My Subversion
セキュリティホワイトペーパー

ファーエンドテクノロジー株式会社

目次
1. 組織
1-1 企業情報
1-2 情報セキュリティへの取り組み
2.業務環境2-1 組織・コミュニケーション
2-2 物理環境
2-3 権限管理
2-4 端末管理
2-5 媒体管理
2-6 ネットワーク管理
2-7 開発管理
3.サービス仕様
3-1 ファシリティ
3-2 サービス
3-3 アプリケーション
3-4 運用・その他

2

1.組織
1-1 企業情報
概要
項目

内容

商号

ファーエンドテクノロジー株式会社（英語表記： Far End Technologies Corporation ）法人番号8280001002836

所在地〒690-0003
島根県松江市朝日町 498 番地 松江センタービル

代表者

前田 剛

設立

2008 年(平成 20 年) 9 月 9 日

資本金800 万円

届出・認定
項目

内容

総務大臣届出 電気通信事業者

届出番号: F-20-668

ISO/IEC 27001 認証

登録番号: IS 642876
適用範囲: SaaS 提供に関わる企画・開発および運用
登録日: 2016 年 3 月 28 日

AWS Partner Network

AWS テクノロジーパートナーセレクト(https://aws.amazon.com/jp/partners/find/partnerdetails/?id=0010L00001jSMEAQA4)

