StoreManager GX クラウドサービス セキュリティホワイトペーパー

1.7 版
2024 年 7 月 16 日
日本総合システム株式会社
東京都文京区後楽 1-7-27

0

対象サービス等
本ホワイトペーパーは、日本総合システム株式会社（以下「NSS」と表記）が提供する以下のサービス（総称して「サービス」と表記します）を対象とします。
・StoreManager GX クラウドサービス（以下「GX クラウド」と表記します）
・StoreManager GX-R クラウドサービス（以下「GX-R クラウド」と表記します）
・Tanawari ぽすとサービス（以下「Tanawari ぽすと」と表記します）
・StoreManagerAI 自動棚割サービス（以下「AI 自動棚割」と表記します）
・ストマネマイページ（以下「マイページ」と表記します）
なお、Tanawari ぽすとのお客様には、サプライヤーのお客様（以下「サプライヤー」と表記します）および小売業のお客様（以下「小売業」と表記します）を含みます。

お客様と NSS の責任分界点

１

NSS の責任
NSS は以下のセキュリティ対策を実施します。
・NSS が提供するサービスへのセキュリティ対策。
・NSS が提供するサービスに保管されたお客様のデータの保護。
・サービスの提供に利用するインフラ、OS、その他ミドルウェアのセキュリティ対策。
お客様の責任
お客様は、以下のセキュリティ対策を実施する必要があります。
・アカウント及びパスワードの適切な管理。
・サービス上で取り扱うデータの適切な管理。

２

データ保管場所

お客様のデータはすべて下記のクラウドサービスプロバイダのデータセンターで処理され、保管されます。
・ 日本国内に設置された Amazon Web Services（以下「AWS」と表記します）。

３

データの削除NSS が提供するサービスは、下記のパターンによりデータ削除を実施します。
サービスタイプ
GX クラウド（シングル）

通常契約
契約終了後 90 日以内に削除します。

契約終了後 90 日以内に削除します。

契約終了後にログイン、データのダウンロードはでき契約終了後にログイン、データのダウンロードはでません。

きません。

契約終了後 90 日以内に削除します。

GX クラウド（マルチ）契約終了後にログイン、データのダウンロードはできません。

GX-R クラウド

トライアル

共有領域を利用したトライアルの為データは削除しません。
契約終了後 90 日以内に削除します。

有償トライアルは 90 日以内に削除します。共有領

契約終了後にログイン、データのダウンロードはでき

域を利用した無償トライアルの場合データは削除ません。

されません。

サプライヤーから小売業に投函したデータは自動的に削除されます。

Tanawari ぽすと

小売業のデータは契約終了後 90 日以内に削除しTanawari ぽすとにトライアルはありません。

ます。契約終了後にログイン、データのダウンロードはできません。

AI 自動棚割
マイページ

４

処理実行時の棚割データ、POS データは自動棚割

処理実行時の棚割データ、POS データは自動棚作成実行後に自動的に削除されます。

割作成実行後に自動的に削除されます。

契約解除したお客様のデータは NSS が定期的に削除します。

なし

ラベル付け機能

NSS が提供するラベル付け機能は以下の通りです。

サービスタイプ

内容

GX クラウド（シングル）
GX クラウド（マルチ）・棚割データをチェーン別、店舗別、売場別に割り当てることができます。
・商品データのカテゴリーはお客様ごとに変更することができます。

GX-R クラウド
Tanawari ぽすと取引先チェーンの店舗別、売り場別に割り当ててアップロードすることができます。

AI 自動棚割

ラベル付け機能はありません。

マイページ

ラベル付け機能はありません。

５

利用者登録

NSS が提供する利用者登録及び削除の機能は以下の通りです。

サービスタイプ
GX クラウド（シングル）

GX クラウド（マルチ）GX-R クラウド

Tanawari ぽすと

AI 自動棚割

内容
お客様の管理者が利用者登録及び利用者の削除を実施することができます。
多要素認証には対応していません。
お客様から申し込み頂いた上で NSS が利用者登録及び利用者の削除を実施します。
多要素認証には対応していません。
お客様から申し込み頂いた上で NSS が利用者登録及び利用者の削除を実施します。
多要素認証には対応していません。
サプライヤーは、小売業からの招待を受けた場合に限りサービスを利用することが可能となります。利用者登録の削除は小売業が実施します。多要素認証には対応していません。
お客様から申し込み頂いた上で NSS が利用者登録及び利用者の削除を実施します。
多要素認証には対応していません。
NSS はお客様から申し込み頂いたライセンス管理者の登録、削除を実施します。お客様はマイページ

