SaaS セキュリティ

SaaS セキュリティ

目次

はじめに................................................................................................................................................3
クラウドサービスプロバイダ...........................................................................................................4
Amazon Web Services (AWS).......................................................................................................
Alibaba Cloud..................................................................................................................................
ID およびアクセス管理（IAM）..........................................................................................................5
可用性と積極的な監視........................................................................................................................6
物理的な保護..........................................................................................................................................
データセキュリティと論理的な保護...............................................................................................7
ビジネス継続性とディザスタリカバリ.............................................................................................
認定とコンプライアンス...................................................................................................................8
リスク評価............................................................................................................................................9
RWS のセキュリティツールの機能............................................................................................... 10

22 ||RWSRWS

SaaS セキュリティ

はじめに

RWS の SaaS（Software as a Service）環境は、複数の製品と機能で構成され、Fortune 100 企業の 85社以上を始めとする世界中の 600 社を超えるお客様にサービスを提供しています。こうした多様で卓越した顧客ベースを有する RWS のセキュリティプログラムは、常に進化していく必要があります。市場の各業種に対応し、企業が自信を持ってデータ保護とプライバシーを RWS にアウトソーシングできるよう常に綿密に調整することが求められます。
お客様のデータの保護は RWS にとって最重要事項であり、RWS はお客様の情報の安全性確保を何よりも優先します。RWS は、GDPR、ISO-27001、SOC 2などの規制、規格、認定に対する最高レベルのコンプライアンスを実現する業界最先端のセキュリティツールを使用し、お客様のビジネスとデータを確実に保護します。RWS のクラウドサービスは、金融やライフサイエンスといった規制の厳しい市場に特に注意を払い、カスタマイズを通して、最新の多層セキュリティプログラムを提供し、高可用性を確保し、中断時の迅速な回復を可能にします。
本書では、システム管理、ビジネス継続性管理、セキュリティと運用、データセンター、プライバシーなど、RWS が日々の運用の中でセキュリティをどのように管理しているかについて詳しく説明します。

3 | RWS

SaaS セキュリティ

クラウドサービスプロバイダ

RWS は、以下のトップクラスの大手サードパーティサービスプロバイダと契約して RWS 製品をホストしています。
Amazon Web Services（AWS）

RWS は、Amazon Web Services（AWS）と提携して RWS 製品のホスティングサービスを提供しています。AWS は、ISO-27001、CSA STAR、SSAE16 SOC 1 ／ SOC 2 ／ SOC 3 などセキュリティに関する複数の認定を取得しています。
Alibaba Cloud

RWS は、Alibaba Cloud とも提携して RWS 製品のホスティングサービスを提供しています。
Alibaba Cloud は、ISO-27001、ISO-27017、CSA STAR、SSAE16 SOC 1 ／ SOC 2 ／ SOC 3 などセキュリティに関する複数の認定を取得しています。

44 ||RWS
RWS

SaaS セキュリティ

ID およびアクセス管理（IAM）

クラウドサービスプロバイダのすべてのインフラストラクチャの管理に多要素認証（MFA）を用いています。承認された担当者のみが、クラウドサービスプロバイダの管理コンソールとツールにアクセスできます。管理コンソールとツールでのすべてのアクションがログに記録され、一元的に保存されます。これらのログを標準操作手順に基づいて継続的に監視し、レビューしています。RWS は、RWS の担当者が実施するあらゆるアクションに対するアクセス制御、説明責任、承認、ガバナンスを網羅する包括的なハイブリッドクラウドセキュリティフレームワークを整備しています。包括的なセキュリティログの集約と、業界をリードするツールにより、コンプライアンスを確保し、脅威の特定をサポートします。
RWS には、すべての業務担当者に適用されるアクセス制御ポリシーがあります。アクセス権は、最小権限の原則に従い必要に応じて付与され、定期的に見直されます。
RWS は、アクセス制御ログデータの収集、集約、インデックス化、分析を行い、侵入、脅威、行動異常を検知します。サイバー脅威がますます巧妙化している中、脅威を迅速に検出して修正するには、リアルタイムの監視とセキュリティ分析が必要です。高度なトレーニングを受けた RWS のセキュリティエキスパートが、セキュリティインテリジェンス、監視機能、応答機能を提供する先進のツールセットを使用し、アクセス監査ログのデータ分析を行います。
世界各地の RWS の標準サービス拠点RWS は、世界中のお客様に向けて SaaS サービスを展開しています。ホスティング地域は、お客様のデータ保管場所の要件とそれに関連する諸要件を満たすとともに、その地域でインシデントが発生した場合に冗長性を確保し復旧できる地域が選択されます。サービスを利用できる地域については、各 SaaS サービスのカタログをご覧ください。