1-2 情報セキュリティへの取り組み
情報セキュリティ方針
項目

内容

情報セキュリティに関する方針

情報セキュリティ基本方針(https://www.farend.co.jp/profile/security-policy/) にて掲載

情報セキュリティに関する規程

ISO/IEC27001 に適合した社内規程を維持・管理

3

情報セキュリティ教育
項目

内容

入社時情報セキュリティ
教育

全従業員に対して採用時に情報セキュリティ教育を実施

全社員向けの情報セキュリティ教育

年 1 回以上実施

顧客情報保護教育

サポート業務など顧客の情報に触れる社員は年 1 回以上、専用教育訓練を義務付け

システム運用教育

運用中のシステムに触れる社員は年 1 回以上、専用教育訓練を義務付け

改善活動
項目

内容

情報セキュリティ内部監
査

年 1 回以上実施

経営陣による見直し

ISO/IEC27001 に準拠したマネジメントレビューを年 1 回以上実施

事業継続活動項目

内容

事業継続に関する訓練を行っているか

自然災害やその他の事業継続が困難となる状況を想定した訓練を定期的に実施

法令遵守
項目

内容

秘密保持

利用規約第 22 条(秘密保持)において、秘密情報の取り扱いについて定義。また電気通信事業者として登録されており、電気通信事業法により秘密保持を課せられている。

反社会的勢力との関係の断絶

反社会的勢力との関係の断絶に関する表明等をサービス利用規
約に明記

個人情報保護に関する方針

個人情報保護方針(https://www.farend.co.jp/profile/privacy/) にて掲載

個人情報保護に関する規程個人情報保護に関する法律に遵守する社内規程を維持・管理

4

2.業務環境
社内の業務に関連する規則について抜粋し記載。

2-1 組織・コミュニケーション
項目

内容

従業員の守秘義務に関する誓約

すべての社員より取得済み

インシデント発生時の報告

エスカレーションルール制定済み。全ての報告内容はシステムで記録し必要に応じ再発防止の取り組みを実施

2-2 物理環境項目内容

居室入退室管理

セキュリティ要件によりレベルを定めレベルごとの入退室管理を実施

来訪者管理

セキュリティレベルごとに入退室記録を管理

情報漏洩対策クリアデスク・クリアスクリーン、裏紙使用禁止などのルールを実施

2-3 権限管理項目

内容

アクセス権限付与方針

役職や担当業務に応じて付与。配属・異動・退職の際に速やかに権限を変更。

情報システムへのアクセス権限付与プロセス

権限変更の申請、権限承認、権限設定の行為者が同一人物にならないように処理し記録を保管。

アクセス権限付与状況の把握社内ルールに従い権限付与状況のインベントリを実施

共有アカウントを使用した情報システムの使用

原則共有アカウントは禁止。やむを得ず使用する場合は他の情報などで作業行為者が特定可能とする。

特権的アクセス権の付与

上位職者複数名による承認が必要

5

2-4 端末管理
項目

内容

マルウェア対策

全ての PC に対してセキュリティソフト導入済み

セキュリティソフトパター
ン更新

提供ベンダーにより随時更新

マルウェアスキャン

ディスク全体への予約検索を 1 回／週実施

最新パッチ適用

随時更新

暗号化

盗難時の情報漏洩の対策のため全ての PC のディスク全体を暗号化

機器廃棄

ディスクの取り出し破壊もしくはサニタイズ処理を実施し廃棄

2-5 媒体管理項目

内容

社外とのデータの交換

原則ファイル交換システムを使用しファイルを交換可搬可能な電子媒体の使用

媒体を使用したデータ納品の指定がある場合以外は使用不可

紙媒体の取り扱い

裏紙使用禁止。業務で発生した書類はすべて粉砕処理もしくは指定業者による機密文書処理

2-6 ネットワーク管理
項目

内容

業務用ネットワークの制限

業務上不要な通信ポートを遮断

業務用ネットワークへの接続認可された機器のみ接続

2-7 開発管理項目

内容

6

環境の分離サービス運用中の環境とその他（開発、検証など）の環境は分離試験用データ開発で使用する試験用データは実データ（運用中のデータ）の使用は禁止

変更管理

開発したソフトウェアはすべて指定されたリポジトリにて改変管理を行う

3.サービス仕様
3-1 ファシリティ
使用インフラ項目

内容

提供者

アマゾン ウェブ サービス ジャパン合同会社 （日本）

データセンター

日本国内

所在地

アジアパシフィック (東京) リージョン（住所非公開）

データセンター仕様

Amazon Web Services の web サイトに記載の通り
https://aws.amazon.com/jp/compliance/data-center/ （外部サイト）

3-2 サービス
サービス概要項目

内容

サービス概要

オープンソースソフトウェア等を利用した Subversion リポジ
トリの管理サービス。リポジトリサーバへのアクセスアカウン
トの管理や、リポジトリブラウザを提供。

サービス紹介サイト

https://www.svn.ne.jp/

サービス開始時期

2010 年 05 月 12 日

契約数

約 100 社（2023 年 10 月現在）

契約先

非公開

7

サービス提供先条件•

日本国内に住所を有すること• 支払いが日本円であること• 口座振替でお支払いの場合は、日本国内の金融機関である
こと（一部の金融機関を除く）• お問合せや回答、文書でのご案内等弊社との通信（Web サポート、メール、郵便物や電話等）が日本語で対応できる
こと

サービス仕様項目

内容

URL 形式

サブディレクトリ形式（ https://r.svn.ne.jp/[アカウント名]/ ）データ容量

スタンダードプラン: 6GB、ラージ: 12GB、エクストララージ:30GB

データ所有者

OS より上位レイヤーの管理運用について責任を負う。
ただし、利用者がサービスに登録したファイル・メタ情報については、契約者の所有物とする。またサービス利用中の管理操作（パスワード管理、ユーザ管理等）はご利用の契約者の責任となる。