ライセンス管理者、問い合わせ担当者、請求書送付先（代理店経由での契約者は除く）を登録することができます。多要素認証には対応していません。

６

アクセス権の管理

NSS が提供するアクセス権は以下の通りです。

サービスタイプ
GX クラウド（シングル）

GX クラウド（マルチ）GX-R クラウド

Tanawari ぽすと

AI 自動棚割

マイページ

内容
シングルテナントのお客様には、管理者と一般ユーザーの 2 種類の権限があります。
お客様の管理者は一般ユーザーに操作権限を付与することができます。
お客様に管理権限は付与していません。
NSS がお客様の ID に対して利用領域および操作権限を設定してお客様に提供します。
お客様に管理権限は付与していません。
NSS がお客様の ID に対して利用領域および操作権限を設定してお客様に提供します。

小売業が管理者権限を保持し、サプライヤーに棚割を投函できる売場を登録します。

お客様に管理権限は付与していません。
NSS がお客様に対してアクセス権を設定します。
お客様に管理権限は付与していません。
NSS がお客様に対してアクセス権を設定します。

７

パスワードの配布と変更

サービスタイプ
GX クラウド（シングル）

内容
お客様の管理者は一般ユーザーの初期パスワード発行および再発行が可能です。
初期パスワード発行後、一般ユーザーはご自身でパスワードを変更することができます。
NSS が初期パスワードを発行します。お客様はご自身でパスワードを変更することができますの

GX クラウド（マルチ）で、初期パスワードはお客様にて必ず変更してください。
お客様がパスワードを紛失した場合は NSS が初期パスワードを再発行します。
NSS が初期パスワードを発行します。お客様はご自身でパスワードを変更することができますの

GX-R クラウド

で、初期パスワードはお客様にて必ず変更してください。
お客様がパスワードを紛失した場合は NSS が初期パスワードを再発行します。

Tanawari ぽすと

AI 自動棚割

初期パスワードはシステムが発行しメールでお客様に通知します。お客様はご自身でパスワードを変更することができますので、初期パスワードはお客様にて必ず変更してください。

パスワードを発行しません。

NSS が初期パスワードを発行します。お客様はご自身でパスワードを変更することができますの

マイページ

で、初期パスワードはお客様にて必ず変更してください。
お客様がパスワードを紛失した場合はマイページから所定の手続きを行ってください。ライセンス
管理者のメールアドレスに仮パスワードを送付します。

８

暗号化の状況

サービスタイプ

内容
保存データ、バックアップデータ共暗号化しない状態でデータベースに保存されます。
利用者情報のパスワードに関しては不可逆暗号化（ハッシュ化）された状態で保存されます。

GX クラウド（シングル）

お客様と GX クラウド間の通信は、SSL/TLS および SSH による暗号化を行っています。「お客様のサーバ」および 「お客様が契約済みの他社サービス」と GX クラウド間でデータ連携するための通信は、SSH により暗号化されています。尚、お客様側クライアントから GX クラウドへの接続は IP ア
ドレスによるアクセス管理を実施しています。
保存データ、バックアップデータ共暗号化しない状態でデータベースに保存されます。

GX クラウド（マルチ）

利用者情報のパスワードに関しては不可逆暗号化（ハッシュ化）された状態で保存されます。

IP フィルタあり

お客様と GX クラウド間の通信は、SSL/TLS および SSH による暗号化を行っています。尚、お客様側クライアントから GX クラウドへの接続は IP アドレスによるアクセス管理を実施しています。

GX クラウド（マルチ）IP フィルタなし

保存データ、バックアップデータ共暗号化しない状態でデータベースに保存されます。
利用者情報のパスワードに関しては不可逆暗号化（ハッシュ化）された状態で保存されます。
お客様と GX クラウド間の通信は、SSL/TLS および SSH による暗号化を行っています。
保存データ、バックアップデータ共暗号化しない状態でデータベースに保存されます。利用者のGX-R クラウド

パスワードに関しては不可逆暗号化（ハッシュ化）された状態で保存されます。お客様と GX クラウド間の通信は、SSL/TLS および SSH による暗号化を行っています。

「お客様のサーバ」および 「お客様が契約済みの他社サービス」と GX-R クラウド間でデータ連携するための通信は、SSH により暗号化されています。尚、お客様側クライアントから GX-R クラウドへの接続は IP アドレスによるアクセス管理を実施しています。
保存データ、バックアップデータ共暗号化しない状態でデータベースに保存されます。

