリティインシデントに関するお問合せは、本セキュリティホワイトペーパー末尾に記載した窓口より受け付けております。
情報セキュリティ事象に関しては、HP上に掲載いたします。

14. データの保護および第三者への提供
お客様からお預かりしたデータを適切に保護することは、ジンジャーアップの責任です。ログを含むお客様のデータは、不正なアクセスや改ざんを防ぐため、弊社クラウド担当者しかアクセスできない、限られたアクセス権のもとで保管されます。
ただし、裁判所からの証拠提出命令など、法的に認められた形でお客様のデータ提供を要請された場合、ジンジャーアップはお客様の許可なく、必要最小限の範囲で外部に提供する可能性があります。

15. 外部クラウドサービスの利用

ジンジャーアップでは、インフラ構築および運用のために、外部のクラウドサービスを利用しています。
運営会社：株式会社クララオンライン
クラウドサービス：Clara Cloud

16. 認証ジンジャーアップは、BSI グループジャパン株式会社による審査を受け、ISO/IEC 27001およびISO/IEC 27017の認証を取得しています。
ISO/IEC 27001 認証登録番号：IS 689109
ISO/IEC 27017 認証登録番号：CLOUD 752166

内部監査結果について開示をご希望の場合は、本セキュリティホワイトペーパー末尾に記載した窓口より受け付けております。

17.法的順守
ジンジャーアップでは、適用法令に関する台帳を作成しております。
法的順守の状況について開示をご希望の場合は、本セキュリティホワイトペーパー末尾に記載した窓口より受け付けております。

お問合せ
株式会社ジンジャーアップ
電話：03-6659-2448（代表）※受付時間：10:00～17:00（水、土、日、祝日を除く）

e-mail：info@gingerapp.co.jp
下記フォームからもお問い合わせいただけます。
https://gingerapp.co.jp/contact.php

改訂履歴版

改訂日

改訂内容

1.0

2021/07/20

1.1

2021/10/041.2

2022/06/09

ISO27017認証についての記載を変更

1.3

2023/12/01

5.装置の処分又は再利用

初版発行
データの暗号化、多要素認証、サービス変更の管理、情報セキュリティ
事象およびインシデント発生時の対応、法的順守についての記載を変更を追加