利用サポート

サポート専用 Web にて対応（24 時間 365 日受付、対応は弊社営業時間内のみ）

サポート対象利用方法、契約関連、そのほかサービス利用における全般

障害受付

サポート専用 Web にて対応（24 時間 365 日受付、対応はサービス提供全般に関連する内容の際は速やかに調査等開始）

契約条件

利用規約を開示（ https://www.svn.ne.jp/services/terms/ ）最低利用期間3 ヶ月

サービス提供に関する契約締結

個別契約の締結は行わない

秘密情報保持に関する個別の契約

同上サービス提供時間

24 時間 365 日

SLA・SLO

提供無し

計画停止

年間計画等は無し

計画メンテナンスの通知

緊急対応をのぞき 7 日前までに契約担当者様へ電子メールにて通知

8

サービス提供終了の通知

利用規約に従いサービス停止 30 日以上前に契約担当者様へ電子メールにて通知

サービス稼働率実績・目標

計測および定義無し

障害発生時の通知

サービス稼働状況ページに掲載
https://social.farend.co.jp/@status

有料オプション
項目

内容

データの移行

すでに運用中の Subversion のデータを My Subversion に移行が可能

データ返却・バックアップ
取得

お申込み時点の Subversion リポジトリのダンプデータを取得
可能

接続元による制限

接続元グローバル IP アドレスによる制限が可能

管理者パスワード再発行

初期管理者 ID のパスワードを仮発行可能

商業登記の登記事項証明書
取得

当社の商業登記の登記事項証明書(現在事項証明書・履歴事項証明書)が必要な場合に、お客様に代わって当社で取得し郵送調査票記入

各種調査票等への記入が必要な場合にご対応

セキュリティ対策等
内容

項目
通信の暗号化

https 通信（TLS1.2 以上を使用）での暗号化通信のみ使用可能

なりすまし使用に対する対策

なりすましログインを検出する機能の提供なし

マルウェア対策

未実施

3-3 アプリケーション
アプリケーション概要
リポジトリ管理項目

内容概要

Subversion リポジトリ管理ソフトウェア（独自開発）

利用フレームワーク

Ruby on Rails
9

使用 DBDB 使用無し

アプリケーション脆弱性検査機能実装等の際に社内にて実施

リポジトリブラウザ
項目

内容

名称

WebSVN （ウェブエスブイエヌ）

概要

オープンソース Subversion リポジトリブラウザ(https://websvnphp.github.io/)

公開サイト

GitHub (https://github.com/websvnphp/websvn)

利用言語

PHP

使用 DB

DB 使用無し

アプリケーション脆弱性検査サービスサイトへの新バージョン適用前に社内にて実施

アプリケーション仕様
項目内容

カスタマイズ可否

不可

アプリケーション同時利用
可能人数

未計測

アプリケーション管理機能

お客様にて管理実施。当社はお客様のご利用・管理に関与無し。

システム（OS 等）管理機
能利用者による OS へのログインやミドルウェア類の設定不可

認証

必須

3-4 運用・その他
運用
項目

内容

ベースシステム

Amazon ECS

システム時計全システム同期（NTP およびクラウドサービス時刻使用）
10

監視監視システムによるリソース使用状況およびサーバおよび主要プロセスの死活監視

監視間隔項目による。最短間隔の項目は 1 分間隔

バックアップ1 日 1 回（夜間）バックアップ実施

バックアップ保管期間

7 世代保管

解約後のデータ削除

サービス解約後約 2 週間後の弊社作業指定日にデータを削除

ログの保管

アクセスログ、アプリケーションログなど 180 日以上保管

OS・ミドルウェア等パッチ適用

プラットホームはクラウドサービス提供者により管理。

アプリケーションバージョ
ンアップ

社内ルール（非公開）に従い定期的に実施

セキュリティ対策等
項目

内容

システム構成提供サービスを構成するシステムのマイクロ化、コアシステムについてクラウドサービス提供マネージドサービス・サーバレスサービスを採用

冗長化

単一障害点あり

通信制御

クラウドサービス提供のファイアウォール相当機能を設定、クラウドサービス提供の Web Application Firewall を採用

不要プロセスの排除

最小構成の Docker イメージに必要機能のみインストール

通信の暗号化

https（TLS1.2 以上の暗号化に対応）にて利用

セッション保護Cookie の Secure 属性を設定

データ漏えい・破壊時の補償条件

利用規約第 19 条に、「利用代金月額相当額を限度として責任を負う」 と規定

保存データの暗号化

ボリュームレベルで暗号化実施契約ごとの離隔インフラを共有。契約ごとに個別環境変数でプロセスが動作。
ファイル領域は契約ごとの領域。

プラットホームの脆弱性調査

クラウドサービスの提供サービスを使用し実施

アプリケーションの脆弱性調査

他社サービスを使用し社内で実施

11

不正侵入検出などの仕組みの導入

ssh 等のリモートログインの不採用。運用に関するシステムロ
グインはクラウドサービスによる機能を使用しログインを検出・通知。
クラウドサービス提供のサービスによりシステムの不正な動作を検出

サービス停止攻撃への対策

クラウドサービス側にて対策を実施

サービス継続に関する仕組
みシステムの冗長化、クラウドサービス提供のマネージドサービ
ス・サーバレスサービスの採用、コアシステムについては
Rolling Update 方式による更新や提供サービス障害時の自動復旧の実施

ディザスタリカバリ対応

無し

最終更新日
2024 年 08 月 02 日

12