Tanawari ぽすと利用者情報のパスワードに関しては不可逆暗号化（ハッシュ化）された状態で保存されます。
お客様とクラウドサービス間の通信は、SSL/TLS による暗号化を行っています。
小売業の StoreManagerGX-R と Tanawari ぽすと間の通信は、SSH により暗号化されています。
処理実行時の棚割データ及び POS データは暗号化しない状態で一時的に保持します。これらのAI 自動棚割データは、処理完了と同時に削除されます。
お客様とクラウドサービス間の通信は、SSL/TLS による暗号化を行っています。
保存データ、バックアップデータ共暗号された状態でデータベースに保存されます。

マイページ

利用者情報のパスワードに関しては不可逆暗号化（ハッシュ化）された状態で保存されます。
お客様とクラウドサービス間の通信は、SSL/TLS による暗号化を行っています。

９

セキュリティ対策
ＮＳＳは、社内の規定に則りマルウェア対策を含む各種セキュリティ対策を適切に実施しています。

１０

装置のセキュリティを保った処分又は再利用

NSS は AWS が提供する仮想環境上でサービスを構築しており、NSS が直接に処分または再利用を行う資源（装置、データストレージ、メモリ、ファイル）は、保有しておりません。NSS は、AWS が NIST 800-88 に準拠して資源の処分または再利用を適切に実施していることを AWS の文書により確認しています。

１１

変更管理

お客様への影響があるサービスの変更やサービスの停止を伴う保守作業を実施する場合は、登録されたお客様の窓口担当者に対し事前にメールで通知します。

１２

マニュアルの提供

お客様が利用できる各種マニュアルは、下記リンク先にログインしてダウンロード・閲覧することができます。
・StoreManager（https://www.tanawari.jp/hiroba/login.html）
・ストマネマイページ（https://nssys.gigapod.jp/fa83c80a228e13135ae33e0acc1d52dcaf5477b0a）

１３

バックアップの状況

NSS は以下の内容で日次のバックアップを取得しています。

サービスタイプ内容
バックアップは AWS の標準機能又は、AWS Backup により実施しています。
バックアップデータは、サービス全体の復旧を目的としており、一部のデータのみ復旧することはGX クラウド（シングル）できません。
お客様は必要に応じてデータをダウンロードしてください（GX 交換データ形式でダウンロードすることを推奨します）。大規模災害に備えてバックアップを複数リージョンに保持しています。
バックアップは AWS の標準機能又は、AWS Backup により実施しています。
バックアップデータは、サービス全体の復旧を目的としており、個々のお客様領域のデータを個GX クラウド（マルチ）別に復旧することはできません。
お客様は必要に応じてデータをダウンロードしてください（GX 交換データ形式でダウンロードすることを推奨します）。大規模災害に備えてバックアップを複数リージョンに保持しています。
バックアップは AWS の標準機能又は、AWS Backup により実施しています。
バックアップデータは、サービス全体の復旧を目的としており、一部のデータのみ復旧することはGX-R クラウドできません。お客様は必要に応じてデータをダウンロードしてください（GX 交換データ形式でダウンロードすることを推奨します）。大規模災害に備えてバックアップを複数リージョンに保持しています。

Tanawari ぽすと

NSS は、毎日定時にバックアップを実施します。バックアップデータは、サービス全体の復旧を目的としており、個々のお客様データを個別に復旧することはできません。

AI 自動棚割

バックアップの対象となるデータはありません。

マイページ

バックアップは AWS の標準機能又は、AWS Backup により実施しています。

１４．データのダウンロード
お客様は、契約が有効な期間中に限り、お客様が登録した以下のデータをダウンロードする事ができます。

サービスタイプ

内容GX クラウド（シングル）

棚割情報、商品文字情報、商品画像、チェーン・店舗情報、売上情報、分類情報。

GX クラウド（マルチ）

棚割情報、商品文字情報、商品画像、チェーン・店舗情報、売上情報、分類情報。

GX-R クラウド

棚割情報、商品文字情報、チェーン・店舗情報、売上情報、分類情報。

Tanawari ぽすとお客様がダウンロードできるデータはありません。

AI 自動棚割お客様がダウンロードできるデータはありません。

マイページ

お客様がダウンロードできるデータはありません。

１５

ログの取得

NSS は、お客様のアクセスログを含む各種ログを取得しています。取得したログの取り扱いは以下の通りとなります。

サービスタイプ
GX クラウド（シングル）

内容
お客様の管理者は、StoreManager GX のシステムログをご自身で確認することができます。
NSS は StoreManager GX のシステムログを最低 1 年間保持します。
お客様は、StoreManager GX のシステムログの提供をＮＳＳに請求することができます。この場