5 | RWS

SaaS セキュリティ

可用性と積極的な監視

RWS は、さまざまなツールを使用し、SaaS サービスの応答性と可用性を積極的に監視しています。アラートは、
24 時 間 365 日 ス タ ッ フ が 常 駐 す る RWS の CloudOperations Center で管理されます。導入されているアプリケーションとインフラストラクチャに対し、継続的に脆弱性検査が行われ、新たなバグから保護するためにパッチが適用されます。オペレーティングシステムレベル、アプリケーションレベル、またはテクノロジースタック内のあらゆる部分において可能な限り高いレベルのセキュリティが確保されます。最新のシステムとセキュリティパッチによって基盤のインフラストラクチャが最新の状態に保たれていることを、自動化された手法で確認します。RWS の研究開発部門は、サードパーティの依存関係も含めてソフトウェア製品を継続的に診断し、脆弱な部分に緊急でパッチを適用します。巧妙な分散型サービス妨害（DDoS）攻撃から保護するために、外部接続の冗長化、高度な緩和／ルーティングテクニック、的を絞ったマネージド DDoS ツールを使用します。

6 | RWS

物理的な保護RWS が提供するアプリケーションとサービスは、複数のパブリッククラウドでホストされ、各クラウドサービスプロバイダによってさまざまな脅威から保護されています。アクセスが精査され、エントリが制御および監視されています。境界層には、セキュリティガード、フェンシング、セキュリティカメラフィード、侵入検知テクノロジー、その他のセキュリティ対策といった多数の物理的なセキュリティ機能が場所に応じて配備されています。

SaaS セキュリティ

データセキュリティと論理的な保護

RWS の SaaS サービスは、RWS の企業システムとは別の専任の Cloud Operations チームによって運営および管理され、論理的なセキュリティ対策も導入されています。
顧客データを常に論理的にセグメント分けし、ライブデー
タとバックアップデータの両方を暗号化して保存しています。システム、データ、バックアップにアクセスできるのは、業務遂行のためにアクセスする必要があるスタッフのみに制限されています。アクセス権は、最小権限の原則に従って管理されます。管理を担当するのは、役割に応じたセキュリティ意識を身に付けるトレーニングを受け、各地域の規制に基づいて経歴チェックを受けたスタッフです。バックアップは毎日実行し、ポイントインタイムリカバリを確実に行えるよう最大 4 週間保存します。ネットワークをセグメント分けし、インターネットからアクセスする必要がある役割を持つサーバーのみをDMZ に配置しています。すべてのインターネットトラフィックにファイアウォールとゲートウェイを通過させることにより、攻撃を受ける範囲を縮小し、検知の可能性を高めています。

RWS
77 ||RWS
RWS

ビジネス継続性とディザス
タリカバリ

RWS の SaaS 戦略では、可能な限り複数のデータセンター／地域でサービスを導入してバックアップを保持することに重点を置いています。自然災害による壊滅的な障害や、個々の場所に影響を与える重大な中断から、RWS とお客様を保護します。データの保管場所に関してお客様と合意した要件を満たし、冗長性を提供する場所が選択されています。
SaaS サービスの管理に影響を及ぼす地域のインシデントから保護し、24 時間 365 日確実にサービスを提供するた
めに、RWS Cloud Operations のスタッフは世界中に点在しています。

SaaS セキュリティ

認定とコンプライアンス数百社にのぼる企業のお客様が日々 RWS の SaaS サービスにデータを委託しており、RWS の運用は業界をリードする規格、認定、各地域の関連規制に準拠しています。以下のようなものがあります。
GDPR

ISO 9001:2015（品質管理システム）

ISO 27001:2013（情報セキュリティ管理システム）

SOC 2、Type 2

ISO 21500:2012（プロジェクト管理）

RWS は、こうした認定や規制コンプライアンスを推進するために、堅牢なポリシーを導入しています。これらのポリシーとよくある質問について詳しくは、rws.com/jp/legal/security/ をご参照ください。ポリシー自体は、RWS 社内専用に分類されています。
RWS の新規スタッフは全員、ポリシーについてだけでなく、情報セキュリティに関するスタッフの責任についてもトレーニングを受けます。既存スタッフは、再教育トレーニングを毎年受けます。
RWS では、すべての副処理者にも、RWS の維持する認定とコンプライアンスの遵守を徹底させています。
RWS は、認定およびコンプライアンス要件を継続的に評価しています。