GX クラウド（マルチ）合、ＮＳＳは StoreManager GX のシステムログを有償で提供します。
詳しくは NSS の営業担当者にご相談ください。NSS は StoreManager GX のシステムログを最低 1年間保持します。
お客様は、StoreManager GX のシステムログの提供をＮＳＳに請求することができます。この場

GX-R クラウド

合、ＮＳＳは StoreManager GX のシステムログを有償で提供します。
詳しくは NSS の営業担当者にご相談ください。NSS は StoreManager GX のシステムログを最低 1年間保持します。

Tanawari ぽすとログの提供は行っておりません。

AI 自動棚割

ログの提供は行っておりません。

マイページ

ログの提供は行っておりません。

１６

クロックに関する情報

・NSS が提供するサービスが取得するログはすべて JST（UTC＋９）で取得されます。
・サーバにより同期する NTP サービスが分かれており、それぞれ Microsoft 既定の NTP サービス、NICT 公開
NTP サービス、AWS の NTP サービスと同期しています。

１７

脆弱性への対応・ NSS は、各サービスで利用する OS、ミドルウェアその他の脆弱性情報を定期的に収集しています。
情報収集手段：社内の IT サポートチームによる各種セキュリティ関連の注意喚起，IPA が発信するセキュリティ対策情報のメールニュース等。
・ お客様に影響を与える脆弱性情報は、契約締結時に登録されたお客様の窓口担当者様宛にメールその他の手段で通知します。

１８

開発におけるセキュリティ

・ 社内で標準化された開発プロセスに基づき、開発を実施しています。
・ 開発チームとは別に編成された「テストチーム」による動作確認を実施しています。

１９

インシデント発生時・ お客様がインシデントを監視する機能は提供していません。
・ お客様に大きな影響を与えるインシデント（データの消失、予期せぬサービスの長時間停止等）が発生した
場合、NSS は発生確認後４時間以内を目標に契約締結時に登録されたお客様の窓口担当者様宛にメールその他の手段で通知します。発生確認が NSS のサービス時間外（月曜日～金曜日の 9:00～17:30 以外、及び祝日及び NSS が指定する休日）の場合は翌営業日のサービス開始時間から４時間以内を目標に通知します。
・ ンシデントに関するお問い合わせ、及びお客様が各クラウドサービスの利用中にインシデント（インシデントの疑いがある事象を含む）を発見した場合は、NSS のアンサリングセンター又は営業担当者までご連絡いただきます様お願いします。

２０

お客様データの保護及び第三者提供

・お客様のデータは NSS の責任において適切に保護します。
・ログデータを含むお客様のデータは、不正なアクセスや改ざんを防止するため、NSS の情報セキュリティ管理者が承認した社員のみに権限を付与しています。NSS は障害対応の目的以外でお客様のデータにアクセスすることはありません。
但し、Tanawari ぽすとの棚割データに関しては、お客様の許可を得ることなく、NSS が匿名化（企業名・店舗名およびお客様を特定できなくすることをいいます）した上で加工・集計・分析して 2 次利用する場合があります。
・上記にかかわらず、裁判所の証拠提出命令など法的にデータの提出を要請された場合は、NSS は事前にお客様の許可を得ることなく、必要最小限の範囲でログを含むお客様のデータを提出する場合があります。

２１

適用法令

・お客様と NSS との間の契約は、日本法に基づいて解釈されるものとします。
・NSS と AWS 間の契約においては、準拠法を日本法とする契約を結んでいます。これにより海外法の適用によるリスクを回避しています。

２２認証

・NSS は、情報マネジメントセンター（ISMSーAC）が運営する、ISMS 適合性評価制度における ISMS 認証およびクラウドセキュリティ認証を取得しています。
JIS Q 27001:2014(ISO/IEC 27001:2013） 審査登録証 JP08／080043
JIP ISMS517-1.0(ISO/IEC 27017:2015)

審査登録証 JP21／080718

改訂履歴
版

改定日

改定内容

1.0

2021/9/9

初版発行

1.1

2021/10/1

全面改訂

1.2

2021/12/22

ISO/IEC 27017:2015 認証の追加

1.3

2022/3/25

AI 自動棚割を追記

1.42022/9/8

ログの保持期間の追記

1.5

2023/1/24

お客様データへのアクセスについて追記

1.6

2024/2/6

ストマネマイページを追記

1.7

2024/7/16

暗号化の状況の追記、バックアップの状況の追記、インシデント発生時の用語統一

この資料に関するお問い合わせ先
日本総合システム株式会社
流通営業グループ
Email: storemanagergx@nssys.co.jp