8 | RWS

SaaS セキュリティ

リスク評価

RWS は、ISO 27001:2013 規格に適合する包括的なリスク評価計画を文書化しています。
すべてのリスクはリスクレジスターに記録されます。
RWS のセキュリティおよびコンプライアンスチームは、明らかになっているすべてのリスクの繰り返しレビューをリスクレジスター内で行い、その資産に関連すると思われる新たなリスクを追加していきます。
このプロセスにはその企業の主要な利害関係者が関与し、レビューにはリスクの確率と影響、改善計画（処置計画）、潜在的な緩和策が含まれます。RWS
Cloud Operations の責任者は、RWS Cloud Security
Operations チームの支援を得ながら、各プロセスのリスク評価を実施します。こうしたチームには、リスク管理フレームワークを定期的に見直し、システム環境と管理有効性についてリスクを評価および分析し、許容可能な最低レベルまで管理していく責任があります。

9 | RWS

SaaS セキュリティ

RWS のセキュリティツールの機能••••••••••RWS は、ログの統合と分析、ファイルの整合性の監視など、セキュリティ情報およびイベント管理（SIEM）に対応する業界最先端のセキュリティソフトウェアを使用しています。

RWS は、ネットワークトラフィック、データ、ログを監視し、マルウェアの感染、侵害、侵入の検知と防止を実現するために、境界ファイアウォール、侵入検知および防止サービス、エンドポイント保護（アンチマルウェア）、拡張検出および応答（XDR）ツールを導入しています。モジュールは、リリース後すぐにベンダーの署名によって自動的に更新されます。

Cloud Operations Center チームは、24 時間 365 日体制でリアルタイムのイベント管理活動をサポートします。

RWS は、脅威を可視化する業界推奨のツールを使用し、脅威検出、予測分析、セキュリティ設定管理、自動インシデント対応を組み合わせてクラウド環境のコンプライアンスを確保しています。
すべてのシステムは、Center for Information Security（CIS）ガイドラインに準拠したシステム強化プロファイルに従って導入されています。

RWS は、業界をリードする脆弱性診断ツールを設定し、インフラストラクチャと導入済みサービスに定期的な自動診断を実施しています。これには、OWASP Top 10 のコンプライアンスとレポートが含まれます。
侵入テストは、製品のメジャーバージョンが新たにリリースされるたびに、または 12 か月ごとに実施されます。

RWS は、IT Infrastructure Library（ITIL）準拠のチケットツールを使用し、インシデント管理（セキュリティインシデント管理を含む）、リクエストへの対応、サービスレベル管理、問題管理、変更管理を行います。
RWS は、拡張検出および応答（XDR）ツールを使用し、潜在的な脅威を事前に特定して迅速に対応します。

セキュリティチームは、変更諮問委員会（CAB）に参画し、セキュリティの観点からすべての変更をレビューします。

このように、RWS は、規制の厳しい業界に適した極めて広範なセキュリティ運用を提供するとともに、RWS のセキュリティ対策を進化させ続けて新たな脅威、規制、要件に対応していきます。

10 | RWS

SaaS セキュリティ

セキュリティに対する当社のアプローチについて詳しくは、こちらをご覧ください
rws.com/jp/legal/security

RWS について

RWS Holdings plc は、テクノロジーを駆使した言語サービス、コンテンツサービス、知的財産サービスを提供する、唯一無二のリーディングプロバイダです。当社はコンテンツの変革と多言語データ分析を通じて、テクノロジーと文化に関する専門知識を独自に組み合わせ、お客様がどこでも、あらゆる言語で理解されるようにすることでビジネスの成長をサポートします。
当社が目指しているのは、グローバルな理解の実現です。文化の理解、企業の理解、技術の理解を組み合わせることにより、当社のサービスとテクノロジーが、顧客の獲得と維持、魅力的なユーザー体験の提供、コンプライアンスの維持、データやコンテンツにおける実用的なインサイトの獲得など、お客様をさまざまな面でサポートします。

世界のトップブランド 100 社の 80% 以上、フォーチュン誌の「最も賞賛される企業」20 社の 4 分の 3 以上、さらに大手製薬会社、投資銀行、法律事務所、特許事務所のほぼすべてが当社を利用しています。クライアントベースは、ヨーロッパ、アジア太平洋、北南米に広がっています。5 つの大陸に展開した 65 を超えるグローバル拠点から、自動車、化学、金融、法律、医療、製薬、テクノロジー、電気通信の各分野のお客様にサービスを提供しています。
1958 年に設立された RWS は、英国に本社を置き、AIM、ロンドン証券取引所規制市場に上場されています（RWS.L）。
詳細については、www.rws.com/jp をご覧ください。

© 2023 All rights reserved. ここに記載されている情報は、RWS Group* の機密情報および専有情報とみなされます。
* RWS Group とは、RWS Holdings plc およびその関連会社および子会社の代表を意味します。
saas-security-whitepaper-rws-ja-a4-05-07-23